AI Act en fase de ejecución: transparencia hoy, alto riesgo en 2027 y 2028

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, conocido como Reglamento de Inteligencia Artificial o AI Act —en adelante, RIA— instauró el primer marco regulatorio integral de la Unión Europea basado en una clasificación de riesgos derivados del empleo de sistemas de inteligencia artificial. Su entrada en vigor, el 1 de agosto de 2024, estuvo acompañada de un calendario de aplicación escalonada que buscaba conceder a autoridades, proveedores y responsables del despliegue un período razonable de adaptación.

Durante 2025 comenzaron a resultar aplicables diversas disposiciones, incluidas las relativas a determinadas prácticas prohibidas y, desde el 2 de agosto de ese año, las obligaciones correspondientes a proveedores de modelos de inteligencia artificial de uso general —general-purpose AI models o GPAI—. El calendario original convertía al 2 de agosto de 2026 en una fecha particularmente relevante para el régimen de alto riesgo.

Sin embargo, pocos días antes de alcanzar dicha fecha, el marco jurídico fue modificado. El Reglamento (UE) 2026/1744, denominado Digital Omnibus on AI, entró en vigor el 27 de julio de 2026 y reformó, entre otras disposiciones, el artículo 113 del RIA. La modificación obedeció, fundamentalmente, al retraso en la disponibilidad de normas armonizadas, especificaciones comunes, orientaciones técnicas y estructuras nacionales necesarias para una aplicación uniforme de las obligaciones de alto riesgo.

El cambio fundamental: el alto riesgo ya no comenzó en agosto de 2026

La consecuencia jurídica más importante de la reforma consiste en que las secciones 1, 2 y 3 del capítulo III del RIA, que contienen la clasificación, requisitos y obligaciones esenciales aplicables a los sistemas de alto riesgo, quedaron sujetas a nuevas fechas.

Para los sistemas clasificados como de alto riesgo conforme al artículo 6.2 y al anexo III —entre ellos determinados usos de biometría, infraestructuras críticas, educación, empleo, migración, asilo y control fronterizo—, las disposiciones correspondientes serán aplicables desde el 2 de diciembre de 2027. Tratándose de sistemas contemplados en el artículo 6.1 y vinculados a productos sujetos a la legislación armonizada incluida en el anexo I, la aplicación se trasladó al 2 de agosto de 2028.

Por consiguiente, sería jurídicamente incorrecto afirmar que el 2 de agosto de 2026 entró en aplicación, de manera general, el régimen de alto riesgo. El cambio legislativo obliga a distinguir entre la aplicabilidad general del Reglamento y la exigibilidad diferida de capítulos específicos.

Esta precisión no es menor. Para departamentos jurídicos, fiscales, financieros y de cumplimiento, una interpretación equivocada del calendario puede generar tanto gastos prematuros como, en sentido inverso, una falsa percepción de inexistencia de obligaciones regulatorias.

Entonces, ¿qué cambió el 2 de agosto de 2026?

La fecha conserva enorme relevancia. Desde el 2 de agosto de 2026, la Oficina de IA de la Comisión Europea y las autoridades nacionales competentes comenzaron una fase efectiva de supervisión y garantía del cumplimiento respecto de las disposiciones ya aplicables del RIA. La Comisión posee, además, facultades para exigir el cumplimiento de las obligaciones aplicables a proveedores de modelos GPAI, solicitar documentación, evaluar modelos, ordenar medidas correctoras y, cuando corresponda, imponer multas.

También comenzaron a aplicarse las obligaciones de transparencia del artículo 50. Entre otras hipótesis, determinados sistemas interactivos deben informar a las personas de que están interactuando con inteligencia artificial; los denominados deepfakes deben identificarse en los supuestos previstos por el Reglamento, y determinado contenido generado o manipulado artificialmente debe incorporar mecanismos que permitan su identificación como tal. Para ciertos sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026, la reforma contempla un período específico hasta el 2 de diciembre de 2026 respecto de determinadas obligaciones de marcado previstas en el artículo 50.2.

Por otra parte, respecto de los modelos GPAI introducidos en el mercado después del 2 de agosto de 2025, las obligaciones ya resultaban aplicables, pero desde agosto de 2026 la Comisión puede ejercer plenamente sus facultades de enforcement. Los modelos introducidos antes de aquella fecha cuentan, como regla transitoria, hasta el 2 de agosto de 2027 para adecuarse.

El riesgo sancionador ya es corporativamente relevante

El régimen sancionador exige particular atención. El artículo 99 contempla multas de hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual del ejercicio financiero precedente, aplicándose la cifra superior para determinadas infracciones relacionadas con prácticas prohibidas.

Para otros incumplimientos relevantes —incluidas obligaciones de proveedores, importadores, distribuidores, responsables del despliegue y determinadas obligaciones de transparencia— el límite puede alcanzar 15 millones de euros o el 3 % de la facturación mundial anual. La presentación de información inexacta, incompleta o engañosa a autoridades u organismos competentes puede alcanzar 7.5 millones de euros o el 1 %. Existen reglas particulares de proporcionalidad para pymes, empresas emergentes y determinadas pequeñas empresas de mediana capitalización.

Los proveedores de modelos GPAI se encuentran, además, sujetos al régimen específico del artículo 101, que faculta a la Comisión para imponer multas de hasta el 3 % del volumen de negocios mundial anual o 15 millones de euros, si esta última cifra fuese superior, en los supuestos previstos por la norma.

RIA y RGPD: concurrencia, pero no “doble multa” automática

Otro aspecto que requiere precisión consiste en la relación entre el RIA y el Reglamento General de Protección de Datos. Ambos ordenamientos pueden resultar simultáneamente aplicables cuando un sistema de inteligencia artificial trate datos personales. La aplicación del RIA no desplaza las obligaciones derivadas del RGPD, por lo que una misma arquitectura tecnológica puede quedar sujeta a supervisión desde perspectivas normativas diferentes.

No obstante, resulta excesivo sostener que un mismo incidente necesariamente producirá una “doble multa”. El artículo 99.7 del RIA dispone que, al determinar la sanción, deberá considerarse, entre otros factores, si otras autoridades ya impusieron multas al mismo operador por infracciones de otros actos legislativos nacionales o de la Unión derivadas de la misma actividad u omisión. En consecuencia, es más rigurosa la expresión concurrencia potencial de procedimientos y responsabilidades regulatorias, sin presumir una acumulación automática de sanciones.

Implicaciones para las empresas mexicanas

El carácter extraterritorial del RIA convierte esta evolución en un asunto relevante también para empresas mexicanas. Conforme a su artículo 2, el Reglamento alcanza, entre otros supuestos, a proveedores que introduzcan sistemas o modelos de IA en el mercado de la Unión, aunque estén establecidos en terceros países, así como a determinados proveedores y responsables del despliegue establecidos fuera de la Unión cuando los resultados generados por el sistema sean utilizados en territorio europeo.

Una empresa mexicana que suministre soluciones de recursos humanos, evaluación crediticia, análisis biométrico, software industrial o servicios digitales con componentes de IA no debería interpretar el aplazamiento como autorización para diferir toda actividad de cumplimiento.

Por el contrario, el período adicional debe aprovecharse para: clasificar los sistemas conforme al RIA; determinar la calidad jurídica asumida en cada operación —proveedor, responsable del despliegue, importador o distribuidor—; elaborar un inventario de sistemas y modelos; revisar contratos con proveedores tecnológicos; establecer responsabilidades internas; documentar decisiones automatizadas y mecanismos de supervisión; y coordinar el cumplimiento del RIA con las obligaciones existentes en materia de protección de datos, ciberseguridad y gobierno corporativo.

La responsabilidad del proveedor de un modelo subyacente no elimina automáticamente las obligaciones del operador empresarial que integra o despliega la solución. En materia de inteligencia artificial, la diligencia debida debe extenderse a toda la cadena tecnológica.

Conclusiones

Agosto de 2026 no significó la llegada inmediata del régimen general de sistemas de inteligencia artificial de alto riesgo que originalmente anticipaba el calendario europeo. Significó algo distinto, pero igualmente trascendente: el tránsito del RIA hacia una etapa efectiva de aplicación, supervisión administrativa y riesgo sancionador.

El Reglamento (UE) 2026/1744 concedió tiempo adicional para las obligaciones de alto riesgo, trasladándolas al 2 de diciembre de 2027 para los sistemas del artículo 6.2 y anexo III, y al 2 de agosto de 2028 para los vinculados al artículo 6.1 y anexo I. Ese aplazamiento constituye una oportunidad regulatoria, no una moratoria para la inacción.

Para las empresas mexicanas con exposición al mercado europeo, la estrategia jurídicamente prudente consiste en emplear este período para construir inventarios, matrices de riesgo, controles contractuales y evidencia documental. Cuando llegue la fecha de aplicación, el cumplimiento difícilmente podrá improvisarse: deberá poder demostrarse.

Fuentes consultadas

Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, texto consolidado al 27 de julio de 2026, particularmente artículos 2, 50, 99, 101, 111 y 113.

Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, relativo a la simplificación de la aplicación de las normas armonizadas sobre inteligencia artificial.

Comisión Europea, Shaping Europe’s Digital Future. AI Act — Application timeline and governance and enforcement, actualización de agosto de 2026.

Comisión Europea. The enforcement framework of the AI Act, actualización del 24 de agosto de 2026.

Comisión Europea. Guidelines on transparency obligations for providers and deployers of AI systems, 20 de julio de 2026.

Comisión Europea. Guidelines for providers of general-purpose AI models.