El Parlamento Europeo apoya retrasar las normas de IA de alto riesgo hasta 2028 y propone recortes al RGPD que alarman a grupos de privacidad

El Parlamento Europeo votó 569-45 el 26 de marzo para adoptar una posición negociadora sobre el Digital Omnibus — un paquete legislativo de amplio alcance que retrasaría la aplicación de las disposiciones de alto riesgo de la Ley de IA de la UE desde agosto de 2026 hasta, como muy tarde, agosto de 2028. Las negociaciones de trílogo con el Consejo y la Comisión están programadas para el 28 de abril. El retraso parece prácticamente seguro.

El voto refleja dos años de presión por parte de grupos industriales europeos que argumentan que los requisitos de cumplimiento para sistemas de alto riesgo — evaluaciones de conformidad obligatorias, sistemas de gestión de riesgos, obligaciones de supervisión humana y documentación técnica — no pueden cumplirse en el plazo actual porque las normas armonizadas de las que depende la ley aún no están finalizadas. Ese argumento es técnicamente correcto: los organismos de normalización europeos CEN y CENELEC van con retraso, y las empresas no pueden demostrar conformidad con normas que todavía no existen.

Sin embargo, el voto también relaja el RGPD de forma paralela al retraso en la Ley de IA. La propuesta Digital Omnibus incluye enmiendas que reducirían ciertas obligaciones de minimización de datos y ampliarían la base jurídica para el tratamiento de datos personales con fines de entrenamiento de IA. El efecto práctico es que las empresas europeas — y las extranjeras que operan en Europa — encontrarían menos obstáculos para entrenar modelos con datos personales ya recopilados. Amnistía Internacional, EDRi y una coalición de organizaciones de la sociedad civil lo han calificado de “recorte silencioso del RGPD” enterrado dentro de un paquete de competitividad.

Para los desarrolladores y empresas de IA que operan en Europa, el retraso aporta margen de maniobra real. Los sistemas que debían estar en cumplimiento en agosto de 2026 ahora tienen hasta 2027 o 2028 dependiendo de qué obligaciones les apliquen. Las categorías afectadas incluyen IA utilizada en decisiones de empleo, puntuación crediticia, identificación biométrica, gestión de infraestructuras críticas y aplicación de la ley — no los modelos de IA de uso general, que quedan bajo obligaciones de transparencia más ligeras que ya están en vigor.

El retraso no afecta a las disposiciones de la Ley de IA que ya están activas. La prohibición de los sistemas de puntuación social y la vigilancia biométrica remota en tiempo real en espacios públicos entró en vigor en febrero de 2025 y el Digital Omnibus no la modifica. Las obligaciones para los modelos de IA de uso general — divulgaciones, evaluaciones de seguridad, transparencia sobre derechos de autor — también se mantienen en el calendario original.

El trílogo del 28 de abril determinará el calendario definitivo. Dado el voto aplastante del Parlamento y el propio apoyo de la Comisión al retraso, el resultado no está en duda. Lo que permanece incierto es cuánto de la modificación del RGPD sobrevive al proceso — esa batalla definirá el techo regulatorio para las prácticas de datos de IA en Europa durante el resto de la década.

La Ley de IA debía ser la primera ley de IA integral del mundo. Todavía lo es. Pero “integral” y “aplicada en el plazo previsto” están resultando ser cosas distintas.