En resumen. El Reglamento (UE) 2024/1689 puede aplicar a proveedores y usuarios de IA ubicados en terceros países cuando el resultado del sistema se usa en la Unión Europea. Con el Digital Omnibus, en vigor desde el 27 de julio de 2026, los sistemas de alto riesgo autónomos pasan al 2 de diciembre de 2027 y los incorporados en productos al 2 de agosto de 2028. Las multas llegan a 35 millones de euros o 7 % de la facturación mundial en prácticas prohibidas. La certificación ISO/IEC 42001 hoy no da presunción de conformidad.
¿Por qué le importa a una empresa colombiana?
El artículo 2 del Reglamento de IA de la Unión Europea (Reglamento UE 2024/1689) establece, entre otros supuestos, que cubre a proveedores y a usuarios de sistemas de IA establecidos o ubicados en un tercer país cuando el resultado producido por el sistema se usa en la Unión. También alcanza a proveedores de terceros países que comercializan sistemas o modelos de propósito general en la UE. Si tu empresa tiene clientes, filiales o procesos que afectan a personas en Europa, conviene revisarlo.
Las fechas, actualizadas con el Digital Omnibus
| Fecha | Qué empieza |
|---|---|
| 1 de agosto de 2024 | Entra en vigor el reglamento (se publicó el 12 de julio de 2024) |
| 2 de febrero de 2025 | Prohibiciones y alfabetización en IA |
| 2 de agosto de 2025 | Gobernanza y reglas para modelos de propósito general |
| 2 de agosto de 2026 | Aplicación general del resto, incluida la transparencia |
| 2 de diciembre de 2026 | Nuevas prohibiciones: sistemas que generan imágenes íntimas no consentidas o material de abuso sexual infantil |
| 2 de diciembre de 2027 | Alto riesgo autónomo (Anexo III), según el Digital Omnibus |
| 2 de agosto de 2028 | Alto riesgo incorporado en productos (Anexo I), según el Digital Omnibus |
El Digital Omnibus on AI (Reglamento UE 2026/1744) tuvo acuerdo político el 7 de mayo de 2026, adopción final del Consejo el 29 de junio y entró en vigor el 27 de julio de 2026. Cuidado con las fechas viejas que circulan: antes se decía que el alto riesgo de productos llegaba el 2 de agosto de 2027, y esa fecha cambió.
Los cuatro niveles de riesgo
La Comisión Europea clasifica los sistemas en cuatro niveles, con ejemplos oficiales:
- Inaceptable: prohibido. Por ejemplo, la puntuación social o el reconocimiento de emociones en el lugar de trabajo.
- Alto: exige requisitos estrictos. Un ejemplo oficial es el software de clasificación de CV para reclutamiento.
- Transparencia: por ejemplo, los chatbots, que deben avisar que son IA.
- Mínimo: por ejemplo, videojuegos con IA o filtros de spam.
Si trabajas en recursos humanos, el dato importa: filtrar CV con IA se considera, según la Comisión, un uso de alto riesgo.
Las multas
Según el texto original del artículo 99 (verificado en un sitio de apoyo, y sin confirmar si el Omnibus lo modificó): hasta 35 millones de euros o 7 % de la facturación mundial por prácticas prohibidas; hasta 15 millones o 3 % por incumplir otras obligaciones; y hasta 7,5 millones o 1 % por dar información incorrecta a las autoridades. Un matiz que se confunde mucho: el techo de 35 millones o 7 % es para las prácticas prohibidas, no para cualquier incumplimiento.
El RGPD también cuenta
Si usas IA con datos de personas en Europa, el RGPD aplica a responsables no establecidos en la UE cuando ofrecen bienes o servicios a personas en la Unión o monitorean su comportamiento allí (artículo 3.2). Sus multas llegan a 20 millones de euros o 4 % de la facturación mundial (artículo 83.5), y el artículo 22 da derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado con efectos significativos.
¿Sirve la ISO/IEC 42001 para cumplir el AI Act?
Ordena tu gobernanza, pero hoy no equivale a cumplir. La fuente oficial, CEN-CENELEC, explica que cuando se publiquen en el Diario Oficial las normas armonizadas que desarrolla su comité JTC 21, darán a las empresas una presunción legal de conformidad. Varios despachos de abogados y consultoras coinciden en que la certificación ISO/IEC 42001 todavía no la da. No pude confirmar el estado de publicación de ninguna norma armonizada. Mi lectura, como auditora de esa norma: úsala como base de gobierno, no como sello legal.
Qué revisar esta semana
- ¿Algún sistema de IA que usas o vendes produce resultados que se usan en la UE?
- ¿Algún uso cae en alto riesgo, por ejemplo selección de personal o evaluación de personas?
- ¿Tus chatbots avisan que son IA?
- ¿Tienes un inventario de usos de IA con dueño y fecha?
Lo que no confirmé
No pude leer en EUR-Lex el texto literal de los artículos 2, 4 y 99, ni confirmar si el Omnibus modificó el artículo 99 o fijó otra fecha para el nuevo artículo 4 sobre alfabetización en IA. Tampoco los umbrales de cómputo para modelos de riesgo sistémico.
Fuentes
- Reglamento (UE) 2024/1689, EUR-Lex
- Marco regulatorio de IA, Comisión Europea
- Cronología del AI Act, Consejo de la UE
- Digital Omnibus on AI, Reglamento (UE) 2026/1744, EUR-Lex
- Artículo 2 del AI Act (sitio de apoyo)
- Artículo 99 del AI Act (sitio de apoyo)
- CEN-CENELEC: normas armonizadas de IA
- RGPD, artículo 83 (sitio de apoyo)
¿Quieres que tu equipo use IA con reglas claras?
Dicto programas de capacitación en IA para empresas, de 6 a 48 horas, con Claude, Microsoft Copilot y gobernanza ISO/IEC 42001.
Ver los programas → Escríbeme