El segundo peldaño del AI Act: Europa regula los modelos que sostienen la nueva generación de IA

El 2 de agosto de 2025 comenzó una nueva fase del calendario escalonado del Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial o AI Act. Seis meses antes habían comenzado a aplicarse las disposiciones generales y las prohibiciones sobre determinadas prácticas de inteligencia artificial. Ahora entró en aplicación el Capítulo V, dedicado específicamente a los modelos de inteligencia artificial de propósito general —general-purpose AI models o GPAI—.

La categoría es jurídicamente distinta de un sistema de IA de alto riesgo. El Reglamento define un modelo de propósito general por su generalidad significativa y su capacidad para desempeñar competentemente una amplia gama de tareas distintas, además de poder integrarse en múltiples sistemas o aplicaciones posteriores.

Los grandes modelos generativos de lenguaje, imagen, audio o programación constituyen ejemplos paradigmáticos, pero el concepto regulatorio no depende exclusivamente de que un producto sea denominado comercialmente “modelo fundacional” o large language model.

La razón de establecer obligaciones directamente sobre el modelo es estructural: un único GPAI puede incorporarse posteriormente en cientos o miles de sistemas diferentes. El proveedor situado en la parte inicial de la cadena tecnológica posee información sobre entrenamiento, capacidades y limitaciones que los desarrolladores posteriores necesitan para gestionar correctamente sus propios productos.

Problemática jurídica

La dificultad regulatoria era evidente.

El modelo de propósito general no tiene necesariamente un destino concreto en el momento en que se comercializa. Puede utilizarse para redactar documentos, programar, generar imágenes, desarrollar asistentes empresariales, realizar búsquedas o integrarse posteriormente en aplicaciones que sí lleguen a clasificarse como de alto riesgo.

Aplicarle desde el origen toda la regulación prevista para un sistema médico, laboral, crediticio o de infraestructura crítica habría confundido dos niveles distintos de la cadena tecnológica.

La Unión Europea optó, por ello, por un régimen propio: obligaciones horizontales sobre documentación, transparencia y derechos de autor para los proveedores de GPAI, acompañadas de exigencias reforzadas únicamente cuando el modelo presente riesgo sistémico.

Cuatro obligaciones básicas para los proveedores

El artículo 53 constituye el núcleo del nuevo régimen.

Primero, el proveedor debe elaborar y mantener actualizada documentación técnica del modelo, incluida información sobre su proceso de entrenamiento y prueba y los resultados de sus evaluaciones. Esa documentación debe poder proporcionarse a la Oficina Europea de Inteligencia Artificial y a las autoridades competentes cuando sea requerida.

Segundo, debe preparar información suficiente para los proveedores posteriores que pretendan integrar el modelo en sus propios sistemas. El objetivo es que puedan comprender razonablemente sus capacidades y limitaciones y, a su vez, cumplir las obligaciones que les correspondan bajo el AI Act.

Tercero, aparece uno de los puntos más controvertidos del Reglamento: el proveedor debe establecer una política de cumplimiento del derecho de autor y derechos conexos de la Unión, incluyendo mecanismos para identificar y respetar las reservas de derechos formuladas conforme al artículo 4.3 de la Directiva (UE) 2019/790 sobre derechos de autor en el mercado único digital.

Cuarto, deberá elaborar y publicar un resumen suficientemente detallado del contenido utilizado para entrenar el modelo, empleando el formato elaborado por la Oficina de IA. La Comisión había publicado ese modelo de reporte el 24 de julio de 2025, precisamente antes de la entrada en aplicación del régimen.

La obligación no equivale a publicar íntegramente el conjunto de datos de entrenamiento ni a revelar indiscriminadamente secretos empresariales. Busca proporcionar un nivel común mínimo de transparencia sobre la procedencia y naturaleza del contenido empleado.

La excepción de código abierto tiene límites

El tratamiento de los modelos abiertos merece especial atención.

Los proveedores de determinados GPAI distribuidos mediante una licencia libre y de código abierto, cuyos pesos, arquitectura e información relevante de uso sean públicamente accesibles, pueden quedar exceptuados de las obligaciones de documentación técnica y de información hacia proveedores posteriores previstas en los incisos a) y b) del artículo 53.

Pero la excepción no alcanza a todo el artículo 53.

Incluso estos modelos deben, en principio, mantener la política de cumplimiento de derechos de autor y publicar el resumen del contenido de entrenamiento. Y si el modelo presenta riesgo sistémico, desaparece la excepción correspondiente.

El mensaje regulatorio es claro: apertura del código o de los pesos puede disminuir ciertas asimetrías informativas, pero no elimina los problemas relacionados con entrenamiento, propiedad intelectual o riesgos capaces de propagarse a gran escala.

Riesgo sistémico: el escalón superior

El Reglamento establece obligaciones adicionales para una categoría reducida de modelos con riesgo sistémico.

El artículo 51 presume capacidades de alto impacto cuando la cantidad acumulada de cómputo empleada para el entrenamiento supera 10²⁵ operaciones de punto flotante —FLOPs—. El umbral no es, sin embargo, el único mecanismo de clasificación: la Comisión también puede designar un modelo atendiendo a capacidades o impactos equivalentes y a los criterios establecidos en el Anexo XIII.

Cuando se alcanza el supuesto cuantitativo, el proveedor debe notificarlo a la Comisión sin demora y, en cualquier caso, dentro de las dos semanas correspondientes. Puede aportar argumentos para demostrar que, excepcionalmente, las características particulares del modelo justifican no tratarlo como sistémico.

Para los modelos finalmente clasificados como tales, el artículo 55 incorpora obligaciones reforzadas: evaluaciones del modelo, pruebas adversariales, identificación y mitigación continua de riesgos sistémicos, seguimiento y comunicación de incidentes graves y protección adecuada de ciberseguridad, incluida la infraestructura física asociada.

No basta, por tanto, con producir documentación. El proveedor de un modelo de frontera debe gestionar activamente riesgos capaces de propagarse a lo largo de la cadena tecnológica europea.

El Código de Buenas Prácticas: voluntario, pero jurídicamente relevante

Aquí existe una corrección temporal importante respecto de una lectura frecuente del hito del 2 de agosto.

El Código de Buenas Prácticas para GPAI no fue publicado ese día. Su versión final fue recibida por la Comisión el 10 de julio de 2025, después de un proceso coordinado por la Oficina de IA y desarrollado por trece expertos independientes con aportaciones de más de mil participantes.

El Código contiene tres capítulos: Transparencia, Derechos de Autor y Seguridad y Protección. Los dos primeros sirven de referencia para las obligaciones generales del artículo 53; el tercero se dirige específicamente a los proveedores de modelos con riesgo sistémico sujetos al artículo 55.

El 1 de agosto, un día antes de la aplicación del nuevo régimen, la Comisión y el Comité Europeo de Inteligencia Artificial confirmaron que el Código constituía una herramienta voluntaria adecuada para demostrar cumplimiento.

Su adhesión no es obligatoria.

El artículo 53 permite a los proveedores acogerse a códigos de prácticas para demostrar cumplimiento mientras no existan determinadas normas armonizadas. Quien decida no adherirse deberá acreditar ante la Comisión medios alternativos adecuados.

Por ello, el Código funciona como una forma de safe pathway regulatorio, pero no como fuente sustitutiva de las obligaciones legales.

Una fecha distinta para los modelos ya existentes

Quizá la precisión más relevante para las empresas sea el régimen transitorio.

Decir que “desde el 2 de agosto todos los modelos GPAI deben cumplir inmediatamente” sería incorrecto.

El artículo 111.3 dispone que los proveedores de modelos de propósito general colocados en el mercado antes del 2 de agosto de 2025 disponen hasta el 2 de agosto de 2027 para adoptar las medidas necesarias de cumplimiento.

En cambio, el nuevo régimen se vuelve inmediatamente relevante para los modelos que sean colocados en el mercado de la Unión a partir del 2 de agosto de 2025.

Existe además otra diferencia temporal: aunque el Capítulo V comienza a aplicarse ahora, el artículo 101 —que establece específicamente las multas aplicables a proveedores de GPAI— quedó excluido de esta fase del artículo 113 y entra en el calendario general posterior. La propia Comisión explicaba en julio que las nuevas reglas serían exigibles por la Oficina de IA frente a modelos nuevos un año después y frente a los modelos preexistentes dos años después.

Vigencia de la obligación, periodo transitorio y potestad sancionadora no son, por tanto, conceptos temporalmente idénticos.

Empresas mexicanas: primero debe determinarse cuál es su papel

Para una compañía mexicana, la primera pregunta no debería ser qué documentación elaborar, sino si jurídicamente es proveedor de un GPAI.

Una empresa que simplemente contrata una API o integra en su producto un modelo desarrollado por un tercero puede ocupar una posición distinta dentro de la cadena regulatoria. Sus obligaciones dependerán de su papel concreto y del sistema que finalmente comercialice.

En cambio, una compañía mexicana que desarrolle un modelo de propósito general y lo coloque en el mercado europeo entra potencialmente en el Capítulo V.

Además, el artículo 54 establece que los proveedores establecidos en terceros países deben, antes de colocar un GPAI en el mercado de la Unión, designar por escrito un representante autorizado establecido en territorio europeo, con determinadas excepciones para modelos abiertos que no presenten riesgo sistémico.

Por ello, el carácter extracomunitario del proveedor no constituye una vía de exclusión automática.

Consecuencias prácticas y recomendaciones

Para desarrolladores mexicanos con exposición europea, el cumplimiento debería comenzar con una clasificación jurídica del modelo y su fecha de primera comercialización en la Unión.

Después resulta aconsejable construir un expediente técnico que documente entrenamiento, pruebas, capacidades y limitaciones; identificar las fuentes y categorías de datos utilizadas; revisar mecanismos para respetar reservas de derechos de autor; y preparar el resumen público de entrenamiento conforme al formato publicado por la Comisión.

Las empresas que integran modelos de terceros deben solicitar información contractual suficiente sobre su estatus regulatorio, régimen de código abierto, eventual clasificación como modelo sistémico y adhesión —o no— al Código de Buenas Prácticas.

La firma del Código puede simplificar la debida diligencia, pero no debe confundirse con una certificación gubernamental del modelo ni con una garantía absoluta de cumplimiento.

Conclusiones

El 2 de agosto de 2025 representa un cambio relevante en la filosofía regulatoria europea.

El AI Act ya no se limita a prohibir determinados usos considerados inaceptables. Empieza a regular directamente la infraestructura tecnológica que puede alimentar innumerables aplicaciones posteriores.

La obligación fundamental es de trazabilidad: documentar el modelo, explicar sus capacidades a quienes lo integrarán, enfrentar jurídicamente la procedencia del contenido utilizado para entrenarlo y, cuando alcance una capacidad suficientemente elevada, gestionar riesgos capaces de propagarse a escala europea.

Pero el calendario exige precisión.

Los modelos colocados en el mercado antes de esta fecha cuentan con una transición hasta 2027; el Código había sido publicado semanas antes y continúa siendo voluntario; y el régimen sancionador específico de los proveedores de GPAI todavía tiene su propia fecha de aplicación.

El segundo gran escalón del AI Act comienza, por tanto, con una idea sencilla pero jurídicamente ambiciosa: quien desarrolla un modelo capaz de servir para casi cualquier cosa debe poder explicar cómo fue construido, qué límites tiene y qué riesgos introduce en la cadena tecnológica.

Fuentes consultadas —corte temporal: 2 de agosto de 2025

Parlamento Europeo y Consejo de la Unión Europea. Reglamento (UE) 2024/1689, especialmente artículos 51 a 56, 101, 111 y 113 y Anexos XI a XIII.

Comisión Europea. General-Purpose AI Code of Practice now available, 10 de julio de 2025.

Comisión Europea. Guidelines on the scope of obligations for providers of general-purpose AI models under the AI Act, contenido publicado el 18 de julio de 2025.

Comisión Europea. Explanatory Notice and Template for the Public Summary of Training Content for general-purpose AI models, 24 de julio de 2025.

Comisión Europea. Commission Opinion on the assessment of the General-Purpose AI Code of Practice, 1 de agosto de 2025.