El 2 de febrero de 2025, los primeros dientes legales de la Ley de Inteligencia Artificial de la Unión Europea entraron en vigor. Esa fue la fecha en la que comenzó a aplicarse la prohibición de la regulación sobre prácticas de IA inaceptables, poniendo en práctica el marcado social, la manipulación explotadora, el rascado de imagen facial no dirigido y la identificación biométrica remota más real en tiempo real en espacios públicos fuera de los límites. El 2 de agosto de 2025, se activó una segunda capa: las obligaciones de maquinaria de gobernanza y transparencia para los modelos de IA de propósito general, junto con el buen horario. El siguiente hito es el 2 de agosto de 2026, cuando se aplica la regulación completa excepto para los sistemas de IA que son componentes de seguridad en productos regulados, que llegan hasta
Las primeras acciones de cumplimiento ahora anunciadas por las autoridades europeas y nacionales no son las dramáticas multas públicas que las cláusulas de sanción del reglamento hacen fácil de imaginar. Son solicitudes formales de información, revisiones de documentación, prioridades de inspección pública y controles de registro. Un proveedor recibe una carta datada, una lista de categorías de documentación técnica, y un recordatorio de que el suministro de información incorrecta o incompleta lleva su propia penalidad.
Un reglamento basado en riesgos, no una prohibición de manta
La Ley de IA divide los sistemas en cuatro categorías: inaceptables, de alto riesgo, limitados y de riesgo mínimo.La mayoría de los sistemas en uso se espera que caigan en las bandas de riesgo bajo y mínimo.La guía de la Comisión dice que los sistemas en esas bandas enfrentan deberes de transparencia en lugar de la máquina de cumplimiento completo: un chatbot debe revelar que una máquina está respondiendo, y los falsos profundos deben ser etiquetados, pero el proveedor no está obligado a ejecutar una evaluación del organismo notificado.
El anexo III enumera sectores como la biometría, la infraestructura crítica, la educación, el empleo y la gestión de los trabajadores, el acceso a servicios públicos y privados esenciales, la aplicación de la ley, la migración y el control fronterizo y la administración de la justicia.El anexo I captura los sistemas de IA utilizados como componentes de seguridad en productos como dispositivos médicos, maquinaria, juguetes y ascensores.
Las sanciones que centran la atención
La legislación de la UE rara vez separa las penas de este modo.Por poner un sistema de IA prohibido en el mercado, la Comisión Europea y las autoridades nacionales pueden perseguir multas de hasta 35 millones de euros o el 7 por ciento de la facturación anual mundial.Para la mayoría de las otras infracciones, incluidas las violaciones de sistemas de alto riesgo, el límite es de 15 millones de euros o 3 por ciento.El suministro de información incorrecta, incompleta o engañosa a los reguladores se sitúa en un tercer grupo de hasta 7,5 millones de euros o 1,5 por ciento.Para una gran empresa, la cifra basada en la facturación rápidamente anida el importe fijo de euro porque la regulación especifica cuál sea la cifra más alta.
La Oficina Europea de Inteligencia Artificial coordina la aplicación de los modelos de IA de propósito general. Las autoridades nacionales de vigilancia del mercado aplican las reglas de producto dentro de los Estados miembros.La agencia de vigilancia española, AESIA, se estableció en A Coruña en 2023, antes de que el texto final fuera adoptado, y es uno de los organismos nacionales que ahora reciben poderes de inspección y ejecución.
Cuáles son los objetivos de la primera ola de ejecución
Los proveedores de modelos de IA de propósito general deben documentar cómo sus modelos fueron capacitados, incluyendo un resumen del contenido utilizado para la formación y una política para cumplir con la ley de derechos de autor de la UE.Oficina Europea deLa primera ola de acción se concentra allí: solicitudes de documentación técnica, aclaraciones sobre la gobernanza de los datos y comprobaciones de si los proveedores se han registrado en la base de datos pertinente de la UE.
Para los sistemas de alto riesgo, la aplicación se verá más como la conformidad de los productos tradicionales.Un modelo de alto riesgo utilizado en la clasificación de reclutamiento, la puntuación de los exámenes o la clasificación médica debe llevar documentación de gestión de riesgos, registros técnicos, medidas de supervisión humana y una evaluación de conformidad antes de que pueda llevar la marca CE.Las autoridades nacionales de vigilancia del mercado pueden suspender un sistema o ordenar su retirada mientras una evaluación está en curso.Texto completo del Reglamento (UE) 2024/1689cada uno de estos pasos, y la ComisiónPágina de Implementación de la LeySeguimiento de la timeline.
El acantilado de agosto de 2026 y la escultura de 2027
La mayoría de las obligaciones de alto riesgo en el anexo III se aplican el 2 de agosto de 2026, por lo que los reguladores están emitiendo las primeras acciones de cumplimiento ahora. Las organizaciones que han esperado la fecha final están descubriendo que la compilación de la documentación requerida para incluso un sistema de producción no es un ejercicio de dos semanas. El recorte es más estrecho de lo que suena: los sistemas de IA ya regulados como componentes de seguridad bajo la legislación de productos existente de la UE, como dispositivos médicos y máquinas, reciben un año adicional, hasta el 2 de agosto de 2027.
La misma distinción aparece en los debates actuales de control de exportación. las restricciones de chips de IA están obligando a las empresas a rastrear cuáles modelos pueden ser capacitados donde, una carga de cumplimiento paralela a las obligaciones de documentación bajo la Ley de IA.Restricciones de exportación de chips AI de EE.UU. a ChinaY elControl de gastos de capital afecta a la gran infraestructura de IA. el
¿Qué significa esto para los equipos que construyen o desplegan AI?
Uno de los productos de un proveedor alemán de dispositivos médicos, llamándola Dr. M, pasó ocho semanas mapeando cada modelo de producción contra las reglas de clasificación de la Ley. Tres de sus once modelos se sentaron dentro del Anexo I como componentes de seguridad y nunca habían pasado por una evaluación notificada del organismo. Ella había tratado el 2 de agosto de 2027 como una preocupación remota. El inventario mostró que la exposición ya había comenzado, porque la documentación y los hábitos de gestión de riesgos necesarios para 2027 tardan más tiempo en construir que el plazo legal sugiere.
La excepción es bastante común, sin embargo, porque los componentes de seguridad se ocultan dentro de los productos existentes y porque algunos proveedores de modelos de propósito general aún no tienen el hábito de documentación.Lo que los reguladores están anunciando no es una campaña contra la IA en general; es una campaña contra el riesgo sin documentos.
El primer paso práctico es un inventario. Enumera cada sistema de IA y modelo de propósito general que su organización construye, compra o integra. Clasifique cada uno contra la lista de prácticas prohibidas y las dos rutas de alto riesgo. Compruebe si el proveedor ha presentado documentación técnica y, cuando sea necesario, ha registrado el sistema. Haga esto antes del final del mes, mientras las autoridades todavía están enviando cartas en lugar de imponer multas.
Photo by Guillaume Périgois on Unsplash