La UE Enmienda el Reglamento de IA: Plazos de Alto Riesgo Prorrogados a 2027–2028 y Nueva Prohibición de CSAM

El Reglamento de IA de la UE acaba de recibir su primera corrección significativa. El 7 de mayo de 2026, los negociadores del Consejo de la UE y el Parlamento Europeo alcanzaron un acuerdo provisional en el marco del paquete de simplificación «Omnibus VII» que amplía plazos clave de cumplimiento, extiende exenciones y añade una nueva prohibición que no figuraba en el texto original.

Los plazos se desplazan. El cambio más relevante: los sistemas de IA de alto riesgo que operan como software independiente tienen ahora como nueva fecha de aplicación el 2 de diciembre de 2027, frente a agosto de 2026. Son 16 meses adicionales para el segmento de productos de IA que genera mayor carga de cumplimiento normativo. La IA de alto riesgo integrada en productos físicos —dispositivos médicos, maquinaria, vehículos— obtiene aún más margen: hasta el 2 de agosto de 2028. Las empresas que invirtieron el último año construyendo marcos de cumplimiento para las fechas originales disponen ahora de margen, aunque esto también significa que las protecciones del reglamento se retrasan.

Las exenciones se amplían. El Reglamento de IA original limitaba varias exenciones regulatorias a las pequeñas y medianas empresas (pymes). El nuevo acuerdo extiende esas exenciones a las «pequeñas medianas empresas» (SMC en su sigla inglesa), compañías por encima del umbral pyme pero por debajo de un nuevo límite superior. El efecto práctico es que una franja más amplia de empresas puede diferir los marcos de cumplimiento completo y acceder a los sandbox regulatorios nacionales en condiciones más ligeras.

Los sandbox se posponen. Los sandbox regulatorios de IA a nivel nacional, concebidos para que las empresas puedan probar productos de IA bajo supervisión regulatoria antes del despliegue completo en el mercado, no tendrán que estar operativos hasta agosto de 2027 en lugar de la fecha original. Es un retraso que afecta principalmente a startups innovadoras —las empresas que más se beneficiarían de las protecciones de un sandbox.

El plazo de transparencia se adelanta. Un cambio va en sentido contrario: el período de gracia para el etiquetado de transparencia de contenido generado por IA se redujo de 6 a 3 meses, fijando el nuevo límite en el 2 de diciembre de 2026. Si tu producto genera audio, vídeo o imágenes sintéticas, la obligación de informar a los usuarios finales llega antes de lo previsto en el calendario original.

Nueva prohibición: CSAM generado por IA. Los colegisladores añadieron una prohibición completamente nueva, ausente en el texto original del Reglamento de IA: una prohibición expresa de los sistemas de IA utilizados para generar material de abuso sexual infantil (CSAM) y contenido sexual no consensuado. Esto cubre un vacío que los críticos señalaban desde la publicación inicial del reglamento.

El acuerdo aún requiere la ratificación formal por parte del Consejo y el Parlamento para convertirse en ley vinculante. Dada la naturaleza provisional del acuerdo, el riesgo de cambios adicionales en esa fase es limitado, aunque la votación no tiene todavía fecha fijada.

Para los equipos de producto: las prórrogas ofrecen un alivio real, pero el trabajo de cumplimiento ya iniciado no debería abandonarse. La dirección de fondo —requisitos exigentes para la IA de alto riesgo— no ha cambiado. Simplemente se han reiniciado los contadores.