AI Act Omnibus: prohíbe deepfakes sexuales sin consentimiento

Un hueco regulatorio que costaba ignorar

Durante meses, reguladores, activistas y víctimas de abuso digital señalaron el mismo punto ciego: el AI Act original —la regulación de inteligencia artificial más ambiciosa del mundo— no prohibía de forma explícita la generación de imágenes íntimas sin consentimiento mediante IA. Técnicamente existían interpretaciones que podían cubrir estos casos, pero la zona gris era suficientemente amplia como para que plataformas y desarrolladores esquivaran responsabilidades. El 11 de marzo de 2026, el Parlamento Europeo cerró ese agujero con un acuerdo político que modifica el reglamento a través del paquete conocido como AI Act Omnibus.

Qué es el AI Act Omnibus y qué cambia exactamente

El AI Act Omnibus es un conjunto de enmiendas al Reglamento (UE) 2024/1689 —el AI Act original— acordadas políticamente entre el Parlamento Europeo y el Consejo de la UE durante la primera quincena de marzo de 2026. Más allá de aplazar algunos plazos de cumplimiento para aliviar la carga regulatoria a empresas, el paquete introduce una novedad de calado: la prohibición expresa de los sistemas de IA capaces de generar imágenes íntimas no consensuadas (NCII) y material de abuso sexual infantil (CSAM).

Concretamente, esta categoría queda clasificada dentro del Artículo 5 del AI Act, el nivel de riesgo inaceptable: la misma categoría que ya recoge prácticas como la vigilancia biométrica masiva en espacios públicos o los sistemas de puntuación social al estilo chino. Eso significa prohibición total, sin excepciones ni periodos de gracia para sistemas preexistentes.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El Omnibus también complementa el Artículo 50, que ya exigía marcado legible por máquina en contenido sintético y avisos a usuarios, añadiendo mayor precisión para casos artísticos o satíricos donde antes la divulgación podía ser ambigua.

El caso Grok: el detonante que aceleró todo

La negociación no se produjo en el vacío. El catalizador fue el escándalo protagonizado por Grok, el chatbot desarrollado por xAI —la empresa de Elon Musk— integrado en la plataforma X (antes Twitter). La herramienta, que incluye capacidades de edición y generación de imágenes, fue utilizada de forma masiva para producir imágenes sexualizadas de personas identificables sin su consentimiento, incluyendo tanto adultos como menores.

El escándalo generó una fuerte respuesta política en varios países europeos. Una coalición de 57 eurodiputados de distintos grupos parlamentarios presionó de forma coordinada para acelerar las enmiendas. Países como Francia, España, Alemania y Eslovaquia llegaron a amenazar con bloquear partes del paquete Omnibus si no se incluía esta prohibición de forma explícita. La presión funcionó.

El caso Grok no es un incidente aislado: los datos de proliferación de deepfakes sexuales en 2025 y principios de 2026 muestran un crecimiento exponencial, con víctimas que van desde figuras públicas hasta personas anónimas, y con daños que van mucho más allá de la reputación.

Las sanciones: hasta 35 millones de euros o el 7% de facturación global

La clasificación de estos sistemas como riesgo inaceptable tiene consecuencias económicas directas y severas. Las sanciones por desarrollar, poner en mercado o desplegar sistemas prohibidos bajo el Artículo 5 alcanzan hasta 35 millones de euros o el 7% de la facturación global anual, lo que representa el nivel punitivo más alto de todo el reglamento. Para una startup en fase de crecimiento, incluso la posibilidad teórica de incurrir en estas multas debería ser suficiente para revisar con urgencia el stack de funcionalidades de generación de imágenes.

Plazos clave que todo founder debe tener en el radar

El acuerdo político del 11 de marzo de 2026 es el punto de partida, pero no la fecha final. La hoja de ruta para los meses siguientes es la siguiente:

18 de marzo de 2026: Votación en comités del Parlamento Europeo.
Abril–junio de 2026: Negociaciones trilógicas entre Parlamento, Consejo y Comisión Europea para redactar el texto definitivo.
Agosto de 2026: Entrada en vigor de las prohibiciones absolutas (Artículo 5), incluyendo la nueva enmienda sobre deepfakes sexuales.
Diciembre de 2027 – Agosto de 2028: Plazos ampliados para obligaciones de sistemas de alto riesgo (una de las concesiones del Omnibus para facilitar la adopción empresarial).

Importante: la prohibición de deepfakes sexuales no tiene periodo de transición. Cuando entre en vigor, aplica de inmediato a todos los sistemas, incluidos los ya existentes en el mercado.

Qué implica esto para founders y equipos de producto en IA generativa

Si tu startup trabaja en generación de imágenes, edición de contenido visual o construcción de herramientas sobre modelos de difusión o similares, este cambio regulatorio tiene implicaciones concretas en al menos tres dimensiones:

1. Revisión urgente de capacidades del producto

Cualquier funcionalidad que permita —incluso como caso de uso no intencionado— la generación de imágenes sexualizadas de personas identificables debe ser desactivada, rediseñada con filtros técnicos robustos o eliminada del producto antes de agosto de 2026. No basta con incluir términos de servicio que prohíban el mal uso; la regulación apunta al diseño del sistema, no solo a las intenciones del usuario.

2. Implementación de filtros y etiquetado obligatorio

El Artículo 50 del AI Act ya obliga a que el contenido generado por IA sea identificable mediante marcado legible por máquina (watermarking técnico). El Omnibus refuerza estos requisitos. Startups que construyan sobre APIs de modelos de terceros deben asegurarse de que los proveedores de infraestructura cumplen con estos estándares, y de que su propia capa de producto no anula esas protecciones.

3. Documentación y cumplimiento anticipado

Las autoridades nacionales de supervisión —coordinadas por la Oficina de IA de la Comisión Europea— comenzarán a auditar plataformas una vez que las normas entren en vigor. Tener documentación de diseño, análisis de riesgos y registros de decisiones técnicas no es burocracia opcional; es la diferencia entre demostrar buena fe regulatoria y enfrentar investigaciones formales.

El debate de fondo: ¿prohibir es suficiente?

No todos los análisis celebran la medida sin matices. Algunas voces especializadas señalan que las prohibiciones legales, sin mecanismos de enforcement técnico efectivo, tienden a desplazar el problema más que a eliminarlo. Los modelos de difusión abiertos, los fine-tunings no supervisados y la proliferación de herramientas en mercados no regulados hacen que la norma europea sea necesaria pero insuficiente por sí sola.

La conclusión más práctica para el ecosistema startup: la regulación europea eleva el estándar de responsabilidad y aumenta el coste de no cumplir, pero no resuelve el problema técnico de raíz. Las startups que quieran operar con certeza legal en la UE tienen que ir más allá del cumplimiento mínimo y construir salvaguardas reales en el producto.

Conclusión

El AI Act Omnibus cierra una brecha regulatoria que llevaba tiempo siendo señalada, y lo hace con contundencia: clasificar los sistemas generadores de deepfakes sexuales sin consentimiento como riesgo inaceptable es la señal más clara que ha dado la Unión Europea sobre dónde están los límites del desarrollo de IA. Para founders tech que trabajan con generación de imágenes, el mensaje es claro: el tiempo de revisión del producto es ahora, no cuando llegue la primera auditoría. Y para el ecosistema en general, este movimiento regulatorio marca el ritmo de lo que vendrá en otras categorías de riesgo en los próximos años.

Profundiza estos temas con nuestra comunidad de expertos en IA y regulación tech

Unirme a la comunidad