Diario Tech & IA
Desde el 2 de agosto de 2026, una empresa que utilice inteligencia artificial en Europa ya no puede tratar la documentación, el etiquetado y la supervisión humana como elementos voluntarios. La Oficina Europea de IA y las autoridades nacionales comenzaron a supervisar y hacer cumplir las disposiciones aplicables de la Ley de Inteligencia Artificial de la Unión Europea.
El cambio no representa una prohibición general de la IA ni significa que todos los sistemas hayan pasado a ser considerados de alto riesgo. La legislación europea utiliza una clasificación gradual: distingue entre prácticas prohibidas, sistemas de alto riesgo, aplicaciones sujetas principalmente a transparencia y herramientas que presentan un riesgo mínimo o inexistente.
De hecho, la propia Comisión Europea reconoce que la mayoría de los sistemas utilizados actualmente en la Unión Europea pertenece a la categoría de riesgo mínimo. Un filtro de correo no deseado, una función automática incorporada a un videojuego o una herramienta convencional de recomendación no reciben el mismo tratamiento que un sistema utilizado para seleccionar trabajadores, evaluar solicitudes migratorias o controlar infraestructuras críticas.
Lo que comenzó el 2 de agosto es una etapa distinta: la gobernanza de la inteligencia artificial se convierte en una capacidad empresarial que debe poder demostrarse. Los proveedores ya no pueden limitarse a declarar que sus modelos son seguros, y las empresas que los utilizan tampoco pueden descargar toda la responsabilidad sobre el desarrollador original.
La Ley de IA entró formalmente en vigor el 1 de agosto de 2024, pero su aplicación fue diseñada como un proceso progresivo. Esa distinción es indispensable para entender qué cambió realmente en agosto de 2026.
Las primeras prohibiciones comenzaron a aplicarse el 2 de febrero de 2025. Desde entonces quedaron alcanzadas prácticas como la manipulación dañina, la explotación de vulnerabilidades, determinadas formas de puntuación social, la recopilación indiscriminada de imágenes para construir bases de reconocimiento facial y algunos usos del reconocimiento emocional en centros educativos y lugares de trabajo.
Ese mismo día comenzaron también las obligaciones relacionadas con la alfabetización en inteligencia artificial. Las empresas deben procurar que las personas encargadas de operar o supervisar sus sistemas posean conocimientos suficientes para comprender sus capacidades, limitaciones y riesgos.
El 2 de agosto de 2025 entraron en aplicación las reglas para los proveedores de modelos de propósito general, conocidos como GPAI por sus siglas en inglés. Esta categoría incluye modelos capaces de realizar múltiples tareas y servir como base para numerosos productos y servicios posteriores.
Desde el 2 de agosto de 2026, la Oficina Europea de IA y las autoridades de los Estados miembros pueden hacer cumplir las prohibiciones, las obligaciones de alfabetización, las reglas aplicables a los modelos de propósito general y los nuevos requisitos de transparencia. La Comisión también habilitó mecanismos para presentar denuncias, reportar infracciones y canalizar reclamaciones de empresas que incorporan modelos desarrollados por terceros.
Sin embargo, una parte importante de las obligaciones para sistemas de alto riesgo conserva periodos transitorios. Después de las modificaciones introducidas por el llamado AI Omnibus, las reglas para usos de alto riesgo incluidos en el Anexo III —como biometría, educación, empleo, migración, asilo, fronteras e infraestructuras críticas— comenzarán a aplicarse el 2 de diciembre de 2027.
Los sistemas de alto riesgo integrados en productos regulados, como determinados equipos médicos, máquinas, juguetes o ascensores, dispondrán hasta el 2 de agosto de 2028.
Por tanto, agosto de 2026 no marca el final del calendario regulatorio. Marca el inicio de la fiscalización efectiva de las disposiciones que ya son exigibles.
La supervisión tampoco estará concentrada en una sola institución. La responsabilidad se distribuye entre la Oficina Europea de IA, las autoridades nacionales y el Supervisor Europeo de Protección de Datos.
La Oficina Europea de IA tiene competencias directas sobre los proveedores de modelos de propósito general, incluidos los modelos más avanzados que puedan presentar riesgos sistémicos. También puede intervenir sobre sistemas creados por el mismo proveedor del modelo subyacente y sobre determinadas aplicaciones incorporadas a grandes plataformas o motores de búsqueda regulados por la Ley de Servicios Digitales.
Las autoridades nacionales se ocuparán de otros sistemas comercializados o utilizados dentro de sus respectivos territorios, mientras que el Supervisor Europeo de Protección de Datos vigilará los sistemas empleados por las instituciones de la Unión Europea.
De acuerdo con el marco de aplicación publicado por la Comisión Europea, la Oficina de IA puede solicitar información y documentación técnica, exigir acceso a un modelo para realizar evaluaciones, ordenar medidas de mitigación y requerir que se limite su disponibilidad pública.
También puede realizar entrevistas, efectuar inspecciones en las instalaciones de un proveedor y sancionar respuestas incompletas, incorrectas o engañosas entregadas durante una investigación.
Las sanciones más elevadas están reservadas para las prácticas prohibidas y pueden alcanzar 35 millones de euros o el 7% de la facturación mundial anual, dependiendo de cuál de las dos cantidades resulte mayor. Otros incumplimientos, incluidos los relacionados con modelos de propósito general, pueden recibir multas de hasta 15 millones de euros o el 3% de la facturación mundial.
Estas cantidades representan límites máximos. La sanción concreta deberá considerar la naturaleza, gravedad, duración e intencionalidad de la infracción. No significa que cualquier error de etiquetado produzca automáticamente una multa multimillonaria.
La importancia empresarial está en otro punto: una compañía investigada necesitará presentar evidencia. Las políticas internas, evaluaciones, registros y mecanismos de control dejan de ser documentos decorativos para convertirse en elementos capaces de demostrar cumplimiento.
La Ley de IA distingue entre el proveedor, que desarrolla o comercializa el sistema, y el desplegador, que lo utiliza bajo su autoridad dentro de una actividad empresarial o institucional.
Un desarrollador que ofrece un modelo generativo en Europa es proveedor. Una aseguradora que integra ese modelo en su servicio de atención al cliente actúa como desplegadora. Una empresa puede desempeñar ambos papeles si modifica sustancialmente un sistema, lo comercializa bajo su propia marca o desarrolla una aplicación completa sobre un modelo ajeno.
Para los proveedores de modelos de propósito general, las obligaciones incluyen preparar documentación técnica, proporcionar información a los desarrolladores que integran el modelo en sistemas posteriores, establecer políticas para respetar la legislación europea sobre derechos de autor y publicar un resumen suficientemente detallado del contenido utilizado durante el entrenamiento.
Cuando un modelo presenta riesgo sistémico, las exigencias aumentan. El proveedor debe evaluar capacidades y riesgos, efectuar pruebas adversariales, mitigar amenazas, reportar incidentes graves y mantener protecciones adecuadas de ciberseguridad.
Las empresas que despliegan los sistemas enfrentan obligaciones diferentes. Deben comprender para qué se utiliza la herramienta, qué personas pueden resultar afectadas, qué datos recibe, cuáles acciones puede ejecutar y qué mecanismos permiten supervisarla o suspenderla.
Contratar un servicio externo no elimina esa responsabilidad. Una empresa no controla el entrenamiento original de un modelo, pero sí controla las credenciales que le entrega, las bases de datos a las que permite acceso, las acciones que autoriza y la forma en que utiliza sus resultados.
Uno de los cambios más visibles procede del artículo 50, cuyas obligaciones de transparencia comenzaron a aplicarse el 2 de agosto de 2026.
Los sistemas diseñados para interactuar directamente con personas deben informar que el usuario está tratando con una inteligencia artificial, salvo cuando resulte evidente para una persona razonablemente informada y atenta.
Los proveedores de sistemas que generen audio, imágenes, video o texto sintético deben incorporar marcas en formatos legibles por máquinas que permitan detectar que el contenido fue generado o manipulado artificialmente. Las soluciones deben ser efectivas, interoperables, robustas y fiables hasta donde resulte técnicamente posible.
Esto no significa que cualquier corrección automática de una fotografía o edición menor de un texto tenga que recibir el mismo tratamiento. La regulación contempla excepciones para funciones de asistencia utilizadas en ediciones convencionales que no alteran sustancialmente los datos originales ni su significado.
La responsabilidad visible recae también sobre quienes publican el contenido. Las imágenes, audios y videos que constituyan deepfakes deben identificarse como material generado o manipulado artificialmente.
En obras evidentemente artísticas, satíricas, creativas o ficticias, la información puede presentarse de una manera que no perjudique la experiencia de la obra. La transparencia no obliga necesariamente a colocar una advertencia invasiva sobre cada escena de una película.
La situación del texto posee otra distinción importante. Cuando una empresa o persona publica contenido generado o manipulado por IA con el propósito de informar al público sobre asuntos de interés general, debe revelar su origen artificial. Sin embargo, esa obligación puede no aplicarse cuando el contenido ha pasado por un proceso de revisión humana o control editorial y una persona física o jurídica conserva la responsabilidad editorial sobre la publicación.
Esta excepción resulta especialmente relevante para medios de comunicación, instituciones y empresas. La Ley no equipara automáticamente toda utilización de una herramienta de asistencia con la publicación autónoma de contenido. La pregunta central es si existe revisión humana real y responsabilidad editorial identificable.
La Comisión elaboró un Código de Prácticas sobre Transparencia para ayudar a aplicar estas reglas. La adhesión al código es voluntaria, pero las obligaciones del artículo 50 son jurídicamente vinculantes.
Los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 disponen, en determinadas circunstancias, hasta el 2 de diciembre de 2026 para cumplir la obligación de incorporar marcas y mecanismos de detección del contenido sintético.
La Ley de IA no define al “agente de IA” como una categoría jurídica independiente. La Comisión reconoce que el término todavía se utiliza de manera inconsistente y que sus límites técnicos continúan evolucionando.
No obstante, un agente puede quedar cubierto por las definiciones existentes de sistema de IA y modelo de propósito general. Que no exista una categoría separada no significa que opere fuera de la regulación.
La diferencia práctica entre un chatbot y un agente es fundamental. Un chatbot convencional recibe una pregunta y devuelve una respuesta. Un agente puede consultar bases de datos, navegar por aplicaciones, llamar funciones, modificar archivos, enviar comunicaciones o ejecutar transacciones.
El riesgo ya no reside únicamente en que produzca una afirmación equivocada. También puede seleccionar una acción incorrecta y ejecutarla utilizando permisos reales.
Desde agosto de 2026, un agente que interactúe con personas o genere contenido puede quedar sometido a las reglas de transparencia. Si el modelo que lo sostiene posee capacidades suficientes para presentar riesgo sistémico, su autonomía y utilización de herramientas también pueden influir en las evaluaciones exigidas al proveedor.
Para las empresas, esto obliga a mirar más allá del modelo. La seguridad del agente depende de toda la arquitectura:
- identidad utilizada para actuar;
- permisos concedidos;
- herramientas disponibles;
- datos accesibles;
- acciones que requieren aprobación;
- registro de cada operación;
- límites de gasto o alcance;
- mecanismo de suspensión;
- procedimiento de recuperación ante errores.
La supervisión humana tampoco puede reducirse a colocar una persona frente a una pantalla. Debe existir capacidad efectiva para comprender la acción, intervenir antes de que produzca consecuencias graves y reconstruir posteriormente lo ocurrido.
La Ley de IA no obliga automáticamente a todas las empresas del mundo. Su aplicación depende del proveedor, del mercado donde se ofrece el sistema, del lugar donde se utiliza y de si sus resultados producen efectos dentro de la Unión Europea.
Una compañía latinoamericana que solo opera localmente no queda sometida de manera inmediata a todas las disposiciones europeas. Pero la situación cambia si vende servicios en Europa, atiende clientes europeos, forma parte de la cadena de suministro de una empresa europea o desarrolla productos cuyos resultados se utilizan dentro de ese mercado.
También habrá efectos indirectos. Los grandes proveedores difícilmente mantendrán arquitecturas completamente independientes para cada jurisdicción. Parte del etiquetado, la documentación, los controles y las evaluaciones diseñados para Europa terminarán incorporándose a productos distribuidos globalmente.
Ya ocurrió algo semejante con la protección de datos. El Reglamento General de Protección de Datos europeo convirtió prácticas inicialmente asociadas con Europa en referencias internacionales para el tratamiento de información personal.
La Ley de IA podría producir un efecto similar sobre la trazabilidad de modelos, la identificación de contenido sintético y el control de sistemas autónomos. Europa no necesita que todas sus reglas se apliquen jurídicamente en cada país para influir sobre la arquitectura técnica de productos internacionales.
Para una empresa latinoamericana, el primer paso no debería consistir en contratar una costosa plataforma de cumplimiento, sino en saber qué inteligencia artificial ya está utilizando.
Muchas organizaciones no poseen un inventario centralizado. Diferentes departamentos emplean asistentes de escritura, sistemas de selección, generadores de imágenes, herramientas de programación, servicios de análisis y agentes conectados a plataformas empresariales sin una política común.
Un inventario básico debe identificar el proveedor, modelo, finalidad, datos utilizados, personas afectadas, nivel de autonomía y responsable interno de cada sistema.
El segundo paso es registrar las acciones importantes. Si un agente consulta el expediente de un cliente, modifica un registro, genera una factura o envía una comunicación, la empresa debería poder determinar cuándo ocurrió, qué modelo intervino, qué información recibió y bajo qué autorización actuó.
El tercero es aplicar permisos mínimos. Un agente no necesita acceso permanente a toda la base de datos porque ocasionalmente consulte un registro. Tampoco debería poder enviar pagos, eliminar información o publicar contenido sin una aprobación adicional.
El cuarto elemento es la supervisión humana. Debe definirse cuáles decisiones pueden automatizarse, cuáles deben ser revisadas y cuáles nunca pueden delegarse completamente.
También se necesitan políticas sobre datos confidenciales, conservación de registros, utilización de modelos externos, revisión de contenido, gestión de incidentes y suspensión de sistemas.
Estas medidas no son útiles solamente para una futura relación con Europa. También reducen fraude, errores operativos, filtraciones de información y dependencia descontrolada de proveedores tecnológicos.
La entrada en la etapa de supervisión de la Ley de IA no detendrá la adopción europea de inteligencia artificial. Tampoco convierte cualquier utilización de un modelo en una actividad de alto riesgo.
Lo que cambia es el estándar de responsabilidad.
Hasta ahora, muchas empresas podían presentar la seguridad como una declaración general: el sistema fue probado, existe supervisión humana y los datos están protegidos. Desde agosto de 2026, esas afirmaciones pueden ser examinadas por autoridades con capacidad para solicitar información, evaluar modelos, ordenar correcciones e imponer sanciones.
La gobernanza técnica deja así de ser una función secundaria. El inventario de modelos, la documentación, la trazabilidad, el control de permisos, la revisión editorial y los mecanismos de suspensión pasan a formar parte del producto.
En la nueva etapa de la inteligencia artificial empresarial, la ventaja no pertenecerá únicamente a quien posea el modelo más rápido o más inteligente. También pertenecerá a quien pueda demostrar qué hace su sistema, con cuáles datos, bajo qué autoridad y dentro de cuáles límites.