El Reglamento (UE) 2024/1689 — el EU AI Act— es la primera legislación integral de inteligencia artificial del mundo. La reacción natural de una empresa establecida fuera de Europa es archivar el asunto como “problema europeo” y seguir adelante. Esa lectura equivocada ya salió cara con el GDPR, y la mecánica aquí es la misma.
El reglamento tiene alcance extraterritorial: no pregunta dónde está la empresa, pregunta dónde se coloca el sistema en el mercado y dónde se usa el resultado. Esta guía trata de cuándo alcanza a una empresa fuera de la UE, qué exige y qué hacer al respecto.
Material informativo, no asesoría jurídica. El encuadre de franja de riesgo y de rol — proveedor, importador, distribuidor o implementador — depende del caso concreto y debe validarse con asesoría especializada.
Los tres caminos por los que llega
- 1. Venta directa. Su empresa ofrece un producto o servicio con IA embebida a clientes en la Unión Europea. El caso más obvio y el menos frecuente.
- 2. Resultado usado en la UE. El sistema corre en su país, pero lo que produce se utiliza dentro de la Unión: un análisis, una clasificación, una recomendación o una decisión que llega a un destinatario europeo. Esta es la hipótesis que más sorprende.
- 3. Efecto cascada contractual. El más probable de los tres. Su empresa es proveedora de una multinacional que necesita adecuarse; ella transfiere la exigencia a la cadena, y el cumplimiento le llega como cláusula contractual y cuestionario de proveedor, no como obligación legal directa.
Note la asimetría: en el tercer camino, el costo de no prepararse no es una multa, es perder el contrato. Y suele llegar sin aviso, en medio de una renovación.
Las cuatro franjas de riesgo
La lógica del reglamento es proporcional: obligación proporcional al daño potencial, no a la sofisticación técnica.
| Franja | De qué se trata | Obligación |
|---|---|---|
| Inaceptable | Prácticas vedadas, como la manipulación que explota vulnerabilidades, la puntuación social por autoridades públicas y ciertas formas de identificación biométrica. | Prohibición. Es la franja con las sanciones más altas. |
| Alto riesgo | Sistemas listados en el reglamento — entre ellos empleo y selección, educación, crédito, servicios esenciales, infraestructura crítica y componentes de seguridad de productos. | El conjunto pesado: gestión de riesgo, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, exactitud y robustez, y evaluación de conformidad. |
| Riesgo limitado | Sistemas que interactúan con personas o generan contenido sintético. | Transparencia: informar que se trata de una IA e identificar el contenido generado artificialmente. |
| Riesgo mínimo | La gran mayoría de los usos corporativos comunes. | Sin obligaciones específicas, lo que no dispensa la ley de protección de datos ni la política interna. |
Existe además un régimen propio para modelos de IA de propósito general (GPAI), con deberes de documentación y transparencia para quien los provee, y deberes adicionales cuando el modelo presenta riesgo sistémico. Para la mayoría de las empresas fuera de la UE, ese capítulo importa como usuaria de esos modelos: la documentación es algo que se le exige al proveedor.
El encuadre más común en una empresa mediana típica es riesgo mínimo, con una excepción que aparece casi siempre: la preselección de currículums. El uso de IA en reclutamiento y selección está entre los casos de alto riesgo. Muchas empresas que se consideran fuera de alcance tienen, en RR. HH., el único sistema que las pone dentro.
El calendario
El reglamento entró en vigor en agosto de 2024, pero la aplicación es escalonada — y es el dato que más gente confunde:
| A partir de | Qué pasa a regir |
|---|---|
| Febrero de 2025 | Prácticas prohibidas y el deber de alfabetización en IA: capacitación de quienes operan y de quienes resultan afectados por los sistemas. |
| Agosto de 2025 | Obligaciones para modelos de propósito general (GPAI) y la estructura de gobernanza y sanciones. |
| Agosto de 2026 | El grueso de las obligaciones de alto riesgo listadas en el Anexo III, y los deberes de transparencia. |
| Agosto de 2027 | Sistemas de alto riesgo que son componentes de seguridad de productos ya regulados por legislación sectorial. |
Para quien es alcanzado por el efecto cascada contractual, ese no es el calendario relevante: es el de los clientes europeos, que empiezan a exigir evidencia a la cadena bastante antes de su propio plazo.
Las sanciones
- Hasta 35 millones de euros o el 7 % de la facturación anual mundial, lo que sea mayor, para prácticas prohibidas.
- Hasta 15 millones de euros o el 3 % por incumplir las demás obligaciones, incluidas las de alto riesgo.
- Hasta 7,5 millones de euros o el 1 % por información incorrecta, incompleta o engañosa entregada a las autoridades.
El techo del 7 % es superior al del GDPR, lo que indica la seriedad con que el legislador europeo trata la franja de las prácticas prohibidas.
Qué hacer, sin volverlo un proyecto de dos años
Para la mayoría de las empresas fuera de la UE, la preparación proporcional cabe en cuatro movimientos:
- 1. Inventariar. No hay cómo encuadrar por franja de riesgo lo que no se sabe que existe. Es el mismo prerrequisito de todos los otros marcos — ver cómo armar un AI-BOM.
- 2. Encuadrar.Clasifique cada sistema en una de las cuatro franjas y registre la justificación. En la mayoría de los casos el resultado es “riesgo mínimo”, y tenerlo documentado es lo que responde al cuestionario del cliente.
- 3. Tratar las excepciones. Los pocos sistemas que caen en alto riesgo reciben atención proporcional: supervisión humana, documentación y registro.
- 4. Capacitar. El deber de alfabetización en IA es la obligación más barata de cumplir y la más olvidada: capacitación registrada para quien opera y para quien resulta afectado por los sistemas.
Quien estructura esto dentro de un sistema de gestión conforme a la ISO/IEC 42001 cubre buena parte del camino con un solo artefacto, y esa es la razón práctica de que la norma haya ganado tracción comercial tan rápido.
Y el marco regulatorio en la región
Brasil tiene un proyecto de ley en trámite en el Congreso que propone un marco de IA con enfoque por niveles de riesgo, de estructura cercana a la europea, y varios países de América Latina discuten iniciativas propias. Como los textos y las etapas cambian a lo largo del trámite, conviene confirmar el estado actual antes de cualquier decisión de cumplimiento.
El punto práctico es independiente del desenlace: inventario, clasificación por riesgo, supervisión humana y registro de evidencia son el denominador común de las leyes de protección de datos, de la ISO/IEC 42001, del EU AI Act y de cualquier marco que venga. Construir eso ahora no es apostar a un texto legal específico: es construir la base que todos ellos exigen.
Preguntas frecuentes
¿El EU AI Act se aplica a empresas fuera de la Unión Europea?
Puede aplicarse. El reglamento tiene alcance extraterritorial: cubre a quienes colocan sistemas de IA en el mercado de la Unión Europea sin importar dónde estén establecidos, y también a proveedores e implementadores de terceros países cuando el resultado producido por el sistema se utiliza dentro de la Unión. Una empresa sin cliente europeo directo aún puede ser alcanzada por contrato, como proveedora en la cadena de una empresa europea.
¿Cuáles son las franjas de riesgo del EU AI Act?
Cuatro. Riesgo inaceptable, con prácticas prohibidas. Alto riesgo, con el conjunto más pesado de obligaciones: gestión de riesgo, gobernanza de datos, documentación técnica, registro de eventos, supervisión humana, robustez y evaluación de conformidad. Riesgo limitado, con deberes de transparencia, como informar que el interlocutor es una IA o que el contenido fue generado artificialmente. Y riesgo mínimo, sin obligaciones específicas.
¿Cuáles son las multas del EU AI Act?
Las más severas alcanzan hasta 35 millones de euros o el 7 % de la facturación anual mundial, lo que sea mayor, para las prácticas prohibidas. Por incumplir otras obligaciones, hasta 15 millones de euros o el 3 %. Por información incorrecta o engañosa entregada a las autoridades, hasta 7,5 millones de euros o el 1 %.
¿Habrá una ley parecida en América Latina?
Brasil tiene un proyecto de ley en trámite en el Congreso que propone un marco regulatorio de IA con enfoque por niveles de riesgo, inspirado en la estructura europea, y varios países de la región discuten iniciativas propias. Como el texto y la etapa de trámite cambian, conviene confirmar el estado actual antes de decisiones de cumplimiento. En la práctica, las empresas que se organizan para el EU AI Act quedan bien posicionadas para lo que venga.