Anthropic, en la Eurocámara: “Liberar algunos modelos de IA sería irresponsable”

Los eurodiputados alertan del riesgo de que la inteligencia artificial europea quede condicionada por decisiones políticas de Washington durante un encuentro con Anthropic

6 minutos

European Parliament

European Parliament

Añadir DEMÓCRATA en Google

Pregunta a FREN

Publicado

6 minutos

Más leídas

El debate sobre la autonomía tecnológica de la Unión Europea ha monopolizado buena parte del cierre del curso político en el Parlamento Europeo. La entrada en vigor progresiva de la Ley de Inteligencia Artificial (AI Act), la simplificación de parte de la legislación digital impulsada por la Comisión Europea y, especialmente, la decisión de la Administración estadounidense de restringir temporalmente el acceso internacional a algunos de los modelos de IA más avanzados han llevado a los eurodiputados a cerrar el semestre con un mensaje prácticamente unánime: Europa necesita reducir su dependencia tecnológica de terceros países.

Con ese telón de fondo, la última reunión antes del parón estival estuvo protagonizada por una comparecencia telemática de Donny Greenberg, representante técnico de Anthropic, una de las principales empresas estadounidenses dedicadas al desarrollo de inteligencia artificial avanzada. Lo que inicialmente iba a ser una sesión centrada en ciberseguridad terminó convirtiéndose en un intenso debate sobre soberanía tecnológica, seguridad estratégica y el papel geopolítico de la inteligencia artificial.

Una IA para detectar vulnerabilidades antes que los ciberdelincuentes

Durante su intervención, Greenberg presentó el Proyecto Glasswing, una iniciativa diseñada para ayudar a los denominados ciberdefensores a utilizar la inteligencia artificial para localizar y corregir vulnerabilidades de software antes de que puedan ser explotadas por actores maliciosos.

Según explicó, el objetivo consiste en anticiparse a los ataques mediante herramientas de IA capaces de detectar errores de programación con una velocidad y precisión muy superiores a las de los métodos tradicionales. La compañía aseguró que esta colaboración ya está dando resultados significativos y que, solo durante el primer mes de funcionamiento del proyecto, los socios participantes identificaron más de un millar de vulnerabilidades consideradas críticas en diferentes sistemas.

Greenberg recordó además que Anthropic está constituida jurídicamente como una Public Benefit Corporation, una figura empresarial estadounidense que obliga a la compañía a considerar el interés público junto al de sus accionistas. En este sentido, defendió que la prioridad de la empresa es garantizar una "transición segura hacia una inteligencia artificial transformadora", aplicando políticas de escalado responsable que vinculan el despliegue de nuevos modelos al cumplimiento previo de exigentes pruebas de seguridad.

Mythos Preview y el dilema de liberar modelos cada vez más potentes

Uno de los momentos más relevantes de la comparecencia llegó cuando Greenberg detalló las capacidades de Mythos Preview, uno de los modelos experimentales desarrollados por la empresa.

Aunque explicó que el sistema fue entrenado inicialmente para programación y razonamiento general, reconoció que su extraordinaria capacidad para comprender código fuente ha terminado convirtiéndolo en una herramienta especialmente eficaz para descubrir vulnerabilidades desconocidas.

Según expuso ante los eurodiputados, el modelo ha conseguido localizar miles de fallos inéditos en algunos de los principales sistemas operativos y navegadores utilizados en todo el mundo.

"Encontró un fallo de 27 años en OpenBSD, así como varios fallos en el kernel de Linux que fue capaz de encadenar para obtener el control de la máquina."

Precisamente este nivel de sofisticación llevó a Anthropic a concluir que publicar libremente el modelo habría sido una decisión irresponsable, ya que las mismas capacidades que permiten reforzar la ciberseguridad también podrían ser utilizadas para desarrollar ataques extremadamente sofisticados.

La tensión geopolítica entra de lleno en el debate europeo

Sin embargo, la dimensión técnica de la sesión quedó rápidamente eclipsada por la tensión geopolítica.

Varios eurodiputados aprovecharon la comparecencia para cuestionar el impacto que tuvo la decisión del Gobierno de Donald Trump, que restringió temporalmente el acceso internacional a los modelos más avanzados de Anthropic tras imponer controles de exportación sobre las tecnologías de inteligencia artificial de última generación.

La medida, aplicada entre el 12 de junio y el 1 de julio, impidió durante varias semanas que ciudadanos extranjeros pudieran acceder a modelos como Fable 5 y Mythos 5, reabriendo el debate sobre la dependencia europea respecto a infraestructuras tecnológicas controladas desde Estados Unidos.

Las preguntas reflejaron una preocupación compartida por numerosos grupos políticos: ¿puede Europa construir su transformación digital sobre tecnologías cuyo acceso depende de decisiones adoptadas en Washington?

Uno de los mensajes más contundentes llegó por parte del eurodiputado Dirk Koting, quien resumió el malestar existente con una frase que marcó buena parte del debate.

"Su noble misión de acompañar al mundo en la transición de la IA se ha convertido en una herramienta geopolítica y económica por intervención de la Casa Blanca."

La referencia al denominado "kill switch" —la posibilidad de que decisiones políticas externas pudieran dejar sin acceso a Europa a herramientas consideradas estratégicas— apareció de forma recurrente durante la sesión y volvió a situar la soberanía tecnológica en el centro del debate parlamentario.

Privacidad, uso militar y autonomía europea

Más allá del episodio con Estados Unidos, los parlamentarios también plantearon cuestiones sobre protección de datos, uso militar de la inteligencia artificial y autonomía estratégica.

Entre ellas, preguntaron directamente si las autoridades estadounidenses podrían acceder a información de ciudadanos europeos almacenada en los sistemas de Anthropic. Greenberg evitó ofrecer una respuesta categórica, aunque aseguró que los mecanismos internos de detección de usos indebidos están diseñados para proteger por igual a todos los usuarios.

También surgieron dudas sobre la posible utilización de modelos avanzados en sistemas militares. El eurodiputado español José Cepeda preguntó expresamente por los límites operativos de la denominada IA agéntica, es decir, aquella capaz de ejecutar acciones con un grado elevado de autonomía, especialmente en aplicaciones relacionadas con defensa.

Otro de los asuntos más repetidos fue la posibilidad de que Anthropic trasladara parte de su procesamiento de datos a territorio europeo o colaborara directamente con los Estados miembros para reforzar la capacidad tecnológica del continente, reduciendo así la dependencia de proveedores extracomunitarios.

Greenberg reconoció que las restricciones impuestas por Washington les hicieron ser "agudamente conscientes" de la creciente complejidad geopolítica que rodea al desarrollo de la inteligencia artificial. No obstante, defendió que la empresa colaboró con las autoridades estadounidenses para reforzar las salvaguardas de seguridad y restablecer cuanto antes el acceso internacional a sus modelos.

La Ley de IA entra en una nueva fase

La comparecencia concluyó con la intervención de Lucilla Sioli, directora de la Oficina de IA de la Comisión Europea, quien recordó que a partir del 2 de agosto comenzarán a aplicarse los nuevos poderes de ejecución previstos en la Ley de Inteligencia Artificial, permitiendo a Bruselas verificar de forma independiente las medidas de mitigación de riesgos adoptadas por las empresas que desarrollan modelos avanzados.

Antes de finalizar, Greenberg lanzó el que él mismo definió como el mensaje que deseaba que permaneciera en la memoria de los eurodiputados:

"Si hubiera un mensaje que desearía que se recordara de nuestra discusión de hoy, es que ahora es el momento de que las organizaciones fortalezcan su ciberresiliencia, recurriendo tanto a las mejores prácticas bien establecidas como a la experimentación novedosa y la colaboración industrial."

La frase resume el diagnóstico compartido durante buena parte de la sesión: las capacidades de la inteligencia artificial están transformando simultáneamente la ciberdefensa y la ciberofensiva, y la Unión Europea afronta el desafío de desarrollar un ecosistema propio que reduzca su vulnerabilidad estratégica sin renunciar a la cooperación internacional. La comparecencia de Anthropic, prevista inicialmente como una exposición técnica sobre ciberseguridad, terminó así convertida en un reflejo de uno de los grandes debates que marcarán la política tecnológica europea durante los próximos años.

Más claves, contexto y preguntas con FREN

CONTENIDO GENERADO CON IA

¿En qué estado parlamentario se encuentra la Ley de Inteligencia Artificial y cuáles son sus próximos pasos de implementación en la UE?

La llamada Ley Europea de Inteligencia Artificial (AI Act) ya ha completado su tramitación parlamentaria: fue aprobada por el Parlamento Europeo en marzo de 2024 y por el Consejo en mayo de 2024, y hoy está en fase de despliegue progresivo. El Reglamento entró en vigor el 1 de agosto de 2024 y la mayor parte de sus obligaciones será aplicable a partir del 2 de agosto de 2026, con calendarios más largos para ciertos sistemas de alto riesgo. En paralelo, las instituciones de la UE han acordado un Reglamento “ómnibus digital” que ajusta plazos y simplifica algunas exigencias, al que el Consejo ya ha dado luz verde definitiva. Los próximos pasos clave pasan por consolidar la gobernanza europea (AI Office y autoridades nacionales), aprobar códigos de conducta y normas técnicas armonizadas y adaptar el derecho interno de los Estados miembros.

Estado parlamentario y normativo del AI Act

El AI Act es un Reglamento de la UE, no una directiva ni una “ley nacional”, y por tanto su “estado parlamentario” se refiere al ciclo legislativo europeo, ya cerrado:

  • Aprobación política: acuerdo provisional entre Parlamento y Consejo el 8 de diciembre de 2023, según recoge la nota del Consejo.
  • Aprobación formal: el Consejo dio luz verde definitiva el 20 de mayo de 2024; el texto fue posteriormente firmado por los presidentes del Parlamento y del Consejo.
  • Publicación y entrada en vigor: el Reglamento se publicó en el Diario Oficial en julio de 2024 y, según la nota de la Comisión y la información del portal de Administración Electrónica, entró en vigor el 1 de agosto de 2024.

Desde el punto de vista legislativo, por tanto, el AI Act está aprobado y vigente; lo que está en curso ahora es su aplicación escalonada y la aprobación de normas de desarrollo y ajustes vía el Reglamento “ómnibus digital”. Este paquete de simplificación fue objeto de un acuerdo político en mayo de 2026, según la nota de la Comisión y la comunicación del Parlamento Europeo, y el Consejo le ha dado luz verde definitiva el 29 de junio de 2026 (referencia del Consejo).

Calendario de aplicación escalonada

El Reglamento sigue un enfoque basado en el riesgo, con aplicación por fases. A partir de la síntesis institucional y de la información reunida en distintas fuentes oficiales, la situación temporal es la siguiente:

  • Desde febrero de 2025 (6 meses tras la entrada en vigor): comienzan a aplicarse las prohibiciones sobre prácticas de “riesgo inaceptable” (puntuación social, manipulación conductual extrema, ciertos usos biométricos), tal y como resume la nota española.
  • Desde agosto de 2025 (12 meses): se aplican las normas específicas para modelos de IA de uso general (GPAI). La Comisión ha desarrollado un código de prácticas para IA de uso general que servirá de guía.
  • 2 de agosto de 2026: fecha clave en la que, según la Comisión, “la mayoría de las normas de la Ley de IA empezarán a aplicarse”, incluidas las obligaciones generales para muchos sistemas de alto riesgo.
  • 2 de diciembre de 2026: el paquete ómnibus reduce a tres meses el plazo para que los proveedores implanten soluciones de transparencia (marca de agua) en contenidos generados por IA, fijando esta fecha como límite, según la Eurocámara y la posterior decisión del Consejo. El periódico Demócrata concreta que las obligaciones de detección y etiquetado de contenido generado con IA entrarán en vigor en diciembre de este año (análisis sobre la nueva ley de IA).
  • 2 de diciembre de 2027: aplicación de varias obligaciones de alto riesgo para sistemas autónomos en sectores sensibles (educación, empleo, sanidad, fronteras, infraestructuras críticas), tras el ajuste de plazos recogido por Demócrata en piezas como “Los europeos acuerdan prohibir los deepfakes sexuales generados con IA” y “El Parlamento Europeo respalda vetar deepfakes sexuales…”.
  • 2 de agosto de 2028: entrada en vigor de obligaciones para sistemas de IA de alto riesgo integrados en productos regulados (por ejemplo, dispositivos médicos, maquinaria, ascensores o juguetes), también destacada por Demócrata en su análisis.

Próximos pasos de implementación en la UE y en los Estados miembros

Gobernanza institucional y autoridades competentes

Los Estados miembros tienen hasta el 2 de agosto de 2025 para designar sus autoridades nacionales de supervisión, que trabajarán coordinadas con la AI Office de la Comisión, según la “Entrada en vigor de la Ley de IA”. La Comisión ya ha activado la Junta Europea de IA y reuniones de coordinación para “garantizar una configuración sólida y oportuna del marco de gobernanza”, como recoge la nota sobre el inicio de los trabajos de implementación.

Normas técnicas, códigos de conducta y pactos voluntarios

La UE está impulsando instrumentos “blandos” para facilitar el cumplimiento:

  • El Pacto de IA, con más de cien empresas adheridas, adelanta voluntariamente obligaciones del AI Act antes de que sean exigibles, según la Comisión Europea.
  • Se han publicado códigos de buenas prácticas para modelos de propósito general y para el marcado y etiquetado de contenidos generados por IA, que, una vez validados por la AI Office y el Consejo de IA, servirán para demostrar cumplimiento a partir de agosto de 2026; así lo explica la información sectorial sobre el código de etiquetado.
  • Reguladores sectoriales nacionales, como ANACOM en Portugal, están sometiendo a consulta recomendaciones para aplicar el artículo 5 sobre prácticas prohibidas, con procedimientos organizativos para detectar y bloquear usos vetados (consulta de ANACOM).
Despliegue nacional: ejemplo de España

España está utilizando sandboxes y legislación propia para anticipar la aplicación. Según Demócrata, el Gobierno ha completado el primer sandbox regulatorio de IA de la UE, diseñado para producir guías prácticas de cumplimiento para sistemas de alto riesgo mientras se cierran los estándares técnicos definitivos (crónica del sandbox español). Además, el Ejecutivo ha sometido a consulta pública el paquete ómnibus europeo de IA para ajustar plazos y requisitos en el ordenamiento interno (información sobre la consulta).

En síntesis, el AI Act ya no está “en trámite” sino en fase de aplicación escalonada, reforzada y modulada por el nuevo ómnibus digital. El foco político y regulatorio en los próximos dos años estará en completar la arquitectura de supervisión, cerrar estándares armonizados y asegurar que empresas y administraciones se adaptan a tiempo a las obligaciones que se activan entre 2026 y 2028.

¿Cómo afecta el calendario del AI Act a una empresa que ya ofrece sistemas de IA de alto riesgo en la UE? ¿Qué papel tendrá exactamente la AI Office frente a las autoridades nacionales de cada Estado miembro? ¿Qué medidas específicas está preparando España para adaptar su legislación interna al AI Act y al ómnibus digital?

¿Cuáles son las competencias y atribuciones de la Oficina de IA de la Comisión Europea según la legislación vigente?

La Oficina de IA de la Comisión Europea es una unidad interna de la propia Comisión encargada de aplicar y hacer cumplir la Ley de Inteligencia Artificial (Reglamento (UE) 2024/1689), con competencias especialmente intensas sobre los modelos de propósito general (GPAI). No es una agencia independiente, sino una “función” de la Comisión que actúa como autoridad principal de supervisión de la IA a escala de la UE. Tiene potestades de información, investigación y propuesta de sanción sobre proveedores de modelos avanzados, coordina la gobernanza con los Estados miembros y elabora directrices, códigos de buenas prácticas y herramientas de evaluación técnica. La reciente reforma “ómnibus digital” ha reforzado su papel, dándole competencia exclusiva sobre determinados sistemas basados en modelos de propósito general e instrumentos adicionales de inspección y control.

Base jurídica y naturaleza de la Oficina de IA

Según el propio Reglamento de IA, la Oficina de IA es la función de la Comisión que contribuye a la gobernanza, implementación, seguimiento y supervisión de la IA, en particular de los modelos de propósito general. La Comisión la creó formalmente mediante una decisión interna (mencionada en las notas de prensa de la propia Comisión) y la situó dentro de sus servicios, con unos 140 empleados especializados (juristas, economistas, tecnólogos y responsables de políticas), según la nota “La Comisión crea una Oficina de IA” (nota de la Comisión) y su versión en castellano en el portal de la Administración española (resumen AE).

La Ley Europea de IA, en su explicación institucional, identifica a la Oficina de IA como el “principal organismo de aplicación” del Reglamento a escala de la UE y autoridad competente para las normas sobre modelos de uso general (entrada en vigor de la Ley de IA).

Funciones generales de gobernanza

De acuerdo con las notas oficiales y el propio Reglamento, sus grandes bloques de funciones son:

  • Aplicación y supervisión de la Ley de IA: garantiza una aplicación coherente del Reglamento en toda la UE, apoyando a los órganos de gobernanza nacionales y actuando directamente sobre modelos de IA de uso general.
  • Coordinación con Estados miembros y órganos de la UE: coopera estrechamente con el Comité Europeo de Inteligencia Artificial y con un Panel científico de expertos independientes, además de foros consultivos de industria, pymes, academia y sociedad civil (explicación de gobernanza).
  • Orientación y soft law: prepara directrices sobre definición de “sistema de IA”, prácticas prohibidas, obligaciones de transparencia (art. 50), y coordina la elaboración de códigos de buenas prácticas para modelos de uso general y contenido sintético (código de buenas prácticas, FAQs AESIA).
  • Impulso a la investigación y la innovación: a través de unidades específicas de excelencia en IA y robótica, innovación y “IA para el bien social”, vinculadas a iniciativas como GenAI4EU y a infraestructuras como fábricas de IA y centros de innovación digital (paquete de innovación).
  • Proyección internacional: debe garantizar un enfoque estratégico y coherente de la UE en los debates globales sobre IA fiable, actuando como punto de referencia internacional.

Competencias específicas sobre modelos de propósito general

La regulación otorga a la Oficina un papel central respecto de los modelos de propósito general (GPAI):

  • Autoridad principal de supervisión: la Ley de IA le atribuye la aplicación directa de las normas sobre modelos de IA de uso general, incluyendo la evaluación de riesgos sistémicos y la comprobación de medidas de mitigación (Ley de IA).
  • Facultades de investigación: puede solicitar información detallada a proveedores, coordinar pruebas y evaluaciones técnicas de modelos, y apoyarse en el Panel científico para análisis avanzados; estas potestades quedan reforzadas en el paquete de simplificación aprobado por el Consejo y el Parlamento (acuerdo provisional, luz verde definitiva).
  • Propuesta de sanciones: las notas de la Administración española subrayan que la unidad de Regulación y Cumplimiento “contribuirá a las investigaciones y posibles infracciones, gestionando las sanciones”, es decir, prepara y tramita expedientes sancionadores que luego resuelve la propia Comisión.

Refuerzos introducidos por el “ómnibus digital”

Las piezas periodísticas especializadas, como las de Demócrata, ayudan a entender cómo la legislación más reciente concreta y amplía estas competencias. Según el análisis “Qué cambia con la nueva ley de IA de la UE” (artículo Demócrata), el nuevo reglamento de simplificación:

  • Otorga a la Oficina de IA competencia exclusiva sobre sistemas de IA basados en modelos de propósito general cuando modelo y sistema pertenecen al mismo proveedor.
  • Centraliza la supervisión de la IA integrada en “plataformas en línea muy grandes” y “motores de búsqueda muy grandes” (VLOPs y VLOSEs), para evitar fragmentación normativa (claves del ómnibus digital).
  • Reconoce facultades ampliadas para realizar inspecciones presenciales, requerir información bajo amenaza de sanción e imponer compromisos vinculantes a las empresas supervisadas, según detalla el artículo “El Parlamento Europeo avalará el freno regulatorio en la IA” (análisis Demócrata).

Papel en ciberseguridad y evaluación de riesgos

El reciente Plan de Acción de la UE sobre ciberseguridad e IA vincula explícitamente una nueva “capacidad europea de evaluación de IA” a las funciones regulatorias de la Oficina de IA, reforzando la evaluación independiente de capacidades y riesgos de modelos avanzados (plan de acción en castellano, nota en inglés). Esto encaja con la unidad de “seguridad de la IA” descrita en la configuración interna de la Oficina.

Relación con autoridades nacionales y otros actores

La Oficina de IA actúa en red con autoridades nacionales como la AESIA española, que participa en sus grupos de trabajo y en la elaboración de directrices y códigos de buenas prácticas (consultas de la Comisión sobre transparencia y alto riesgo, FAQs AESIA). Además, algunos Estados (como Portugal o Países Bajos) documentan en sus portales oficiales el trabajo de la Oficina y de la Junta de IA, evidenciando su papel de coordinación técnica y normativa (informe anual de la Comisión, grupo de telecomunicaciones, informe de riesgos neerlandés, recomendaciones art. 5, alfabetización en IA, consulta transparencia, clasificación alto riesgo).

Otras referencias institucionales que contextualizan el marco, aunque no añaden competencias distintas a las ya descritas, son: ficha de la Oficina de IA, decisión de creación, resumen de responsabilidades, análisis académicos (gobernanza robusta), y valoraciones sobre su poder efectivo (enforcement del AI Act, quién gobierna la IA en la UE, análisis Lawfare).

Dentro del ecosistema regulatorio y político más amplio también resultan relevantes, aunque de forma indirecta, las piezas sobre sandbox europeos (sandbox español, sandbox en Demócrata), debates sobre soberanía digital y simplificación (soberanía digital), y guías divulgativas nacionales (guía de Valencia), que muestran cómo la Oficina de IA se inserta en una arquitectura regulatoria multiescalar.

Otros enlaces citados en las investigaciones de contexto, que no modifican las competencias descritas pero forman parte del entorno normativo y político en torno a la IA, son: ómnibus IA, reforma en el Parlamento Europeo, reto operativo de la IA, plan europeo de ciberseguridad, FAQ protección de datos, informe anual prohibiciones, directrices EUIPO, transformación de oficinas de PI, así como diversas piezas de Demócrata sobre política tecnológica y regulatoria europea (entrevista a Laura Ballarín, soberanía digital, Ley de Chips 2.0).

¿Podrías desglosar qué artículos concretos del Reglamento de IA recogen las potestades de investigación y sanción de la Oficina de IA? ¿Cómo se coordinarán en la práctica la Oficina de IA y autoridades nacionales como la AESIA en España? ¿Qué cambios introduce exactamente el “ómnibus digital” en la distribución de competencias entre la Oficina de IA y los Estados miembros?

¿Qué requisitos legales deben cumplir las empresas para desplegar modelos avanzados de inteligencia artificial en Europa?

Para desplegar modelos avanzados de inteligencia artificial en Europa en 2026, las empresas deben cumplir sobre todo el Reglamento de IA de la UE (AI Act), el RGPD, la Directiva NIS2 de ciberseguridad y las normas de derechos de autor y datos. El AI Act, en plena aplicación general a partir del 2 de agosto de 2026 según las notas de la Comisión y la Administración española (nota de la Comisión, resumen en español), introduce obligaciones específicas para modelos de propósito general y sistemas de alto riesgo. Paralelamente, el RGPD sigue exigiendo base jurídica, transparencia y evaluaciones de impacto, mientras que NIS2 impone gestión de riesgos y notificación de incidentes en sectores críticos, incluido el digital, como recuerda el periódico Demócrata (empresas, IA y ciberseguridad; laberinto de la Ley de Ciberseguridad). Además, se refuerzan las obligaciones de transparencia y remuneración por uso de obras protegidas en el entrenamiento, como reclama el Parlamento Europeo (resolución sobre derechos de autor).

1. AI Act: clasificación de riesgos y modelos avanzados

El AI Act sigue un enfoque estricto basado en el riesgo, confirmado por el Consejo y la Comisión (primeras normas globales; entrada en vigor). Las empresas deben:

  • Clasificar sus sistemas (riesgo mínimo, transparencia específica, alto riesgo o riesgo inaceptable). Los de riesgo inaceptable –manipulación de la conducta, “puntuación social”, ciertos usos biométricos– están prohibidos desde 2025, con guías específicas sobre prácticas vedadas (recomendaciones sobre el art. 5).
  • Para sistemas de alto riesgo (empleo, crédito, sanidad, justicia, migraciones…), implantar gestión de riesgos, calidad de datos, trazabilidad, documentación técnica, supervisión humana y ciberseguridad robusta, tal como describen las síntesis oficiales (nota de la Comisión; Consejo).
  • Registrar muchos de estos sistemas en la base de datos europea de IA de alto riesgo y realizar, en ciertos casos, evaluaciones de impacto en derechos fundamentales antes de desplegarlos en servicios públicos.

El paquete de simplificación aprobado en junio de 2026 retrasa parte de las obligaciones técnicas más pesadas: los sistemas de alto riesgo independientes pasan al 2 de diciembre de 2027 y los integrados en productos, al 2 de agosto de 2028 (nota del Consejo sobre el “Ómnibus”; análisis de Demócrata; aval del Parlamento Europeo). Pero las prohibiciones y muchas exigencias de transparencia se aplican ya en 2026.

Para los modelos de propósito general (GPAI) –como los grandes modelos generativos– las primeras obligaciones entran en vigor el 2 de agosto de 2025: transparencia sobre datos de entrenamiento y respeto de los derechos de autor (reglas sobre GPAI; resumen portugués). Los modelos existentes tienen hasta el 2 de agosto de 2027 para adaptarse; los más avanzados, con riesgos sistémicos, deben notificar a la Oficina de IA y aplicar medidas reforzadas de seguridad y evaluación previa, como subraya también el nuevo Plan de Acción de Ciberseguridad e IA (Plan de Acción de la UE; versión en inglés).

2. Transparencia, etiquetado y contenidos generados por IA

Desde finales de 2026, el AI Act obliga a que los contenidos generados o manipulados por IA (texto, imagen, audio, vídeo) estén claramente etiquetados y marcados en formato legible por máquina para facilitar su detección automatizada (explicación de categorías de riesgo; código de buenas prácticas de marcado). El nuevo reglamento “Ómnibus” reduce a tres meses el período de gracia para que los proveedores adapten las soluciones de transparencia, fijando el 2 de diciembre de 2026 como fecha clave (Consejo).

Además, la reforma impulsada en 2026 prohíbe expresamente los “deepfakes” sexuales y el material de abuso sexual infantil generado por IA, una línea que Demócrata ha seguido de cerca (prohibición de ‘deepfakes’ sexuales; veto de imágenes sexuales generadas por IA).

3. Protección de datos (RGPD) y guías complementarias

El RGPD sigue aplicándose íntegramente a cualquier modelo que trate datos personales: base jurídica (consentimiento, contrato, interés legítimo…), información clara a las personas afectadas, derechos de acceso, oposición y no sometimiento a decisiones automatizadas sin garantías, y evaluación de impacto cuando el riesgo es alto. Diversas guías nacionales y sectoriales –como las recogidas por autoridades de protección de datos y análisis jurídicos especializados (análisis sobre IA y RGPD; guía empresarial de CEIM)– insisten en que el principio de minimización y la seguridad de la información son centrales cuando se entrena o alimenta un modelo con datos personales.

La Comisión también está elaborando directrices detalladas sobre transparencia (artículo 50 del AI Act) y clasificación de alto riesgo, en cuya consulta ha participado activamente la Agencia Española de Supervisión de la IA (consulta de AESIA). En España, el primer “sandbox” regulatorio de IA se ha utilizado precisamente para traducir estas obligaciones a guías operativas para empresas, según destaca el Gobierno y el propio periódico Demócrata (nota del Plan de Recuperación; crónica del sandbox en Demócrata).

4. Ciberseguridad: NIS2 y planes europeos

Los proveedores de servicios digitales y muchas empresas que despliegan IA entran en el ámbito de la Directiva NIS2, que obliga a:

  • Implantar políticas documentadas de gestión de riesgos de seguridad en redes y sistemas, con controles técnicos y organizativos continuos.
  • Notificar incidentes graves a la autoridad competente en plazos breves, coordinándose con otros marcos (RGPD, DORA, eIDAS…), algo que la propia Comisión busca simplificar con puntos únicos de notificación, como detalla el paquete digital y el “Ómnibus” (claves del ómnibus digital).

El nuevo Plan de Acción sobre Ciberseguridad e IA subraya que los modelos avanzados deben ser evaluados en ciberseguridad antes de su comercialización y que, desde el 2 de agosto de 2026, el Código de buenas prácticas para IA de uso general servirá como referencia para los proveedores de modelos avanzados (plan en español; plan en inglés).

5. Derechos de autor, datos y responsabilidad

En materia de propiedad intelectual, el Parlamento Europeo exige que los sistemas de IA paguen por usar obras con derechos de autor y mantengan listas detalladas de las obras utilizadas para entrenar sus modelos, con posibles consecuencias jurídicas si no se aporta esa información (resolución parlamentaria). CEDRO ha criticado que algunas guías europeas no protegen suficientemente a los titulares (análisis de CEDRO), mientras la Comisión prepara una revisión más amplia del marco de derechos de autor, en línea con debates políticos recogidos por Demócrata (revisión impulsada por España).

En paralelo, se mantiene la responsabilidad por productos defectuosos y se avanza hacia una Directiva específica de responsabilidad en materia de IA, destinada a facilitar la prueba de culpa cuando un sistema cause daños, tal como resumen guías de cumplimiento empresarial (guía de cumplimiento 2026). La combinación de estas normas, junto con el RGPD y NIS2, refuerza la idea –muy presente en el debate jurídico europeo y español (“Sobre la justicIA”)– de que la responsabilidad última recae en quien desarrolla, despliega o utiliza la IA sin las debidas salvaguardas.

Para completar el panorama, pueden consultarse también los siguientes análisis y crónicas de Demócrata, que contextualizan políticamente estas obligaciones y su impacto en las empresas europeas y españolas: prioridades regulatorias 2026, plan europeo de ciberseguridad ante la IA, nuevo ómnibus digital, cambios en la ley de IA, freno regulatorio y calendario, posición de la industria digital y sandbox español de IA. También son útiles las síntesis del portal de Administración electrónica (normas globales, entrada en vigor) y del portal de estrategia digital europeo (marco regulatorio de IA).

Otras referencias de contexto y divulgación práctica incluyen: guía de cumplimiento del AI Act, claves empresariales 2026, límites a la IA, síntesis de la ley, exigencias de etiquetado, retraso de la alta riesgo, ficha del Parlamento Europeo, explicación audiovisual y análisis RGPD–IA.

Juega

¡Pon a prueba lo que sabes con FREN!

¿Cuánto sabes sobre este tema? Responde las siguientes 3 preguntas.

¿Cuál fue una de las principales preocupaciones expresadas por los eurodiputados durante la comparecencia de Anthropic en el Parlamento Europeo?

Pregunta 1 de 3

¿Qué logró el Proyecto Glasswing durante su primer mes de funcionamiento?

Pregunta 2 de 3

¿A partir de qué fecha comenzarán a aplicarse los nuevos poderes de ejecución de la Ley de Inteligencia Artificial en la UE?

Pregunta 3 de 3

Hola, soy Fren. ¿Cómo te ayudo?