Bruselas lanza un plan para blindar la ciberseguridad ante los riesgos de la inteligencia artificial

El Reglamento europeo de Inteligencia Artificial (AI Act) ya ha concluido totalmente su fase parlamentaria y está en vigor desde agosto de 2024, por lo que no quedan trámites legislativos pendientes en el Parlamento Europeo ni en el Consejo. La situación actual es una fase de aplicación escalonada, con algunas disposiciones ya aplicables (prohibiciones y modelos de propósito general) y otras a punto de activarse o diferidas a 2027–2028. Los principales pasos pendientes para su plena operatividad son la aprobación de estándares técnicos, la emisión de guías y actos de ejecución por la Comisión, la plena puesta en marcha de la Oficina Europea de IA y las autoridades nacionales, y el despliegue completo de las obligaciones para sistemas de alto riesgo y productos regulados.

1. Situación parlamentaria y entrada en vigor

Tras el acuerdo político de diciembre de 2023, el Consejo dio la luz verde definitiva al AI Act en mayo de 2024, según la nota del Consejo recogida por el portal de Administración Electrónica español en esta referencia. Posteriormente, el Reglamento se publicó en el Diario Oficial y entró en vigor el 1 de agosto de 2024, tal y como detalla la Comisión Europea en su comunicado “Entra en vigor la Ley Europea de Inteligencia Artificial” y el resumen del Gobierno español en “Entrada en vigor de la Ley Europea de Inteligencia Artificial”.

A partir de ese momento, el AI Act es derecho directamente aplicable en todos los Estados miembros. Desde el punto de vista procedimental, no hay ya “fase parlamentaria” abierta: el acto legislativo está cerrado y en vigor. Las únicas modificaciones posteriores se están tramitando mediante un reglamento de simplificación (“ómnibus digital sobre IA”), que también ha seguido el circuito ordinario y sobre el que ya existe acuerdo político, como explica el Parlamento Europeo en este comunicado. El Consejo ha dado la aprobación final a ese paquete de simplificación el 29 de junio de 2026, según su nota de prensa sobre racionalización de normas de IA.

2. Calendario de aplicación: qué está en vigor y qué falta

El AI Act prevé un despliegue por fases. De acuerdo con la Comisión (nota de agosto de 2024 y el resumen español en administracionelectronica.gob.es):

• Desde febrero de 2025: son aplicables las prohibiciones de sistemas de “riesgo inaceptable” (manipulación conductual extrema, puntuación social, determinados usos biométricos, etc.).
• Desde agosto de 2025: entran en vigor las normas para los modelos de IA de propósito general; ANACOM detalla la aplicación de estas obligaciones en este resumen.
• 2 de agosto de 2026: fecha de aplicación de la mayoría de las normas del Reglamento, en especial las obligaciones horizontales y buena parte del régimen de sistemas de alto riesgo.

El paquete de simplificación (“ómnibus digital”) ha ajustado los plazos de alto riesgo. El acuerdo entre Parlamento y Consejo, descrito en la nota del Parlamento Europeo y en la nota del Consejo de junio de 2026 ([enlace]), fija ahora:

• 2 de diciembre de 2026: plazo para implantar soluciones de transparencia y marca de agua en contenidos generados por IA.
• 2 de diciembre de 2027: entrada en aplicación de las obligaciones de sistemas de IA de alto riesgo autónomos en ámbitos críticos (biometría, infraestructuras críticas, empleo, educación, control fronterizo, etc.).
• 2 de agosto de 2028: aplicación para los sistemas de alto riesgo integrados como componentes de seguridad en productos sujetos a legislación sectorial (maquinaria, dispositivos médicos, juguetes, ascensores, embarcaciones, etc.).
• 2 de agosto de 2027: nueva fecha límite para que los Estados miembros hayan establecido entornos de pruebas regulatorios de IA (sandboxes) nacionales.

3. Trámites y pasos pendientes para la plena aplicación

3.1. A nivel de la UE

Quedan por completar diversos instrumentos de ejecución y apoyo:

• Actos de ejecución y directrices: la Comisión está elaborando guías y códigos de práctica para concretar la aplicación de la Ley, como se menciona en la nota española y en la comunicación de la Comisión sobre el arranque de la Junta de IA. Portugal recoge la publicación de directrices en estas orientaciones, así como el informe anual sobre prohibiciones y alto riesgo en [enlace].
• Estándares técnicos armonizados: normas de CEN/CENELEC, ETSI, etc., necesarias para demostrar conformidad en materia de gestión de riesgos, gobernanza, robustez o ciberseguridad.
• Gobernanza europea: plena operatividad de la Oficina Europea de IA y de la Junta de IA, ya anunciadas en la nota de la Comisión y en el resumen español [enlace]. El código de buenas prácticas para IA de uso general también se ha presentado en esta nota.

3.2. A nivel de los Estados miembros

Los países de la UE deben aún consolidar varios elementos:

• Designación de autoridades competentes: los Estados tienen hasta el 2 de agosto de 2025 para nombrar y dotar a sus supervisores nacionales, como recuerda la Comisión. España, por ejemplo, ha avanzado mediante la AESIA y el primer “sandbox” europeo, descrito por el Gobierno en este comunicado y por Demócrata en esta noticia.
• Sandboxes regulatorios: deben estar operativos a más tardar en agosto de 2027, plazo ampliado por el reglamento de simplificación según la nota del Consejo; Demócrata ha seguido el debate político sobre esta simplificación en artículos como “Así quiere la UE regular la IA” y “El Parlamento Europeo avalará el freno regulatorio en la IA”.
• Adaptación normativa nacional y sectorial: deben revisarse leyes de protección de datos, consumo, sanidad, seguridad de producto, etc., para alinearlas con el AI Act y con el ómnibus de simplificación; en España, por ejemplo, se está tramitando un proyecto de Ley Orgánica de gobernanza de la IA al que se alude en esta pieza y esta otra, además del análisis sectorial de Adigital y del debate más amplio sobre la hoja de ruta normativa en [enlace].

4. Otros recursos y contexto político

Para un seguimiento político y social más amplio sobre la IA y su regulación en España y la UE, el periódico Demócrata ofrece análisis y noticias como la cobertura del sandbox español ([enlace]), la consulta pública sobre el ómnibus europeo de IA ([enlace]), las prioridades regulatorias de las empresas ([enlace]), la posición de Ametic sobre el retraso de la regulación de alto riesgo ([enlace]) o la entrevista política sobre la reforma de la ley de IA ([enlace]).

Otras piezas del mismo medio ilustran cómo las instituciones españolas están adaptando internamente el uso de la IA, como las directrices del Senado ([enlace], [enlace], [enlace], [enlace], [enlace]) o la coordinación con parlamentos autonómicos ([enlace]). Estas publicaciones permiten entender cómo el marco europeo se traduce en prácticas concretas en el contexto español.

Finalmente, para un panorama aún más amplio de la regulación digital y de otros debates políticos y judiciales que marcan la agenda en España y la UE, pueden consultarse, entre otras, las piezas de Demócrata sobre el caso Kitchen ([enlace]), la presión regulatoria sobre TikTok y los chips de Nvidia ([enlace]), el papel de Von der Leyen en el mercado único ([enlace]) o la llegada del propio asistente Fren a ese medio ([enlace]), junto a noticias internacionales sobre Trump y Meloni ([enlace]) o su consejo científico-tecnológico ([enlace]), y la cobertura de la guerra en Irán y sus efectos en ciberseguridad y entidades críticas en España ([enlace]).

Como complemento, pueden consultarse también los recursos de otros organismos: la AEPD sobre neurodatos ([enlace]), el código de buenas prácticas de etiquetado de contenidos generados por IA ([enlace]), las recomendaciones de ANACOM sobre el artículo 5 del Reglamento ([enlace]) y otros análisis especializados ([enlace]).

La figura de la vicepresidenta ejecutiva para la Soberanía Tecnológica, la Seguridad y la Democracia en la Comisión Europea, actualmente Henna Virkkunen, concentra la dirección política de la agenda digital y de seguridad de la UE, y actúa como garante de que las nuevas tecnologías se desarrollen de forma compatible con la seguridad, el Estado de derecho y la calidad de la democracia. Su cartera combina competencias en tecnologías digitales y de vanguardia, ciberseguridad, regulación de las grandes plataformas, inteligencia artificial, semiconductores y protección de los procesos democráticos frente a injerencias y desinformación.

Denominación oficial y posición en el Colegio

Según el comunicado de la presidenta Ursula von der Leyen sobre el nuevo Colegio de Comisarios, Henna Virkkunen es “vicepresidenta ejecutiva de Soberanía tecnológica, seguridad y democracia”responsable de la cartera de tecnologías digitales y de vanguardia, tal como se recoge en la nota oficial de la Comisión (comunicado de von der Leyen).

La misma estructura se detalla en la explicación institucional en español del nuevo organigrama, donde se precisa que sus responsabilidades abarcan “tecnologías digitales y de frontera, aspectos internos y externos de la seguridad, cimientos de la democracia, Estado de derecho” (nota sobre la nueva Comisión).

En términos de “comisaría asociada”, no se trata de que dirija otra dirección general clásica (como Competencia o Energía), sino de que ostenta la cartera temática de Soberanía Tecnológica, Seguridad y Democracia, que agrupa los expedientes digitales y de seguridad que antes estaban dispersos. El periódico Demócrata la presenta precisamente como “vicepresidenta ejecutiva de Soberanía tecnológica, Seguridad y Democracia”, subrayando su trayectoria y el peso político del puesto (perfil en Demócrata).

Soberanía tecnológica y agenda digital

En su audiencia ante el Parlamento Europeo, Virkkunen definió el núcleo de su misión como reforzar la independencia digital de la UE, hacer la infraestructura digital crítica “más segura” y aumentar la competitividad (audiencia en el Parlamento Europeo). Entre sus líneas de trabajo destacan:

• Impulsar la innovación e inversión en tecnologías de vanguardia (IA, computación en la nube, computación cuántica, semiconductores, espacio) y reducir la burocracia que frena proyectos digitales.
• Desarrollar y aplicar el Paquete Europeo de Soberanía Tecnológica, que refuerza capacidades en chips, IA, nube y código abierto (presentación del paquete y síntesis en la Representación en España).
• Definir la orientación política de iniciativas como una ley de redes digitales y una ley de desarrollo de la nube y la IA, orientadas a garantizar conectividad de alta velocidad y capacidad de computación competitiva para las empresas.

En sus propias palabras, en el discurso conjunto con el comisario Jørgensen, su misión es asegurar que la “soberanía tecnológica” no se convierta en proteccionismo, sino en la capacidad de Europa para tomar sus propias decisiones evitando dependencias de proveedores dominantes (intervención de Virkkunen).

Seguridad, ciberdefensa e infraestructuras críticas

El componente de seguridad de su cartera es central. Von der Leyen le encarga explícitamente “ocuparse de los aspectos internos y externos de la seguridad” (comunicado de von der Leyen; resumen en español).

En la audiencia parlamentaria, Virkkunen se comprometió a:

• Apoyar la inversión y la innovación en ciberdefensa y proteger la infraestructura crítica de la UE frente a ataques híbridos.
• Presentar un plan de acción sobre ciberseguridad y velar por la plena aplicación de las normas existentes por los Estados miembros.
• Contribuir a la construcción de una auténtica Unión Europea de la Defensa, coordinando con el comisario de Defensa y Espacio.

Como demuestra su interacción con organismos como la oficina del ORECE (visita al ORECE), su papel también incluye la coordinación con reguladores nacionales para garantizar una aplicación coherente del marco de seguridad y telecomunicaciones.

Democracia, Estado de derecho y regulación de plataformas

El tercer pilar de su cargo es la democracia. Von der Leyen le encomienda “fortalecer los cimientos de nuestra democracia, como el Estado de derecho, y protegerlos donde sean atacados” (comunicado). Eso se traduce en varias responsabilidades operativas:

• Impulsar la ejecución de la Ley de Servicios Digitales (DSA) y la Ley de Mercados Digitales (DMA), garantizando un “espacio en línea justo” y combatiendo la venta de productos ilegales y los efectos nocivos de las redes sociales (audiencia parlamentaria).
• Presentar un plan de acción contra el acoso en línea y priorizar la protección de los menores en internet.
• Desarrollar la iniciativa “Escudo de la Democracia”, luchar contra la injerencia extranjera y la desinformación, y promover un entorno mediático pluralista.

Finalmente, es la responsable política de la implementación de la Ley de Inteligencia Artificial: se compromete a aplicarla con rapidez, lanzar una iniciativa de “fábricas de IA” en los primeros 100 días y preparar una ley de desarrollo de la nube y la IA para hacer de Europa un “continente de la IA” competitivo (audiencia en el Parlamento Europeo). Todo ello, coordinándose con el resto de comisarios del área económica, de defensa y de justicia descritos en el nuevo esquema institucional (discurso de von der Leyen al Parlamento y síntesis del paquete en Portugal).

La normativa de la UE no ha creado (a día de hoy) una “plataforma europea de pruebas de IA para ciberseguridad” con requisitos propios, pero sí fija el marco jurídico general para cualquier futuro testbed de este tipo. Ese marco es el Reglamento (UE) 2024/1689 (Ley de IA o AI Act), que regula los espacios controlados de pruebas o sandboxes y las condiciones para probar sistemas de IA de alto riesgo, junto con los esquemas de certificación de ciberseguridad de la Cibersecurity Act. A partir de ahí, los requisitos concretos de acceso se fijarán en las convocatorias del sandbox europeo gestionado por la Oficina de IA, pero deberán respetar estas reglas de fondo.

Base jurídica europea aplicable

La pieza central es la Ley de IA, publicada en el DOUE (texto del Reglamento 2024/1689) y explicada por la propia Comisión en su ficha de política (resumen de la Comisión) y en el portal español de administración digital (entrada en vigor de la Ley de IA). Allí se establece que:

• Los sistemas de alto riesgo deben cumplir requisitos estrictos de gestión de riesgos, calidad de datos, registro de actividad, documentación técnica, información al usuario, supervisión humana y un alto nivel de robustez, precisión y ciberseguridad.
• Los espacios controlados de pruebas se conciben para facilitar el desarrollo y evaluación de esos sistemas de alto riesgo en condiciones reales, bajo supervisión pública.

El nuevo “Ómnibus digital” para IA, acordado políticamente por las instituciones europeas (nota de la Comisión; comunicado del Consejo) confirma que habrá un entorno de pruebas a escala de la Unión gestionado por la Oficina de IA y que los innovadores podrán acceder a él para probar sus soluciones en condiciones de mundo real.

Requisitos sustantivos para los sistemas de IA

Cualquier organización que quiera entrar en un futuro testbed europeo de IA aplicada a la ciberseguridad tendrá que presentar un sistema que, de facto, cumpla las obligaciones de la Ley de IA para sistemas de alto riesgo (art. 6 y anexo III), tal y como sintetiza la guía divulgativa europea (comentario al AI Act) y la prensa especializada española (análisis en Demócrata):

• Gestión de riesgos: identificar, analizar y mitigar riesgos para seguridad, derechos fundamentales y resiliencia cibernética.
• Datos y documentación: conjuntos de datos de alta calidad, trazabilidad mediante logs y documentación técnica exhaustiva del sistema.
• Supervisión humana efectiva: el sistema debe permitir que personas cualificadas puedan supervisar, intervenir y, en su caso, desactivar decisiones automatizadas.
• Robustez y ciberseguridad: exigencia expresa de “alto nivel de solidez, precisión y ciberseguridad”, especialmente relevante si el uso es de ciberdefensa.

En la práctica, estos son los “mínimos técnicos y organizativos” que se exigirán para experimentar en un sandbox europeo, aunque el detalle de pruebas, métricas o evidencias se concretará en cada convocatoria.

Requisitos organizativos y de acceso al sandbox europeo

La normativa no contiene hoy una lista cerrada de requisitos de admisión, pero sí fija criterios de diseño de los sandboxes que condicionan quién puede participar. Según la explicación oficial de la Ley de IA (resumen español) y la síntesis política del Ómnibus (Ómnibus digital en Demócrata):

• El sandbox debe ser gestionado por autoridades competentes (Oficina de IA u autoridades nacionales de vigilancia de mercado).
• Se prioriza el acceso de proveedores innovadores, en especial pymes y empresas de mediana capitalización, que desarrollen sistemas con impacto potencial significativo.
• Las entidades participantes deben aceptar supervisión regulatoria, obligaciones de reporte y posibles ajustes del sistema durante la prueba.
• La participación se articula mediante convocatorias abiertas, como ilustra el sandbox español impulsado con la Comisión (nota del Plan de Recuperación; comunicado de Transformación Digital; cobertura en Demócrata).

Ese sandbox español, aunque no es específico de ciberseguridad, muestra cómo la Comisión y los Estados miembros están seleccionando sistemas de alto riesgo y acompañándolos con guías técnicas (guías de AESIA).

Papel de la ciberseguridad y la Cybersecurity Act

En paralelo, la Ley de Ciberseguridad y su marco de certificación complementan el AI Act. La Comisión ha aprobado el primer esquema europeo de certificación EUCC (sistema de certificación EUCC), elaborado con ENISA (sitio de ENISA). Aunque la certificación es voluntaria, en un testbed centrado en IA para ciberseguridad es previsible que se valoren:

• Uso de productos o servicios TIC certificados bajo esquemas europeos (EUCC, futuros EUCS para nube o EU5G).
• Alineamiento con los trabajos de viabilidad de certificación de ciberseguridad para IA mencionados por ENISA.

En resumen, el acceso a una futura plataforma europea de pruebas de IA aplicada a ciberseguridad no se rige por una norma específica nueva, sino por la combinación de la Ley de IA (espacios de pruebas para sistemas de alto riesgo, con fuertes exigencias técnicas y de gobernanza) y el marco de certificación de ciberseguridad. Los requisitos concretos de participación se detallarán en las convocatorias del sandbox europeo que la Oficina de IA y las autoridades nacionales pongan en marcha en los próximos años.