El Reglamento de IA en Bulgaria: autoridades, ejecución y lo que las empresas deben hacer
Bulgaria aún no ha designado su autoridad del Reglamento de IA. La configuración pendiente, el papel de la CPDP, las sanciones y la fecha de alto riesgo.
Si buscas la única autoridad búlgara que ejecuta el Reglamento de IA, esta es la respuesta honesta a mediados de 2026: Bulgaria aún no ha designado ninguna. El país incumplió el plazo del 2 de agosto de 2025 del artículo 70 para nombrar sus autoridades nacionales competentes y de vigilancia del mercado, y las designaciones clave siguen existiendo solo como borradores no adoptados. Eso no pausa tus obligaciones —el Reglamento de IA, Reglamento (UE) 2024/1689, se aplica directamente en Bulgaria con independencia de ello—, pero sí cambia cómo debería planificar una empresa búlgara.
Esta guía expone qué está firmemente establecido, qué sigue pendiente, cómo se lee el calendario tras el Ómnibus Digital, y los pasos prácticos para los proveedores y responsables del despliegue búlgaros.
Un reglamento, no una directiva: las obligaciones se aplican sin ley búlgara
El Reglamento de IA es un reglamento. Entró en vigor el 1 de agosto de 2024 y se aplica directamente en todos los Estados miembros —incluida Bulgaria— en virtud del artículo 288 del Tratado de Funcionamiento de la Unión Europea. Las empresas búlgaras no esperan una ley nacional antes de que los deberes muerdan. Las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025, el deber de alfabetización en materia de IA del artículo 4 desde la misma fecha, y las obligaciones de GPAI del capítulo V desde el 2 de agosto de 2025.
Lo que Bulgaria todavía tiene que aportar es el andamiaje nacional de ejecución: qué organismo investiga, cuál impone multas, quién es el punto de contacto único para la Oficina de IA de la UE, y cómo se administran las sanciones con arreglo al procedimiento búlgaro. Ese andamiaje es lo que falta.
¿Quién ejecuta el Reglamento de IA en Bulgaria? (el estado honesto)
A principios de 2026, el organismo líder que coordina la aplicación en Bulgaria es el Ministerio de Gobernanza Electrónica (Министерство на електронното управление), con un papel coordinador asignado también al Ministerio de Economía y Energía. Pero —según el propio Ministerio, en una respuesta de acceso público a la información— el país seguía «en fase preparatoria», sin decisión final sobre la autoridad de vigilancia del mercado, el modelo de supervisión del alto riesgo ni el régimen nacional de sanciones.
Esto es lo que está fijado frente a lo pendiente:
| Papel conforme al Reglamento de IA | Estado búlgaro (mediados de 2026) |
|---|---|
| Liderazgo / coordinación de la aplicación | Ministerio de Gobernanza Electrónica (con el Ministerio de Economía y Energía): establecido |
| Organismos de derechos fundamentales (artículo 77) | Siete organismos designados por la Decisión n.º 398 del Consejo de Ministros de 18 de junio de 2025: hecho |
| Autoridad de vigilancia del mercado (artículo 70) | No designada: borrador de decisión del Consejo de Ministros, aún no adoptado |
| Punto de contacto único (artículo 70) | No notificado: la entrada de Bulgaria en la lista de la Comisión está en blanco |
| Autoridad notificante | El borrador la asignaría al Servicio Búlgaro de Acreditación: aún no adoptado |
| Régimen nacional de sanciones / procedimiento sancionador | No promulgado |
La única parte que sí está completa es la lista de organismos de protección de los derechos fundamentales del artículo 77, fijada por la Decisión n.º 398 del Consejo de Ministros de 18 de junio de 2025. Estos siete incluyen el Defensor del Pueblo nacional, la Comisión Electoral Central, la Comisión de Protección frente a la Discriminación, la Comisión de Protección de Datos Personales (CPDP, Комисия за защита на личните данни), la Comisión de Protección del Consumidor, la Agencia Estatal de Protección de la Infancia y la Inspección General de Trabajo.
Una palabra sobre la CPDP
Es tentador suponer que la autoridad búlgara de protección de datos, la CPDP, acabará siendo la supervisora principal del Reglamento de IA: ese patrón se da en varios Estados miembros. No está confirmado para Bulgaria. El papel designado de la CPDP en el Reglamento de IA hasta ahora es estrecho: es uno de los siete organismos de derechos fundamentales del artículo 77, junto a su competencia permanente en materia del RGPD. Que se convierta o no en autoridad de vigilancia del mercado para la IA de alto riesgo es exactamente el tipo de decisión que sigue en el borrador no adoptado. Trata con cautela cualquier afirmación de que «la CPDP ejecuta el Reglamento de IA en Bulgaria»: aún no lo hace.
La GPAI se supervisa desde Bruselas, no desde Sofía
Una cosa no depende de que Bulgaria termine su configuración: los proveedores de modelos de IA de uso general son supervisados directamente por la Oficina de IA de la UE en Bruselas, no por ninguna autoridad nacional. Los desarrolladores búlgaros de modelos fundacionales deberían interactuar con el proceso de códigos de buenas prácticas de la Oficina de IA en lugar de esperar a un regulador búlgaro.
Estrategia nacional y legislación de aplicación
Bulgaria tiene una estrategia nacional de IA —el «Concepto para el Desarrollo de la Inteligencia Artificial en Bulgaria hasta 2030», adoptado en diciembre de 2020—, pero es anterior al Reglamento y es un documento de política, no legislación de aplicación. Se ha presentado en el Parlamento un borrador de ley de IA independiente por parte de miembros de la oposición, que propone un coordinador nacional y un organismo de ética, pero es una proposición de ley de iniciativa parlamentaria, no legislación del Gobierno, y no se ha adoptado. El propio marco del Gobierno estaba previsto para principios de 2026 y no estaba listo cuando se abrió la ventana de aplicación.
Para una empresa búlgara, la conclusión es concreta: no planifiques en torno a una ley búlgara de aplicación que aún no existe. Planifica con el propio texto y las fechas del Reglamento.
El calendario del Reglamento de IA tal como se aplica en Bulgaria
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4: en vigor, exigibles ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza, Oficina de IA, sanciones del artículo 99 |
| 2 de agosto de 2026 | Aplicación general, incluida la transparencia de riesgo limitado del artículo 50 (chatbots, ultrafalsificaciones) |
| 2 de diciembre de 2026 | Nuevo: prohibición de material de abuso sexual infantil / «nudificadores» y marcado de contenido sintético del artículo 50 |
| 2 de diciembre de 2027 | Sistemas autónomos de IA de alto riesgo (anexo III): adoptado con el Ómnibus Digital |
| 2 de agosto de 2028 | IA de alto riesgo como componente de seguridad de productos regulados del anexo I: adoptado con el Ómnibus Digital |
Dos advertencias deben figurar en todo plan de cumplimiento búlgaro.
Primero, el plazo de alto riesgo ya no es el 2 de agosto de 2026. Con el Ómnibus Digital —el paquete de modificaciones de la Comisión, para el que el Parlamento y el Consejo alcanzaron un acuerdo político los días 6 y 7 de mayo de 2026—, los sistemas autónomos de alto riesgo del anexo III se aplazan al 2 de diciembre de 2027, y los sistemas de alto riesgo integrados en productos al 2 de agosto de 2028. Este aplazamiento ya está adoptado: el Pleno del Parlamento votó a favor el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada para los sistemas autónomos de alto riesgo del anexo III.
Segundo, las lagunas en la configuración nacional de Bulgaria no retrasan las fechas que ya han llegado. Las prohibiciones del artículo 5 y los deberes de GPAI están vigentes ahora, y la Comisión —no una autoridad búlgara— ya ejecuta la capa de GPAI.
Sanciones: a qué se enfrentan las empresas búlgaras
Los límites de las multas proceden del artículo 99 del Reglamento y se aplican en toda Bulgaria. Hay exactamente tres tramos, y Bulgaria aún no ha fijado su propio procedimiento nacional de sanciones, así que no existen cifras específicas de Bulgaria que citar.
- 35 000 000 EUR o el 7 % del volumen de negocios anual total a escala mundial (si esta cifra fuera superior): por incumplir las prohibiciones del artículo 5. Art. 99(3).
- 15 000 000 EUR o el 3 %: para la mayoría de las demás obligaciones: requisitos de alto riesgo (artículos 9 a 15), deberes de los proveedores (artículo 16), deberes de los responsables del despliegue (artículo 26) y transparencia del artículo 50. Art. 99(4).
- 7 500 000 EUR o el 1 %: por facilitar información incorrecta, incompleta o engañosa a las autoridades o los organismos notificados. Art. 99(5).
Para las pymes y empresas emergentes, el artículo 99, apartado 6, limita la multa al menor de la cifra fija o el porcentaje. Una empresa búlgara con 8 millones EUR de volumen de negocios no puede enfrentarse a una multa de 15 millones EUR por un incumplimiento de alto riesgo: el 3 % de 8 millones EUR son 240 000 EUR, y ese es el techo. Fíjate en que el tercer tramo es del 1 %, nunca del 1,5 %; no hay ningún tramo del 1,5 % en ninguna parte del Reglamento. Los proveedores de modelos de GPAI se enfrentan a un instrumento aparte: hasta 15 millones EUR o el 3 % conforme al artículo 101, impuesto por la Comisión.
Ejemplo práctico: un responsable del despliegue de SaaS búlgaro
Considera Veliko Soft EOOD, una empresa de software ficticia de Plovdiv —unos 70 empleados, ~9 millones EUR de volumen de negocios— que ha desplegado una herramienta de IA de cribado de currículums para filtrar candidatos en su propia contratación.
El cribado de currículums para la contratación es un caso de uso de empleo del anexo III, así que, en el plano de alto riesgo, Veliko Soft es un responsable del despliegue conforme al artículo 26: debe ejercer supervisión humana conforme al artículo 14, seguir las instrucciones del proveedor y conservar registros. Como el sistema elabora perfiles de candidatos, el filtro de «sin riesgo significativo» del artículo 6, apartado 3, no lo rescatará del estatus de alto riesgo: la elaboración de perfiles de personas físicas es siempre de alto riesgo.
¿Y la ejecución? Sin una autoridad búlgara de vigilancia del mercado designada todavía, no hay actualmente ningún regulador nacional en posición de auditar el expediente de alto riesgo de Veliko Soft, pero eso es un consuelo frío. Las obligaciones de alto riesgo se adhieren al sistema con independencia de que el regulador esté listo, y se designará una autoridad búlgara, con escrutinio retrospectivo de registros que ya deberían existir. Las prohibiciones del artículo 5 (y los deberes de GPAI ejecutados por la Comisión, si Veliko Soft construyó sobre un modelo de terceros) están vigentes hoy. La postura correcta es construir ahora el inventario, la clasificación y los controles de supervisión humana, no tratar la casilla vacía del regulador como unas vacaciones.
Cómo ayuda Confir
Los equipos búlgaros se enfrentan al mismo conjunto de obligaciones intensivo en documentación que todos los demás, con la fricción añadida de que aún no hay orientación nacional en la que apoyarse. Confir es una herramienta de cumplimiento alojada en la UE construida exactamente para este trabajo. Su motor de clasificación es determinista y basado en reglas: codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma admisión siempre arroja la misma conclusión con una explicación legible por humanos de qué regla se activó. Construye el inventario de IA, deriva el papel de proveedor/responsable del despliegue, genera la documentación técnica del anexo IV y la EIDF del artículo 27, y ejecuta una evaluación estructurada a través de la clasificación de riesgo, la robustez de datos, la transparencia y la supervisión humana, y la vigilancia poscomercialización, de modo que una empresa búlgara esté lista el día en que su autoridad se ponga en marcha.
Qué deberían hacer ahora las empresas búlgaras
De inmediato: Audita cualquier IA que pudiera ser una práctica prohibida del artículo 5: puntuación social, rastreo no selectivo de imágenes faciales, categorización biométrica por rasgos sensibles, o reconocimiento de emociones en el trabajo o la educación. Esas prohibiciones vinculan hoy, exigibles conforme al artículo 99 una vez que exista el procedimiento de Bulgaria, y la capa de GPAI la ejecuta ahora la Comisión.
Antes del 2 de agosto de 2026: Prepárate para la transparencia del artículo 50: etiqueta los chatbots de IA, marca el contenido sintético y revela las ultrafalsificaciones. Esta fecha no se aplazó.
A lo largo de 2026-2027: Construye el inventario de IA, clasifica cada sistema, aplica el filtro del artículo 6, apartado 3, asigna papeles y empieza la documentación de alto riesgo. El aplazamiento del Ómnibus ya está adoptado, a la espera solo de su publicación en el Diario Oficial, así que trata el 2 de diciembre de 2027 como la fecha asentada.
De forma continua: Sigue la designación. Vigila la decisión del Consejo de Ministros que nombre la autoridad búlgara de vigilancia del mercado y el punto de contacto único: ese es el momento en que lo abstracto se vuelve concreto, y las primeras prioridades de ejecución lo seguirán.
Guías relacionadas
- Fundamentos del Reglamento de IA
- Cumplimiento para pequeñas empresas
- Artículo 5: prácticas prohibidas
- Sanciones del artículo 99 explicadas
- El Ómnibus Digital, definido
- Autoridad de vigilancia del mercado, definida
- Alcance extraterritorial del Reglamento
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →