El paquete Ómnibus VII es una de las piezas de la agenda de simplificación normativa de la UE, e incluye dos propuestas de reglamento orientadas a simplificar el marco normativo digital y a homogeneizar la aplicación del Reglamento (UE) 2024/1689 en materia de inteligencia artificial (“Reglamento de IA”).
Carlos Saiz, vicepresidente de ISMS Forum y responsable del Área de Risk & Compliance de Ecix Group, explica que uno de los primeros elementos destacables es la rapidez relativa con la que se ha alcanzado el acuerdo entre las instituciones europeas. No obstante, se muestra prudente respecto al efecto real de la ampliación de plazos. “La implantación de sistemas de IA por parte de todo tipo de entidades, públicas y privadas, está absolutamente acelerada. Será necesario comprobar la utilidad real de esta medida”.
Al mismo tiempo, Saiz confía en que la simplificación anunciada por el Ómnibus Digital “se traduzca en una simplificación efectiva de los procedimientos de cumplimiento. Habrá que comprobar si la norma resulta más clara y si su cumplimiento es más sencillo. En todo caso, esa simplificación no debería implicar una reducción de la protección de los derechos de los consumidores”.
Esta simplificación no debería implicar una reducción de la protección de los derechos de los consumidores
“En la implementación del Reglamento de IA existe una atención especial a los sistemas de alto riesgo, donde se concentran buena parte de las obligaciones. Las empresas deben crear sistemas de cumplimiento, inventariar sus sistemas de IA, realizar análisis de riesgos y establecer procedimientos internos. Es un trabajo relevante y exigente”.
Desde su punto de vista, las empresas también deben prestar atención a numerosos casos de uso que no están clasificados como de alto riesgo por el Reglamento de IA. “Aunque no estén incluidos en esa categoría, deben gestionarse adecuadamente porque pueden generar riesgos. Los supuestos de alto riesgo previstos en el Reglamento de IA operan como un mínimo. Europa tendrá que ampliar esos supuestos y, con esa ampliación, más casos podrán quedar encuadrados en sistemas de alto riesgo.
“En la actualidad, hay empresas que están implantando sistemas de IA que no son formalmente de alto riesgo, pero que pueden tener un impacto muy relevante en la organización si se produce un fallo”.
Modelo de gobernanza
En este contexto, empresas y organizaciones deberán definir su propio modelo de gobernanza. Las entidades deben determinar, según Saiz, si necesitan un CAIO, si el DPO debe asumir determinadas funciones o cuál debe ser el papel del CISO en materia de ciberseguridad.
En ese modelo de gobernanza deben valorarse cuestiones jurídicas, técnicas y de innovación. “No existe un modelo único de gobernanza y cada empresa debe definir el suyo en función de sus herramientas, su estructura interna y su perfil de riesgo. Desde ISMS Forum, tanto en el Libro Blanco del CISO como en el del DPO, hemos abordado expresamente esta cuestión”.
En este escenario, Carlos Saiz considera que la futura ley española de gobernanza de la IA desempeñará un papel relevante. Recuerda que dicha norma definirá autoridades de control con competencias sancionadoras.
“Estamos hablando de sanciones muy elevadas y de la intervención de distintas autoridades, como la Agencia Española de Protección de Datos u otros supervisores sectoriales. Será necesario observar cómo actúa cada autoridad de control en su ámbito competencial para exigir el cumplimiento de la normativa”.
A su juicio, este escenario favorecerá una comunicación más directa entre los reguladores y los sectores empresariales afectados, con el objetivo de facilitar una aplicación más eficaz de la norma. Se trata de un fenómeno muy reciente, en el que deben avanzar tanto los reguladores, al concretar cómo aplicar la norma, como las empresas, que necesitan guías y criterios claros de cumplimiento.
“Se trata de respetar las reglas del juego y el papel que corresponde a cada actor. Es fundamental el contacto entre reguladores y empresas a nivel sectorial. Todos estamos aprendiendo sobre IA y su impacto. Además, los asuntos de IA presentan un claro paralelismo con la ciberseguridad”.
Ciberseguridad e IA: una relación estructural
En esta coyuntura, se plantea una relación cada vez más estrecha entre ciberseguridad y herramientas de IA. “No podemos olvidar que estas herramientas pueden revelar, amplificar o introducir vulnerabilidades en todo tipo de sistemas. Por ello, la ciberseguridad está directamente vinculada con la IA, tanto para utilizarla en tareas de protección como para defenderse de ataques ejecutados mediante IA”.
“La iniciativa del Ómnibus Digital también aludía a la simplificación de determinadas cuestiones de ciberseguridad. Aunque no sea el eje de este primer paquete, sería fundamental avanzar en la simplificación de la notificación de brechas de seguridad”.
En la actualidad, este jurista recuerda que existen diversas normas que regulan la notificación de incidentes de seguridad o brechas, con obligaciones ante distintas autoridades de control, plazos diferentes, contenidos de notificación no siempre homogéneos y regímenes sancionadores diversos.
A su juicio, resulta necesario canalizar estas notificaciones de forma más unificada. En el Ómnibus Digital se plantea la existencia de un punto único de entrada para la notificación de brechas. No parece eficiente que un mismo incidente deba comunicarse simultáneamente a varias autoridades.
Por el momento, el Ómnibus Digital aplicado a la IA parece orientado principalmente a ampliar determinados plazos, más que a simplificar de forma sustantiva el cumplimiento. A juicio de este jurista, el régimen digital europeo es ambicioso y responde a objetivos legítimos: proteger los activos digitales, los datos personales y los mercados digitales.
“El problema es que estas normas no siempre presentan una coherencia suficiente entre sí. Ello dificulta no solo el cumplimiento, sino también la comprensión del marco aplicable. En sistemas complejos, entender cómo cumplir simultáneamente varios requisitos de distintas normas puede resultar especialmente exigente. Ese es el trabajo que Europa debe abordar”.
Buscar coherencia normativa
En su opinión, el reto es que la UE impulse una mayor coherencia normativa entre los tres pilares clave de la seguridad de las empresas: la ciberseguridad, la IA y los datos personales. Todos ellos están íntimamente vinculados y constituyen la base de la seguridad de cualquier organización.
“En la práctica, un mismo sistema, software o plataforma puede integrar IA, tratar datos y requerir protección frente a riesgos de ciberseguridad. Se trata de un mismo fenómeno tecnológico y operativo. Sin embargo, cuando le resultan aplicables varias normas con paquetes de obligaciones diferentes, la implantación de medidas se vuelve más compleja”.
Entender cómo cumplir simultáneamente varios requisitos de distintas normas puede resultar especialmente exigente
Para este experto, responder adecuadamente a este conjunto de obligaciones exige impulsar un sistema de cyber compliance. Es decir, un modelo de cumplimiento tecnológico o cibernético que aglutine todas estas normas y pueda gestionarse de forma integrada dentro de la empresa.
“Debe ser un sistema que facilite la incorporación de nuevos requisitos como NIS3 o CRA, así como el reto de nuevos fenómenos como la computación cuántica. Necesitamos un modelo suficientemente robusto para absorber estas novedades y, al mismo tiempo, escalable para integrar nuevos requisitos técnicos y normativos”.
Otro de los debates abiertos en ese escenario de cyber compliance es quién debe asumir su gestión. Carlos Saiz destaca que, junto con los elementos técnicos, existen componentes regulatorios que deben conocerse y coordinarse.
En este contexto, el delegado de protección de datos es una figura regulada; el CISO lo está en menor medida, aunque la normativa NIS2 refuerza su papel; y el CAIO podría quedar regulado en la futura ley de gobernanza, si bien principalmente en el ámbito público. “Habrá que analizar cómo lo gestiona cada empresa u organización, porque existen distintas opciones posibles”.
Por el momento, las empresas pueden apoyarse en órganos colegiados integrados por distintos profesionales que trabajen de forma coordinada. Ahora deberá observarse cuál será la evolución de la Ley de IA española tras su aprobación. Muchas empresas han apostado por un órgano colegiado, que permite a la organización contar con una visión más amplia y estructurar mejor el modelo de gobernanza, de momento.
“Existe el precedente del RGPD, que impulsó la creación de comités interdepartamentales en las empresas de manera inicial y posteriormente ya fijó una función específica en torno al papel del DPO. Con la IA, habrá que ver cómo se articula esa gestión desde una perspectiva tecnológica y regulatoria”.
Como conclusión, Carlos Saiz insiste en que la implementación del Ómnibus Digital en materia de IA deberá buscar un equilibrio adecuado entre simplificación, cumplimiento efectivo y respeto de los derechos fundamentales.
“No será sencillo, pero es necesario trabajar en esa dirección. Un buen modelo de gobernanza, el uso adecuado de herramientas de IA y un programa sólido de cyber compliance pueden ayudar a las empresas a crecer, ser más competitivas y ganar eficiencia. En última instancia, el crecimiento, la sostenibilidad y la eficiencia pasan por implantar sistemas de IA de forma responsable”.
Ómnibus Digital en materia de IA
A la espera de la publicación del texto definitivo aprobado, el Consejo ha dado a conocer las principales cuestiones que introducirá el Reglamento Ómnibus Digital en materia de IA:
- Aplazamiento de las normas sobre sistemas de inteligencia artificial de alto riesgo.
El cambio con mayor impacto práctico es el aplazamiento del régimen aplicable a los sistemas de IA de alto riesgo. Estas obligaciones debían empezar a aplicarse el 2 de agosto de 2026, una fecha que los agentes económicos observaban con preocupación ante la falta de estándares y guías técnicas suficientes.
Conforme a las nuevas fechas aprobadas, las normas serán aplicables el 2 de diciembre de 2027 para los sistemas de IA de alto riesgo autónomos —los del Anexo III— y el 2 de agosto de 2028 para los sistemas de IA de alto riesgo sujetos a la legislación armonizada de seguridad de productos recogida en el Anexo I. Este aplazamiento busca ofrecer mayor previsibilidad y margen de adaptación a operadores y autoridades. - Prohibición de contenidos sexuales e íntimos no consentidos y de material de abuso sexual infantil generado por IA.
La nueva norma incorpora al Reglamento de IA una disposición que prohíbe las prácticas de IA relativas a la generación de contenido sexual e íntimo no consentido, así como de material de abuso sexual infantil (CSAM, por sus siglas en inglés). Quedan vetados, en particular, los sistemas capaces de generar desnudos de personas reales o de alterar digitalmente fotografías existentes para mostrar partes íntimas.
Esta prohibición está prevista para entrar en vigor en diciembre de 2026, lo que la convierte en una de las medidas de aplicación más inmediata del paquete y refleja la voluntad de acompañar el avance tecnológico con garantías efectivas para la protección de los valores fundamentales. - Plazos en materia de espacios controlados de pruebas y transparencia.
El reglamento también ajusta otros plazos relevantes. Por un lado, pospone hasta el 2 de agosto de 2027 la fecha límite para que las autoridades nacionales competentes establezcan los espacios controlados de pruebas (regulatory sandboxes) en materia de IA.Por otro lado, reduce de seis a tres meses el periodo de gracia del que disponen los proveedores para implementar las soluciones de transparencia aplicables al contenido generado artificialmente, fijando la nueva fecha límite en el 2 de diciembre de 2026. - Competencias de la Oficina de IA.
En el plano institucional, el texto precisa el reparto de competencias. Confirma que la Oficina de IA supervisa los sistemas construidos sobre modelos de inteligencia artificial de uso general cuando el modelo y el sistema proceden de un mismo proveedor, pero reserva un espacio a las autoridades nacionales en ámbitos sensibles como la seguridad y el orden público, la gestión de fronteras, la Administración de Justicia o el sector financiero. - Articulación con la legislación sectorial.
Otra cuestión que abordada es la interacción entre las normas de IA y la legislación sectorial —en sectores como los productos sanitarios, los juguetes, los ascensores o las embarcaciones de recreo—, así como los posibles solapamientos entre los requisitos de alto riesgo del Reglamento de IA y los derivados de la legislación sectorial. Para evitar duplicidades, se habilita un mecanismo que, mediante actos de ejecución, permite limitar la aplicación del Reglamento de IA cuando la legislación sectorial ya imponga requisitos equivalentes en materia de IA.
Adicionalmente, los productos cubiertos por el Reglamento (UE) 2023/1230 de Máquinas quedan exentos de la aplicabilidad directa del Reglamento de IA: será la Comisión quien, mediante legislación secundaria del propio Reglamento de máquinas, incorpore los requisitos de salud y seguridad para los sistemas clasificados como de alto riesgo.
El crecimiento, la sostenibilidad y la eficiencia pasan por implantar sistemas de IA de forma responsable
Por último, se introduce una nueva obligación de la Comisión de proporcionar asesoramiento a los operadores económicos de sistemas de IA de alto riesgo cubiertos por la legislación sectorial armonizada, con el objetivo de facilitar el cumplimiento de los requisitos del Reglamento de IA minimizando la carga administrativa.
El acto legislativo está pendiente de publicación en el Diario Oficial de la Unión Europea y entrará en vigor el tercer día siguiente al de dicha publicación.
