Reglamento (UE) 2024/1689: qué exige y desde cuándo tras el Ómnibus de 2026

La norma europea sobre estos sistemas que se aplica en España es el Reglamento (UE) 2024/1689. Es un reglamento europeo: se aplica directamente, sin que haga falta una ley española que lo trasponga. Entró en vigor el 1 de agosto de 2024, pero sus obligaciones llegan por fases, y en julio de 2026 la UE cambió varias fechas con el «ómnibus digital», el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Esta guía resume qué se aplica ya y qué falta, artículo por artículo, a partir de los textos del Diario Oficial consultados el 1 de octubre de 2026.

Es información general, no asesoramiento jurídico. Si tu empresa desarrolla o vende sistemas que podrían ser de alto riesgo, consulta con un abogado especializado.

Calendario: qué se aplica y desde cuándo

Lo que cambió el Ómnibus son sobre todo las dos últimas fechas. Antes eran el 2 de agosto de 2026 (anexo III) y el 2 de agosto de 2027 (anexo I). Según los considerandos del Ómnibus, mantener la fecha inicial suponía un aumento significativo de los costes de aplicación porque las normas técnicas y herramientas de apoyo no estaban listas.

¿Qué papel tiene tu empresa?

El Reglamento reparte las obligaciones por papeles:

• Proveedor: quien desarrolla un sistema o modelo y lo comercializa con su nombre. Carga con la mayoría de las obligaciones.
• Responsable del despliegue: quien usa un sistema bajo su autoridad en una actividad profesional. Una empresa que usa ChatGPT (con sus planes y precios), Copilot o un chatbot para atender a sus clientes es responsable del despliegue.
• Importadores y distribuidores, con obligaciones propias más ligeras.

La mayoría de pymes españolas que usan herramientas son responsables del despliegue, no proveedoras.

Qué tiene que hacer hoy una empresa que usa estos sistemas

Alfabetización del personal (art. 4). Tras el Ómnibus, proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización de su personal y de quienes usan sistemas en su nombre, teniendo en cuenta sus conocimientos, su experiencia y el contexto de uso. El texto aclara que eso no obliga a garantizar un nivel concreto de cada persona. En la práctica: formación y pautas proporcionadas a cómo usa estas herramientas cada equipo.

Transparencia (art. 50), desde el 2 de agosto de 2026:

• Chatbots: el proveedor debe diseñarlos para que la persona sepa que habla con una máquina, salvo que sea evidente por el contexto.
• Contenido generado: los proveedores de sistemas que generan audio, imagen, vídeo o texto sintéticos deben marcar ese contenido en un formato legible por máquina.
• Ultrasuplantaciones (deepfakes): quien genere o manipule imagen, audio o vídeo que constituya una ultrasuplantación debe decirlo. En obras claramente artísticas, satíricas o de ficción basta con indicarlo sin estropear la obra.
• Textos sobre asuntos de interés público: quien publique texto generado por un modelo para informar al público sobre asuntos de interés público debe indicarlo, salvo que el texto haya pasado por revisión humana o control editorial y una persona física o jurídica asuma la responsabilidad editorial.
• Reconocimiento de emociones y categorización biométrica: hay que informar a las personas expuestas.

La información debe darse de forma clara y distinguible, como tarde en la primera interacción. Nuestra guía del artículo 50 del Reglamento recorre cada una de estas obligaciones y cómo las interpreta la Comisión.

El Ómnibus no cambió estas obligaciones: solo reescribió el apartado 7 del artículo 50, sobre códigos de buenas prácticas, y dio a los sistemas generativos anteriores hasta el 2 de diciembre de 2026 para marcar su contenido. Las preguntas y respuestas de la Comisión Europea sobre el artículo 50 interpretan de forma estricta la excepción de los textos: la revisión humana es un examen deliberado del fondo del contenido por personas con conocimiento de la materia, no vale una corrección ortográfica o gramatical y una persona debe asumir la responsabilidad legal última de la publicación. La misma página enumera qué considera asuntos de interés público, desde la política o la salud pública hasta cualquier novedad económica, financiera, política, científica o cultural que pueda ser objeto de debate público.

Prácticas prohibidas

Desde el 2 de febrero de 2025, el artículo 5 prohíbe los sistemas que:

1. usan técnicas subliminales, manipuladoras o engañosas que alteran de forma sustancial el comportamiento y causan perjuicios considerables;
2. explotan vulnerabilidades por edad, discapacidad o situación social o económica;
3. puntúan a las personas por su comportamiento social o sus rasgos, con un trato perjudicial injustificado o en contextos ajenos;
4. predicen el riesgo de que alguien cometa un delito basándose solo en su perfil o su personalidad;
5. crean bases de datos de reconocimiento facial extrayendo imágenes de forma no selectiva de internet o de cámaras de vigilancia;
6. infieren emociones en el trabajo o en centros educativos, salvo por motivos médicos o de seguridad;
7. clasifican a las personas por datos biométricos para deducir su raza, opiniones políticas, afiliación sindical, creencias, vida sexual u orientación sexual;
8. usan identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones tasadas.

Desde el 2 de diciembre de 2026, el Ómnibus añade dos: los sistemas que generan o manipulan imágenes, vídeo o audio íntimos o sexuales realistas de una persona identificable sin su consentimiento explícito, y los que generan material de abuso sexual infantil. Para el proveedor, la prohibición alcanza a los sistemas cuya finalidad prevista es esa y a los que, por su diseño, lo hacen previsible y reproducible y carecen de salvaguardias razonables para impedirlo; para quien los usa, a utilizarlos con ese fin.

Sanciones

Cada Estado fija las sanciones dentro de los límites del Reglamento. Incumplir las prohibiciones puede costar hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual, lo que sea mayor. Incumplir la mayoría de las demás obligaciones, incluidas las de transparencia del artículo 50 y las de los responsables del despliegue, hasta 15 millones o el 3 %. El Reglamento exige que las sanciones tengan en cuenta los intereses y la viabilidad económica de las pymes: para ellas, el tope de cada multa es la menor de las dos cifras, no la mayor (artículo 99.6). El Ómnibus extiende ese tope a las pequeñas empresas de mediana capitalización para las multas de los apartados 4 y 5.

¿Quién vigila en España?

España creó la AESIA, su agencia de supervisión, cuyo estatuto aprobó el Real Decreto 729/2023. Las normas españolas que concreten el régimen sancionador y las autoridades competentes pueden cambiar: conviene revisar el BOE.

Lista rápida para una pyme

1. Haz inventario de dónde usas modelos de lenguaje (asistentes, chatbots, agentes, herramientas para programar con asistentes) y si en cada caso eres proveedor o responsable del despliegue.
2. Revisa el artículo 5 si algo puntúa, perfila, vigila emociones o usa datos biométricos.
3. Pon en marcha medidas de alfabetización del personal: pautas y formación según el uso de cada equipo.
4. Identifica los chatbots y el contenido generado desde el 2 de agosto de 2026 y guarda cómo lo haces.
5. Comprueba si algún uso es de alto riesgo según el anexo III (por ejemplo, selección de personal, educación, solvencia o acceso a servicios esenciales). Si lo es, planifica para el 2 de diciembre de 2027.

Si tu empresa está valorando un asistente o un agente, lee también qué es un agente.