eIDAS 2.0
El AI Omnibus cambia las reglas para robots e IA física en la UE: menos AI Act, más regulación de producto
22 min lectura
Imagen generada por IALa promesa era simplificar. La realidad es bastante más interesante: la Unión Europea no ha rebajado el listón para robots, máquinas autónomas y otros sistemas de IA física; lo ha desplazado. Y ese matiz cambia decisiones de diseño, ensayos, documentación técnica, estrategia de certificación y hasta la redacción de contratos con integradores y distribuidores.
Desde el 27 de julio de 2026 está en vigor el Reglamento (UE) 2026/1744, el llamado AI Omnibus, publicado en el Diario Oficial de la UE el 24 de julio de 2026. La reforma modifica el AI Act —Reglamento (UE) 2024/1689—, además de la normativa de aviación y la Machinery Regulation. El mensaje político es de alivio regulatorio. El mensaje operativo, si uno baja de Bruselas al taller, la planta o el laboratorio, es otro: para buena parte de la robótica y la IA embebida, el problema ya no es “cumplir el AI Act” en abstracto, sino encajar requisitos de IA dentro del régimen duro de seguridad de producto, ciberseguridad, trazabilidad y evaluación de la conformidad.
Ese cambio importa porque la IA física no falla como falla un chatbot. Un error en un modelo generativo suele acabar en texto absurdo o en una alucinación. Un error en un robot móvil, en un sistema de evitación de colisiones o en una función de parada de emergencia “inteligente” puede acabar en un golpe, una lesión, una parada de producción o una retirada de producto. La Comisión lo sabe, y por eso el ajuste normativo no va de filosofía tecnológica: va de acceso al mercado.
Tesis editorial
Mi tesis es simple: el AI Omnibus no desregula la IA física; la somete a una disciplina más industrial y, en muchos casos, más exigente. Quien venda esto internamente como una “relajación” está preparando un accidente regulatorio, y quizá algo peor.
La razón es casi de sentido común, que en Bruselas no siempre abunda pero aquí ha aparecido. Cuando una función de IA determina el comportamiento de una máquina en el mundo físico, tratarla solo como un problema horizontal de “gobernanza algorítmica” se quedaba corto. Lo que importa no es únicamente si el sistema es de alto riesgo según una taxonomía jurídica, sino si el producto completo es seguro, resistente a ataques, trazable, actualizable y conforme con su legislación sectorial.
Eso desplaza el centro de gravedad desde el departamento legal hacia una coalición menos glamourosa y mucho más decisiva: ingeniería de producto, seguridad funcional, ciberseguridad, calidad, regulatory affairs y compras. Si en tu empresa siguen pensando que el AI Act se resuelve con un comité, un inventario y una política, van tarde.
Reuters recoge un detalle clave: para robótica y otra “physical AI”, el AI Act se aplicará en forma reducida porque los requisitos de IA de alto riesgo se integrarán en la Machinery Regulation, especialmente para maquinaria industrial, a través de futuros actos delegados de la Comisión. Eso enlaza con el considerando 47 de la reforma. Traducido: hoy tienes una simplificación conceptual; mañana tendrás requisitos técnicos más pegados a la máquina real.
Y aquí está la ironía: Europa dice que quiere dejar de regular por capas superpuestas. Bien. Lo que ha hecho no es recortar obligaciones, sino colocarlas donde duelen de verdad: en la puesta en el mercado, el expediente técnico, el marcado CE, la vigilancia poscomercialización y la responsabilidad del fabricante.
Qué cambia exactamente desde julio de 2026
El AI Omnibus fue aprobado por el Parlamento Europeo el 16 de junio de 2026, publicado el 24 de julio y en vigor desde el 27 de julio de 2026. Jurídicamente, el punto central es este: reorganiza cómo se reparten las obligaciones entre el AI Act y la legislación sectorial de producto.
Hasta ahora, la conversación sobre IA de alto riesgo tendía a empezar y terminar en el AI Act. Con la reforma, eso deja de funcionar para una parte sustancial de los productos con IA embebida, sobre todo en entornos industriales. El cambio no afecta por igual a todo el ecosistema:
La IA de alto riesgo autónoma o stand-alone del anexo III del AI Act —por ejemplo, ciertos usos en biometría o infraestructuras críticas— empezará a estar sujeta a sus obligaciones a partir del 2 de diciembre de 2027.
La IA de alto riesgo embebida en productos, cuando el sistema de IA sea un componente de seguridad en el sentido del artículo 6.1 del AI Act, empezará a estar sujeta a ese régimen a partir del 2 de agosto de 2028.
Las obligaciones de transparencia de contenido del artículo 50 del AI Act —incluido el marcado o watermarking cuando proceda— deben aplicarse desde el 2 de diciembre de 2026.
Desde esa misma fecha, el artículo 5 del AI Act incorpora la prohibición de sistemas que generen o manipulen contenido íntimo no consentido o material de abuso sexual infantil.
Hay además dos elementos de gobernanza que merecen atención especial. El primero es la base de datos europea para sistemas de IA de alto riesgo. Según el artículo 49.1 del AI Act, los proveedores deben registrar sistemas de alto riesgo en esa base. Lo llamativo, según el resumen de Reuters, es que el nuevo enfoque empuja a registrar incluso sistemas que el proveedor considere fuera de alcance, con apoyo en el artículo 49.2, para reforzar la supervisión y homogeneizar criterios de clasificación. No es un detalle burocrático: es una forma de evitar que cada fabricante se haga su propia teología regulatoria sobre qué es y qué no es alto riesgo.
El segundo es la obligación de la Comisión de emitir orientaciones para ayudar a los operadores económicos bajo legislación sectorial a cumplir los requisitos de IA de alto riesgo minimizando carga administrativa, mencionada en el considerando 37. Dicho con menos solemnidad: Bruselas admite que ha creado un laberinto y promete ahora un mapa.
El mapa, claro, aún no sustituye al camino. Y mientras no lleguen los actos delegados específicos para maquinaria, los fabricantes tienen que trabajar con una realidad incómoda: saben la dirección de viaje, pero no tienen todavía todos los detalles técnicos consolidados.
La gran mudanza: del AI Act horizontal a la seguridad de producto
La verdadera noticia no es que el AI Act siga vivo. Eso ya lo sabíamos. La noticia es que, para muchos productos físicos con IA, la puerta de entrada al mercado de la UE se va a decidir cada vez más en la legislación armonizada de producto y no en el marco horizontal del AI Act.
Esto tiene tres consecuencias.
La primera es documental. El expediente técnico del producto deja de ser un apéndice mecánico de compliance para convertirse en el núcleo probatorio de cómo se ha gestionado la IA. Si una función basada en aprendizaje automático participa en una parada segura, evita una colisión, modula una fuerza de agarre o interpreta señales del entorno, tendrás que demostrar no solo rendimiento, sino límites operativos, supuestos de diseño, gestión de degradaciones, trazabilidad de datos relevantes para seguridad, resistencia a manipulación y control de cambios.
La segunda es procedimental. El marcado CE no se obtiene con una narrativa elegante sobre “IA responsable”. Se obtiene cumpliendo procedimientos de evaluación de la conformidad bajo la normativa aplicable al producto. En maquinaria industrial, eso conecta con la Machinery Regulation; en productos con elementos digitales, con el Cyber Resilience Act; en dispositivos biométricos o médicos, con sus reglas específicas. La IA deja de ser un módulo de cumplimiento aislado y pasa a contaminar —en el sentido técnico del término— la arquitectura completa de conformidad.
La tercera es contractual. Fabricantes, importadores, distribuidores, integradores y operadores van a renegociar responsabilidades. ¿Quién valida una actualización de modelo que afecta a una función de seguridad? ¿Quién conserva la documentación de entrenamiento, ensayo y validación? ¿Quién gestiona incidentes de ciberseguridad que alteran el comportamiento físico del sistema? ¿Quién decide si un cambio es sustancial y obliga a una nueva evaluación? Si estos puntos no están escritos, el mercado los resolverá después del primer incidente. Mala idea.
La Comisión, con esta reforma, está diciendo algo que la industria debería haber asumido hace tiempo: cuando la IA mueve un brazo robótico, un vehículo autónomo de almacén o un componente de seguridad, la discusión ya no es teórica. Es ingeniería regulada.
Por qué la simplificación puede complicar la vida al fabricante
La etiqueta “simplificación” funciona muy bien en una nota de prensa. En operaciones reales, tiene truco.
Si antes una empresa pensaba el AI Act como una capa horizontal añadida a un producto ya diseñado, ahora se verá obligada a integrar requisitos desde fases mucho más tempranas del ciclo de vida. La consecuencia práctica es que compliance entra antes en diseño, pero ya no como observador: entra a bloquear o rediseñar.
Imagina un fabricante de robots colaborativos que usa visión artificial y aprendizaje automático para ajustar trayectorias en tiempo real. Con el nuevo enfoque, no basta con evaluar si el sistema puede encajar como IA de alto riesgo. Hay que preguntarse si ese comportamiento variable afecta a una función de seguridad, si la ciberseguridad del modelo puede comprometer la seguridad física, si los datos de operación requieren tratamiento bajo GDPR, si el mecanismo de actualización remota convierte el producto en objetivo del Cyber Resilience Act y si el expediente de conformidad recoge pruebas reproducibles de rendimiento en límites de uso previsibles.
Ahí es donde muchos proyectos se encarecerán. No por “más regulación” en sentido bruto, sino por una verdad menos agradable: no puedes llevar al mercado europeo un producto adaptativo, conectado y físicamente peligroso con los mismos procesos de un software SaaS y una hoja de Excel optimista.
Además, la promesa de futuros actos delegados para introducir requisitos específicos de salud y seguridad de IA en maquinaria abre un problema de transición. Las empresas tienen que diseñar hoy para un marco que está parcialmente definido y parcialmente pendiente. Los equipos prudentes aplicarán un enfoque de compliance by anticipation: identificar desde ya dónde la IA incide en la seguridad esencial y documentarlo como si el escrutinio fuese a ser más duro, no más blando. Los equipos que esperen a que el regulador les detalle hasta el último tornillo perderán tiempo, y quizá mercado.
No todos los productos salen ganando: el efecto asimétrico del anexo I
Otro detalle relevante de la reforma es que no todo producto con IA embebida disfruta del mismo desplazamiento hacia la normativa sectorial. Reuters subraya que los productos cubiertos por legislación armonizada de la Unión incluida en el anexo I del AI Act —juguetes, ascensores y otros— seguirán plenamente sujetos tanto a su ley de producto como al propio AI Act.
Eso crea una geografía regulatoria menos uniforme de lo que parece. Dos empresas con productos basados en IA pueden encontrarse con cargas distintas según la categoría regulatoria del producto. Para unas, habrá integración reforzada con la normativa sectorial; para otras, persistirá la doble capa de cumplimiento.
La consecuencia empresarial es obvia y, aun así, muchos la subestiman: la clasificación regulatoria del producto se convierte en una decisión estratégica de primer orden. No hablo de “forum shopping” dentro de la UE, que aquí no aplica de forma simple, sino de algo más básico: definir mal el producto, su uso previsto o su arquitectura puede empujarte a un camino de conformidad más largo, más caro y más expuesto.
Si tu organización desarrolla plataformas reutilizables —por ejemplo, una pila de visión artificial o un módulo de navegación que se integra en varios tipos de equipos— necesitas mapear desde ya en qué productos finales cae cada instancia y qué combinación normativa activa. La idea de que un mismo “motor de IA” tendrá un único paquete de cumplimiento ya no se sostiene.
El triángulo incómodo: seguridad física, ciberseguridad y privacidad
El AI Omnibus puede leerse como una reforma de simplificación, pero el problema técnico que intenta resolver es uno de convergencia regulatoria. Los sistemas de IA física concentran tres planos de riesgo que antes muchas empresas gestionaban en silos: seguridad física, ciberseguridad y derechos fundamentales, incluida la privacidad.
Si un robot móvil industrial toma decisiones con IA, un ataque adversario o una manipulación del entorno sensorial puede transformarse en un fallo de seguridad física. Si un sistema biométrico con IA identifica personas en una instalación crítica, el riesgo no es solo de discriminación o error estadístico; también lo es de tratamiento ilícito de datos personales y de exposición a accesos indebidos. Si una actualización remota modifica el comportamiento de una máquina, la frontera entre mantenimiento, cambio sustancial y nueva evaluación regulatoria se vuelve muy fina.
Esto obliga a trabajar con una visión integrada de controles.
Desde la óptica de privacidad, el GDPR no desaparece porque el producto esté ahora más pegado a legislación de producto. Si el sistema trata datos personales, siguen aplicando principios del artículo 5 del GDPR, la base jurídica del artículo 6, la privacidad desde el diseño del artículo 25, la seguridad del tratamiento del artículo 32 y, si hay brecha, la notificación del artículo 33. En productos biométricos o de reconocimiento facial, además, el artículo 9 sobre categorías especiales puede entrar de lleno.
Desde la óptica de ciberseguridad, la convergencia con el Cyber Resilience Act es inevitable cuando hablamos de productos con elementos digitales. Aunque Reuters no entra al detalle del CRA, cualquier fabricante serio de IA física conectada debería estar analizando ya cómo casar seguridad por defecto, gestión de vulnerabilidades y actualizaciones seguras con los requisitos funcionales del producto. Un modelo que toma decisiones en el borde pero se actualiza desde la nube es un caso de libro para esta tensión.
Desde la seguridad de producto, la clave será probar que la IA no degrada los requisitos esenciales de salud y seguridad. Y eso exige métricas, escenarios de ensayo, gestión de excepciones y límites de operación documentados. La retórica de “nuestro modelo aprende continuamente” entusiasma en marketing y pone nervioso a cualquier evaluador de conformidad con dos dedos de frente.
Impacto regulatorio cruzado
El AI Omnibus no vive solo. Para banca, seguros, infraestructuras críticas y fabricantes que venden a sectores regulados, el verdadero trabajo está en cómo encaja con otras normas que ya están exigiendo evidencias, gobierno y resiliencia.
AI Act y DORA: cuando el robot no es financiero, pero el cliente sí
DORA sigue siendo el eje para resiliencia operativa digital en entidades financieras desde su aplicación plena en 2025. Si un banco, aseguradora o proveedor TIC crítico utiliza robots, sistemas biométricos, automatización física en centros logísticos, cajeros inteligentes o herramientas de seguridad con IA, la conversación no termina en el fabricante del producto. La entidad financiera debe gestionar riesgo TIC de terceros, pruebas, incidentes y continuidad bajo DORA, con especial atención a terceros ICT y subcontratación en cadena.
Aunque DORA no regula el marcado CE del robot, sí obliga a la entidad a entender cómo un fallo o compromiso del sistema afecta a servicios críticos. Un vehículo autónomo en un centro de efectivo, una solución biométrica para control de acceso o un sistema de vídeo analítica conectado a un SOC pueden convertirse en dependencia operativa material. Si el proveedor no ofrece trazabilidad de actualizaciones, gestión de vulnerabilidades o compromisos contractuales auditables, el problema sube al comité de riesgos de la entidad.
Aquí hay una fricción clara: la industria de producto suele pensar en acceso al mercado; la banca piensa en resiliencia continua. El AI Omnibus acerca esos mundos por la vía dura.
AI Act y GDPR: el viejo problema de datos, ahora con ruedas
En IA física, el GDPR deja de ser un anexo de privacidad y pasa a ser parte de la seguridad operacional. Un sistema de percepción que capta matrículas, rostros, voz o patrones de comportamiento puede activar obligaciones de minimización, información, evaluación de impacto y seguridad reforzada. Si además hay biometría, la sensibilidad jurídica aumenta.
La tentación de reutilizar datos de operación para reentrenar modelos seguirá ahí, porque mejora rendimiento y reduce costes. El problema es que no todo dato capturado para operar una máquina puede reciclarse alegremente para desarrollo de IA. El artículo 5.1.b del GDPR, sobre limitación de la finalidad, y el 5.1.c, sobre minimización, siguen haciendo su trabajo antipático. Y alguien tiene que explicárselo al equipo de producto antes de que convierta un flujo de telemetría en una mina de oro regulatoriamente tóxica.
AI Act y NIS2: seguridad de la cadena y responsabilidad directiva
NIS2, transpuesta por los Estados miembros con ritmos desiguales, obliga a sectores esenciales e importantes a adoptar medidas técnicas, operativas y organizativas bajo su artículo 21. Si un fabricante vende IA física a operadores esenciales —energía, transporte, salud, agua, manufactura crítica, digital infrastructure— la presión sobre seguridad de la cadena de suministro y gestión de incidentes se multiplica.
La dirección ya no puede fingir que esto es un problema de ingeniería. NIS2 refuerza responsabilidad de los órganos de dirección y exige supervisión real. Si un producto con IA embebida entra en entornos esenciales sin evidencia sólida de ciberseguridad, actualizaciones y respuesta a incidentes, el comprador regulado lo verá como riesgo de cumplimiento, no solo como riesgo técnico.
AI Act y eIDAS 2.0: identidad, confianza y dispositivos inteligentes
En entornos donde la IA física se combina con autenticación, identificación o validación de atributos —piensa en dispositivos de acceso físico, onboarding asistido, kioscos inteligentes o control de presencia— eIDAS 2.0 añade otra capa: confianza e identidad digital verificable. No sustituye al AI Act ni a la regulación de producto, pero eleva el listón probatorio cuando el sistema interviene en procesos de identificación o firma con consecuencias jurídicas.
Para fabricantes e integradores, esto implica revisar si el producto no solo “funciona”, sino si se puede integrar en ecosistemas de confianza donde trazabilidad, integridad y autenticación robusta son exigencias de negocio y no caprichos de compliance.
AI Act y NIST CSF 2.0: el lenguaje común que Europa aún no ofrece del todo
NIST CSF 2.0 no es ley europea, pero sigue siendo una referencia útil para multinacionales y para equipos que necesitan un lenguaje operativo para gobernanza, identificación, protección, detección, respuesta y recuperación. El AI Omnibus promete orientación de la Comisión; mientras llega, muchos fabricantes harán algo sensato: mapear requisitos europeos a prácticas de ingeniería y ciberseguridad que ya entienden.
No resuelve la evaluación de conformidad, pero ayuda a ordenar el trabajo. Y a veces eso ya es bastante más de lo que ofrece un texto legal con 200 considerandos.
Qué significa esto para banca y seguros en España
Aunque la reforma habla sobre acceso al mercado de productos con IA, su impacto alcanza de forma clara al sector financiero europeo, también en España. No porque bancos y aseguradoras vayan a fabricar robots industriales mañana, sino porque compran, integran y dependen cada vez más de sistemas físicos y ciberfísicos con componentes de IA.
Algunos ejemplos son muy concretos. Cajeros y terminales inteligentes con analítica avanzada; sistemas biométricos de acceso a oficinas o CPD; automatización física en centros de documentación y logística; videovigilancia inteligente en sucursales y centros de efectivo; dispositivos de autenticación asistida; robots de atención o mantenimiento en grandes campus corporativos; herramientas de seguridad física conectadas con plataformas SIEM y SOC.
Para estas entidades, el nuevo marco plantea al menos cuatro preguntas incómodas.
La primera: ¿estamos comprando un “producto con IA” o una dependencia operativa crítica con riesgo regulatorio compuesto? Si la respuesta es lo segundo, DORA exige más diligencia, más cláusulas contractuales y más supervisión continua.
La segunda: ¿el proveedor distingue con precisión qué parte de su cumplimiento recae en legislación de producto y qué parte en el AI Act, GDPR y ciberseguridad? Si responde con una presentación comercial llena de nubes y flechas, mala señal.
La tercera: ¿las actualizaciones del modelo o del software asociado pueden alterar funciones materiales del sistema? Si sí, la entidad necesita gobierno de cambios, ventanas de prueba, reversibilidad y obligaciones de notificación del proveedor.
La cuarta: ¿se están tratando datos personales, biométricos o de comportamiento? Si sí, habrá que alinear la compra con DPIA cuando proceda, controles del artículo 32 del GDPR y criterios de minimización reales, no decorativos.
Las entidades financieras españolas harían bien en revisar ahora sus procesos de procurement tecnológico para exigir a proveedores de IA física tres piezas que hasta hace poco muchos no pedían con seriedad: expediente de conformidad de producto o evidencia equivalente relevante para el cliente, política de gestión de vulnerabilidades y trazabilidad de cambios de modelo o software con impacto operativo.
Las decisiones de diseño que ahora pesan más
La reforma europea convierte varias decisiones técnicas, aparentemente menores, en decisiones regulatorias de primer nivel.
Modelos cerrados frente a adaptativos
Un comportamiento estático y bien validado suele ser más fácil de demostrar ante un evaluador que un sistema que sigue aprendiendo o ajustándose en producción. No significa que la adaptación quede prohibida; significa que tendrás que demostrar cómo controlas sus límites. Si tu propuesta de valor depende de aprendizaje continuo, prepárate para justificarlo con mucho más rigor.
Actualizaciones remotas
Las actualizaciones OTA son magníficas hasta que alteran una función que afecta a seguridad o conformidad. El fabricante debe decidir si limita qué se actualiza en campo, si separa capas críticas y no críticas, y cómo documenta pruebas, rollback y validación posterior. Cuanto más conectado el producto, más se parece a un problema de ciberseguridad regulada.
Uso de biometría o percepción personal
Captar más datos mejora, en teoría, la capacidad de percepción del sistema. También multiplica obligaciones bajo GDPR y, dependiendo del caso, sensibilidad bajo el AI Act. La pregunta correcta ya no es “¿podemos capturarlo?”, sino “¿necesitamos capturarlo para la función segura prevista?”. Si la respuesta es no, cada dato extra es una deuda.
Explicabilidad operativa, no filosófica
No hace falta convertir cada modelo en una tesis doctoral de interpretabilidad. Sí hace falta que el fabricante pueda explicar qué entradas importan, qué salidas acciona el sistema, en qué condiciones deja de ser fiable y qué salvaguardas entran cuando eso ocurre. Para una máquina que actúa en el mundo físico, esa explicabilidad no es ética abstracta: es seguridad operativa.
Qué deberían hacer ahora fabricantes, integradores y compradores regulados
No hay un checklist mágico, pero sí un orden razonable.
Primero, mapear productos y funciones. No el catálogo comercial, sino las funciones concretas en las que la IA influye sobre seguridad, movimiento, decisiones con impacto físico, autenticación o tratamiento de datos personales. Sin ese mapa, cualquier análisis regulatorio será un decorado caro.
Segundo, reclasificar el producto con criterios regulatorios actualizados. Determina si estás ante maquinaria, producto con elementos digitales, dispositivo bajo otra legislación armonizada del anexo I del AI Act, sistema autónomo del anexo III o una combinación. La clasificación manda sobre plazos, documentación y evaluación.
Tercero, integrar a ingeniería, ciberseguridad, legal y calidad en un único flujo de cambio. La época de revisar el producto al final del proyecto ha terminado. Si una actualización del modelo cambia el comportamiento físico o la superficie de ataque, el circuito de aprobación debe reflejarlo.
Cuarto, revisar contratos. Los proveedores deben comprometerse por escrito sobre gestión de vulnerabilidades, tiempos de notificación, soporte de incidencias, trazabilidad de versiones, retención documental y cooperación en auditorías o investigaciones de incidente. DORA y NIS2 han acostumbrado a los compradores serios a pedir esto. La IA física hará que lo pidan también fuera del perímetro puramente TIC.
Quinto, construir evidencia antes de que la pida el regulador o el cliente. Ensayos de límites, escenarios de fallo, pruebas de ciberresiliencia, documentación de datos usados para validación de seguridad, control de cambios y justificación del uso de datos personales. Si esperas a producirlo cuando llegue una autoridad, llegarás tarde.
Sexto, seguir de cerca los actos delegados de la Comisión para maquinaria y la orientación prometida. La ventana actual es engañosa: parece más tranquila porque parte del detalle aún no ha aterrizado. Cuando aterrice, las empresas que hayan dejado todo para “cuando se aclare” descubrirán que el mercado no les ha esperado.
El argumento a favor de la reforma —y su límite
Hay un contraargumento razonable a mi tesis: integrar la IA física en legislación sectorial evita duplicidades, hace el sistema más lógico y reduce carga innecesaria. Es cierto. La UE llevaba tiempo superponiendo normas horizontales y verticales con un gusto casi artístico por la complejidad. Desde ese punto de vista, el AI Omnibus corrige un problema real.
También es cierto que el calendario más diferenciado da algo de aire. Que las obligaciones para IA de alto riesgo autónoma arranquen el 2 de diciembre de 2027 y para producto embebido el 2 de agosto de 2028 ofrece margen de adaptación. Eso no es menor.
Pero el límite del argumento está en confundir menos duplicidad con menos responsabilidad. No son lo mismo. Para productos que interactúan con el mundo físico, la responsabilidad puede incluso volverse más concreta, porque ya no se discute en el plano abstracto de la gobernanza algorítmica sino en el de la seguridad del producto puesto en el mercado.
Y ese plano tiene menos espacio para la ambigüedad. Un producto es seguro o no lo es. Un expediente convence o no convence. Una actualización está controlada o no lo está. No hay mucho lugar para esconderse tras un marco ético elegante.
La pregunta que deja 2026
La UE ha hecho este año algo más inteligente de lo habitual: reconocer que la IA física exige una lógica regulatoria pegada al producto real. Eso mejora coherencia. También eleva el nivel del juego.
La pregunta para 2026 no es si tu empresa “tiene un programa de AI governance”. La pregunta es otra: ¿puedes demostrar, con evidencias técnicas y documentales, que tu robot, máquina autónoma o sistema inteligente es seguro, ciberresiliente, trazable y jurídicamente vendible en la UE bajo el nuevo reparto de obligaciones?
Si la respuesta depende de una futura guía de la Comisión, de un proveedor opaco o de un PowerPoint optimista, no tienes una estrategia de acceso al mercado. Tienes una apuesta.
Y las apuestas, cuando llevan ruedas, brazos mecánicos o biometría, suelen acabar visitando al regulador por la puerta menos agradable.