Qué cambia el Ómnibus digital sobre IA para las empresas que usan IA (Reglamento (UE) 2026/1744)

El Reglamento (UE) 2026/1744 modifica el Reglamento de IA, el Reglamento (UE) 2024/1689, en 43 puntos. La tabla recoge los cambios que importan a una empresa que usa sistemas de IA y no fabrica productos de alto riesgo.

El artículo 5, apartado 1, letra b bis), prohíbe «la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule imágenes, vídeos o audios realistas o material similar de las partes íntimas de una persona física identificable, o de una persona física identificable que participe en actividades sexualmente explícitas, sin el consentimiento libre, específico, informado e inequívoco y explícito de dicha persona para tal generación o manipulación».

La letra b ter) prohíbe «la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule material o espectáculos en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE, excepto cuando se aplique una defensa de “forma ilícita” en virtud del Derecho nacional». La Directiva 2011/93/UE es la directiva de la UE relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores.

Para una empresa que usa IA, la norma aplicable al responsable del despliegue es la del artículo 5, apartado 1 bis, letra b): «la utilización de un sistema de IA que genere o manipule el material o los espectáculos a que se refiere el apartado 1, párrafo primero, letras b bis) y b ter), solo está prohibida cuando el responsable del despliegue utilice el sistema con el fin de generar o manipular dicho material o espectáculos». El apartado 1 ter añade que no constituye manipulación, a efectos de la letra b bis), la que no aumente la exposición de partes íntimas representadas ni altere la naturaleza de actividades sexualmente explícitas representadas.

La fecha figura en el artículo 113, párrafo tercero, letra a), modificado: «los capítulos I y II serán aplicables a partir del 2 de febrero de 2025, a excepción del artículo 5, apartado 1, párrafo primero, letras b bis) y b ter), y el artículo 5, apartado 1 bis, y apartado 1 ter, que serán aplicables a partir del 2 de diciembre de 2026». El incumplimiento de una prohibición del artículo 5 conlleva multas de hasta 35 millones de euros o el 7 % del volumen de negocios mundial total anual, si esta cuantía fuese superior (artículo 99, apartado 3, sin modificar). Para las pymes, y ahora también para las pequeñas empresas de mediana capitalización, se aplica la cuantía más baja.

Una obligación afín ya se aplica. Desde el 2 de agosto de 2026, el artículo 50, apartado 4, dispone: «Los responsables del despliegue de un sistema de IA que genere o manipule imágenes o contenidos de audio o vídeo que constituyan una ultrasuplantación harán público que estos contenidos o imágenes han sido generados o manipulados de manera artificial.»

El artículo 4 fue sustituido. Los proveedores y responsables del despliegue siguen adoptando medidas para apoyar la alfabetización en materia de IA de su personal y de otras personas que actúan en su nombre, y el artículo 4, apartado 1, termina ahora así: «Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» La redacción anterior, «en la mayor medida posible», un «nivel suficiente de alfabetización en materia de IA», ha desaparecido.

Qué pide hoy la obligación, qué esperan las preguntas y respuestas de la Comisión y una lista de comprobación con registro de formación están en la página sobre la alfabetización en materia de IA según el artículo 4. Las nuevas prohibiciones deben estar en esa formación: quien genera imágenes, vídeo o audio debe saber qué está prohibido.

El artículo 26, las obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo. Ningún punto del Reglamento 2026/1744 lo modifica. Los responsables del despliegue usan el sistema conforme a las instrucciones de uso, encomiendan la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (artículo 26, apartado 2), vigilan el sistema, conservan los archivos de registro bajo su control durante al menos seis meses (artículo 26, apartado 6) e informan a los trabajadores antes de usar un sistema de alto riesgo en el lugar de trabajo. Solo se movió la fecha de inicio, a través del artículo 113.

Las obligaciones de transparencia del artículo 50. Solo se sustituyó el artículo 50, apartado 7, sobre códigos de buenas prácticas. La divulgación de ultrasuplantaciones del apartado 4 y la obligación de marcado del apartado 2 dicen lo mismo que antes.

Las prácticas prohibidas originales del artículo 5, apartado 1, letras a) a h), aplicables desde el 2 de febrero de 2025, las definiciones de responsable del despliegue (artículo 3, punto 4) y de alfabetización en materia de IA (artículo 3, punto 56), la lista de usos de alto riesgo del anexo III y el límite de las multas por prácticas prohibidas del artículo 99, apartado 3.

Cómo se aplican estas obligaciones a una empresa que usa LLM se explica en la página sobre las obligaciones del Reglamento de IA para empresas.

Las nuevas prohibiciones se aplican desde el 2 de diciembre de 2026. Estos pasos encajan en los documentos que la mayoría de las empresas ya mantiene.

Las normas de uso son más fáciles de mantener cuando el acceso a los modelos pasa por un solo punto. Standard Compute es una forma de hacerlo para API de modelos, Claude Code y Claude Desktop: cada persona y cada aplicación recibe su propia clave, todo bajo una sola cuenta de empresa. Decida qué modelos puede usar cada clave, para que cada aplicación y cada miembro del equipo obtenga exactamente los modelos que usted aprueba.

Elija exactamente qué proveedores de inferencia pueden tratar sus datos, para toda la empresa, un equipo o una sola clave. Cada cambio de administración queda registrado con el valor anterior y el posterior, de modo que el registro de quién podía usar qué modelo está junto a su política.

Estos controles deciden qué modelos y proveedores se pueden usar. No revisan prompts ni salidas, y no hacen lícito ningún uso.