Ayer, 16 de junio de 2026, el Parlamento Europeo dio su aprobación final a la reforma del AI Act, el Reglamento europeo que regula la inteligencia artificial. La votación, con 423 votos a favor, 57 en contra y 174 abstenciones, cierra (casi) un proceso legislativo de meses que cambia de forma sustancial el calendario y algunas obligaciones del Reglamento de Inteligencia Artificial, sin tocar su arquitectura central basada en niveles de riesgo.
Si tu empresa trabaja con sistemas de inteligencia artificial, trata datos personales o simplemente quiere entender hacia dónde va la regulación europea de la IA, este cambio te afecta. Te explicamos qué se ha aprobado, por qué genera lecturas tan distintas, y qué deberías revisar internamente.
Qué ha votado el Parlamento Europeo sobre el AI Act
Lo aprobado el 16 de junio forma parte del llamado “Digital Omnibus“, el séptimo paquete de simplificación normativa que presentó la Comisión Europea el 19 de noviembre de 2025. Dentro de ese paquete, la pieza relativa al AI Act se tramitó por separado y con prioridad, precisamente porque las obligaciones para sistemas de alto riesgo tenían como fecha límite el 2 de agosto de 2026, un plazo que las propias instituciones europeas reconocían difícil de cumplir mientras las normas técnicas y herramientas de apoyo seguían sin terminar.
El recorrido ha sido el siguiente: el Consejo fijó su posición el 13 de marzo de 2026; el Parlamento aprobó su mandato negociador el 26 de marzo; ambas instituciones llegaron a un acuerdo provisional en trílogo el 7 de mayo; y, finalmente, el Parlamento ha dado su aprobación este 16 de junio. El último paso formal es la adopción por parte del Consejo, trámite que se espera resolver en las próximas semanas para que el texto entre en vigor antes del 2 de agosto.
Los cambios clave que introduce la reforma del AI Act
Nuevos plazos para los sistemas de IA de alto riesgo
El cambio con más impacto práctico es el aplazamiento de las obligaciones para los sistemas de IA de alto riesgo. Las exigencias para los sistemas de alto riesgo “independientes” (los listados directamente en el Reglamento, como los usados en biometría, infraestructuras críticas, educación, empleo, servicios esenciales o justicia) pasarán a aplicarse el 2 de diciembre de 2027. Para los sistemas de IA integrados como componentes de seguridad y sujetos a legislación sectorial de seguridad de producto, el plazo se traslada al 2 de agosto de 2028. También se retrasa hasta el 2 de diciembre de 2026 la obligación de marcar el contenido generado por IA de forma legible por máquina (watermarking).
Prohibición de aplicaciones “nudificadoras” y de contenido de abuso sexual infantil generado por IA
El AI Act incorpora una nueva práctica prohibida: no se podrán comercializar ni usar sistemas de IA que generen o manipulen imágenes, vídeos o audios de carácter íntimo o sexual de una persona identificable sin su consentimiento, ni sistemas que generen material de abuso sexual infantil. La prohibición afecta tanto a proveedores como a quienes despliegan estos sistemas, que tendrán hasta el 2 de diciembre de 2026 para adaptarse. Es un punto especialmente relevante para cualquier plataforma que permita contenido generado por usuarios.
Menos solapamiento con la normativa de maquinaria
Se elimina la duplicidad entre el AI Act y el reglamento de maquinaria: los productos de maquinaria con funciones de IA solo tendrán que cumplir la normativa sectorial de seguridad, siempre que se garantice un nivel equivalente de protección. También se aclara la definición de “componente de seguridad”, de forma que las funciones de IA puramente asistenciales u optimizadoras no caerán automáticamente en la categoría de alto riesgo si su fallo no compromete la salud o la seguridad.
Tratamiento de datos personales para detectar y corregir sesgos
Esta es la novedad que más interesa desde la óptica de protección de datos: se permite tratar datos personales, incluidos los de categorías especiales, cuando sea estrictamente necesario para detectar y corregir sesgos en sistemas de IA, tanto de alto riesgo como de riesgo no alto, siempre con garantías. Es una ampliación real del perímetro de tratamientos lícitos bajo el AI Act que tendrá que coordinarse con los principios y bases jurídicas del RGPD.
Más margen para pymes y empresas en crecimiento
Las exenciones pensadas para pymes se extienden ahora también a las “small mid-caps” (empresas medianas en crecimiento), y se centraliza parte de la supervisión de los modelos de IA de propósito general en la Oficina de IA de la UE, buscando una aplicación más uniforme en todo el mercado interior.
Una reforma con lecturas muy distintas
La votación del AI Act admite dos lecturas, y conviene conocer ambas. Para sus defensores, se trata de dar certidumbre jurídica y reducir la carga administrativa sin tocar el enfoque basado en riesgo del Reglamento, además de incorporar una prohibición con fuerte respaldo social como la de las apps nudificadoras.
Para organizaciones de la sociedad civil, en cambio, el resultado es más discutible: avisan de que ampliar el tratamiento de datos sensibles para corregir sesgos en todo tipo de sistemas, rebajar las exigencias de alfabetización en IA para proveedores y desplegadores, y reducir la información que los sistemas de alto riesgo deben publicar en el registro público de la UE, debilita garantías que el propio AI Act había establecido apenas un año antes de su aplicación efectiva.
Qué significa esto para tu empresa
Si tu organización está clasificando sistemas de IA según el AI Act, esta reforma no cambia el método de clasificación, pero sí el calendario: conviene revisar qué sistemas tenías marcados como de alto riesgo con vencimiento en agosto de 2026 y comprobar si entran en los nuevos plazos de 2027 o 2028. Tampoco es una excusa para relajar el trabajo ya hecho: la mayoría de obligaciones del Reglamento sigue aplicándose desde el 2 de agosto de 2026, y la prohibición de apps nudificadoras y CSAM entra en vigor antes de fin de año.
Además, si tu empresa trata datos personales para entrenar, ajustar o auditar sistemas de IA —algo cada vez más habitual—, la nueva base para tratar datos con el fin de detectar sesgos no sustituye al análisis RGPD: sigue siendo necesario justificar la base jurídica, documentar la evaluación de impacto cuando proceda, y coordinar esa actividad con tu Delegado de Protección de Datos. El AI Act y el RGPD avanzan en paralelo, no en sustitución uno del otro.
Próximos pasos
Antes de su entrada en vigor, el texto necesita la adopción formal del Consejo, un trámite que se espera resolver en las próximas semanas. Mientras tanto, el resto del calendario del AI Act sigue su curso: la mayoría de las obligaciones para sistemas de alto riesgo siguen teniendo como referencia el 2 de agosto de 2026, salvo las que esta reforma ha aplazado expresamente.
Cómo te ayuda Dataseg
En Dataseg llevamos meses acompañando a empresas en la clasificación y adecuación legal de sus sistemas de IA, ya sea como consultoría puntual o como Delegado de Protección de Datos externo. Si no tienes claro si alguno de tus sistemas de IA es de alto riesgo, si necesitas revisar la base jurídica para tratar datos en proyectos de IA, o simplemente quieres una segunda opinión, contacta con nosotros y lo revisamos juntos.