Qué puso Bruselas realmente sobre la mesa

El 7 de julio de 2026 la Comisión Europea presentó su Plan de Acción sobre Ciberseguridad e Inteligencia Artificial, y la parte que importa a los operadores es discreta pero estructural. El Reglamento de IA ya exige que los modelos avanzados se evalúen y se valoren sus riesgos antes de comercializarse en la UE. La Comisión afirma ahora que ayudará a construir una capacidad europea de evaluación para reforzar el análisis independiente por terceros de lo que estos modelos pueden hacer y dónde son peligrosos, en apoyo directo de la Oficina de IA, el organismo cuyas competencias de aplicación entran en vigor el 2 de agosto de 2026.

Junto a ello, la Agencia de la UE para la Ciberseguridad y el Centro Común de Investigación de la Comisión pondrán en marcha, antes de finales de 2026, una plataforma segura para probar la IA en ciberseguridad mediante entornos simulados. La Comisión también quiere un marco europeo de acceso estructurado a las capacidades de IA avanzada para la defensa. Leídas en conjunto, no son ambiciones vagas: son la maquinaria de un mundo en el que un modelo es examinado por organismos públicos antes, y después, de llegar a las empresas que lo van a utilizar.

Por qué recae primero en los sectores críticos

El plan nombra sin rodeos a su primer público: finanzas, energía, salud, transporte y administración pública. La plataforma segura de pruebas está pensada precisamente para esos operadores, para que vean cómo se comporta un modelo en un uso de ciberseguridad antes de confiar en él en producción. Es de verdad útil: un espacio estatal para probar la IA en un entorno simulado es algo que ningún operador mediano podría construir por su cuenta. Pero una plataforma de referencia fija también un estándar de referencia, y una vez que existe, usar IA sin haberla contrastado con ese estándar empieza a parecer una decisión que hay que justificar.

La cuestión del acceso es aún más aguda. Un marco de acceso estructurado a la IA avanzada decide quién puede usar los modelos más potentes para la defensa, y en qué condiciones. Para un operador europeo, eso significa que las herramientas más capaces pueden venir con condiciones - verificación, documentación, normas sectoriales - en lugar de una simple licencia. La ventaja es un suelo común de seguridad; el coste es que, en un sector crítico, su elección de modelo ya no es solo una decisión de compras. El INCIBE y la supervisión nacional serán quienes lo trasladen al terreno.

El modelo del que depende puede necesitar el visto bueno de dos Gobiernos

Póngalo junto a lo que ya ocurre en Washington. Estados Unidos prueba ahora sus propios modelos de frontera antes del lanzamiento a través de un organismo de evaluación específico, y Europa está construyendo esa misma capacidad en su lado del Atlántico. Una empresa que basa su producto en un modelo puntero podría descubrir pronto que ese modelo debe convencer a los evaluadores de dos jurisdicciones antes de quedar autorizado, y que un retraso o una restricción en cualquiera de ellas cae sobre su hoja de ruta, no sobre la del proveedor.

Lo práctico no es esperar a agosto. Trace qué usos de IA de su empresa tocan las categorías de alto riesgo o de sector crítico que preocupan al Reglamento, porque ahí llegan primero la evaluación, la documentación y las condiciones de acceso. Sepa si los modelos en los que confía son los que los reguladores van a examinar, y tenga una alternativa en mente. Las empresas que entiendan su exposición antes de que la Oficina de IA empiece a usar sus competencias se adaptarán a su propio ritmo; las que den por hecho que nada cambia hasta que se lo digan se adaptarán al ritmo de otro.

Leer a continuación: El 2 de agosto las multas de IA de la UE se vuelven reales  |  Tus proveedores de IA se exponen a multas de la UE