Digital Omnibus de IA: qué ha cambiado para las empresas
El Digital Omnibus de IA es el Reglamento (UE) 2026/1744. Modifica la EU AI Act y se aplica desde el 27 de julio de 2026. La obligación de alfabetización en IA del art. 4 se mantiene, pero se atenúa. Las obligaciones para la IA de alto riesgo se aplazan al 2 de diciembre de 2027 y al 2 de agosto de 2028, y el 2 de diciembre de 2026 empiezan a aplicarse dos nuevas prohibiciones.
Fecha: 3 de noviembre de 2026, comprobado con el texto del Reglamento (UE) 2026/1744 en EUR-Lex. No constituye asesoramiento jurídico.
¿Qué es el Digital Omnibus de IA?
El Reglamento (UE) 2026/1744, de 8 de julio de 2026, se titula «Reglamento Digital Omnibus de IA». Se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el tercer día siguiente, es decir, el 27 de julio de 2026. Modifica sobre todo la EU AI Act de un vistazo (Reglamento (UE) 2024/1689) y pretende simplificar su aplicación. La versión modificada de la AI Act figura en el texto consolidado de EUR-Lex.
Dos términos se repiten: los proveedores desarrollan un sistema de IA o lo introducen en el mercado con su propio nombre. Los responsables del despliegue utilizan un sistema de IA en el ámbito profesional; una empresa que solo utiliza herramientas de IA es responsable del despliegue. Las pequeñas empresas de mediana capitalización son mayores que las pymes, pero menores que las grandes empresas.
Los cambios de un vistazo
La tabla compara la situación anterior con la nueva, con la referencia, la fecha y lo que debería hacer una empresa que utiliza IA. Las seis primeras filas afectan a la mayoría de las empresas; las cuatro últimas, sobre todo a proveedores y casos de alto riesgo.
| Tema | Antes | Ahora | Desde cuándo | Qué hacen las empresas |
|---|---|---|---|---|
| Alfabetización en IA (art. 4) | Medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en materia de IA | Medidas para apoyar el desarrollo de la alfabetización en materia de IA; no hay que garantizar un nivel determinado | 27.07.2026 | Definir medidas por rol y documentarlas voluntariamente; revisar los ejemplos prácticos de la Comisión |
| Nuevas prohibiciones (art. 5, apartado 1, letras ba) y bb)) | sin prohibición propia | Prohibida la IA para representaciones íntimas no consentidas de personas identificables y para representaciones de abuso sexual infantil | 02.12.2026 | Inventariar generadores de imágenes y vídeos, fijar normas de uso |
| IA de alto riesgo según el anexo III (art. 113) | Obligaciones desde el 02.08.2026 | Obligaciones desde el 02.12.2027 | Cambio en vigor desde el 27.07.2026 | Crear un inventario de IA, comprobar el uso en empleo, educación o evaluación de la solvencia |
| IA de alto riesgo según el anexo I (art. 113) | Obligaciones desde el 02.08.2027 | Obligaciones desde el 02.08.2028 | Cambio en vigor desde el 27.07.2026 | solo relevante para IA en productos regulados |
| Marcado de contenidos generados por IA (art. 50, apartado 2, art. 111, apartado 4) | Obligación desde el 02.08.2026 | Período transitorio hasta el 02.12.2026 para proveedores de IA generativa comercializada antes del 02.08.2026 | 02.12.2026 | afecta a los proveedores; para los responsables del despliegue no hay período transitorio |
| Multas para pequeñas empresas de mediana capitalización (art. 99, apartado 6 bis) | cuantía más baja solo para pymes | cuantía más baja también para pequeñas empresas de mediana capitalización, en infracciones de los apartados 4 y 5 | 27.07.2026 | Comprobar la categoría de tamaño; en las prácticas prohibidas no se aplica la regla para empresas de mediana capitalización |
| Categorías especiales de datos para corregir sesgos (nuevo art. 4 bis) | Base jurídica solo para proveedores de IA de alto riesgo (art. 10, apartado 5) | también para proveedores y responsables del despliegue de otros sistemas de IA y para responsables del despliegue de IA de alto riesgo, solo si es estrictamente necesario y con garantías | 27.07.2026 | sin obligación y sin carta blanca: el RGPD sigue siendo determinante; implicar al delegado de protección de datos |
| Evaluación de impacto en los derechos fundamentales (art. 27, apartado 4) | evaluación propia | Posible remisión a una evaluación de impacto relativa a la protección de datos existente | con las obligaciones de alto riesgo | solo para responsables del despliegue de determinada IA de alto riesgo |
| Registro (art. 6, apartado 3, art. 49, apartado 2) | todos los datos según el anexo VIII | registro simplificado para sistemas que el proveedor clasifica como no de alto riesgo | 27.07.2026 | asunto de los proveedores |
| Supervisión (art. 75) | autoridades nacionales | Oficina de IA competente para determinados sistemas basados en modelos de IA de uso general | 27.07.2026 | para meros usuarios, normalmente sin consecuencias |
La base es el texto del Reglamento (UE) 2026/1744, leído el 3 de noviembre de 2026.
Alfabetización en IA según el art. 4: atenuada, no suprimida
Los proveedores y los responsables del despliegue de sistemas de IA siguen adoptando medidas para apoyar el desarrollo de la alfabetización en materia de IA de su personal y de otras personas que utilizan la IA en su nombre (art. 4, apartado 1). La segunda frase es nueva: la obligación no exige garantizar a ninguna persona un nivel determinado de alfabetización en IA. Antes, las empresas debían garantizar un nivel suficiente en la mayor medida posible.
Se añaden dos apartados nuevos. La Comisión y los Estados miembros apoyan a las empresas, en especial a las pymes, y la Comisión publica ejemplos prácticos (apartado 2). El Comité de IA formula recomendaciones sobre objetivos comunes (apartado 3). El cambio se justifica por la carga que las obligaciones estrictas suponen sobre todo para las empresas más pequeñas (considerando 8). La Comisión ya reúne ejemplos de la práctica en su repositorio de prácticas de alfabetización en IA. Según la Comisión, adoptar una práctica incluida allí no cumple automáticamente el art. 4.
En la práctica: el art. 4 no prescribe ni un formato ni una prueba. Una formación es una medida posible, igual que una política interna o un taller. Conviene dejar constancia de quién ha hecho qué y cuándo. Cómo aplicar la obligación de alfabetización en IA según el art. 4 se explica en su propia página.
Nuevas prohibiciones desde el 2 de diciembre de 2026
Desde el 2 de diciembre de 2026 quedan prohibidas otras dos prácticas de IA (art. 5, apartado 1, letras ba) y bb), art. 113, apartado 3, letra a)):
- Sistemas de IA que generan o manipulan imágenes, vídeos o grabaciones de audio realistas en los que se representan partes íntimas o actos sexuales de una persona identificable sin que esta haya dado su consentimiento expreso.
- Sistemas de IA que generan o manipulan representaciones de abuso sexual infantil en el sentido de la Directiva 2011/93/UE.
Para las empresas que solo utilizan estas herramientas, se aplica lo siguiente: el uso solo está prohibido si el responsable del despliegue emplea el sistema con ese fin (art. 5, apartado 1 bis, letra b). Quien usa un generador de imágenes para fotos de producto o gráficos no está afectado. Aun así, una norma clara sobre el uso de generadores de imágenes y vídeo debe figurar en la política de IA. Las infracciones de las prohibiciones se sitúan en el tramo de multa más alto; la nueva regla para las empresas de mediana capitalización no se aplica ahí. Detalles en la página Multas por infracciones.
Plazos: antes y ahora
Se aplazan sobre todo las obligaciones para la IA de alto riesgo: 16 meses para el anexo III (empleo, educación, evaluación de la solvencia y otros ámbitos) y 12 meses para el anexo I (IA en productos regulados). A ello se suma un período transitorio hasta el 2 de diciembre de 2026 para el marcado según el art. 50, apartado 2, solo para proveedores de sistemas generativos comercializados antes del 2 de agosto de 2026. Las demás fechas se mantienen. Las fechas de 2024 a 2028 figuran en el calendario de plazos de la EU AI Act.
¿Qué se aplica a las pymes y a las pequeñas empresas de mediana capitalización?
La AI Act define ahora las pymes (art. 3, punto 14 bis, con arreglo a la Recomendación 2003/361/CE) y las pequeñas empresas de mediana capitalización (art. 3, punto 14 ter, con arreglo a la Recomendación (UE) 2025/1099). Para las pequeñas empresas de mediana capitalización se aplica, en las multas por infracciones del art. 99, apartados 4 y 5, la más baja de las dos cuantías, como ya ocurría con las pymes (apartado 6 bis), como ya ocurría con las pymes (apartado 6). En las prácticas prohibidas (apartado 3), esta regla no se aplica a las empresas de mediana capitalización. La supervisión corresponde a las autoridades nacionales de vigilancia del mercado.
Lo que no ha cambiado
- Las prohibiciones existentes del art. 5 se aplican desde el 2 de febrero de 2025.
- Las obligaciones para los modelos de IA de uso general se aplican desde el 2 de agosto de 2025.
- Las obligaciones de los responsables del despliegue según el art. 50, apartados 3 y 4, se aplican desde el 2 de agosto de 2026, sin período transitorio. Más en la página etiquetado de IA.
- El art. 4 sigue siendo una obligación de adoptar medidas, para empresas de cualquier tamaño.
Qué deberían hacer ahora las empresas
- Crear un inventario de IA: ¿quién usa qué herramienta y para qué?
- Comprobar si algún uso entra en el alto riesgo del anexo III, por ejemplo en la selección de personal. Si es así, anotar el 2 de diciembre de 2027.
- Fijar normas de uso para generadores de imágenes y vídeo antes de que las nuevas prohibiciones empiecen a aplicarse el 2 de diciembre de 2026.
- Definir medidas de alfabetización en IA y dejar constancia voluntaria de quién ha hecho qué y cuándo; el art. 4 no exige ninguna prueba. Una formación en IA para equipos es una medida posible.
- Seguir de cerca los ejemplos prácticos de la Comisión sobre el art. 4.
Preguntas frecuentes sobre el Digital Omnibus de IA
¿Se aplica ya el Digital Omnibus de IA?
Sí. El Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Algunos cambios se aplican más tarde, por ejemplo las nuevas prohibiciones a partir del 2 de diciembre de 2026.
¿Ha suprimido el Digital Omnibus la obligación de formación en IA?
No. El art. 4 sigue obligando a proveedores y responsables del despliegue a adoptar medidas de alfabetización en IA. La novedad es que no tienen que garantizar un nivel de competencia determinado. El art. 4 sigue sin prescribir una formación; es una medida posible. Más en la página obligación de alfabetización en IA.
¿Cuál es la diferencia entre el ómnibus de IA y el ómnibus de datos?
Son dos paquetes legislativos distintos. El ómnibus de IA modifica la EU AI Act y se aplica desde el 27 de julio de 2026. El ómnibus sobre datos, RGPD y cookies sigue en trámite legislativo (a 3 de noviembre de 2026).
¿No tenemos que hacer nada hasta 2027?
Sí, hay que hacer algo. El art. 4 se aplica desde el 2 de febrero de 2025, las prohibiciones existentes también, y el 2 de diciembre de 2026 se añaden dos nuevas prohibiciones. Se han aplazado sobre todo las obligaciones para la IA de alto riesgo. Para el marcado de los sistemas generativos anteriores (art. 50, apartado 2), solo los proveedores disfrutan de un período transitorio hasta el 2 de diciembre de 2026.
¿Se aplica también a las empresas pequeñas?
Sí. El art. 4 no establece un tamaño mínimo. Hay alivios en las multas: para las pymes se aplica la cuantía más baja y, para las pequeñas empresas de mediana capitalización, en infracciones del art. 99, apartados 4 y 5, pero no en las prácticas prohibidas.
Forme a su equipo Todos los plazos
Nota: este artículo es informativo y no constituye asesoramiento jurídico.