Identificación
Reglamento de Ejecución (UE) 2026/2487 de la Comisión, de 10 de noviembre de 2026, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2024/1689 en lo que respecta al establecimiento, el desarrollo, la puesta en práctica, el funcionamiento y la supervisión de los espacios controlados de pruebas para la IA (DO L, 2026/2487, 11.11.2026; CELEX 32026R2487). Se dicta con base en el artículo 58, apartado 1, del Reglamento de Inteligencia Artificial y entra en vigor a los veinte días de su publicación.
Objeto y ámbito
El Reglamento fija reglas comunes para todos los espacios controlados de pruebas (sandboxes) creados conforme al artículo 57 del Reglamento de IA, con el fin de evitar la fragmentación y asegurar el reconocimiento mutuo de sus resultados. Los considerandos recuerdan que cada Estado miembro debe contar con al menos un espacio a escala nacional a más tardar el 2 de agosto de 2027, que pueden constituirse espacios conjuntos entre Estados y que el Supervisor Europeo de Protección de Datos y la Oficina de IA pueden crear los suyos.
Acceso y selección
- Acceso no discriminatorio y transparente a información pública sobre el alcance y los servicios del espacio (art. 2.2).
- Prioridad y gratuidad para pymes y empresas emergentes en los servicios de orientación, asesoramiento y supervisión, incluida la supervisión de pruebas en condiciones reales; solo cabe repercutir costes excepcionales, con aviso previo y factura detallada. El mismo régimen se aplica a las autoridades y organismos públicos. A las demás empresas se les puede cobrar el coste íntegro, con tasas publicadas al abrir la convocatoria (art. 2.3 y 2.4).
- Los proveedores sin domicilio ni sucursal en la Unión deben abonar una tasa y designar un representante autorizado mediante mandato escrito (art. 2.5).
- Pueden solicitar la admisión los proveedores de sistemas aún no comercializados, de sistemas que vayan a sufrir una modificación sustancial o de sistemas que pasen a ser de alto riesgo por modificación de su finalidad prevista (art. 3.2). Los criterios de selección son la necesidad derivada de retos normativos, el potencial de aprendizaje normativo, la contribución al interés público, la madurez de la propuesta y el carácter innovador (art. 3.3).
- La autoridad debe resolver en un máximo de tres meses y su decisión es recurrible conforme al Derecho nacional (art. 3.7).
Plan, prueba escrita e informe de salida
La participación se rige por un plan acordado entre el proveedor y la autoridad, que debe precisar calendario, objetivos, obligaciones supervisadas, salvaguardias frente a riesgos e incidentes graves y, en su caso, el plan de pruebas en condiciones reales. Debe indicar también si el sistema requiere tratar datos personales y si es necesario implicar a la autoridad de protección de datos (art. 5.2.e). El proveedor señala qué información considera confidencial.
Al terminar, la autoridad emite una prueba escrita y un informe de salida (art. 6). Ninguno equivale a una declaración de conformidad del artículo 47 del Reglamento de IA, pero las autoridades de vigilancia del mercado y los organismos notificados de cualquier Estado miembro deben reconocerlos como documentación de lo realizado. El informe se entrega en un máximo de cuarenta y cinco días hábiles y puede publicarse con el acuerdo del participante; sin él, la autoridad puede difundir las conclusiones no confidenciales. Se regulan además la prórroga y la suspensión del proyecto, que procede, entre otros supuestos, ante riesgos significativos para la salud, la seguridad o los derechos fundamentales que no puedan mitigarse (art. 8).
El texto refuerza tres ideas ya presentes en el Reglamento de IA: el espacio de pruebas es un instrumento de aprendizaje normativo, no una autorización; la salida no genera presunción de conformidad; y el participante sigue siendo responsable del cumplimiento del Derecho aplicable (art. 2.6). Esta última precisión mantiene intacta la responsabilidad frente a terceros por los daños que puedan producirse durante las pruebas.
La dimensión de protección de datos es relevante: los considerandos exigen asociar a las autoridades de control cuando se traten datos personales para el desarrollo, el entrenamiento o la prueba del sistema, en coherencia con la mención expresa del Reglamento (UE) 2016/679.
En España, el Real Decreto 817/2023, de 8 de noviembre, estableció un entorno controlado de pruebas cuando el Reglamento de IA era todavía una propuesta. Los espacios que se constituyan en aplicación del artículo 57 tendrán que ajustarse a las reglas comunes ahora aprobadas, en particular a los criterios de admisión y a los modelos del Consejo de IA, que las autoridades solo pueden adaptar en casos justificados.
Referencias
- Texto oficial (EUR-Lex): https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32026R2487
- Reglamento (UE) 2024/1689, artículos 57, 58 y 47
- Reglamento (UE) 2016/679 (RGPD)
- Real Decreto 817/2023, de 8 de noviembre (BOE-A-2023-22767)