Editada en papel en julio de 2026, la obra "Inteligencia artificial, privacidad y protección de datos", de la serie CLAVES PRÁCTICAS de Lefebvre, es una guía para abogados, delegados de protección de datos (DPO), compliance officers, auditores y empresas, en general, que tiene como objetivo facilitar la adaptación al nuevo marco regulatorio europeo sobre IA y protección de datos. En este sentido, los profesionales han de tener en cuenta que al Reglamento (UE) 2024/1689 se ha sumado otro este año, el número 2026/1744, denominado 'Ómnibus Digital sobre IA' y que, sin sustituirlo, matiza las reglas que se establecieron en 2024.
El porqué del Ómnibus digital sobre IA
Esta norma es, según la define el DOUE, el Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial (Ómnibus digital sobre IA).
Se trata, por tanto, de una modificación parcial del marco jurídico ya existente, es decir, del RIA 2024/1689. Los legisladores europeos han visto la necesidad de diseñar medidas adicionales que faciliten y aclaren su aplicación y cumplimiento.
De este modo, el Ómnibus cambia algunos aspectos del Reglamento inicial para que la adaptación sea óptima, "con vistas a la aplicación efectiva, sencilla y uniforme de las normas pertinentes", como reza el texto legal.
Las 7 principales modificaciones del Ómnibus en 2026
1. Sistemas de alto riesgo: aplazamiento
La fecha del 2 de agosto de 2026 ya no es válida; la aplicación de las normas para los diferentes sistemas de IA de alto riesgo se retrasa de la siguiente manera:
2 de diciembre de 2027, para inteligencia artificial en el empleo, educación, migración, infraestructuras críticas, servicios esenciales y biometría, sobre todo.
2 de agosto de 2028, para otros sistemas de alto riesgo vinculados a la seguridad, como maquinaria o productos sanitarios.
2. Nuevas prácticas de IA prohibidas
Ahora queda terminantemente prohibido generar o manipular imágenes, vídeos o audios referidos a las partes íntimas de una persona identificable sin su consentimiento, como hacen las llamadas "nudifier apps". Dichas aplicaciones pueden alterar fotografías de personas vestidas dando como resultado una representación falsa de ellas (desnudas o semidesnudas).
Asimismo, se prohíbe la creación de material de abuso sexual infantil con inteligencia artificial.
El considerando nº. 11 resalta que "el material íntimo no consentido constituye violencia y abuso sexual contra las personas, en particular las mujeres", añadiendo que "el material de abusos sexuales de menores [...] constituye una grave amenaza para la seguridad y los derechos fundamentales" de estos.
3. Sobre la alfabetización en materia de IA
El artículo 4 del RIA original se reemplaza por el siguiente texto: "los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal".
Además, las organizaciones, y en especial las pymes, contarán con apoyo institucional a la hora de realizar este esfuerzo, lo que incluye oportunidades de formación, recursos informativos e intercambio de buenas prácticas, entre otras iniciativas.
4. El concepto de «componente de seguridad»
Otra novedad radica en la redefinición de este término, que no estaba claro en el primer Reglamento. La clave es la función de seguridad: solo existirá «componente de seguridad» si el fabricante o proveedor ha diseñado la IA con la meta explícita de prevenir o reducir riesgos para la salud, la vida o los bienes materiales (por ejemplo, un sistema de frenado automático de emergencia).
En consecuencia, solo será indispensable el cumplimiento estricto de las reglas de alto riesgo en las tecnologías de inteligencia artificial concebidas expresamente para proteger la integridad de las personas.
5. La excepción en la protección de datos
Se permite a los proveedores y responsables de despliegue de sistemas, "con carácter excepcional y cuando sea estrictamente necesario", el tratamiento de categorías especiales de datos personales para el único fin de la detección y corrección de sesgos.
Esta excepción se aplica, ante todo, a los desarrolladores de IA's de alto riesgo.
6. Minimización de las cargas administrativas
Se aprueba una solicitud única, y un procedimiento de evaluación unificado, para los nuevos organismos que evalúen la conformidad de los productos de alto riesgo. Y, en paralelo, se extiende a todas las pymes que los desarrollen la posibilidad de cumplir de manera simplificada con la obligación de establecer un sistema de gestión de la calidad.
Las inteligencias artificiales que no son de alto riesgo no requieren la intervención de organismos notificados ni pasar por estos procedimientos formales de evaluación de la conformidad.
7. Más facilidades para el registro y las pruebas reales
Si una IA encaja en las excepciones para no ser considerada de alto riesgo, registrarla en la base de datos europea será mucho más sencillo.
Además, en lo que respecta a las pruebas (sandboxes), se potencian estos entornos -también si la calificación es de alto riesgo-; incluso, se prevé que la Oficina Europea de IA cree un sandbox a nivel global con acceso prioritario para pymes y startups.
"Inteligencia artificial, privacidad y protección de datos"
El libro con este nombre, lanzado por la compañía Lefebvre y que puedes adquirir online aquí, no solo detalla más ampliamente el nuevo Reglamento (UE) 2026/1744 que acabamos de repasar en este artículo, sino que, gracias a estar diseñado en formato Memento, permite resolver de forma rápida las principales cuestiones que surgen en auditorías -y proyectos de cumplimiento- relacionados con la IA y la privacidad.
En concreto, expone paso a paso cómo realizar auditorías de cumplimiento, evaluaciones de impacto (EIPD y FRIA), análisis de riesgos, gestión documental y cumplimiento normativo. Todo ello mediante tablas, checklists, modelos y formularios listos para utilizar.
Analiza, de hecho, todo el ciclo de cumplimiento normativo:
Identificación de un sistema de IA
Régimen sancionador
Aplicaciones específicas para sectores como sanidad, banca, recursos humanos, biometría, administraciones públicas, menores, IA generativa, marketing y publicidad.
Incluye, además, los criterios más recientes del Comité Europeo de Protección de Datos (CEPD) y de la AEPD.
¿Qué contenidos recoge la obra? Sumario
Por último, en la siguiente tabla resumimos el sumario de este nuevo volumen de la serie CLAVES PRÁCTICAS de Lefebvre, para que puedas comprobar, de una ojeada, cómo te puede ayudar a aplicar conjuntamente la normativa de protección de datos y de inteligencia artificial con seguridad jurídica.
Área | Aspectos clave que cubre |
|---|---|
Marco normativo y conceptual | Definición legal de sistema de IA, tratamiento de datos personales y articulación entre el Reglamento de IA (RIA) y el RGPD. |
Configuración jurídica y principios | Asignación de responsabilidades, bases legítimas, categorías de datos, principio de limitación de finalidad y deberes de transparencia. |
Evaluación de riesgos e impacto | Clasificación de riesgos del RIA, evaluaciones de impacto en protección de datos (EIPD) y derechos fundamentales (FRIA), y control de decisiones automatizadas/perfilado. |
Obligaciones operativas | Registro de actividades (RAT), privacidad desde el diseño y por defecto, seguridad técnica, figura del DPO, códigos de conducta y certificaciones. |
Derechos, proveedores y sanciones | Garantía de derechos del interesado, gestión de encargados del tratamiento, transferencias internacionales y régimen sancionador de privacidad e IA. |
Casos sectoriales | Aplicaciones en salud, finanzas, ámbito laboral, biometría, sector público, menores, IA generativa (GPAI y derechos de autor) y marketing. |
Recursos prácticos | Formularios, modelos editables y plantillas de cumplimiento para la implementación práctica. |
