El AI Act prohíbe desde diciembre la IA que genera material de abuso sexual infantil
Desde el 2 de diciembre de 2026 el AI Act prohíbe introducir en el mercado, poner en servicio o utilizar un sistema de IA que genere o manipule material de abusos sexuales de menores, y lo hace aunque el menor representado no exista: no exige víctima real ni identificable. Es la letra b ter) del artículo 5, insertada por el Reglamento (UE) 2026/1744 —el Ómnibus digital—. Esta guía trata solo esa letra: qué material entra, quién responde y qué tiene que poder demostrar una empresa antes de diciembre. La panorámica de las prácticas de IA prohibidas está en la guía del clúster; la otra letra nueva, la b bis), en la pieza sobre las apps de nudificación.
Qué prohíbe la letra b ter, palabra por palabra
El texto insertado es corto y toda su carga está en una remisión.
«b ter) la introducción en el mercado, la puesta en servicio o la utilización de un sistema de IA que genere o manipule material o espectáculos en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE, excepto cuando se aplique una defensa de “forma ilícita” en virtud del Derecho nacional».
Las dos letras nuevas se leen a menudo como la misma prohibición con dos objetos. No lo son, y las diferencias deciden a quién alcanza cada una:
| Letra b bis) · material íntimo no consentido | Letra b ter) · material de abusos sexuales de menores | |
|---|---|---|
| ¿Exige persona identificable? | Sí | No |
| ¿Exige falta de consentimiento? | Sí | No (un menor no puede prestarlo) |
| ¿Vale el material íntegramente sintético? | No entra si nadie es identificable | Entra, por los incisos iii) y iv) de la Directiva |
| ¿La cubre el filtro del apartado 1 ter? | Sí | No: ese apartado se refiere solo a la letra b bis) |
| Excepción propia | — | Defensa de «forma ilícita» del Derecho nacional |
| Se aplica desde | 2 de diciembre de 2026 | 2 de diciembre de 2026 |
Comparten fecha porque el punto 40 del Ómnibus sacó ambas letras del calendario general del capítulo II.
Qué material entra: las definiciones de la Directiva 2011/93/UE
El artículo 2, letra c), de la Directiva define el material por cuatro supuestos, y dos de ellos no requieren que exista un menor real:
- inciso iii): material que represente de forma visual «a una persona que parezca ser un menor» en una conducta sexualmente explícita real o simulada;
- inciso iv): «imágenes realistas de un menor participando en una conducta sexualmente explícita o imágenes realistas de los órganos sexuales de un menor, con fines principalmente sexuales».
De ahí que el material íntegramente sintético, sin víctima identificable detrás, caiga dentro de la prohibición. La letra e) añade los «espectáculos pornográficos»: la exhibición en directo dirigida a un público «incluso por medio de las tecnologías de la información y la comunicación», lo que alcanza a la generación en tiempo real.
La asimetría del apartado 1 ter conviene tenerla localizada: aclara que no es «manipulación» la que no aumenta la exposición ni altera la actividad representada, pero lo hace «a efectos del apartado 1, párrafo primero, letra b bis)». No alcanza a la b ter).
Cuándo responde el proveedor y cuándo el responsable del despliegue
El apartado 1 bis, también nuevo, delimita cuándo un sistema queda dentro; sin él, cualquier generador de imágenes suficientemente capaz estaría prohibido. Quien introduce en el mercado o pone en servicio responde solo si concurre uno de estos dos supuestos:
- que esa generación o manipulación sea la finalidad prevista del sistema; o
- que el diseño, el entrenamiento, la arquitectura, las capacidades o las funcionalidades orientadas al usuario hagan que esa generación sea un resultado razonablemente previsible y reproducible sin modificaciones técnicas sustanciales, y que el sistema no disponga de salvaguardias razonables y adecuadas para evitarla de forma fiable ni para corregir el uso indebido observado o notificado.
El segundo supuesto alcanza a casi cualquier proveedor de IA generativa de propósito general. Lo reprochable no es «tener un modelo capaz», sino tenerlo sin salvaguardias razonables y sin corrección cuando el abuso se detecta o se notifica. Los considerandos enumeran qué cuenta: depuración de datos, entrenamiento de rechazo, barreras en tiempo de ejecución, filtrado de contenidos y mecanismos de notificación y acción.
Quien lo utiliza —en el texto, el responsable del despliegue— responde solo cuando emplea el sistema con ese fin: eludir las medidas preventivas o usar así un sistema lícito no destinado a ello cuentan; la generación accidental, no.
A quién no alcanza el Reglamento
Conviene marcar el límite, porque es la confusión más extendida. El artículo 2, apartado 10, del Reglamento de IA dice que este «no se aplicará a las obligaciones de los responsables del despliegue que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional». Un particular que genere este material por su cuenta no comete una infracción administrativa del AI Act: responde ante el Derecho penal, que es otra vía y otra autoridad. El Reglamento se dirige a quien introduce el sistema en el mercado, a quien lo pone en servicio y a quien lo despliega profesionalmente.
La única puerta abierta: la defensa «de forma ilícita»
La excepción no es un permiso genérico. La expresión procede del artículo 5, apartado 1, de la propia Directiva 2011/93/UE, que exige castigar esas conductas «cuando se cometan de forma ilícita» y deja así espacio a lo amparado por el ordenamiento; su encaje en el conjunto del artículo 5 lo trata la guía de prácticas de IA prohibidas.
Los considerandos del Ómnibus concretan qué cubre: la generación legítima por las autoridades para procesos penales o para prevenir, detectar o investigar delitos, y el uso del sistema en red teaming y evaluación para comprobar que cumple la prohibición. Quien haga esas pruebas hará bien en dejar constancia del encargo, el alcance y la destrucción del material: la excepción se apoya en el Derecho nacional, no en una declaración del proveedor.
Quién vigila y cuánto cuesta saltársela
Las prohibiciones del artículo 5 están en el tramo sancionador más alto: hasta 35.000.000 EUR o el 7 % del volumen de negocios mundial total del ejercicio anterior, la cuantía que sea superior. El Ómnibus retocó el artículo 99, pero no tocó ese apartado 3. Las pymes conservan el apartado 6 y pagan el menor de los dos importes; las pequeñas empresas de mediana capitalización solo tienen ese alivio en los apartados 4 y 5, no aquí.
Quién persigue la infracción depende del sistema. El artículo 75, apartado 1, reescrito por el Ómnibus, da a la Oficina de IA competencia exclusiva sobre los sistemas basados en modelos de uso general cuando modelo y sistema salen del mismo proveedor —con excepciones tasadas— y sobre los integrados en plataformas y buscadores de muy gran tamaño: el perímetro de los grandes laboratorios generativos.
Para el resto, en España el reparto lo hará la ley de gobernanza de la inteligencia artificial, en tramitación. Su proyecto asigna letra por letra las ocho prohibiciones vigentes del artículo 5.1 —la AESIA se queda la a), b), c) y f); la Agencia Española de Protección de Datos y las autonómicas, la e) y la g); el Consejo General del Poder Judicial, la d) y la h)—, pero es anterior al Ómnibus: en la versión publicada en el Boletín Oficial de las Cortes Generales (Serie A, núm. 97-1, de 12 de junio de 2026), consultada el 31 de julio de 2026, no aparecen ni la b bis) ni la b ter).
Antes de dar por buena una asignación de competencias conviene mirar la ficha viva del expediente 121/000096 en el Congreso: si el texto ha avanzado, el reparto de estas dos letras será lo primero que haya cambiado.
La vía administrativa, en todo caso, no desplaza a la penal: las prohibiciones no impiden el enjuiciamiento con arreglo a otras leyes, con respeto al non bis in idem.
Qué revisar antes del 2 de diciembre
Nada de esto obliga a rediseñar un producto, pero sí a tener respuestas por escrito en cuatro frentes:
- Finalidad prevista documentada. Que la documentación técnica y las instrucciones de uso digan que el sistema no está destinado a generar este material: eso separa un supuesto del otro.
- Prueba adversarial registrada. El criterio legal es «razonablemente previsible y reproducible sin modificaciones técnicas sustanciales»: intentar la elusión con los medios de un usuario normal y anotarlo, siempre con encargo documentado, alcance acotado y destrucción del material, que es lo que sostiene la excepción.
- Salvaguardias en capas y evaluadas. Filtros de entrada y salida, control de la interfaz y decisiones de distribución. Han de ser «razonables y adecuadas» al sistema concreto —la divulgación en abierto se cita expresamente—, no un estándar único.
- Canal de notificación y corrección. Hay que poder corregir el uso indebido «observado o notificado»: sin vía de aviso ni plazos, esa mitad del requisito no existe.
El clasificador de riesgo del AI Act sitúa cada sistema en su categoría, y el calendario por rol está en la guía de cumplimiento del AI Act, dentro de cumplimiento normativo.
Preguntas frecuentes
¿Qué prohíbe exactamente la letra b ter del AI Act?
Introducir en el mercado, poner en servicio o utilizar un sistema de IA que genere o manipule material o espectáculos de abusos sexuales de menores en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE. Se aplica desde el 2 de diciembre de 2026 y su única excepción es la defensa de «forma ilícita» del Derecho nacional.
¿La prohibición alcanza al material generado por IA sin ninguna víctima real?
Sí. El artículo 2, letra c), de la Directiva 2011/93/UE incluye el material que representa a «una persona que parezca ser un menor» y las «imágenes realistas» de un menor: ninguno exige un menor real ni identificable.
¿Estoy dentro de la prohibición si tengo un modelo generativo de propósito general?
Solo si generar ese material es la finalidad prevista, o si es un resultado razonablemente previsible y reproducible sin modificaciones técnicas sustanciales y faltan salvaguardias razonables y corrección del uso indebido.
¿Puedo hacer pruebas de seguridad que intenten provocar ese material?
Los considerandos citan el uso legítimo en red teaming y evaluación para verificar el cumplimiento. El amparo llega por la defensa de «forma ilícita» del Derecho nacional, así que el trabajo debe ir acotado y documentado.
Fuentes
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), DO L de 24.7.2026: puntos 7, 31, 38 y 40, y considerandos 10 a 16.
- Reglamento (UE) 2024/1689 (Reglamento de IA), artículos 5, 75, 99 y 113.
- Directiva 2011/93/UE, artículo 2, letras c) y e), y artículo 5, apartado 1. DO L 335 de 17.12.2011; corrección de errores del DO L 18 de 21.1.2012.
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, BOCG Serie A, núm. 97-1, de 12.6.2026, artículos 5, 13 y 14 — en tramitación.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.