El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (IA), también conocido como AI Act o RIA, entró en vigor el 1 de agosto de 2024 y ha ido desplegando sus efectos de forma escalonada de acuerdo con su mismo artículo 113. Como se tenía previsto, el próximo 2 de agosto se produce la aplicación general del Reglamento y obligaciones de transparencia del artículo 50, aplicables a chatbots y contenido generado por IA, pasando las autoridades europeas a supervisar y sancionar con plenitud.

Ahora, prácticamente en el descuento, se aprueba el Reglamento “Ómnibus Digital sobre IA”, es decir, el Reglamento (UE) núm. 2026/1744 del Parlamento Europeo y del Consejo, de fecha 8 de julio de este mismo 2026, que modifica parcialmente ese calendario inicialmente previsto por el AI Act. Como consecuencia, aunque el día 2 de agosto sigue siendo un hito clave, no marca la entrada en vigor de todas las obligaciones previstas inicialmente.

  1. Contexto: ¿qué es el Reglamento Europeo de Inteligencia Artificial?

El Reglamento de Inteligencia Artificial de la Unión Europea constituye la primera normativa integral destinada a regular el desarrollo, la comercialización y el uso de los sistemas de inteligencia artificial. Su finalidad es fomentar una IA segura, fiable y respetuosa con los derechos fundamentales, al tiempo que impulsa la innovación y la competitividad dentro del mercado europeo.

Al igual que ocurrió con el Reglamento (UE) 2016/679 del Parlamento europeo y del Consejo de 27 de abril de 2016 o, mayormente conocido como el Reglamento General de Protección de Datos (RGPD), la Unión Europea vuelve a situarse a la vanguardia de la regulación tecnológica, estableciendo un marco común para todos los Estados miembros.

Una de las principales características del AI Act es que no regula la tecnología en sí misma, sino los riesgos derivados de su utilización. Para ello, adopta un enfoque basado en el riesgo, clasifica los sistemas de inteligencia artificial en cuatro niveles de riesgo:

  • Riesgo inadmisible: prácticas prohibidas por considerarse incompatibles con los valores y derechos fundamentales de la Unión, como determinados sistemas de manipulación (técnicas que usan patrones de datos para guiar decisiones de los usuarios) o puntuación social (Social Scoring).
  • Riesgo alto: sistemas utilizados en ámbitos especialmente sensibles, como la sanidad, la educación, el empleo, las infraestructuras críticas, la administración pública o la justicia.
  • Riesgo limitado: sistemas que deben cumplir principalmente obligaciones de transparencia, por ejemplo, informando al usuario de que está interactuando con un sistema de IA o de que un contenido ha sido generado mediante IA.
  • Riesgo mínimo: categoría en la que se encuentra la mayoría de las aplicaciones de IA de uso cotidiano que podrán seguir utilizándose conforme a la legislación general sin imponer obligaciones adicionales específicas (por ejemplo, correctores ortográficos o filtros de correo de spam).

El Reglamento se aplica tanto a entidades públicas como privadas, con independencia de que estén establecidas dentro o fuera de la Unión Europea, siempre que comercialicen sistemas de IA en el mercado europeo o que sus resultados produzcan efectos sobre personas situadas en la UE.

  1. La inminente llegada del 2 de agosto de este 2026 y el impacto del llamado Reglamento “Ómnibus Digital de Inteligencia Artificial”.

Desde el año 2024, el 2 de agosto de 2026 se presentó como la gran fecha de aplicación del Reglamento de Inteligencia Artificial. Sin embargo, la aprobación del Reglamento (UE) núm. 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, ha alterado ese cronograma.

La principal novedad introducida por el Reglamento “Ómnibus” consiste en el aplazamiento de gran parte de las obligaciones aplicables a los sistemas de IA de alto riesgo. Así, las obligaciones para estos sistemas de IA en el Anexo III del RIA (como los utilizados en procesos de selección de personal, educación, acceso a servicios esenciales o evaluación crediticia) dejan de ser exigibles el 2 de agosto de 2026 y pasan a aplicarse a partir del 2 de diciembre de 2027.

Por su parte, los sistemas de IA integrados en productos sujetos a legislación sectorial europea (Anexo I del RIA), como determinados dispositivos médicos o productos industriales, verán retrasada su aplicación hasta el 2 de agosto de 2028. Ahora bien, este aplazamiento no significa que el RIA se quede en el banquillo. Muy al contrario, el 2 de agosto de 2026 siguen entrando en vigor numerosas obligaciones de gran relevancia, en la que destacan las medidas de transparencia previstas en el artículo 50 del Reglamento.

En términos generales, los proveedores (quienes generan los sistemas de IA) deberán diseñar sus sistemas para que el contenido generado o manipulado mediante IA pueda identificarse como tal, mientras que las empresas y organizaciones que utilicen estos sistemas deberán informar a los usuarios cuando interactúen con una IA, advertir del uso de deepfakes (archivo de vídeo, imagen o audio manipulado mediante IA) o de sistemas de reconocimiento de emociones (pensemos, en procesos de selección de personal) y, cuando proceda, indicar que determinados contenidos o textos de interés público han sido generados o modificados mediante IA.

Ahora bien, se distinguen dos periodos: para los sistemas de IA que generen dicho contenido y se hayan introducido en el mercado antes del 2 de agosto de 2026, se introduce un período transitorio hasta el 2 de diciembre de 2026. En cambio, los sistemas introducidos de forma posterior, esta obligación será inmediatamente aplicable, junto con el resto de las obligaciones de transparencia del artículo 50.

El incumplimiento de estas obligaciones de transparencia puede dar lugar a multas de hasta 15 millones de euros o, en el caso de las empresas, de hasta el 3 % del volumen de negocio anual mundial del ejercicio anterior, aplicándose la cuantía más elevada. Por otro, facilitar información incorrecta, incompleta o engañosa a las autoridades puede dar lugar a multas de hasta 7,5 millones de euros o el 1 % del volumen de negocio mundial anual.

Asimismo, debe tenerse en cuenta el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de este 2026 y actualmente en tramitación parlamentaria, cuyo objetivo es adaptar el ordenamiento jurídico español al RIA. Entre otras cuestiones, designa las autoridades nacionales competentes en materia de supervisión y desarrolla el régimen sancionador, alineado con el previsto por el RIA, graduando las infracciones en leves, graves y muy graves con criterios de proporcionalidad y atención al tamaño de las empresas. Las sanciones podrían alcanzar los 35 millones de euros o el 7 % del volumen de negocio en los supuestos más graves, los 15 millones o el 3 % para determinados incumplimientos y hasta 500.000 euros o el 0,5 % del volumen de negocio en las infracciones leves.

  1. Análisis del impacto del Reglamento “Ómnibus” en la aplicación del AI Act de la UE: la obligación alfabetización se flexibiliza, pero no desaparece. 

La aprobación del Reglamento “Ómnibus Digital” sobre IA ha llevado a muchas empresas a pensar que la Unión Europea ha dado un paso atrás en la aplicación del AI Act. Sin embargo, la realidad es distinta, pues la reforma responde a una necesidad práctica: la falta de estándares técnicos armonizados, de autoridades nacionales plenamente operativas y del tiempo necesario para que empresas y administraciones pudieran adaptarse a un marco regulatorio especialmente complejo.

La mejor prueba de ello es la obligación de alfabetización en inteligencia artificial. Mientras el debate se ha centrado en el aplazamiento de los sistemas alto riesgo y la prohibición expresa relativa a la generación de material íntimo no consentido, el artículo 4 del AI Act (relativo a la alfabetización de la IA) lleva siendo plenamente exigible desde el 2 de febrero de 2025, lo único, es que el “Ómnibus Digital” ha reformulado la obligación: no se exige garantizar un nivel específico de alfabetización de ninguna persona en particular sino que, la Comisión, deberá publicar ejemplos prácticos de cumplimiento en la plataforma única de información y el Consejo de IA adoptará recomendaciones con objetivos comunes para apoyar a la Comisión y a los Estados miembros en esta materia.

La alfabetización, supone obligar a proveedores y responsables del despliegue de sistemas de IA a adoptar medidas para garantizar que las personas que los utilizan dispongan de un nivel suficiente de alfabetización en IA, atendiendo a sus conocimientos, experiencia, formación y al contexto en el que dichos sistemas se emplean. Se trata de una obligación que no distingue entre empresas: cualquier organización que utilice herramientas de IA debe cumplirla.

Asimismo, el artículo 26 mantiene intacto el deber de formar al personal encargado de la supervisión humana de los sistemas de alto riesgo, ya que resulta imposible ejercer un control efectivo sobre una tecnología que no se comprende. Esta exigencia enlaza, además, con el artículo 22 del Reglamento General de Protección de Datos, que exige una intervención humana significativa en determinadas decisiones automatizadas.

En nuestra práctica, se resumiría al Slow AI, es decir, aprovechar el potencial de la inteligencia artificial sin renunciar al juicio y la responsabilidad que se sigue atribuyendo a las personas.

  1. Conclusiones y reflexión: la insuficiente respuesta penal frente a los deepfakes.

El Reglamento “Ómnibus”, como una de sus principales novedades respecto a la propuesta inicial de la Comisión Europea de noviembre de 2025, prohíbe la generación mediante IA de contenido íntimo no consentido y de material de abuso sexual infantil, reforzando la protección frente a estos usos. No obstante, esta prohibición no implica que todos los Estados miembros cuenten con una respuesta penal específica para estas conductas.

Tanto es así, que el Reglamento delimita esta prohibición: los proveedores solo responden cuando el sistema esté diseñado o permita previsiblemente generar este tipo de contenido sin medidas de seguridad adecuadas, mientras que los responsables del despliegue solo incurren en la prohibición si lo utilizan con ese fin. Además, se aclara que las modificaciones de contenido ya existente no se consideran manipulación si no incrementan la exposición íntima ni alteran su naturaleza sexual.

Volviendo a nuestro país, el Código Penal español continúa castigando, en el artículo 197.7, la difusión no consentida de imágenes o vídeos íntimos obtenidos con el consentimiento de la víctima así como su posterior redifusión, pero no contempla expresamente la creación de imágenes o vídeos sexuales mediante IA cuando nunca existió un contenido real previo. La conducta típica del deepfake sexual presenta una diferencia esencial respecto del denominado revenge porn: la lesión no deriva de la difusión de una imagen obtenida mediante el consentimiento de la víctima, sino de la fabricación artificial de un contenido falso con apariencia real.

Esta laguna provoca una situación paradójica: el Derecho penal español carece de un tipo específico que permita responder adecuadamente a la creación de deepfakes íntimos. Ello obliga, en muchos casos, a acudir a delitos contra la intimidad, el honor, la integridad moral o incluso la propia imagen.

En definitiva, la regulación europea confirma que la inteligencia artificial continúa avanzando hacia un modelo basado en el tipo de riesgo y la transparencia. No obstante, su eficacia dependerá no solo de la aplicación del AI Act, sino también de que los ordenamientos nacionales adapten sus marcos jurídicos para responder a los nuevos desafíos que plantean las nuevas tecnologías.