Etiqueta: seguridad

1. Introducción: un nuevo terreno de juego para la IA empresarial.

Hoy no es un día más en el calendario regulatorio europeo. La entrada en vigor del Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, reordena de forma inmediata el mapa de obligaciones que afecta a cualquier empresa que desarrolle, integre o utilice inteligencia artificial en Europa. A partir de hoy, se aplazan determinadas exigencias de alto riesgo del AI Act, se refuerzan competencias institucionales, se introducen nuevas prácticas prohibidas y se confirma que las obligaciones de transparencia del artículo 50 entran en vigor el 2 de agosto de 2026.

La relevancia no reside solo en el Ómnibus sino en la sucesión acelerada de normas, guías y desarrollos institucionales que están convergiendo en las últimas semanas: las directrices europeas sobre transparencia de contenido generado con IA, el Code of Practice, la futura Ley española para el buen uso y la gobernanza de la IA con AESIA como autoridad de referencia, la activación del deber de alfabetización del artículo 4, la actualización del régimen de prácticas prohibidas del artículo 5 y, en paralelo, la prórroga del denominado “Chat Control 1.0” mientras sigue abierta la discusión sobre un eventual marco estructural más intrusivo.

Desde mi visión y experiencia como jurista legaltech he preparado este dossier para que las empresas puedan ordenar ese nuevo escenario, entender qué cambia hoy, qué obligaciones exigen decisiones inmediatas, cómo se traducen en reputación y marca, y qué pasos deben priorizarse para estar en la parte visible del cumplimiento, no sólo en la parte mínima del riesgo.

2. Ómnibus digital: cómo reordena el AI Act.

El Reglamento (UE) 2026/1744 se publicó en el DOUE el 24 de julio y entra en vigor el 27 de julio de 2026. No es un nuevo reglamento de IA, sino una reforma del AI Act y de otros instrumentos sectoriales. Sus objetivos son:

• Reordenar el calendario de las obligaciones de alto riesgo para dar más margen a empresas y administraciones.
• Refinar la gobernanza del AI Act, clarificando el papel de la AI Office y de las autoridades nacionales de vigilancia de mercado.
• Evitar solapamientos con normas de producto ya existentes (maquinaria, dispositivos médicos, aviación, etc.).

El Ómnibus no rebaja el nivel de exigencia; lo hace más aplicable y predecible.

3 . Calendario tras el Ómnibus: transparencia ahora, alto riesgo después.

Tras el Ómnibus, las fechas clave pueden sintetizarse así:

• 2 de agosto de 2026
  • Se activan las obligaciones de transparencia del artículo 50 y el régimen para sistemas de riesgo limitado.
  • No hay moratoria para chatbots, avisos de interacción, etiquetado de deepfakes, textos de interés público y avisos sobre biometría/emociones.
• 2 de diciembre de 2026
  • Fecha límite para que los sistemas generativos ya en el mercado antes del 2 de agosto adapten su marcado técnico conforme al artículo 50.2 (watermarks, metadatos legibles por máquina).
• 2 de diciembre de 2027
  • Se desplazan aquí las obligaciones para sistemas de alto riesgo autónomos (anexo III: HR, educación, servicios esenciales, etc.).
• 2 de agosto de 2028
  • Entran en vigor plenamente las obligaciones para sistemas de alto riesgo integrados en productos regulados (anexo I: dispositivos médicos, maquinaria, vehículos).

En resumen: 2026 es el año de la transparencia y alfabetización, mientras que 2027–2028 concentran el despliegue del alto riesgo.

4. Cambios horizontales introducidos por el Ómnibus digital: transparencia, alfabetización y prácticas prohibidas.

El Ómnibus digital no solo mueve fechas de alto riesgo: también consolida un núcleo de obligaciones horizontales que afectan a casi cualquier empresa que use IA generativa o interactiva. Ese núcleo se articula alrededor de tres piezas del AI Act: artículo 50 (transparencia), artículo 4 (alfabetización) y artículo 5 (prácticas prohibidas).

4.1. Transparencia del artículo 50: qué entra en agosto y qué se desplaza a diciembre

El artículo 50 se dirige a situaciones concretas en las que la IA afecta a cómo las personas perciben interacción o contenido. Obliga a:

• Informar de interacción con IA
  Cuando una persona interactúa con un chatbot o sistema de IA (web, app, servicios), salvo que sea obvio.

• Marcar técnicamente contenidos sintéticos
  Audio, imagen, vídeo y texto generados o manipulados con IA en determinados contextos deben llevar marcas técnicas legibles por máquina (watermarks, metadatos).
• Advertir sobre reconocimiento de emociones y biometría
  Informar cuando se usan técnicas de reconocimiento de emociones o categorización biométrica, en tiempo real o análisis posterior.
• Etiquetar deepfakes y textos de interés público
  Identificar claramente contenidos que puedan confundirse con material real (deepfakes) y textos generados con IA sobre asuntos de interés público.

El Ómnibus no aplaza estas obligaciones: son exigibles desde el 2 de agosto de 2026 para proveedores y empresas usuarias.

En cuanto a calendario y transición:

• Sin retroactividad: no hay obligación de etiquetar retroactivamente contenidos generados antes del 2 de agosto, aunque la Comisión anima a hacerlo cuando sea posible.
• Periodo transitorio de marcado técnico: el margen hasta el 2 de diciembre de 2026 se limita al marcado técnico de salidas de sistemas generativos ya en el mercado antes de agosto; el resto de obligaciones de transparencia aplica desde el 2 de agosto sin moratoria.

4.2. Obligaciones prácticas para proveedores y empresas usuarias

Proveedores (quien desarrolla o comercializa sistemas de IA) deben:

• Diseñar sistemas que permitan avisos claros de interacción con IA desde la primera interacción.
• Incorporar marcas técnicas legibles por máquina en las salidas sintéticas.
• Ajustar estos mecanismos antes de diciembre de 2026 para sistemas generativos preexistentes, sin detener la adaptación.

Empresas usuarias (deployers) que despliegan IA en su actividad —aunque usen modelos de terceros— deben:

• Informar cuando las personas interactúan con IA (chatbots, asistentes, avatares).]
• Avisar sobre el uso de reconocimiento de emociones/biometría, explicando su finalidad.
• Etiquetar deepfakes con avisos y rótulos visibles, no sólo técnicos.
• Identificar textos generados o manipulados con IA sobre asuntos de interés público, salvo revisión humana sustantiva y responsabilidad editorial clara.

La excepción editorial permite no etiquetar textos generados con IA si han pasado por una revisión humana sustantiva con control editorial real y alguien asume responsabilidad explícita; no basta una mera corrección ortográfica.

4.3. Deber de alfabetización en IA (artículo 4): la otra pieza horizontal

El Ómnibus refuerza el enfoque del AI Act como marco de gobernanza, donde el artículo 4 sobre alfabetización en IA se convierte en la otra obligación horizontal relevante para empresas.

Este artículo exige que proveedores y deployers:

• Tomen medidas para garantizar un nivel suficiente de conocimiento y comprensión en IA entre su personal y otras personas que operan o utilizan sistemas de IA en su nombre.
• Adapten esas medidas al tipo de sistema, contexto de uso y perfil de usuarios (desarrolladores, comerciales, soporte, etc.).

En la práctica, esto significa:

• Inventariar sistemas de IA y personas que los manejan.
• Implantar programas de formación interna sobre qué es IA, cómo funciona, riesgos, obligaciones y buenas prácticas.
• Documentar estas acciones como parte del programa de cumplimiento, de cara a futuras verificaciones de AESIA y otras autoridades de vigilancia de mercado.

4.4. Refuerzo del artículo 5: nuevas prácticas prohibidas a partir de diciembre

Finalmente, el Ómnibus introduce un cambio de fondo en el artículo 5 del AI Act, añadiendo dos nuevas prácticas prohibidas con aplicación desde el 2 de diciembre de 2026.

Quedarán prohibidos los sistemas de IA que:

• Generen o manipulen contenido íntimo o sexual no consentido de personas identificables (imágenes, vídeo, audio realistas): deepfakes sexuales, herramientas de “nudificación”, etc.
• Generen o manipulen material de abuso sexual infantil o contenido equiparable, incluyendo herramientas diseñadas para ese fin o comercializadas sin salvaguardas razonables para evitar ese resultado.

La novedad jurídica es que no sólo se prohíben los sistemas creados explícitamente para esos fines, sino también aquellos que se ponen en el mercado sin medidas de seguridad razonables para impedir ese uso ilícito.

En términos prácticos, de aquí a diciembre de 2026 las empresas deberán revisar:

• Herramientas de generación de imagen, vídeo y audio que puedan ser utilizadas para “nudificación” o deepfakes sexuales.
• Casos de uso de marketing, formación, entretenimiento o personalización audiovisual que representen personas reales.
• Contratos con proveedores de modelos fundacionales y APIs, incluyendo cláusulas sobre usos prohibidos y salvaguardas.
• Mecanismos de moderación, filtros y bloqueos que eviten activamente ese tipo de outputs.

Así, diciembre de 2026 deja de ser sólo una fecha de cierre técnico del marcado: se convierte en un hito de cierre regulatorio duro para determinados usos generativos especialmente sensibles.

5. Code of Practice y sello europeo de transparencia.

5.1. Función y contenido

El Code of Practice on Transparency of AI-Generated Content es un instrumento voluntario diseñado para apoyar el cumplimiento del artículo 50.

Traduce las obligaciones legales en prácticas concretas de etiquetado, marcado y comunicación.

• Ha sido avalado como herramienta adecuada por la Comisión y el AI Board, pendiente de evaluación formal de su “adecuación suficiente”.
• Introduce un conjunto de iconos comunes europeos y directrices visuales para identificar contenido generado o manipulado por IA.

5.2. Plazos y adhesión

• Las organizaciones que firmen antes del 27 de julio de 2026, 18:00 CEST aparecerán en la lista inicial de signatarios, publicada antes de la entrada en aplicación plena del artículo 50.]
• Es posible adherirse en cualquier momento posterior, pero sin la visibilidad de esa “primera ola”.

Para empresas con un volumen relevante de contenido sintético, la adhesión al código es una palanca reputacional y una forma ordenada de demostrar diligencia ante clientes y autoridades. Ya se han adherido grandes organizaciones como Microsoft, Adobe, Google, LinkedIn, etc.

6. España: futura Ley de IA, AESIA y delegado de IA

6.1. Objetivo y enfoque del proyecto de ley

El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA busca adaptar el ordenamiento español al AI Act, combinando supervisión humana con impulso a una innovación segura.

Sus puntos clave:

• Establecer una gobernanza nacional con autoridades notificantes y de vigilancia de mercado para distintos tipos de sistemas.
• Introducir un régimen sancionador específico en IA, con niveles de infracción y sanciones alineados con el AI Act (hasta 35 millones de euros o el 7% del volumen global para prácticas más graves).
• Reforzar supervisión humana y protección de derechos fundamentales, especialmente en ámbitos que afectan a menores y servicios públicos.

La ley está en fase parlamentaria; no es aún vigente, pero marca con claridad la dirección española.

6.2. AESIA: autoridad sancionadora y asimetría público-privado

El proyecto sitúa a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como autoridad central:

• AESIA será vigilancia de mercado principal para sistemas no ligados a productos regulados (empleo, biometría, educación, servicios digitales).
• Podrá abrir procedimientos sancionadores, exigir medidas correctoras, ordenar retirada o prohibición de uso de sistemas y publicar sanciones con comunicación a la Comisión Europea.
• Las sanciones económicas previstas se dirigen principalmente a empresas; la Administración pública queda sujeta a medidas no pecuniarias (apercibimientos, correcciones), lo que genera una asimetría criticada por parte de expertos y organizaciones de usuarios.

Para el sector privado, esto significa que el núcleo sancionador de IA en España apunta directamente a las empresas, con AESIA como interlocutor clave.

6.3. Delegado de IA y posible homólogo en empresas

La ley introduce la figura del delegado de IA en el sector público estatal:

• Coordina la identificación y registro de sistemas de IA utilizados por la Administración.
• Asesora en contratación y proyectos sobre clasificación de riesgo, supervisión humana, trazabilidad y transparencia.
• Actúa como punto de contacto interno y externo en materia de gobernanza de IA.

Aunque se dirige al sector público, esta figura anticipa lo que muchas empresas terminarán haciendo de facto: crear un rol de AI Governance Lead o AI Compliance Officer que:

• Inventariar y clasifique los sistemas de IA corporativos.
• Coordine Legal, Compliance, Tecnología, Negocio y RR. HH. en decisiones sobre IA.
• Diseñe políticas de supervisión humana, documentación de decisiones algorítmicas y gestión de reclamaciones, además de la relación con AESIA, AEPD y otros reguladores.

Para empresas que quieren diferenciarse en gobernanza responsable, replicar esta figura es una señal clara de compromiso

7. Escaneo de comunicaciones en la UE: controversia regulatoria y diferencias entre “Chat Control 1.0” y “Chat Control 2.0”

7.1. Por qué este debate importa a las empresas

Aunque “Chat Control” es un nombre coloquial y no el nombre formal de la norma, se ha consolidado como la etiqueta con la que se conoce en Europa el debate sobre el escaneo de comunicaciones privadas para detectar abuso sexual infantil en línea. Para empresas que operan servicios de mensajería, correo, cloud, plataformas colaborativas o entornos con contenido generado por usuarios, esta discusión es estratégica porque afecta a privacidad, arquitectura técnica, cifrado y confianza del usuario.

7.2. Qué es “Chat Control 1.0”

Lo que suele llamarse “Chat Control 1.0” es, en realidad, una derogación temporal del marco ePrivacy que permite a determinados prestadores detectar voluntariamente material de abuso sexual infantil en sus servicios. Sus rasgos principales son:

• Es un régimen temporal y excepcional, no un marco permanente.
• Permite el escaneo voluntario, no impone una obligación general de escanear todas las comunicaciones.
• Se ha prorrogado hasta el 3 de abril de 2028, precisamente para evitar un vacío mientras continúa la negociación de una regulación estructural.
• La gran controversia es que, aun siendo voluntario, normaliza la idea de que servicios privados pueden analizar comunicaciones personales en nombre de una finalidad legítima, abriendo un precedente delicado en materia de privacidad y secreto de las comunicaciones.

Desde una óptica empresarial, el punto crítico es reputacional: aunque una plataforma pueda acogerse legalmente a ese régimen, hacerlo o no hacerlo no es una decisión neutra ante usuarios, clientes corporativos o defensores de derechos digitales.

7.3. Qué se entiende por “Chat Control 2.0”

Bajo la expresión “Chat Control 2.0” se agrupan las propuestas para crear un régimen permanente y estructural de prevención y detección de abuso sexual infantil en línea. A diferencia del régimen temporal anterior, el objetivo aquí no es habilitar una excepción puntual, sino diseñar obligaciones regulatorias estables para plataformas y servicios digitales.

Las primeras versiones de esta propuesta fueron mucho más controvertidas porque contemplaban, de forma directa o indirecta, obligaciones de escaneo más amplias, con riesgo potencial de afectar incluso a servicios con cifrado de extremo a extremo. Esa posibilidad desencadenó una reacción intensa de organizaciones de privacidad, expertos en ciberseguridad y parte del sector tecnológico, al considerar que podría erosionar la seguridad de las comunicaciones y abrir la puerta a mecanismos equivalentes a una “puerta trasera”.

7.4. Diferencias clave entre 1.0 y 2.0

La diferencia esencial puede resumirse así:

• Chat Control 1.0: excepción temporal, voluntaria, pensada para permitir que ciertas plataformas sigan detectando contenido ilícito sin incumplir ePrivacy.
• Chat Control 2.0: intento de crear un marco permanente, más estructurado y potencialmente más intrusivo, con obligaciones de riesgo, detección y mitigación mucho más exigentes para los proveedores.

Desde el punto de vista de negocio, eso significa:

• El 1.0 afecta sobre todo a la política de moderación y a la decisión de acogerse o no a un escaneo voluntario.
• El 2.0 podría afectar al propio diseño del servicio, a la arquitectura de cifrado, a los procesos de verificación de edad, a los costes de compliance y a la forma en que la empresa comunica su compromiso con privacidad y seguridad.

7.5. Qué deberían vigilar ahora las empresas

Para empresas que gestionan comunicaciones o alojan contenido de usuarios, la recomendación jurídica y estratégica es clara:

• Seguir de cerca la evolución legislativa del futuro marco permanente.
• Evaluar el impacto potencial sobre cifrado, moderación de contenidos, retención de evidencias y políticas de privacidad.
• Preparar una posición corporativa coherente sobre el equilibrio entre protección de menores, privacidad, seguridad técnica y confianza del usuario.

El verdadero riesgo no está solo en la obligación jurídica futura, sino en llegar tarde a una discusión que ya está redefiniendo qué se espera de las plataformas en Europa.

Conclusión: posicionarse en la parte visible del cumplimiento

Desde la perspectiva de un senior legal advisor en LegalTech, el mensaje final es claro:

• El Ómnibus digital no “relaja” el AI Act; simplemente ordena los tiempos, situando transparencia y alfabetización en 2026 y alto riesgo en 2027–2028.
• El artículo 50 —junto con el Code of Practice— marca el nuevo mínimo reputacional en interacción, contenidos y comunicación: la transparencia deja de ser opcional.
• La futura Ley Orgánica española, la capacidad sancionadora de AESIA y la figura del delegado de IA anticipan un modelo donde la supervisión humana, la protección de derechos y la documentación serán tan importantes como la propia innovación.
• El debate sobre Chat Control demuestra que la discusión sobre seguridad y privacidad en comunicaciones no es teórica: impacta en confianza de usuarios, narrativa pública y posicionamiento de marca.
• Las empresas que integren desde hoy alfabetización en IA, transparencia, gobernanza interna (delegado o figura equivalente), extrema prudencia en usos sensibles (deepfakes sexuales, biometría, menores) y una estrategia clara frente a estos marcos serán las mejor situadas para competir en un entorno donde la confianza en la IA será un activo tan valioso como la tecnología que despliegan.