El Ómnibus Digital sobre IA que se ha publicado este junio introduce cambios significativos en el Reglamento de Inteligencia Artificial (RIA) con el objetivo de simplificar su aplicación, reducir la carga administrativa y ajustar el calendario de cumplimiento.
El RIA ya preveía un calendario escalonado, pero la falta de normas técnicas armonizadas ha llevado al legislador europeo a repensarlo. El resultado ha sido un calendario de fechas más complejo pero más realista donde encontramos obligaciones que se mantienen en la fecha prevista, pero otras se aplazan hasta 2027 y 2028.
En este artículo vamos a repasar lo que ha cambiado y lo que se ha mantenido, qué obligaciones se establecen en cada plazo y qué nuevas obligaciones han aparecido con el Ómnibus Digital.
1. Pequeñas empresas de mediana capitalización
Hasta ahora, el RIA sólo preveía adaptaciones para pymes pero no contemplaba aquellas pequeñas empresas que superaban los umbrales de esa definición. Estas empresas tienen un ritmo más rápido de crecimiento, innovación y capitalización pero se les plantean retos en las cargas administrativas similares a los de las pymes. Es por eso que el legislador europeo ha optado por crear la categoría de “pequeñas empresas de mediana capitalización” y les concede las mismas adaptaciones que a las pymes para evitar que las cargas administrativas penalicen su crecimiento.
Por lo tanto, las pequeñas empresas de mediana capitalización se pueden beneficiar de las siguientes medidas que antes eran exclusivas para las pymes:
- Documentación técnica simplificada. Estas empresas podrán utilizar el formulario simplificado para cumplir con la información exigida en el anexo IV.
- Proporcionalidad en el sistema de gestión de calidad. La aplicación de todos los aspectos del sistema de gestión de la calidad debe ser proporcional al tamaño de la organización del proveedor. A pesar de esta proporcionalidad, la normativa subraya que estas empresas deben respetar en todo caso el grado de rigor y el nivel de protección necesarios para garantizar que sus sistemas de IA de alto riesgo sean conformes con el RIA.
- Acceso prioritario a los sandboxes. Se introduce la facultad a la Oficina de IA para establecer espacios controlados de pruebas a escala de toda la UE para determinados sistemas bajo su supervisión. Y además, se establece que las pymes y las pequeñas empresas de mediana capitalización tendrán acceso prioritario a estos espacios.
- Multas proporcionadas. Para este tipo de empresas, las multas administrativas por incumplimiento de obligaciones generales y por suministro de información incorrecta se calcularán aplicando el porcentaje o el importe fijo indicado en el RIA, pero se aplicará siempre el que sea menor de entre las dos cuantías. Es importante destacar que este beneficio de aplicar la cuantía menor no se extiende a las multas relativas a la infracción de prácticas de IA prohibidas del artículo 5. Además, se obliga a los Estados Miembros a que, al establecer y aplicar el régimen de sanciones, tengan en cuenta los intereses y la viabilidad económica de las pequeñas empresas de mediana capitalización.
De este modo, si tu empresa ha crecido y ha dejado de encajar en la definición de pyme, la simplificación evita que pases al régimen de las grandes empresas y te ofrece medidas de apoyo para poder adaptarte mejor.
2. Las nuevas prohibiciones del artículo 5 del RIA
La simplificación del RIA añade dos nuevas categorías de prácticas prohibidas al artículo 5 con la finalidad de hacer frente a los riesgos de la nudificación y por el uso de la IA generativa para crear contenido de abuso sexual.
Concretamente, se incorporan las dos siguientes prohibiciones:
- Material íntimo no consentido: Se prohíbe la introducción en el mercado, puesta en servicio o uso de sistemas de IA que generen o manipulen imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable, o de dicha persona participando en actividades sexualmente explícitas, sin su consentimiento libre y explícito.
- Material de abuso sexual de menores: Se prohíbe el uso de sistemas que generen o manipulen este tipo de material (CSAM).
La normativa aclara los supuestos en los cuales se considera que un operador ha infringido estas prohibiciones:
- Para los proveedores la prohibición aplica si el sistema está diseñado específicamente para generar dicho material, o si el diseño permite que sea un resultado razonablemente previsible y reproducible y el proveedor no ha implementado salvaguardias técnicas razonables para evitarlo.
- Para los responsables del despliegue solo se prohíbe el uso cuando se utiliza el sistema con el fin deliberado de generar o manipular dicho material prohibido.
De este modo, también se prevén exclusiones en estas prohibiciones:
- Mejoras técnicas. No se considera manipulación prohibida si el sistema altera el material preexistente de forma que no aumente la exposición de partes íntimas ni altere la naturaleza sexual de la actividad, por ejemplo, mejorar el brillo, cambiar el fondo o añadir un encabezado de texto.
- Realismo. Se refiere a la representación de la cara, voz o cuerpo de manera creíble en la vida real, excluyendo explícitamente caricaturas o representaciones físicamente imposibles.
- Fines de diagnóstico y tratamiento. No entran en la prohibición las aplicaciones con fines de diagnóstico y tratamiento médico (como mamografías o simulaciones anatómicas).
- Consentimiento informado y explícito. Se excluye de la prohibición si ha mediado un consentimiento informado y explícito, como en el caso de los probadores virtuales.
Estas nuevas prohibiciones del artículo 5 serán aplicables a partir del 2 de diciembre de 2026.
3. El papel de la alfabetización
El artículo 4 del RIA obligaba a proveedores y responsables del despliegue a ocuparse de la alfabetización en materia de IA de su personal. Hasta ahora, la redacción comportaba una obligación de resultado por la cual se debía garantizar un nivel suficiente de alfabetización en materia de IA.
Con la modificación a través del Ómnibus, sigue existiendo la obligación de alfabetizar pero sin garantizar un resultado sinó que existe la obligación de adoptar medidas razonables que apoyen este desarrollo.
Además, se añade que la Comisión y los Estados Miembros deberán apoyar a proveedores y responsables del despliegue, y especialmente a las pymes, publicando ejemplos prácticos de cómo cumplir esta obligación en una plataforma única de información
Es decir, la alfabetización pasa de ser una obligación de resultado ("garantizar un nivel") a una obligación de medios ("adoptar medidas de apoyo"), priorizando el aprendizaje continuo en materia de IA.
4. Nuevas competencias para la Oficina IA
Otro de los ejes de la simplificación es el refuerzo del papel de la Oficina Europea de Inteligencia Artificial, el organismo de la Comisión encargado de vigilar el cumplimiento del Reglamento.
- Competencia exclusiva de supervisión
La Oficina de IA asume la competencia exclusiva para supervisar y controlar el cumplimiento de las obligaciones del Reglamento en los siguientes casos
- Sistemas basados en modelos de IA de uso general (GPAI): Cuando el modelo y el sistema hayan sido desarrollados por el mismo proveedor o por empresas del mismo grupo.
- Plataformas y motores de búsqueda de muy gran tamaño (VLOPs y VLOSEs): Sistemas que constituyan o estén integrados en servicios designados bajo el Reglamento de Servicios Digitales (DSA)
- Nuevos poderes de investigación y ejecución
Para ejercer su competencia, la Oficina de IA recibe los mismos poderes que una autoridad de vigilancia del mercado:
- Inspecciones. Puede acceder a locales, examinar libros y datos, obtener copias y solicitar explicaciones orales o escritas al personal. Si hay oposición, las autoridades nacionales deben prestarle asistencia.
- Requerimientos de información. Puede solicitar documentación mediante decisiones vinculantes si no se cumplen pueden conllevar multas.
- Acceso a sistemas. Puede ordenar a los operadores que proporcionen acceso directo a sus sistemas de IA y que ofrezcan explicaciones sobre su funcionamiento.
- Expertos y auditores: Tiene la facultad de nombrar expertos y auditores independientes para asistir en sus investigaciones.
- Facultad para imponer sanciones directas
La Oficina de IA puede constatar incumplimientos e imponer multas y multas coercitivas. Estas multas coercitivas consisten en multas diarias de hasta el 5% de los ingresos diarios medios del ejercicio anterior para obligar a las empresas a someterse a inspecciones, atender solicitudes de información o cumplir compromisos vinculantes
- Fomento de la innovación: Sandboxes de la UE
La Oficina de IA puede establecer espacios controlados de pruebas (sandboxes) a escala de toda la Unión para los sistemas bajo su competencia. Debemos recordar que estos sandboxes deben proporcionar acceso prioritario a las pymes, empresas emergentes y pequeñas empresas de mediana capitalización
- Recursos
Se exige a la Comisión asignar recursos humanos, financieros y técnicos adecuados a la Oficina de IA, incluyendo personal permanente con conocimientos técnicos suficientes, para que pueda desempeñar sus funciones de ejecución de manera efectiva y con personal permanente altamente cualificado.
5. Nuevo calendario
La simplificación del Reglamento de Inteligencia Artificial, introducida por el Ómnibus Digital sobre IA, ha modificado el calendario de cumplimiento para permitir una adaptación técnica más realista de los operadores y las autoridades.
- Prórroga para sistemas de IA de alto riesgo. Debido a los retrasos en la elaboración de normas técnicas y en el establecimiento de marcos de gobernanza nacionales, se han ampliado los plazos para los sistemas de alto riesgo
- Sistemas del Anexo III (ámbitos específicos): El cumplimiento de los requisitos de gestión de riesgos, datos y documentación técnica se ha aplazado del 2 de agosto de 2026 al 2 de diciembre de 2027
- Sistemas del Anexo I (productos regulados): El plazo para sistemas integrados en productos como juguetes o maquinaria se ha trasladado del 2 de agosto de 2027 al 2 de agosto de 2028.
- Alineación con el Reglamento de Máquinas. Las normas específicas para integrar los requisitos de IA en el sector de la maquinaria deberán aplicarse a más tardar el 2 de agosto de 2028.
- Plazos para el apoyo regulatorio e innovación
- Espacios controlados de pruebas (Sandboxes). Los Estados Miembros tienen hasta el 2 de agosto de 2027 para tener operativo al menos un sandbox nacional, obligación que se ha prorrogado un año.
- Obligaciones que se mantienen el 2 de agosto de 2026
- Aplicación general: Entran en vigor las normas armonizadas para la introducción en el mercado y puesta en servicio de sistemas de IA (especialmente los que no entran en la categoría de alto riesgo).
- Obligaciones de transparencia (Art. 50): Se deben cumplir los requisitos de información para sistemas que interactúan con personas (como chatbots), sistemas de reconocimiento de emociones o de categorización biométrica
- Toda la infraestructura de supervisión y los procedimientos para que las autoridades nacionales y los organismos de evaluación de la conformidad deben ser plenamente funcionales.
- Alfabetización en IA. Entra en vigor la obligación de los proveedores y responsables de despliegue de adoptar medidas para apoyar el desarrollo de la alfabetización de su personal.
- Obligaciones para el 2 de diciembre de 2026
- Nuevas prohibiciones (Art. 5). Comienzan a aplicarse las prohibiciones sobre sistemas de material íntimo no consentido ("nudificación") y material de abuso sexual de menores (CSAM).
- Contenido preexistente. Los proveedores de sistemas que generan contenido con IA (audio, imagen, vídeo o texto) y que ya estaban en el mercado antes de agosto de 2026 tienen hasta este día para cumplir con la obligación de marcado técnico en formato legible por máquina.
- Obligaciones para el 2 de diciembre de 2027 y 2 de agosto de 2028 para los sistemas de alto riesgo
El cambio más significativo introducido por el Ómnibus Digital se encuentra en estas fechas. Las obligaciones para sistemas de alto riesgo ya no se aplican desde el 2 de agosto de 2026, sino:
- 2 de diciembre de 2027, para los sistemas de alto riesgo en ámbitos específicos como la educación o el empleo.
- 2 de agosto de 2028, para los sistemas de alto riesgo como juguetes, ascensores, productos sanitarios o equipos de radio.
¿Cómo afecta la simplificación del RIA a mi ecommerce?
Después de repasar los cinco grandes cambios de la simplificación, toca trasladarlo a las afectaciones que puede tener esto en la gestión de tu ecommerce.
- Si tu ecommerce ha crecido y ha dejado de ser pyme. Si tu negocio ha superado los umbrales de pyme y ahora encaja en la nueva categoría de pequeña empresa de mediana capitalización, no tienes que asumir todas las obligaciones de una gran empresa. De este modo, puedes seguir usando la documentación técnica simplificada y beneficiarte de la proporcionalidad de las sanciones.
- Si usas IA generativa la página web de tu ecommerce. Si empleas herramientas de IA para generar imágenes de producto, "probadores virtuales", vídeos promocionales o chatbots, debes asegurarte de marcar el contenido que generes a partir del 2 de agosto y que el contenido preexistente quede marcado antes del 2 de diciembre de 2026.
- Si tienes un equipo que usa IA ya no tienes la obligación de resultado de implementar un nivel de formación de tu plantilla, pero tienes que adoptar medidas razonables para apoyar su formación.
- Si tu ecommerce (o el marketplace en el que vendes) es una gran plataforma. Si tu negocio opera como plataforma de gran tamaño bajo la Ley de Servicios Digitales, debes tener presente que la supervisión en materia de IA y en materia de DSA quedará más coordinada entre la Comisión y la Oficina de IA.
Conclusión
La simplificación del RIA ha introducido más tiempo para adaptarse, más proporcionalidad según el tamaño del negocio y nuevas prohibiciones.
Tu ecommerce va a tener más margen pero no menos obligaciones. Por lo tanto, si usas IA en tu página web, no esperes a diciembre y empieza a cumplir ahora con Lawwwing.
