Qué cambió el Reglamento 2026/1744 en el Reglamento europeo de IA
23 de octubre de 2026 · Fuentes comprobadas el 23 de octubre de 2026.
El Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como «Ómnibus digital sobre IA», se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor a los tres días, el 27 de julio de 2026. Modifica el Reglamento europeo de IA (Reglamento (UE) 2024/1689) y, de paso, los reglamentos de aviación civil (2018/1139) y de máquinas (2023/1230). Su objetivo declarado es simplificar la aplicación de las normas de IA, sobre todo para las pymes.
Este artículo resume lo que cambia para una empresa que usa sistemas de IA de terceros (el «responsable del despliegue», en el lenguaje del Reglamento), con el artículo de cada cambio, leído en el texto oficial. No interpreta y no constituye asesoramiento jurídico.
Las fechas: lo que se retrasa y lo que no
El cambio más visible está en el art. 113, que fija cuándo se aplica cada parte:
| Qué | Antes | Ahora |
|---|---|---|
| Alto riesgo del anexo III (selección de personal, educación, acceso a servicios esenciales…; art. 6, apartado 2) | 2 de agosto de 2026 | 2 de diciembre de 2027 |
| Alto riesgo del anexo I (componentes de seguridad de productos regulados; art. 6, apartado 1) | 2 de agosto de 2027 | 2 de agosto de 2028 |
| Nuevas prohibiciones del art. 5 (letras b bis y b ter) | no existían | 2 de diciembre de 2026 |
Lo que no se mueve: las prohibiciones originales del art. 5 y la alfabetización del art. 4 se aplican desde el 2 de febrero de 2025, y las obligaciones de transparencia del art. 50 desde el 2 de agosto de 2026. Para estas últimas hay una sola concesión, y es para los proveedores: los sistemas que generan audio, imagen, vídeo o texto sintético y ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para marcar sus resultados como pide el art. 50, apartado 2 (nuevo art. 111, apartado 4). Quien usa esos sistemas y publica ultrafalsificaciones o textos de interés público generados por IA sigue obligado desde el 2 de agosto de 2026 (art. 50, apartado 4).
Dos prácticas prohibidas nuevas
El art. 5, apartado 1, gana dos letras, aplicables desde el 2 de diciembre de 2026: generar o manipular imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable o de esa persona en actividades sexualmente explícitas sin su consentimiento libre, específico, informado, inequívoco y explícito (letra b bis), y generar o manipular material o espectáculos en el sentido del art. 2, letras c) y e), de la Directiva 2011/93/UE, sobre los abusos sexuales y la explotación sexual de los menores y la pornografía infantil, salvo que se aplique una defensa de «forma ilícita» del Derecho nacional (letra b ter).
El nuevo apartado 1 bis explica cuándo se aplican: al proveedor, cuando esa generación es la finalidad del sistema o un resultado razonablemente previsible y reproducible sin que el sistema tenga salvaguardias razonables; al responsable del despliegue, solo cuando utiliza el sistema con ese fin. El apartado 1 ter aclara que no es manipulación la que no aumenta la exposición de ninguna parte íntima ni altera la naturaleza de la actividad representada.
La alfabetización en IA, reescrita
El art. 4 cambia de redacción. Antes exigía asegurar un «nivel suficiente» de alfabetización en IA; ahora pide a proveedores y responsables del despliegue «medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal y de las demás personas que usen los sistemas en su nombre, teniendo en cuenta sus conocimientos, su formación, el contexto de uso y las personas afectadas. Y añade, en el propio apartado 1, que la obligación no exige un nivel concreto de ninguna persona en particular. La Comisión publicará ejemplos prácticos de cómo cumplirla (apartado 2) y el Consejo de IA adoptará recomendaciones (apartado 3). Para una empresa, el trabajo sigue siendo el mismo: decidir qué formación da a quién y dejar constancia.
Qué es un componente de seguridad (y qué no)
Para el alto riesgo del anexo I, el art. 6 recibe tres apartados nuevos. Un sistema de IA que se usa solo para aspectos no relacionados con la seguridad (asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o control de calidad) no es componente de seguridad (apartado 1 bis); sí lo es aquel cuyo fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad (apartado 1 ter); y un producto que solo pasa evaluación de conformidad de terceros por riesgos distintos de la salud y la seguridad, como el espectro radioeléctrico, no cumple la condición del apartado 1, letra b (apartado 1 quater). La definición de componente de seguridad del art. 3, punto 14, se alinea con esto. Además, el reglamento de máquinas (2023/1230) pasa al anexo I, sección B, y la directiva de máquinas desaparece de la sección A.
Evaluación de impacto: reutilizar la de protección de datos
El art. 27 obliga a ciertos responsables del despliegue de sistemas de alto riesgo del anexo III (organismos públicos y entidades privadas que prestan servicios públicos, entre otros) a una evaluación de impacto sobre los derechos fundamentales. El apartado 4 permite ahora cubrir lo que ya esté en la evaluación de impacto de protección de datos del RGPD con referencias cruzadas o incorporando sus partes pertinentes, y el apartado 5 encarga a la Oficina de IA un cuestionario modelo, con una herramienta automatizada, para hacerla de forma simplificada.
Datos sensibles para detectar sesgos
El nuevo art. 4 bis permite, con condiciones estrictas, tratar categorías especiales de datos personales para detectar y corregir sesgos. El apartado 1 es para los proveedores de sistemas de alto riesgo; el apartado 2 lo extiende, de forma excepcional, a los responsables del despliegue de sistemas de alto riesgo y a proveedores y responsables de otros sistemas, cuando sea estrictamente necesario y con todas las condiciones y garantías del apartado 1. El propio apartado 2 dice que no crea ninguna obligación de hacer esa detección y corrección.
Sistemas que ya estaban en uso
El art. 111, apartado 2, mantiene la regla para los sistemas de alto riesgo puestos en el mercado o en servicio antes de la fecha de aplicación del capítulo III: el Reglamento solo se les aplica si desde esa fecha sufren cambios significativos en su diseño, sin perjuicio de que el art. 5 se aplique igualmente. Los destinados a autoridades públicas tienen que cumplir como muy tarde el 2 de agosto de 2030.
Pymes: definiciones, documentación y sanciones
El Reglamento incorpora las definiciones de pyme (art. 3, punto 14 bis, por remisión a la Recomendación 2003/361/CE) y de «pequeña empresa de mediana capitalización» (punto 14 ter), y las usa en varios sitios: la documentación técnica simplificada para los proveedores que sean pymes (art. 11, apartado 1), elementos del sistema de gestión de la calidad de forma simplificada (art. 63, apartado 1), orientaciones y asesoría de las autoridades nacionales dirigidas en particular a las pymes (art. 70, apartado 8) y, en las sanciones, la obligación de tener en cuenta sus intereses y su viabilidad económica (art. 99, apartado 1), con un tope más bajo para las pequeñas empresas de mediana capitalización (apartado 6 bis). Los espacios controlados de pruebas nacionales deben estar operativos a más tardar el 2 de agosto de 2027 (art. 57, apartado 1), con acceso prioritario a las pymes en el que puede crear la Oficina de IA (apartado 3 bis).
Quién vigila
El art. 75 da a la Oficina de IA competencia exclusiva sobre los sistemas basados en modelos de IA de uso general cuando modelo y sistema son del mismo proveedor (o de la misma empresa), con excepciones, y sobre los sistemas integrados en plataformas y buscadores en línea de muy gran tamaño. Esa competencia alcanza a los proveedores; a los responsables del despliegue, solo cuando son también el proveedor o parte de su misma empresa. El resto sigue con las autoridades nacionales de vigilancia del mercado.
Qué conviene hacer ahora
- Revisar el inventario de sistemas de IA con las fechas nuevas: el alto riesgo del anexo III llega el 2 de diciembre de 2027, no en 2026, pero las obligaciones de transparencia ya rigen.
- Añadir la revisión de las dos prohibiciones nuevas antes del 2 de diciembre de 2026, sobre todo si se usan generadores de imagen, vídeo o audio.
- Reflejar la redacción nueva del art. 4 en el plan de formación: medidas de apoyo documentadas, adaptadas a cada equipo.
- Pedir al proveedor de cada sistema del anexo III su clasificación y, si alega la excepción del art. 6, apartado 3, su evaluación documentada (art. 6, apartado 4).
La plantilla de Notion «Inventario de sistemas de IA» de Reglario ya lleva estas fechas y artículos, resumidos del texto consolidado con su enlace y la fecha en que se comprobaron: Inventario de IA.
Herramienta de organización documental basada en textos oficiales; no constituye asesoramiento jurídico.
Fuentes (abiertas el 23 de octubre de 2026)
- Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (DOUE L de 24 de julio de 2026): https://eur-lex.europa.eu/eli/reg/2026/1744/oj/spa — artículo 1, puntos 1 a 43, y artículo 4.
- Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026 (EUR-Lex): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:02024R1689-20260727 — arts. 3, 4, 4 bis, 5, 6, 27, 50, 111 y 113; anexo I.