Bruselas afloja el AI Act con el Digital Omnibus: menos duplicidad sobre el papel, más trabajo fino para banca y sectores regulados

La Comisión, el Parlamento y el Consejo llevaban meses vendiendo “simplificación”. Ya tenemos el texto. Y la simplificación, como casi siempre en Bruselas, consiste en mover la complejidad de sitio.

El Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026 y firmado el 8 de julio de 2026, modifica el AI Act —Reglamento (UE) 2024/1689— junto con otras piezas sectoriales para reducir solapamientos y aliviar carga de cumplimiento. La idea central está clara en sus considerandos: si cierta legislación sectorial de armonización ya logra un nivel equivalente de protección, no tiene demasiado sentido obligar a repetir parte del ejercicio bajo el AI Act. Suena razonable. También abre una pregunta menos cómoda: quién decide qué es “equivalente”, cuándo y con qué consecuencias si un supervisor discrepa.

Aquí está el quid. El Digital Omnibus sobre IA no desmantela el AI Act ni rebaja su lógica de control sobre sistemas de alto riesgo. Lo que hace es crear una vía para limitar determinadas obligaciones concretas del AI Act cuando otra normativa armonizada de la UE ya cubra el mismo terreno con protección equivalente. Eso puede ser una buena noticia para fabricantes, proveedores y operadores en sectores regulados. También puede convertirse en un problema de gobernanza, documentación y defensa ante auditorías si las empresas lo interpretan como permiso para relajar controles. No lo es.

Para banca, seguros, pagos, infraestructuras críticas y proveedores tecnológicos, esta reforma llega en el peor y mejor momento a la vez. Peor, porque 2026 ya es un año de despliegue operativo duro: las entidades siguen aterrizando DORA, consolidando inventarios de terceros ICT, afinando notificación de incidentes y revisando contratos. Mejor, porque justo ahora el mercado necesitaba una señal política contra el apilamiento normativo sin sentido. El problema es que la señal política no sustituye al trabajo jurídico-técnico. Lo complica.

Tesis editorial

Mi tesis es simple: el Digital Omnibus no “suaviza” el AI Act; lo vuelve más dependiente de una arquitectura de equivalencias que exigirá más madurez regulatoria de la que hoy tienen muchas organizaciones. En otras palabras, menos duplicidad formal, más necesidad de criterio fino.

Eso importa porque el cumplimiento de IA en sectores regulados no fracasa por falta de normas. Fracasa por tres cosas bastante menos glamurosas: catálogos de sistemas incompletos, controles que existen pero no se conectan entre sí, y equipos legales, de riesgo y de seguridad que hablan idiomas distintos. El Omnibus intenta corregir la primera capa del problema —la repetición normativa—, pero deja intacta la parte incómoda: demostrar, con evidencias, que un control sectorial cubre de verdad la exigencia del AI Act que pretendes limitar.

No es una objeción menor. El propio texto reconoce dos hechos políticos que Bruselas preferiría no subrayar demasiado. Primero, que la preparación de estándares va con retraso. Segundo, que la gobernanza nacional y los marcos de evaluación de conformidad no han llegado a tiempo con la claridad prometida. Traducido al castellano de compliance: el legislador ha admitido que la carga de cumplimiento ha sido “más pesada de lo esperado”. Es una forma elegante de describir un problema bastante terrenal: pedir a las empresas que ejecuten con precisión milimétrica sobre cimientos aún en obra.

La parte valiosa del Omnibus es que por fin reconoce algo obvio para cualquiera que haya intentado mapear IA, ciberseguridad y privacidad en una entidad financiera: las capas regulatorias se pisan entre sí. La parte peligrosa es que la solución descansa en futuros actos delegados de la Comisión para identificar qué productos, obligaciones y condiciones pueden beneficiarse de esa limitación. Es decir, el gran titular de simplificación de 2026 depende en buena medida de desarrollo regulatorio posterior. La ironía se escribe sola.

Qué cambia de verdad en el Reglamento 2026/1744

El cambio más relevante no está en una retórica grandilocuente sobre innovación responsable, que de eso la UE va servida. Está en la mecánica jurídica que introduce el texto para los sistemas de IA de alto riesgo vinculados a legislación sectorial armonizada.

El considerando (5) del Reglamento (UE) 2026/1744 dice, en esencia, lo siguiente: para los sistemas de IA de alto riesgo a los que se refiere el artículo 6.1 del AI Act, este se aplica junto con la legislación de armonización de la Unión listada en la sección A del anexo I. Y añade la clave: cuando esa legislación sectorial establezca requisitos que consigan el mismo o un mayor nivel de protección de los intereses públicos relevantes, debe ser posible limitar la aplicación de requisitos u obligaciones específicas del AI Act, siempre que se preserve el nivel de protección. La Comisión podrá concretar esos supuestos mediante actos delegados.

No estamos ante una exención general. No hay una especie de “si ya cumples sectorialmente, te olvidas del AI Act”. Sería demasiado fácil y, francamente, demasiado sensato para ser cierto. Lo que se abre es un esquema de equivalencia parcial y condicionada. Eso obliga a las organizaciones a hacer cuatro cosas que muchas aún no hacen bien:

• Identificar qué sistemas de IA encajan realmente en el perímetro de alto riesgo del art. 6 AI Act.
• Mapear cada obligación concreta del AI Act contra requisitos ya existentes en marcos sectoriales aplicables.
• Documentar por qué existe equivalencia sustantiva y no mera similitud terminológica.
• Gobernar las divergencias entre supervisores sectoriales, autoridades de protección de datos y futuras autoridades de mercado del AI Act.

El Reglamento 2026/1744 también da protagonismo a otro punto menos visible y muy material: la extensión de algunas medidas de apoyo y proporcionalidad a las small mid-cap enterprises o SMCs, además de las pymes. El considerando (6) lo explica con bastante claridad: estas empresas ya no encajan en la definición de pyme, pero siguen soportando cargas administrativas similares y tienen un papel relevante en innovación y digitalización. Para fintechs en expansión, scale-ups regtech o proveedores de IA aplicados a seguros y scoring, esto puede evitar el típico salto al vacío regulatorio que llega cuando dejas de ser pyme y de pronto el sistema te trata como si fueras un conglomerado con ejército jurídico propio.

Hay otro dato que conviene no perder de vista. El texto recuerda que el AI Act entró en vigor el 1 de agosto de 2024 y que la aplicación de sus disposiciones es escalonada, con todas las reglas aplicables a más tardar el 2 de agosto de 2027. Ese calendario no desaparece. La simplificación no pausa el reloj. Si tu organización sigue esperando “más claridad” para empezar el inventario, la clasificación de casos de uso o la revisión contractual con proveedores, llega tarde aunque el Omnibus haya abierto una compuerta de flexibilidad.

La palabra trampa es “equivalencia”

La UE acaba de colocar en el centro del debate una palabra que parece técnica, pero es profundamente política: equivalencia. Y en cumplimiento regulatorio, la equivalencia nunca es una comparación neutral. Es una decisión sobre quién manda, quién cede y quién asume el riesgo si algo sale mal.

Supongamos un proveedor de tecnología para banca que integra un sistema de IA en un producto cubierto por legislación sectorial armonizada del anexo I del AI Act. El Omnibus le sugiere que quizá no tenga que duplicar ciertas obligaciones si la normativa sectorial ya alcanza un nivel equivalente de protección. Perfecto. Ahora llegan las preguntas de verdad:

• ¿Equivalente respecto de salud y seguridad, o también respecto de derechos fundamentales?
• ¿Equivalente en el resultado, en el proceso o en la evidencia exigible?
• ¿Quién valida esa equivalencia: la propia empresa, un notified body, la autoridad sectorial, la autoridad del AI Act o todas en distinta medida?
• ¿Qué ocurre si el control sectorial cubre seguridad operacional, pero no trazabilidad, calidad de datos o supervisión humana en el sentido estricto del AI Act?

El texto intenta acotar el riesgo al exigir que cualquier limitación se permita solo “where, and to the extent that” la normativa sectorial aporte un nivel equivalente de protección. Esa expresión importa mucho. No habla de categorías enteras liberadas de obligaciones, sino de recortes quirúrgicos. En la práctica, eso obliga a trabajar a nivel de obligación individual, no de marco general.

Para los equipos de compliance, el error más caro en 2026 sería convertir esta reforma en un PowerPoint optimista. Si el mapa de equivalencia no baja al detalle de control, evidencia, responsable y base legal, no sirve. Y peor: puede convertirse en prueba en contra si, tras un incidente o una inspección, la autoridad considera que la empresa se acogió a una “simplificación” que nunca estuvo jurídicamente cerrada para su caso.

Este es el tipo de reforma que reduce fricción solo para quien ya tiene una función de cumplimiento madura. Para el resto, el riesgo es el contrario: creer que la simplificación normativa elimina el trabajo de integración. No lo elimina. Lo vuelve menos repetitivo, pero más exigente intelectualmente.

Impacto regulatorio cruzado

El Digital Omnibus sobre IA importa precisamente porque no vive solo. Aterriza encima de una mesa ya llena: DORA, NIS2, GDPR, eIDAS 2.0 y, en ciertas industrias, normativa sectorial de producto o seguridad. La pregunta útil no es si hay solapamientos. Claro que los hay. La pregunta útil es dónde conviene unificar evidencias y dónde no.

AI Act y DORA: mismo proveedor, distinta obsesión

DORA no regula la IA como tal. Regula la resiliencia operativa digital de las entidades financieras. Su eje sobre terceros ICT está en el capítulo V, especialmente los artículos 28 a 30, y obliga a gestionar riesgos derivados de proveedores tecnológicos con inventario, estrategia, due diligence, contenido contractual mínimo y planes de salida. Si un sistema de IA crítico depende de un tercero, DORA ya te obliga a saber mucho sobre ese tercero. El AI Act te obliga a saber algo distinto: si el sistema encaja como alto riesgo, cómo se gobierna, con qué datos, qué trazabilidad tiene, qué supervisión humana existe y qué evaluación de conformidad corresponde.

La intersección es obvia en banca y seguros. Un motor de decisión, detección de fraude, scoring o priorización operativa basado en IA puede no ser solo una cuestión de innovación. Puede ser un riesgo operacional crítico. El error típico es pensar que la due diligence DORA cubre la due diligence AI Act. No necesariamente. DORA pregunta por continuidad, seguridad, concentración y dependencia. El AI Act, por diseño y uso responsable del sistema. Un mismo proveedor, dos lógicas distintas.

El Omnibus puede ayudar a evitar duplicidad en sectores cubiertos por legislación armonizada, pero no fusiona estos regímenes. Si una entidad financiera quiere trabajar con eficiencia, debe construir una matriz única de proveedor-sistema-control que distinga al menos cinco capas: criticidad operativa, riesgo de derechos fundamentales, seguridad de la información, calidad y gobernanza del dato y dependencia contractual. Sin eso, cada norma generará su propio inventario y el resultado será el habitual: tres registros, cuatro owners y ninguna visión consolidada.

AI Act y GDPR: la fricción no desaparece porque Bruselas quiera ahorrar papel

Si el sistema de IA trata datos personales, el GDPR sigue mandando en lo suyo. El Digital Omnibus no reescribe la licitud del tratamiento, la minimización, la limitación de finalidad o las obligaciones de seguridad. Tampoco toca la notificación de brechas del artículo 33 GDPR, con su plazo de 72 horas, ni la comunicación al interesado del artículo 34 cuando proceda.

La tensión más interesante está en la relación entre obligaciones del AI Act sobre documentación, calidad de datos, logging o transparencia y los principios del GDPR. Quien espere una alineación automática se va a llevar una decepción administrativa bastante cara. Un sistema puede estar impecablemente documentado para AI Act y, aun así, plantear problemas de base jurídica, de proporcionalidad o de decisiones con efectos significativos sobre personas bajo el artículo 22 GDPR.

El Omnibus reduce duplicidades entre el AI Act y cierta legislación armonizada de producto, no entre el AI Act y el GDPR. Son planos distintos. De hecho, en sectores regulados la presión documental puede aumentar, porque si pretendes apoyarte en equivalencias sectoriales para limitar requisitos del AI Act, necesitarás explicar con más nitidez dónde termina esa equivalencia y dónde empieza la obligación autónoma de privacidad.

AI Act y NIS2: seguridad sí, pero no confundas seguridad con cumplimiento integral de IA

La Directiva (UE) 2022/2555, conocida como NIS2, exige medidas de gestión de riesgos de ciberseguridad en su artículo 21 y establece obligaciones de notificación de incidentes en el artículo 23. Si una organización usa IA en procesos críticos, NIS2 empuja a robustecer seguridad de red y sistemas, gestión de incidentes, continuidad, cadena de suministro, cifrado, higiene básica y gobernanza.

Todo eso es esencial. Ninguna de esas obligaciones convierte por sí sola un sistema en “conforme con IA” en el sentido del AI Act. Un modelo puede estar bien protegido frente a accesos no autorizados y seguir siendo opaco, mal entrenado, incapaz de justificar una salida o peligrosamente dependiente de datos sesgados. La seguridad es una condición necesaria, no suficiente.

Aquí el Omnibus puede servir para coordinar mejor supervisión y enforcement, justo lo que anticipa el considerando (4), que pide evitar solapamientos, interpretaciones inconsistentes y enforcement divergente. La intención es buena. La práctica dependerá de cómo cooperen autoridades nacionales. Y eso, conviene decirlo sin maquillaje, en Europa nunca es homogéneo.

eIDAS 2.0 y confianza digital: el eslabón que muchos pasarán por alto

En identificación electrónica, servicios de confianza y wallets, eIDAS 2.0 mete otra variable relevante: la fiabilidad de atributos, identidad y firmas o sellos en flujos automatizados donde puede intervenir IA. No hay una colisión frontal con el Omnibus, pero sí un área crítica para entidades financieras: si la IA participa en onboarding, verificación, prevención de fraude documental o autenticación reforzada, la arquitectura de confianza no puede separarse de la evaluación del sistema.

La tentación será tratar eIDAS como un asunto de identidad y el AI Act como un asunto de producto. Error. En operaciones remotas, onboarding digital y antifraude, los dos mundos se tocan de lleno. El control real no consiste en tener una wallet o una firma cualificada en algún punto del flujo; consiste en saber cómo influye el sistema de IA en la decisión y qué evidencia deja.

Qué significa esto para banca y seguros

Si trabajas en una entidad financiera o aseguradora, 2026 no te permite el lujo del análisis académico. La cuestión es operativa: qué sistemas revisar primero, qué controles rediseñar y qué narrativa regulatoria defender.

Los casos más sensibles son bastante previsibles, pero no por eso están resueltos: scoring crediticio, detección de fraude, prevención de blanqueo, segmentación comercial, monitorización de siniestros, asistentes para gestores, automatización de reclamaciones y modelos de priorización operativa. Algunos encajarán con claridad en marcos de alto riesgo o en decisiones con impacto material sobre clientes. Otros vivirán en zonas grises, que suelen ser las más peligrosas porque nadie las trata con la disciplina de un sistema regulado hasta que algo falla.

El Omnibus aporta una oportunidad concreta: unificar el trabajo de cumplimiento sobre productos, modelos y proveedores para evitar que el área de IA, la de resiliencia, la de privacidad y la de riesgo de modelo trabajen sobre objetos distintos. Pero esa unificación requiere un cambio de método, no un cambio de discurso.

En banca y seguros hay al menos seis preguntas que deberían estar ya en la mesa del comité adecuado:

• ¿Tenemos un inventario de sistemas de IA conectado con el inventario de terceros críticos exigido por DORA?
• ¿Sabemos qué sistemas generan, apoyan o condicionan decisiones sobre clientes y, por tanto, merecen revisión de art. 22 GDPR y de clasificación AI Act?
• ¿Nuestros contratos con proveedores cubren no solo seguridad y continuidad, sino también documentación técnica, logs, cambios de modelo, datasets, subcontratación y derecho de auditoría?
• ¿La segunda línea de defensa puede revisar un caso de uso de IA con criterios consistentes de riesgo operacional, privacidad y cumplimiento algorítmico?
• ¿Existe un proceso de change management para cambios de modelo, reentrenamientos o incorporación de nuevas fuentes de datos?
• ¿Hemos definido qué evidencia guardaremos si mañana queremos acogernos a una limitación basada en equivalencia sectorial bajo el Omnibus?

El último punto es el más nuevo y probablemente el menos maduro. Hasta ahora, muchas entidades se preparaban para “cumplir el AI Act”. Desde hoy, algunas tendrán que prepararse también para justificar por qué ciertas obligaciones pueden modularse en su caso concreto. Y una justificación regulatoria sin traza documental vale más o menos lo mismo que un post-it.

No basta con mapear normas: hay que mapear decisiones

Uno de los vicios del compliance tecnológico es obsesionarse con el catálogo normativo y olvidar el objeto real regulado: la decisión. La mayoría de los riesgos jurídicos serios de la IA en finanzas no nacen porque un modelo exista, sino porque su salida influye en una decisión que afecta a un cliente, a una operación crítica o a una obligación legal de la entidad.

Eso tiene consecuencias directas para cómo aprovechar —o sobrevivir— al Digital Omnibus. La empresa que gane no será la que produzca el documento comparativo más bonito entre artículos. Será la que responda con precisión a cuatro preguntas para cada caso de uso:

1. Qué decide el sistema o qué parte de la decisión condiciona.
2. Qué datos utiliza, de dónde salen, con qué calidad y bajo qué base jurídica.
3. Qué tercero interviene en desarrollo, despliegue, hosting, fine-tuning, monitorización o mantenimiento.
4. Qué prueba queda de esa decisión, su supervisión humana y la gestión de incidencias.

Esto no es teoría. Es la diferencia entre un sistema gobernado y un accidente esperando presupuesto. Si una entidad no puede reconstruir la cadena completa desde proveedor a decisión y desde decisión a evidencia, el Omnibus no le simplifica nada. Solo le da una nueva capa de exposición si interpreta de forma agresiva las posibles limitaciones del AI Act.

Hay una razón adicional para tomarse esto en serio. El AI Act no vive solo en el momento de puesta en el mercado o despliegue. La gobernanza real se juega en la operación continua: incidencias, cambios de datos, degradación del rendimiento, ajustes del modelo, excepciones manuales, reclamaciones y auditorías. Ahí es donde se encuentran el AI Act, DORA y GDPR. Y ahí es donde suelen romperse las promesas comerciales.

La gobernanza que hará falta a partir de ahora

El Reglamento 2026/1744 empuja, aunque no lo diga con esas palabras, a una gobernanza más integrada. No basta con un “AI officer” decorativo ni con un comité trimestral donde se enseñan semáforos. Las entidades que quieran reducir duplicidades de verdad necesitarán una estructura capaz de tomar decisiones interdisciplinares con trazabilidad jurídica.

En la práctica, eso significa al menos cinco capacidades.

Primera, una función de clasificación de casos de uso que no dependa solo del negocio ni solo del equipo técnico. Debe incluir legal, privacidad, riesgo operacional, seguridad y, en finanzas, riesgo de modelo cuando exista.

Segunda, un registro vivo de sistemas de IA enlazado con inventario de aplicaciones, activos críticos, proveedores y procesos de negocio. Si cada área mantiene su hoja Excel patriótica, el cruce DORA-AI Act-GDPR será un caos con licencia.

Tercera, una disciplina contractual mucho más dura con terceros. El proveedor que no entrega documentación suficiente, derechos de acceso a logs, transparencia sobre subencargados o información sobre cambios materiales del sistema no es “innovador”; es una contingencia regulatoria con marketing.

Cuarta, una capacidad de challenge real de segunda línea. No para frenar por inercia, sino para desmontar falsas equivalencias, detectar lagunas de evidencia y exigir controles compensatorios cuando el marco legal todavía no esté del todo desarrollado.

Quinta, un mecanismo de revisión continua. Porque la equivalencia sectorial que hoy parezca defendible puede cambiar cuando la Comisión adopte actos delegados, cuando una autoridad nacional publique criterios o cuando un incidente revele que dos controles supuestamente equivalentes no cubrían lo mismo ni de lejos.

Objeción razonable: simplificar era necesario

La objeción a esta lectura crítica es obvia y, de hecho, atendible: la UE tenía que hacer algo. El AI Act original nació con una ambición horizontal enorme y se topó enseguida con un problema clásico del regulador europeo: una cosa es diseñar una capa general para el mercado interior y otra, bastante más incómoda, injertarla sobre sectores ya saturados de reglas técnicas, evaluaciones de conformidad y supervisores especializados.

En ese sentido, el Omnibus corrige un defecto real. Tiene lógica que, si una legislación sectorial ya impone requisitos equivalentes en un producto concreto, no se fuerce a las empresas a repetir un procedimiento completo solo por coherencia estética del sistema. El considerando (2) es revelador porque admite retrasos en estándares y en marcos nacionales de gobernanza, y porque reconoce que la carga de cumplimiento ha pesado más de lo previsto. El regulador, por una vez, mira el atasco y no solo el mapa.

Además, la extensión de medidas de proporcionalidad a las SMCs es una decisión sensata. Europa habla mucho de innovación y luego suele castigar administrativamente justo a las empresas que crecen. Corregir ese salto regulatorio tiene sentido económico.

Así que sí: simplificar era necesario. El problema no es haber simplificado. El problema será vender esta reforma como si la simplificación fuera automática, uniforme o autosuficiente. No lo es.

Mi análisis: la simplificación útil exigirá más disciplina, no menos

La lectura inteligente del Digital Omnibus no es “podemos relajar”. Es exactamente la contraria: podemos dejar de duplicar si primero demostramos que controlamos de verdad.

Esa diferencia separa a las organizaciones que saldrán reforzadas de las que se meterán solas en una trampa regulatoria. Las primeras aprovecharán 2026 y 2027 para consolidar una arquitectura común de evidencias, reasignar responsabilidades y convertir solapamientos en eficiencias reales. Las segundas interpretarán la reforma como tregua política, mantendrán inventarios incompletos, seguirán comprando IA en modo caja negra y descubrirán demasiado tarde que la palabra “equivalencia” no sustituye ni un log, ni una DPIA, ni un derecho de auditoría contractual.

Mi impresión es que el verdadero impacto del Omnibus no se verá en las notas de prensa ni en las presentaciones corporativas, sino en tres escenarios muy concretos:

• Auditorías internas y externas, donde por fin habrá que demostrar con precisión qué obligación del AI Act se considera cubierta por qué control sectorial.
• Negociación con proveedores, porque las entidades pedirán más transparencia técnica y más compromiso documental para sostener sus mapas de equivalencia y sus exigencias DORA.
• Gestión de incidentes y reclamaciones, donde se pondrá a prueba si la aparente simplificación dejó huecos entre resiliencia, privacidad, explicabilidad y supervisión humana.

Si algo deja este texto es una lección útil para 2026: la integración regulatoria no consiste en juntar siglas en una slide. Consiste en diseñar controles que resistan preguntas hostiles de un supervisor, de un auditor y, llegado el caso, de un juez.

Qué deberían hacer ahora las empresas

No hace falta caer en plantillas de consultoría ni inventarse hojas de ruta con numeritos mágicos. Sí hace falta actuar con una secuencia lógica bastante concreta.

Primero, revisar el inventario de casos de uso de IA y eliminar la ficción de que solo cuentan los modelos “grandes” o los sistemas comprados como IA explícita. En banca y seguros, muchos riesgos nacen en motores de reglas enriquecidos, modelos de scoring heredados, herramientas antifraude y capas de automatización que nadie etiquetó como IA cuando se implantaron.

Segundo, reclasificar los casos críticos contra el perímetro del art. 6 AI Act y contra impactos de privacidad, continuidad y decisión sobre clientes. Sin ese triage, no hay priorización seria.

Tercero, construir un mapa de correspondencia entre controles existentes y obligaciones del AI Act, distinguiendo claramente tres supuestos: control plenamente equivalente, control parcialmente equivalente y control no equivalente. Solo el primero abre la puerta a defender una limitación futura con algo de seguridad.

Cuarto, reabrir contratos con proveedores relevantes. DORA ya obligó a muchas entidades a revisar cláusulas sobre seguridad, acceso, subcontratación y salida. Ahora toca verificar si esos contratos permiten también sostener exigencias de documentación técnica, monitorización de cambios del sistema, registros, soporte a investigaciones y cooperación en evaluaciones de conformidad.

Quinto, alinear gobernanza de incidentes. Si un sistema de IA falla, el incidente puede tener múltiples caras: operativa, de ciberseguridad, de privacidad, de derechos del cliente y de cumplimiento sectorial. Si cada una viaja por su canal, la organización pierde horas críticas y crea relatos contradictorios. Y recordemos que, si hay datos personales comprometidos, el art. 33 GDPR no espera a que el comité de innovación se ponga de acuerdo.

Sexto, seguir de cerca los actos delegados y criterios de autoridades que concreten el juego de equivalencias. El Omnibus abre la puerta; no entrega el plano completo. Esa vigilancia regulatoria no es un lujo de gabinete. Es una necesidad operativa.

La perspectiva de fondo: Bruselas empieza a admitir que regular por capas tiene coste

Lo más interesante del Reglamento (UE) 2026/1744 quizá no sea lo que modifica, sino lo que reconoce implícitamente. Bruselas empieza a admitir que regular tecnologías transversales mediante capas acumulativas tiene un coste de ejecución que no se resuelve con más principios, más guías o más webinars institucionales.

El AI Act fue concebido como un marco horizontal. DORA, NIS2, GDPR y la normativa sectorial responden a lógicas distintas pero concurrentes. Durante años, la respuesta política habitual ha sido decir que los marcos son “complementarios”. Cierto. También lo son una llave inglesa y una inspección sorpresa, pero no por eso conviene mezclarlas sin manual. El Omnibus intenta, por fin, ordenar la convivencia.

Lo conseguirá solo a medias si las empresas y los supervisores no cambian de mentalidad. Las primeras deben dejar de organizarse por siglas regulatorias y empezar a gobernar por sistemas, decisiones, proveedores y evidencias. Los segundos tendrán que coordinarse mejor y resistir la tentación tan europea de llamar “simplificación” a una simplificación que necesita tres actos delegados, cinco criterios nacionales y un comité de interpretación.

La reforma merece atención seria precisamente porque no es cosmética. Cambia la conversación. Pero no nos engañemos: no convierte el cumplimiento de IA en algo más fácil; lo convierte en algo potencialmente más racional para quien haga los deberes y más arriesgado para quien improvise.

Si tu entidad está en banca, seguros o pagos, la pregunta no es si el Digital Omnibus reduce duplicidades. Lo hará en algunos casos. La pregunta de verdad es otra: ¿tienes ya el nivel de gobierno interno necesario para demostrarlo sin abrir un agujero nuevo entre AI Act, DORA, NIS2 y GDPR? Ahí se va a decidir quién simplifica de verdad y quién solo cambia el nombre del problema.