Enmiendas a la Ley de IA de la UE: Lo que significan para la IA responsable, la gobernanza de datos y la preparación

Modificaciones a la Ley de IA de la UE: Nuevos plazos de cumplimiento y cambios estratégicos

Plazos de cumplimiento actualizados para la IA de alto riesgo

Las enmiendas de 2026 a la Ley de IA de la UE introducen un cambio significativo en el momento en que las organizaciones deben cumplir con ciertos requisitos de IA de alto riesgo. La Ley Ómnibus de IA entró en vigor el 27 de julio de 2026., sustituyendo el enfoque de activación condicional por disponibilidad de la propuesta anterior por fechas de aplicación fijas.

Según la enmienda Ley de AI de la UE, requisitos para sistemas de IA de alto riesgo específicos enumerados en El Anexo III se aplicará a partir del 2 de diciembre de 2027.. Requisitos para sistemas de IA de alto riesgo asociados con productos regulados según El Anexo I se aplicará a partir del 2 de agosto de 2028..

Estas prórrogas ofrecen tiempo adicional para la preparación, pero no aplazan todas las obligaciones de la Ley de IA. Las prácticas prohibidas en materia de IA y las disposiciones sobre alfabetización en IA entraron en vigor en febrero de 2025, las obligaciones generales en materia de IA se implementaron en agosto de 2025 y los requisitos adicionales de transparencia entraron en vigor en agosto de 2026.

Qué significan en la práctica las enmiendas a la Ley de IA de la UE.

1. Los plazos de cumplimiento se extienden, no se eliminan.

La Ley de IA de la UE modificada establece plazos fijos para dos categorías de sistemas de IA de alto riesgo. Requisitos para sistemas clasificados como de alto riesgo según Anexo III, incluyendo ciertas solicitudes relacionadas con empleo, educación, solvencia crediticia y aplicación de la ley, solicite desde 2 de diciembre de 2027.

Requisitos para sistemas de IA de alto riesgo cubiertos por Anexo I, incluyendo la IA asociada a ciertos productos regulados, se aplican desde 2 de agosto de 2028.

Estas fechas sustituyen los plazos de seis y doce meses establecidos en la propuesta anterior para la activación de los requisitos de IA de alto riesgo. Otorgan a las organizaciones tiempo adicional para prepararse para los requisitos aplicables a la IA de alto riesgo, mientras que las demás obligaciones de la Ley de IA continúan según sus calendarios establecidos.

Las organizaciones deberían aprovechar este tiempo adicional para evaluar los casos de uso de la IA, documentar las fuentes de datos relevantes, evaluar los riesgos y establecer controles de gobernanza antes de los plazos correspondientes.

2. Las simplificaciones específicas refuerzan la importancia de la gobernanza de datos.

La Ley Ómnibus de IA de 2026 introduce cambios específicos destinados a simplificar la implementación, manteniendo al mismo tiempo las salvaguardias para la seguridad y los derechos fundamentales. Las enmiendas clave incluyen:

• Simplificaciones ampliadas para pequeñas empresas: Ciertas obligaciones simplificadas que antes estaban disponibles para las pequeñas y medianas empresas ahora se extienden a las pequeñas empresas de mediana capitalización que cumplan los requisitos.
• Disposiciones ajustadas sobre alfabetización en IA: Las enmiendas simplifican el marco anterior de alfabetización en IA, y la Comisión Europea y los Estados miembros asumen un papel más importante en la promoción de dicha alfabetización.
• Mayor supervisión regulatoria: La Oficina de IA de la UE recibe responsabilidades de supervisión adicionales para determinados sistemas de IA, incluidos los sistemas basados en modelos de IA de propósito general.
• Mayores oportunidades para realizar pruebas: Las reformas amplían las disposiciones regulatorias de los entornos de pruebas y las oportunidades para probar los sistemas de IA bajo las salvaguardias adecuadas.
• Detección y corrección de sesgos: Las modificaciones permiten cierto tratamiento de categorías especiales de datos personales para la detección y corrección de sesgos, con sujeción a las condiciones y salvaguardias aplicables.
• Registro simplificado: Las reformas reducen los requisitos de registro para ciertos sistemas de IA que se consideran fuera de la clasificación de alto riesgo.

Para las organizaciones que desarrollan o implementan IA, la prioridad operativa sigue siendo clara: comprender los datos utilizados por los sistemas de IA, identificar la información sensible, documentar las actividades de procesamiento relevantes y establecer controles que respalden la rendición de cuentas y la gestión de riesgos.

3. La gobernanza de la IA y el RGPD requieren una supervisión coordinada.

La Ley de IA de la UE y la Reglamento general de protección de datos (RGPD) Establecer responsabilidades distintas pero superpuestas para las organizaciones que desarrollan o implementan sistemas de IA que procesan datos personales.

Si bien las enmiendas de la Ley Ómnibus de IA de 2026 ya están en vigor, las propuestas independientes de la Ley Ómnibus Digital relativas al RGPD y otras normas de protección de datos siguen sujetas al proceso legislativo de la UE. Estas propuestas abordan áreas como las definiciones de datos personales, la seudonimización, las evaluaciones de impacto en la protección de datos, las notificaciones de violaciones de seguridad, los requisitos de las cookies y el uso de intereses legítimos en el tratamiento de datos relacionado con la IA. No deben considerarse modificaciones de las obligaciones vigentes del RGPD a menos que se adopten formalmente.

Para las organizaciones que gestionan riesgos de datos relacionados con la IA, una gobernanza coordinada requiere visibilidad sobre:

• Qué datos personales, sensibles y regulados poseen
• ¿Qué sistemas de IA acceden y procesan esa información?
• La base jurídica y la finalidad de las actividades de tratamiento pertinentes.
• Riesgos potenciales relacionados con la privacidad, la seguridad y la IA
• Movimiento de datos, linaje, retención y permisos de acceso
• Evidencia necesaria para demostrar el cumplimiento de los requisitos aplicables.

Conectar los procesos de privacidad y gobernanza de la IA ayuda a las organizaciones a mantener la rendición de cuentas al tiempo que responden a los requisitos regulatorios en constante evolución.

Opinión de BigID: Empiece a construir los cimientos ahora

Por qué la demora no debería significar inacción

Aun con plazos retrasados, las organizaciones que estarán preparadas para las obligaciones de alto riesgo en materia de IA son las que invierten hoy en:

• Integral descubrimiento y clasificación de datos en todos los entornos
• controles de calidad e integridad de los datos
• Marcos de gobernanza para datos de entrenamiento, entradas del modelo y monitorización de salidas
• Documentación clara y auditabilidad
• Evaluaciones de riesgo automatizadas vinculado a ambos GDPR y requisitos de la Ley de IA

BigID ayuda a las organizaciones a conectar el descubrimiento de datos, la clasificación, la inteligencia de riesgos y la gobernanza para respaldar la preparación regulatoria de la IA en todas las jurisdicciones. Solicitar una demostración para explorar cómo BigID puede ayudar a fortalecer su programa de gobernanza de IA.

Construya la preparación para la IA sobre una base de datos sólida.

Las enmiendas a la Ley de IA de la UE otorgan a las organizaciones tiempo adicional para prepararse para determinados requisitos de IA de alto riesgo, pero la necesidad de una gobernanza responsable de la IA ya es una realidad.

Las organizaciones que comprendan sus sistemas de IA, los datos que procesan dichos sistemas y los riesgos asociados a esos datos estarán mejor posicionadas para implementar controles adecuados, documentar las decisiones de gobernanza y responder a los requisitos regulatorios en constante evolución.

La prioridad no es simplemente cumplir con un plazo futuro, sino construir los procesos de visibilidad, rendición de cuentas y gobernanza de datos necesarios para respaldar una IA confiable.