2 de agosto de 2026
Este es el cuarto capítulo de la serie «Los vacíos legales del Reglamento de Inteligencia Artificial». Si te perdiste los anteriores: el primero, sobre el deepfake publicitario, el segundo, sobre el entrenamiento de la IA con obras ajenas, y el tercero, sobre el scraping y la competencia desleal.
Los vacíos legales del Reglamento de Inteligencia Artificial
I. EL EJEMPLO
El 24 de julio de 2026, con medio país en la playa, el Diario Oficial de la Unión Europea publicó una noticia que parecía imposible. La primera ley de inteligencia artificial del mundo se concedía a sí misma una prórroga antes de haberse aplicado del todo, una suerte de vacatio legis sobrevenida que ningún manual había previsto. El Reglamento (UE) 2026/1744, el llamado «Ómnibus Digital de IA», modifica el Reglamento de Inteligencia Artificial que conocimos en los capítulos anteriores, y lo hace con tanta urgencia que entró en vigor a los tres días, el 27 de julio.
¿Y en qué consiste la reforma? Imagínese una empresa cualquiera con dos «empleados» digitales. El primero es el chatbot que atiende a los clientes en la web, obligado desde el 2 de agosto de 2026 a confesar que es una máquina. El segundo es el algoritmo que criba currículums en recursos humanos y acaba de recibir un regalo de hasta dos años porque sus obligaciones se aplazan hasta diciembre de 2027. El mismo Reglamento, la misma empresa y el mismo día. Uno se quita la careta y el otro se va de vacaciones. Ese contraste es el agujero negro de hoy.
II. LA NORMATIVA
El Reglamento (UE) 2024/1689 se diseñó como una pirámide de riesgos con un calendario por fases, que describimos a continuación:
(i) Las prohibiciones absolutas del artículo 5 se aplican desde febrero de 2025.
(ii) Las obligaciones generales, incluida la transparencia del artículo 50, desde el 2 de agosto de 2026 conforme al artículo 113.
(iii) Y los sistemas de «alto riesgo», los que deciden sobre personas (quién es contratado, quién recibe un crédito, quién pasa un control biométrico), debían cumplir sus estrictos requisitos a partir de esa misma fecha o poco después.
El Ómnibus Digital cambia el calendario en lo más sensible. Las obligaciones de los sistemas de alto riesgo «independientes» del anexo III (empleo, crédito, educación, biometría) se aplazan al 2 de diciembre de 2027, y las de los sistemas integrados en productos regulados del anexo I (máquinas, juguetes, sanitarios) al 2 de agosto de 2028.
A cambio, se mantiene la cita del 2 de agosto de 2026 para la transparencia del artículo 50, es decir, el chatbot que se identifica (apartado 1), el marcado legible por máquina del contenido sintético (apartado 2) y la etiqueta del deepfake (apartado 4) que vimos en el capítulo 1, con una única prórroga. Los proveedores de sistemas generativos ya comercializados antes del 2 de agosto disponen de cuatro meses, hasta el 2 de diciembre de 2026, para implantar el marcado.
Además, se añade una prohibición nueva y de efecto inmediato en el artículo 5.1.b bis), la de los llamados «nudificadores», sistemas que generan imágenes, vídeos o audios realistas de las partes íntimas de una persona sin su consentimiento. Que haya hecho falta una reforma exprés para prohibir eso ya nos dice cuánta letra pequeña quedaba por escribir.
Hasta aquí, la reforma. Ahora, el agujero. Entre agosto de 2026 y diciembre de 2027 la IA de alto riesgo seguirá decidiendo sobre contrataciones, créditos y controles, pero sin que le sean exigibles los requisitos del Reglamento pensados precisamente para ella (gestión de riesgos, calidad de los datos, supervisión humana, registros).
¿Y si en ese año y medio un algoritmo le rechaza a usted injustamente? El Reglamento de IA no le da acción para reclamar, y nunca la tuvo, pues no contiene un solo precepto de responsabilidad civil. La pieza que debía cerrar el sistema, la Directiva de responsabilidad en materia de IA, fue retirada por la Comisión Europea tras descartarla de su programa de trabajo de 2025. La doctrina ya explora, señaladamente en el terreno de los algoritmos de precios y de la llamada concertación algorítmica, cómo atribuir la responsabilidad civil cuando la máquina produce resultados que ni siquiera su programador buscó (Montanari).
El resultado es que, durante el agujero del calendario, la víctima del algoritmo tiene que buscar amparo donde siempre, en la protección de datos, en la competencia desleal y en el Código Civil. Y ahí, como veremos, los tribunales no se han ido de vacaciones.
¿Y qué opina la doctrina de esta moratoria? Está dividida en dos bandos perfectamente reconocibles, y conviene escucharlos a ambos antes de tomar partido.
APUNTE DOCTRINAL. EL DEBATE SOBRE LA MORATORIA
A favor del aplazamiento se alinea buena parte de la industria tecnológica y de sus analistas. Desde Washington, Patrick Grady (Chamber of Progress, laboratorio de ideas del sector tecnológico estadounidense) sostiene que retrasar era inevitable, pues la propia Comisión incumplió el plazo para publicar sus directrices sobre el alto riesgo, las normas técnicas armonizadas acumulan casi dos años de demora y las pymes no pueden cumplir a ciegas lo que ni siquiera está detallado. La moratoria, concluye, persigue hacer posible el cumplimiento, no debilitar la norma.
En contra se han pronunciado las dos autoridades europeas de protección de datos. El Comité Europeo de Protección de Datos y el Supervisor Europeo advirtieron en su Dictamen conjunto 1/2026, de enero de 2026, de que el aplazamiento puede afectar a la protección de los derechos fundamentales en un panorama de inteligencia artificial en rápida evolución, y de que la simplificación no puede traducirse en una rebaja de las salvaguardas, en particular la intimidad y la protección de datos.
Entre ambos polos, la doctrina española del compliance aporta la clave práctica. Javier Puyol Montero recuerda que la desregulación no equivale a ausencia de normas sino al traslado progresivo de la responsabilidad de cumplimiento desde el Estado hacia las propias organizaciones (la llamada meta-regulación o regulación reflexiva), y advierte de sus riesgos ciertos, asimetrías entre empresas, falta de orientación normativa y pérdida de control externo. Traducido a nuestra moratoria, quien la aproveche para no hacer nada quedará retratado cuando el calendario llegue, y quien se autorregule desde hoy convertirá el cumplimiento en ventaja reputacional.
Aunque la doctrina también previene del espejismo contrario. Daniel Terrón Santos recuerda que los marcos éticos voluntarios de la industria no son vinculantes ni obligatorios, por lo que resulta tan sencillo comprometerse a cumplirlos como violarlos, y que pueden operar como mero parapeto para sugerir que la autorregulación basta y esquivar así una regulación más estricta. La confianza en la inteligencia artificial, concluye, no puede quedar fiada únicamente a la buena voluntad del proveedor.
Y desde la academia anglosajona, Anu Bradford (Columbia Law School), creadora del concepto del «efecto Bruselas», advierte de que reabrir el marco de la inteligencia artificial tan pronto después de aprobarlo «arriesga erosionar la credibilidad y crear más incertidumbre», de que la sobrerregulación no es la causa real del retraso tecnológico europeo (lo son la fragmentación del mercado digital, la falta de capital y de talento) y de que «el punto álgido del liderazgo regulatorio de Europa ha quedado atrás» (traducción propia).
III. LA JURISPRUDENCIA ESPAÑOLA
Mientras el legislador aplaza, los tribunales españoles ya están juzgando algoritmos con las normas de siempre. La sentencia de la Audiencia Nacional (Sala de lo Social) n.º 101/2025, de 4 de julio (rec. 182/2025, Roj SAN 2867/2025, ECLI:ES:AN:2025:2867), caso Foundever, condenó a una empresa de atención telefónica que asignaba los descansos de su plantilla mediante un algoritmo y se negaba a explicárselo al sindicato. La Audiencia declaró vulnerada la libertad sindical, obligó a la empresa a informar «de manera inmediata, de forma clara y accesible» de los parámetros, reglas e instrucciones del sistema, conforme al artículo 64.4.d) del Estatuto de los Trabajadores, el llamado derecho de información algorítmica, y le impuso 6.250 euros de indemnización. Fíjese en el detalle. No hizo falta ni una sola mención al Reglamento de IA. El derecho a mirar dentro del algoritmo laboral existe en España desde 2021 y no está aplazado a 2027.
Y sobre la nueva prohibición estrella del Ómnibus, la de los «nudificadores», España llegó antes que Bruselas por la vía penal. En el caso Almendralejo, el Juzgado de Menores n.º 1 de Badajoz impuso en junio de 2024 libertad vigilada de un año a quince menores por crear y difundir con inteligencia artificial falsos desnudos de sus compañeras, como pornografía infantil y delito contra la integridad moral. La resolución consta en la nota oficial del Consejo General del Poder Judicial, pues las sentencias de menores no se publican con ECLI. El Reglamento no prohibió esa conducta hasta el 27 de julio de 2026. El Código Penal ya la castigaba.
La doctrina penal española más reciente corrobora la anterior conclusión. Silvia Rodríguez López recuerda que la Directiva (UE) 2024/1385, sobre la lucha contra la violencia contra las mujeres, ya obligaba desde 2024 a tipificar la difusión no consentida de material íntimo manipulado (artículo 5.1.b), y Luis Rodríguez Moro, analizando el propio caso Almendralejo, advierte de los límites de acudir a figuras patrimoniales como los delitos contra la propiedad intelectual, pensadas para otra realidad (ambos en el libro homenaje a Carlos Martínez-Buján Pérez, Tirant lo Blanch). Y Carmen Fernández Nicasio añade la advertencia que cierra el círculo. Cuando la víctima del desnudo artificial es una persona adulta, el tipo del artículo 197.7 del Código Penal solo alcanza, a su juicio, las imágenes reales, pues protege la intimidad, de modo que la pornografía ultrafalsa puede quedarse hoy sin respuesta penal satisfactoria, y propone construirla sobre la propia imagen como bien jurídico autónomo (Revista Penal, n.º 57, enero de 2026).
Increíble pero cierto, también dentro del agujero del calendario hay agujeros. Segunda lección del capítulo. El agujero del calendario no es un territorio sin ley, es un territorio con las leyes de siempre.
IV. LA JURISPRUDENCIA ANGLOSAJONA
En Estados Unidos no hay Reglamento de IA ni calendario que aplazar y, sin embargo, el algoritmo de recursos humanos ya está sentado en el banquillo. En el asunto Mobley v. Workday, seguido ante el Tribunal federal del Distrito Norte de California con el número 3:23-cv-00770, un candidato mayor de cuarenta años que acumuló más de cien rechazos automáticos, alguno en plena madrugada y menos de una hora después de solicitar el puesto, demandó no a las empresas que no le contrataron sino al proveedor del software de cribado. El tribunal, en resolución de 12 de julio de 2024 (740 F. Supp. 3d 796), admitió que las reclamaciones por impacto discriminatorio siguieran adelante contra el propio proveedor de la herramienta, y el 16 de mayo de 2025 certificó con carácter preliminar una acción colectiva por discriminación por edad que puede alcanzar a millones de solicitantes.
¿La norma aplicada? Una ley de 1967, la Age Discrimination in Employment Act, escrita cuando los currículums viajaban en sobre y con sello. La lección es incómoda para quien se fíe del aplazamiento europeo. El riesgo jurídico del algoritmo de empleo no nace en diciembre de 2027. Ya existe hoy, con las normas de siempre, y alcanza también a quien fabrica la herramienta, no solo a quien la usa.
V. LA JURISPRUDENCIA EUROPEA
Tampoco Luxemburgo ha esperado al Reglamento para poner límites a las máquinas que evalúan personas. En la sentencia de la Gran Sala de 21 de junio de 2022, Ligue des droits humains (C-817/19, ECLI:EU:C:2022:491), sobre el sistema que criba automáticamente a todos los pasajeros aéreos mediante los datos PNR, el Tribunal de Justicia fijó reglas que hoy suenan proféticas. Ningún resultado positivo del algoritmo puede producir efectos sin revisión individual por medios no automatizados. Los criterios de evaluación deben ser transparentes, revisables y no discriminatorios. Y quedan descartados los sistemas de autoaprendizaje capaces de modificar por sí mismos los criterios de decisión, precisamente porque impedirían entender el porqué de cada resultado.
En consecuencia, supervisión humana, explicabilidad y prohibición de la caja negra que se reprograma sola. Todo lo que el Reglamento de IA promete exigir a los sistemas de alto riesgo en diciembre de 2027 ya lo exigía el Tribunal de Justicia en 2022 con el derecho vigente, la Carta de Derechos Fundamentales y la protección de datos.
Quien sufra hoy una decisión algorítmica no tiene que esperar a que el calendario del Reglamento se digne llegar. El derecho a que decida un humano y a entender la decisión ya está aquí. Lo que el Ómnibus ha aplazado son los deberes preventivos del proveedor, no los derechos del afectado.
En espera de que el calendario se cumpla, conviene adoptar cuatro precauciones para no caer en el agujero.
(i) Si su web tiene chatbot o asistente virtual, el aviso de que se habla con una inteligencia artificial debe estar operativo ya. La obligación rige desde el 2 de agosto de 2026, con multas de hasta quince millones de euros o el 3 % de la facturación mundial conforme al artículo 99.4.
(ii) Si genera contenido sintético, publicidad incluida, planifique el marcado legible por máquina. La prórroga hasta el 2 de diciembre de 2026 solo cubre a los sistemas ya comercializados antes del 2 de agosto, y la etiqueta del deepfake del artículo 50.4 no tiene prórroga alguna.
(iii) Si usa inteligencia artificial para asignar turnos, seleccionar personal o puntuar clientes, no confunda aplazamiento con impunidad. El derecho de información algorítmica del artículo 64.4.d) del Estatuto de los Trabajadores, la normativa antidiscriminación y la protección de datos ya permiten exigirle explicaciones, como demuestran Foundever y Mobley. Documente la supervisión humana y la lógica del sistema hoy.
(iv) Y si compra la inteligencia artificial a un tercero, negocie ahora las garantías, esto es, documentación técnica, explicabilidad e indemnidades. Cuando lleguen diciembre de 2027 y agosto de 2028 tendrá que acreditar un cumplimiento cuyos contratos se están firmando hoy.
VI. CONCLUSIÓN
El Ómnibus Digital no ha derogado el futuro. Solo lo ha aplazado. La transparencia llegó puntual a su cita del 2 de agosto. Las garantías del alto riesgo viajarán con hasta dos años de retraso, y en ese hueco seguirán decidiendo sobre nosotros los mismos algoritmos, amparados por el silencio de la norma que nació para vigilarlos.
Pero que nadie se confíe. Como demuestran Foundever en Madrid, Mobley en California y la Gran Sala en Luxemburgo, los tribunales no reconocen moratorias. En el agujero negro del calendario rige una regla no escrita que conviene memorizar. La inteligencia artificial decide hoy, el Reglamento llega pasado mañana y la demanda, cuando menos se espera.
Si tu empresa usa inteligencia artificial de alto riesgo, en BEA BIT LAW podemos ayudarte a auditar su cumplimiento: contacta con nosotros.
