El Reglamento europeo de IA, tras el Ómnibus
El AI Act (Reglamento (UE) 2024/1689) se aplica por fases desde febrero de 2025. En julio de 2026 lo modificó el Ómnibus digital sobre IA, que suavizó obligaciones y retrasó el alto riesgo.
El Reglamento (UE) 2026/1744, de 8 de julio de 2026, se publicó en el Diario Oficial de la UE el 24 de julio y entró en vigor el 27 de julio de 2026. Es lo que se conoce como Ómnibus digital sobre IA.
El reglamento distingue a quien fabrica un sistema de IA o lo pone en el mercado con su nombre (proveedor) y a quien lo usa en su trabajo (responsable del despliegue). Una farma que usa Copilot, ChatGPT o Claude es responsable del despliegue. Si monta un asistente propio y lo ofrece con su marca, puede pasar a ser proveedora.
Lo que hoy aplica a una empresa que solo usa IA:
- Artículo 4: adoptar medidas para apoyar la alfabetización en IA de su personal.
- Artículo 5: no usar la IA para ninguna práctica prohibida.
- Artículo 50, desde el 2 de agosto de 2026: avisar cuando alguien habla con una IA, etiquetar los deepfakes y declarar el texto generado que se publique para informar al público, salvo que haya revisión humana y alguien responda de él.
- Alto riesgo, solo si el uso está en el Anexo III, como la selección de personal, y a partir del 2 de diciembre de 2027.
El Ómnibus también crea la figura de pequeña empresa de mediana capitalización, que se beneficia como las pymes de la multa menor y de documentación simplificada.
Fuentes (3)
Artículo 4: formar al equipo
Aplica desde el 2 de febrero de 2025 a cualquier empresa que use IA. El Ómnibus rebajó lo que exige, pero no la quitó.
Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal […]. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.
Artículo 4.1, en la redacción del Reglamento (UE) 2026/1744
Antes del Ómnibus el texto pedía garantizar un nivel suficiente de alfabetización. Ahora pide adoptar medidas para apoyarla, teniendo en cuenta los conocimientos de cada persona y el contexto en que usa la IA. La Comisión y los Estados tienen que apoyar a las empresas, sobre todo a las pymes, y la Comisión publicará ejemplos prácticos.
El artículo 99, que fija las multas del reglamento, no menciona el artículo 4. Los Estados pueden fijar sanciones propias, pero España no tiene ley aprobada. En la práctica, lo que cuenta es poder enseñar qué medidas se tomaron: formación ajustada a cada puesto, registro y política de uso.
Mucha formación se vende como «obligatoria por el AI Act» con un tono de amenaza que el texto actual no sostiene. La obligación existe, pero es de medios y proporcionada al uso.
Fuentes (1)
Prácticas prohibidas
Prohibidas desde el 2 de febrero de 2025. Son las infracciones con las multas más altas del reglamento.
Las que pueden aparecer en una empresa del sector:
- Inferir emociones de las personas en el lugar de trabajo o en centros educativos, salvo por motivos médicos o de seguridad. Según las directrices de la Comisión, el lugar de trabajo incluye la selección de personal.
- Manipular con técnicas subliminales o engañosas, o aprovechar vulnerabilidades por edad, discapacidad o situación social.
- Categorizar a personas por datos biométricos para deducir datos sensibles.
- Puntuación social y bases de reconocimiento facial con imágenes extraídas de forma indiscriminada.
Multa: hasta 35 millones de euros o el 7 % de la facturación mundial anual, la cifra mayor. A las pymes y pequeñas empresas de mediana capitalización se les aplica la menor. Desde el 2 de diciembre de 2026 se suman dos prohibiciones nuevas sobre imágenes íntimas sin consentimiento y material de abuso sexual infantil.
Fuentes (2)
Transparencia: chatbots y contenido generado
El artículo 50 se aplica desde el 2 de agosto de 2026. Es lo que más probablemente toque a un equipo de marketing o de comunicación.
- Quien hable con un chatbot o asistente tiene que saber que es una IA, salvo que sea evidente.
- Los deepfakes, imagen, audio o vídeo que imitan a personas o hechos reales, se declaran como generados o manipulados.
- El texto generado que se publica para informar al público sobre asuntos de interés público se declara, salvo que haya revisión humana o control editorial y alguien tenga la responsabilidad editorial.
- Los proveedores de sistemas generativos tienen que marcar su contenido de forma detectable. Los que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026.
La Comisión publicó directrices sobre el artículo 50 en julio de 2026 y hay un código de buenas prácticas voluntario sobre marcado y etiquetado del contenido generado. Para un equipo de farma, la consecuencia práctica es sencilla: un asistente de información de cara a profesionales o pacientes avisa de que es una IA, y un vídeo con avatar se etiqueta.
Fuentes (3)
Alto riesgo: qué es y cuándo llega
Las obligaciones más pesadas del reglamento. El Ómnibus las retrasó: diciembre de 2027 para los usos del Anexo III y agosto de 2028 para la IA dentro de productos regulados.
Un sistema es de alto riesgo por dos vías. O es un uso sensible del Anexo III, como el empleo y la selección de personal, la educación, el crédito o el acceso a servicios esenciales. O es IA dentro de un producto regulado del Anexo I, como un producto sanitario que necesita organismo notificado.
Para quien lo usa (responsable del despliegue), el artículo 26 pide usarlo según las instrucciones, supervisión humana con personas formadas, guardar los registros y vigilar su funcionamiento. Quien lo fabrica carga con el sistema de gestión de riesgos, la documentación técnica y la evaluación de la conformidad.
Las directrices de la Comisión para clasificar un sistema como de alto riesgo siguen en borrador (mayo de 2026, actualizado en julio). La primera norma armonizada, sobre gestión de calidad, se publicó en octubre de 2026 y su uso es voluntario.
Fuentes (3)
Los modelos que usáis: ChatGPT, Copilot, Claude, Gemini
Las obligaciones de los modelos de uso general son de quien los fabrica, no de quien los usa. Os sirven para elegir proveedor.
Desde el 2 de agosto de 2025, los proveedores de modelos de uso general tienen obligaciones de documentación, derechos de autor y, los más grandes, de seguridad. La Comisión puede multarles desde el 2 de agosto de 2026.
El código de buenas prácticas de estos modelos lo firman entero, entre otros, Anthropic, Google, Microsoft, OpenAI, Amazon, IBM y Mistral AI. xAI firma solo el capítulo de seguridad y Meta no figura entre los firmantes (lista oficial del 7 de octubre de 2026).
Para la empresa que los usa no supone ninguna obligación nueva. Lo que sí cuenta es el contrato: licencia de empresa, sin entrenamiento con vuestros datos y con dónde se tratan.
Fuentes (2)
España: sin ley propia y con la AESIA
El reglamento europeo se aplica directamente, pero la ley española que tenía que fijar las sanciones y repartir las autoridades ha caducado.
El Gobierno aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial el 26 de mayo de 2026 y lo envió al Congreso. Con la disolución de las Cortes (Real Decreto 806/2026, de 5 de octubre), el Congreso lo da por caducado desde el 6 de octubre. Hay elecciones el 29 de noviembre: el próximo Gobierno tendrá que volver a presentarlo.
El proyecto preveía multas de hasta 35 millones o el 7 % por prácticas prohibidas, hasta 15 millones o el 3 % en alto riesgo y la cuantía menor para las pymes. Ahora mismo es solo un borrador.
La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) existe desde 2023 y publicó en diciembre de 2025 16 guías prácticas no vinculantes para cumplir el reglamento. Si puede sancionar sin ley nacional es discutido, y no consta ninguna sanción publicada. Para IA que sea producto sanitario o forme parte de uno, la autoridad previsible es la AEMPS.
Fuentes (4)
Datos personales: RGPD y AEPD
Cuando la IA toca datos de empleados, clientes o profesionales sanitarios, lo que manda es el RGPD. La AEPD ha publicado este año sus criterios.
El decálogo de la AEPD para delegar tareas en asistentes y agentes de IA (27 de octubre de 2026) pide, entre otras cosas:
- En el trabajo, usar solo los asistentes autorizados por la organización y no conectar el correo o los documentos profesionales a una cuenta personal.
- Permisos mínimos para cada tarea y confirmación antes de enviar, compartir, pagar o contratar.
- Elegir proveedores identificados que permitan ejercer los derechos en la UE.
- Tener presentes las instrucciones ocultas en correos, webs o documentos, y limitar lo que el agente puede hacer.
En febrero de 2026 la AEPD publicó además orientaciones sobre IA agéntica. Y en 2026 dictó una advertencia preventiva a una empresa que iba a usar una IA para puntuar y priorizar candidaturas, antes de que llegara a funcionar.
Las transferencias a proveedores de EE. UU. se apoyan en el Marco de Privacidad de Datos UE-EE. UU., vigente, aunque recurrido ante el Tribunal de Justicia y cuestionado por el Comité Europeo de Protección de Datos tras una sentencia del Supremo de EE. UU. de junio de 2026. Lo prudente: proveedor adherido y, además, cláusulas contractuales tipo.
Fuentes (4)
Lo específico de farma y biotech
No hay ninguna norma sectorial de IA en vigor. Hay orientaciones de la EMA y la FDA, y las reglas de siempre se aplican igual al contenido hecho con IA.
El documento de reflexión de la EMA sobre la IA en el ciclo de vida del medicamento (septiembre de 2024) pone la responsabilidad en la compañía y pide un enfoque basado en riesgo. Para negocio, lo relevante es su apartado sobre información de producto: redactar, traducir o revisar con IA exige supervisión humana cercana y control de calidad, porque los modelos generativos producen textos plausibles pero erróneos.
La EMA y la FDA publicaron el 14 de enero de 2026 diez principios comunes de buenas prácticas de IA en el desarrollo de medicamentos: enfoque basado en riesgo, contexto de uso claro, gobernanza de datos, equipo multidisciplinar y gestión del ciclo de vida, entre otros. No son vinculantes.
El Código de Buenas Prácticas de Farmaindustria no menciona la IA, pero sus reglas aplican igual: todo material promocional es compatible con la ficha técnica (artículo 1.2), lo revisa el servicio científico antes de difundirse (artículo 9.2) y la filial responde de lo que se publica en sus redes aunque lo haga un tercero (artículo 8). El Código de EFPIA de 2026 tampoco la menciona, aunque EFPIA la tiene entre sus prioridades de 2027.
En fabricación y calidad, el nuevo Anexo 22 de las GMP sobre IA sigue en borrador. El borrador de 2025 dejaba fuera la IA generativa de los usos críticos. En el taller de la EMA de junio de 2026 se habló de admitirla con controles documentados.
Fuentes (6)
Productos sanitarios con IA
Si la IA es el producto sanitario o un componente de seguridad suyo, se aplican a la vez el MDR o el IVDR y el AI Act. Las obligaciones de alto riesgo llegan el 2 de agosto de 2028.
El documento conjunto MDCG 2025-6 explica cómo encajan los dos reglamentos: un producto con IA es de alto riesgo si necesita organismo notificado, y la documentación de ambos se puede integrar en el sistema de calidad y en la documentación técnica del MDR. Las fechas de 2027 que cita ese documento ya no valen.
Los productos sanitarios siguen en la sección A del Anexo I tras el Ómnibus. El nuevo artículo 2.13 permite limitar requisitos del AI Act cuando el MDR ya dé una protección equivalente: lo concretarán actos delegados y directrices antes de agosto de 2027.
Fuentes (2)
Espacio Europeo de Datos Sanitarios
Abrirá el acceso a datos de salud para investigar y entrenar IA, con permiso y en entorno seguro. Su parte principal se aplica en 2029.
El Reglamento (UE) 2025/327 está en vigor desde el 26 de marzo de 2025 y se aplica por fases. El uso secundario de la mayoría de categorías de datos, como la historia clínica electrónica, llega en marzo de 2029, y el resto, como la genómica, en 2031. Una empresa podrá pedir datos a un organismo de acceso para investigar o entrenar IA, sin reidentificar a nadie.
Fuentes (1)
