La regulación europea de la inteligencia artificial acaba de experimentar uno de los cambios más relevantes desde la aprobación del AI Act. El Parlamento Europeo ha dado su aprobación definitiva a un paquete de modificaciones conocido como Digital Omnibus, cuyo objetivo declarado es doble: reducir cargas regulatorias para las empresas y reforzar la protección frente a determinados usos especialmente lesivos de la inteligencia artificial.
La decisión merece una lectura detenida porque refleja algo que llevamos observando desde hace meses: la Unión Europea está intentando encontrar un equilibrio entre la protección de los derechos fundamentales y la necesidad de evitar que la regulación termine convirtiéndose en una barrera para la innovación tecnológica.
El primer gran ajuste del AI Act
Cuando el Reglamento de Inteligencia Artificial fue aprobado, numerosas empresas europeas advirtieron sobre las dificultades prácticas derivadas de su implementación. La elaboración de estándares técnicos se estaba retrasando, las guías interpretativas no estaban completas y existía una creciente preocupación por la superposición entre el AI Act y otras normativas sectoriales.
La respuesta de las instituciones europeas ha sido introducir una serie de modificaciones que mantienen intacta la arquitectura basada en riesgos del Reglamento, pero flexibilizan algunos de sus aspectos más complejos.
No estamos ante una derogación ni ante una rebaja radical del marco regulatorio. Más bien se trata de una corrección de rumbo destinada a facilitar una aplicación realista de las obligaciones.
La gran novedad: prohibidas las “nudifier apps”
La medida que ha generado mayor atención mediática es la incorporación de una nueva práctica prohibida.
La reforma prohíbe expresamente los sistemas de IA destinados a generar imágenes, vídeos o audios sexualmente explícitos de personas identificables sin su consentimiento, incluyendo las conocidas como nudifier apps. También se prohíben los sistemas capaces de generar material de abuso sexual infantil mediante inteligencia artificial.
Desde una perspectiva jurídica, esta decisión resulta especialmente interesante porque amplía el catálogo de prácticas prohibidas del AI Act más allá de los riesgos clásicos vinculados a la vigilancia biométrica o al social scoring.
La Unión Europea reconoce así una realidad cada vez más evidente: los deepfakes sexuales no consentidos constituyen una amenaza directa para la dignidad humana, la intimidad, la protección de datos personales y la integridad moral de las víctimas.
En la práctica, la nueva prohibición afectará tanto a quienes comercialicen estos sistemas como a quienes los desplieguen con esa finalidad ilícita. Incluso los proveedores que desarrollen herramientas de generación de imágenes de propósito general deberán incorporar salvaguardas técnicas suficientes para impedir estos usos.
Una cuestión de derechos fundamentales
Como profesor de Derecho Digital suelo insistir en que la inteligencia artificial no crea problemas jurídicos completamente nuevos; lo que hace es amplificar riesgos que ya existían.
La pornografía no consentida, la usurpación de identidad, el acoso o la violencia digital contra mujeres y menores no son fenómenos nuevos. Lo que sí es nuevo es la capacidad de generar contenidos falsos con un grado de realismo que hace apenas tres años parecía imposible.
Por ello, la prohibición de las nudifier apps representa probablemente una de las decisiones más coherentes adoptadas por el legislador europeo desde la aprobación del Reglamento.
No estamos ante una restricción de la innovación, sino ante la exclusión del mercado europeo de una tecnología cuyo principal caso de uso consiste precisamente en vulnerar derechos fundamentales.
Se retrasan las obligaciones para sistemas de alto riesgo
La segunda gran novedad afecta al calendario de cumplimiento.
Las obligaciones aplicables a los sistemas de IA de alto riesgo se aplazan significativamente respecto de los plazos inicialmente previstos.
Los sistemas de alto riesgo independientes (stand-alone high-risk systems), como muchos utilizados en educación, empleo, biometría, infraestructuras críticas o determinados ámbitos de la administración pública, deberán cumplir las obligaciones del AI Act a partir del 2 de diciembre de 2027.
Por su parte, los sistemas integrados en productos sujetos a normativa sectorial de seguridad —como dispositivos médicos, determinados equipos industriales o componentes de seguridad— dispondrán de plazo hasta el 2 de agosto de 2028.
La razón es sencilla: todavía no existe suficiente madurez regulatoria ni técnica para exigir un cumplimiento efectivo en muchos sectores.
Más tiempo para las obligaciones de transparencia
También se retrasan determinadas obligaciones de marcado y etiquetado de contenidos generados por IA.
Las reglas sobre watermarking o identificación técnica de contenidos sintéticos se aplicarán a partir del 2 de diciembre de 2026 para los sistemas ya comercializados, con el objetivo de facilitar la detección de contenidos generados artificialmente.
Este aspecto será especialmente relevante para plataformas digitales, medios de comunicación, desarrolladores de modelos generativos y proveedores de herramientas de creación de contenido.
Menos burocracia y menos duplicidades
Otro de los objetivos declarados de la reforma consiste en reducir obligaciones redundantes.
La Comisión Europea y el Parlamento han asumido algunas de las críticas formuladas por la industria respecto de la coexistencia entre el AI Act y otros marcos regulatorios sectoriales. Como consecuencia, determinados productos ya sometidos a controles específicos de seguridad verán simplificados algunos requisitos.
Además, se amplían ciertas medidas de apoyo para pequeñas y medianas empresas y se flexibilizan algunas obligaciones relacionadas con la detección y corrección de sesgos algorítmicos.
¿Qué significa esto para las empresas españolas?
La conclusión principal es clara: nadie debería interpretar estas modificaciones como una invitación a retrasar los proyectos de gobernanza de IA.
Las obligaciones no desaparecen. Simplemente se posponen algunos hitos temporales.
Las organizaciones que están desarrollando inventarios de sistemas de IA, evaluaciones de riesgo, políticas internas, estructuras de gobernanza o mecanismos de supervisión humana continúan avanzando en la dirección correcta.
De hecho, las empresas que aprovechen este tiempo adicional para construir una gobernanza sólida llegarán mucho mejor preparadas cuando las obligaciones sean plenamente exigibles.
La reforma aprobada por el Parlamento Europeo refleja la evolución natural de cualquier gran regulación tecnológica: tras la fase de entusiasmo normativo llega la fase de ajuste práctico.
La prohibición de las nudifier apps supone un importante avance en la protección de la dignidad humana frente a los abusos derivados de la inteligencia artificial. Al mismo tiempo, el aplazamiento de determinadas obligaciones reconoce que una regulación efectiva requiere estándares técnicos claros, seguridad jurídica y capacidad real de cumplimiento.
El mensaje que envía Bruselas es inequívoco: Europa no renuncia a regular la inteligencia artificial, pero tampoco quiere hacerlo a costa de la competitividad de sus empresas.
La verdadera cuestión para los próximos años ya no será si debemos regular la IA, sino cómo hacerlo sin sacrificar ni la innovación ni los derechos fundamentales.
