Radar regulatorio · actualizado el 6 oct 2026
Este radar recoge, con fecha y fuente oficial, las normas, guías y plazos que afectan a las organizaciones que usan IA con datos sensibles en España. El próximo gran hito es el 2 de diciembre de 2027, cuando se aplican las obligaciones de alto riesgo del Reglamento de IA (AI Act) para scoring crediticio, seguros, justicia y servicios públicos. Lo revisamos cada dos semanas y cada entrada enlaza al documento original.
Próximos plazos
Plazos y entradas en aplicación todavía por llegar.
Todas las entradas
Filtra por sector para ver solo lo que afecta a tu organización. Cada entrada indica si es norma de España o de la UE, su estado y la fuente oficial.
La adjudicación se espera a principios de 2027. España concurre con una candidatura público-privada. Indica dónde habrá capacidad de cómputo europea para entrenar y ejecutar modelos.
Fuente oficial: EuroHPC ↗
Si la solvencia se evalúa con tratamiento automatizado, el consumidor puede pedir una explicación clara, intervención humana y revisión de la decisión. Los modelos deben poder justificarse caso a caso.
Fuente oficial: EUR-Lex · Directiva (UE) 2023/2225 ↗
Las obligaciones llegan en 2027, 2029 y 2031: acceso del paciente a sus datos, requisitos para sistemas de historia clínica electrónica y uso secundario de datos de salud en entornos de tratamiento seguros.
Fuente oficial: EUR-Lex · Reglamento (UE) 2025/327 ↗
Afecta a scoring crediticio, precios de seguros de vida y salud, justicia, servicios públicos esenciales y empleo. Exige gestión de riesgos, calidad de datos, registros, supervisión humana y documentación técnica.
Fuente oficial: EUR-Lex · Reglamento (UE) 2026/1744 ↗
Fija reglas técnicas para el intercambio transfronterizo de datos de salud entre Estados miembros y se aplica desde el 26 de marzo de 2027. Es el primer desarrollo concreto del Reglamento EEDS.
Fuente oficial: EUR-Lex · Reglamento de Ejecución (UE) 2026/2083 ↗
Aplica a productos conectados comercializados desde esta fecha. Los fabricantes deben diseñarlos para que el usuario acceda a los datos que generan, lo que condiciona arquitectura, contratos y analítica industrial.
Fuente oficial: EUR-Lex · Reglamento (UE) 2023/2854 ↗
Los fabricantes de productos con elementos digitales deben avisar de vulnerabilidades explotadas activamente e incidentes graves. Incluye software con componentes de IA que se comercializa en la UE.
Fuente oficial: EUR-Lex · Reglamento (UE) 2024/2847 ↗
El objetivo declarado es reforzar la protección de datos y acelerar el uso de IA en la administración regional. Confirma la tendencia del sector público a exigir infraestructura bajo control propio.
Fuente oficial: Comunidad de Madrid ↗
En vigor desde el 27 de julio de 2026. Las obligaciones del anexo III pasan al 2 de diciembre de 2027 y las del anexo I (IA en productos regulados, como productos sanitarios) al 2 de agosto de 2028.
Fuente oficial: EUR-Lex · Reglamento (UE) 2026/1744 ↗
Solicita una suma a tanto alzado y multas diarias. Mientras llega la ley española, las entidades esenciales e importantes conviene que preparen ya gestión de riesgos, notificación de incidentes y control de proveedores.
Fuente oficial: Comisión Europea ↗
Recomienda inventario de activos, parcheo priorizado por explotabilidad, autenticación resistente a phishing y gobierno de agentes de IA. Es referencia práctica para organismos sujetos al ENS.
Fuente oficial: CCN-CERT ↗
Desarrolla en España el régimen sancionador y el papel de la AESIA como autoridad de supervisión. Sigue en fase de enmiendas en el Congreso, por lo que el texto final puede cambiar.
Fuente oficial: Congreso de los Diputados ↗
Plantea un marco para evaluar la soberanía de servicios de nube e IA y fomentar su adopción en el sector público. Si se aprueba, influirá en cómo se valoran los proveedores en las licitaciones.
Fuente oficial: Comisión Europea ↗
En vigor desde el 18 de junio de 2026. Ordena la evaluación de tecnologías sanitarias, admite datos de vida real y contempla terapias digitales, lo que afecta a quien desarrolla software clínico con IA.
Fuente oficial: BOE-A-2026-11587 ↗
Las directrices aclararán con ejemplos qué casos de uso entran en el régimen de alto riesgo. La versión final se espera a finales de 2026 y servirá para revisar el inventario de sistemas de cada organización.
Fuente oficial: Comisión Europea ↗
El abogado que firma debe revisar el resultado y preservar el secreto profesional y la protección de datos. En la práctica, importa dónde se procesan los documentos del cliente y quién puede acceder a ellos.
Fuente oficial: Consejo General de la Abogacía ↗
El asunto Like Company contra Google enfrenta a un editor con un proveedor de modelos. La sentencia está pendiente y puede fijar criterios sobre entrenamiento y reproducción de contenidos protegidos.
Fuente oficial: Comisión Europea · IP Helpdesk ↗
Propone la regla de 2: un agente no debería a la vez recibir entradas no controladas, acceder a datos sensibles y ejecutar acciones reales. Sirve para diseñar permisos y aislamiento de agentes.
Fuente oficial: AEPD ↗
Exige control humano de cada resultado y prohíbe introducir datos de procedimientos en sistemas de IA no oficiales. Marca el estándar de confidencialidad que se espera en el entorno judicial.
Fuente oficial: BOE-A-2026-2205 ↗
Trata confidencialidad, supervisión de resultados y elección de proveedores. Recomienda conocer dónde se tratan los datos del cliente y en qué condiciones contractuales antes de adoptar una herramienta.
Fuente oficial: Consejo General de la Abogacía ↗
Red interoperable de plataformas autonómicas para el uso secundario de datos de salud, con 70 millones de euros. Prepara el terreno para investigación y modelos de IA sobre datos clínicos en entornos controlados.
Fuente oficial: La Moncloa ↗
El AI Act complementa CRR/CRD, DORA y las directrices de la EBA sobre scoring. Los bancos pueden apoyarse en sus marcos de gobierno de modelos y riesgo TIC para cumplir.
Fuente oficial: EBA ↗
Son sobre todo grandes plataformas de nube, que pasan a supervisión directa de la UE. Las entidades financieras siguen siendo responsables de gestionar el riesgo de concentración y de salida.
Fuente oficial: EBA · ESAs ↗
Regula el acceso y la portabilidad de datos, facilita el cambio de proveedor de nube y limita transferencias de datos no personales fuera de la UE. Refuerza la capacidad de salir de un proveedor.
Fuente oficial: EUR-Lex · Reglamento (UE) 2023/2854 ↗
Aplica Solvencia II, IDD, DORA y RGPD al uso de IA con un enfoque proporcional al riesgo de cada caso: gobierno de datos, documentación, explicabilidad y supervisión humana.
Fuente oficial: EIOPA ↗
El software médico con IA que requiere organismo notificado es de alto riesgo y debe cumplir ambos marcos. La guía explica cómo integrar la documentación en una sola evaluación de conformidad.
Fuente oficial: Comisión Europea · MDCG ↗
Incluimos normas, guías de supervisores, decisiones judiciales y convocatorias que cambian lo que una organización puede o debe hacer cuando usa IA con datos personales, clínicos, financieros o confidenciales. Dejamos fuera opiniones, rumores y anuncios sin texto publicado.
Solo citamos fuentes oficiales: Diario Oficial de la UE (EUR-Lex), BOE, Boletín de las Cortes, Comisión Europea, autoridades de supervisión (AEPD, EBA, EIOPA, CCN-CERT) y colegios profesionales. Revisamos el radar cada dos semanas; cada entrada lleva la fecha del hecho y el enlace al documento original para que puedas comprobarlo.
Es una herramienta de vigilancia normativa pensada para equipos técnicos, de cumplimiento y de dirección. Para decisiones concretas sobre tu caso, apóyate en tu asesoría jurídica: nosotros te ayudamos con la parte de infraestructura, es decir, dónde se procesan los datos, quién accede y cómo se documenta.
El 2 de diciembre de 2027 para los sistemas del anexo III (scoring crediticio, seguros de vida y salud, justicia, servicios públicos esenciales, empleo) y el 2 de agosto de 2028 para la IA integrada en productos regulados del anexo I, como productos sanitarios. Así lo fija el ómnibus de IA, Reglamento (UE) 2026/1744.
Todavía no mediante una ley española: España no había transpuesto NIS2 cuando la Comisión la llevó al TJUE el 8 de julio de 2026. Mientras tanto, el ENS ya obliga al sector público y a sus proveedores, y DORA a las entidades financieras, por lo que preparar gestión de riesgos y notificación de incidentes no es trabajo perdido.
Que el servicio esté certificado en la categoría ENS que corresponde al sistema del organismo (Básica, Media o Alta), con controles de acceso, registro de actividad, cifrado y continuidad. Nuestra plataforma está certificada en ENS categoría Media por EQA y el centro de datos Tier III en Madrid tiene ENS categoría Alta; lo detallamos en ENS e IA y en sector público.
DORA trata los servicios de IA y nube de terceros como riesgo TIC: hay que registrarlos, evaluarlos, pactar cláusulas de auditoría y salida, y vigilar la concentración en pocos proveedores. Ver banca y seguros.
Sí, con una base jurídica válida del RGPD para categorías especiales, minimización de datos y un entorno de tratamiento controlado, idealmente con los datos procesados en España y sin reutilizarlos para entrenar modelos de terceros. El EEDS añade reglas de uso secundario desde 2027; lo explicamos en sanidad.
Cada dos semanas, y antes si se publica una norma relevante. La fecha de la última revisión aparece en la cabecera y cada entrada enlaza a su fuente oficial.
Cumplimiento desde la infraestructura
Habla con un ingeniero sobre infraestructura de IA preparada para cumplir: datos en España, ENS y RGPD desde el diseño.