Puntos clave

• El Acta define cuatro clases de riesgo: inaceptable (prohibido), alto (regulado), limitado (obligaciones de transparencia) y mínimo (voluntario).
• Las normas sobre sistemas de IA de alto riesgo se vuelven plenamente aplicables el 2 de agosto de 2026, con obligaciones importantes para los proveedores incluyendo gestión de riesgos, gobernanza de datos y evaluación de conformidad.
• Los modelos de IA de Propósito General (GPAI) tienen reglas dedicadas. Los modelos por encima de un umbral de cómputo de alrededor de 10^25 FLOPs se presume que plantean un riesgo sistémico y enfrentan obligaciones más estrictas.
• Multas máximas: 35 millones de euros o el 7% del volumen de negocio global anual por prácticas prohibidas; 15 millones de euros o el 3% por incumplimiento de alto riesgo.
• La infraestructura de IA soberana on-premise aborda simultáneamente el AI Act, el Capítulo V del RGPD y NIS2 — una alternativa estructuralmente conforme a los LLM en la nube de EE. UU.

A quién se dirige esta guía

• CISOs y CIOs que evalúan opciones de despliegue de IA bajo el nuevo marco regulatorio.
• DPOs y responsables de cumplimiento que mapean casos de uso de IA contra las cuatro clases de riesgo.
• Responsables de gobernanza de IA que diseñan los procesos de inventario, clasificación y documentación.
• Equipos de compras que negocian contratos con proveedores de IA y evalúan la exposición al riesgo sistémico.

El EU AI Act es la primera gran regulación horizontal sobre inteligencia artificial en el mundo. Se aplica a los sistemas de IA introducidos en el mercado, puestos en servicio o utilizados dentro de la Unión Europea, independientemente de dónde esté establecido el proveedor. Como el RGPD, tiene alcance extraterritorial explícito.

El reglamento adopta un enfoque basado en riesgo: en lugar de regular la IA de manera uniforme, clasifica los sistemas en cuatro niveles e impone requisitos proporcionados en cada nivel. La mayoría del uso empresarial de IA cae en las categorías limitada o mínima con solo obligaciones de transparencia, pero un subconjunto significativo — cualquier cosa utilizada en empleo, crédito, educación, aplicación de la ley, identificación biométrica y varios otros dominios sensibles — desencadena el régimen completo de alto riesgo.

Más allá de los niveles de riesgo, el Acta introduce un capítulo dedicado separado para los modelos de IA de propósito general, reconociendo que los modelos base presentan riesgos no vinculados a un caso de uso específico sino a las capacidades del modelo en sí. Los proveedores de modelos GPAI por encima de un umbral de cómputo enfrentan obligaciones adicionales de evaluación del modelo, pruebas adversariales y notificación de incidentes.

La característica definitoria del Acta es su arquitectura basada en riesgo. Cada sistema de IA dentro del ámbito debe clasificarse en uno de los cuatro niveles, y las obligaciones escalan en consecuencia. Las cifras a continuación son órdenes de magnitud ilustrativos — la distribución real varía por sector, pero el riesgo mínimo domina.

El Artículo 5 del AI Act enumera las categorías de sistemas de IA que están prohibidas por completo en toda la Unión Europea. Las prohibiciones entraron en vigor el 2 de febrero de 2025 y se aplican independientemente de cualquier beneficio comercial u operativo. No son sistemas de alto riesgo con obligaciones — están totalmente prohibidos.

• Técnicas subliminales más allá de la conciencia o técnicas intencionalmente manipuladoras que distorsionan materialmente el comportamiento y causan daño.
• Explotación de vulnerabilidades de grupos específicos (edad, discapacidad, situación socioeconómica) para distorsionar materialmente el comportamiento.
• Puntuación social por parte de autoridades públicas o en su nombre, que conduce a un trato perjudicial en contextos no relacionados.
• Vigilancia predictiva basada únicamente en perfiles o evaluación de rasgos de personalidad.
• Recopilación no dirigida de imágenes faciales de Internet o CCTV para construir bases de datos de reconocimiento facial.
• Reconocimiento de emociones en lugares de trabajo e instituciones educativas, excepto por razones médicas o de seguridad.
• Sistemas de categorización biométrica que infieren raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual.
• Identificación biométrica remota en tiempo real en espacios accesibles al público para aplicación de la ley, con excepciones estrechas y estrictamente controladas.

Los sistemas de IA de alto riesgo se enumeran en el Anexo III del Acta. Estos cubren ocho sectores donde el uso de IA conlleva riesgos significativos para la salud, la seguridad o los derechos fundamentales. A partir del 2 de agosto de 2026, los proveedores de sistemas de alto riesgo deben cumplir con las obligaciones completas de los Artículos 8-15 antes de introducirlos en el mercado de la UE.

Los proveedores de sistemas de alto riesgo enfrentan ocho categorías de obligaciones sustanciales. No son opcionales. Deben estar en su lugar antes de que el sistema se introduzca en el mercado o se ponga en servicio, y deben mantenerse continuamente a lo largo del ciclo de vida del sistema. La evaluación de conformidad bajo el Artículo 43 verifica que se cumplen las obligaciones.

El AI Act crea un régimen paralelo para los modelos de IA de Propósito General (GPAI) — modelos base entrenados en grandes conjuntos de datos con amplias capacidades no vinculadas a un caso de uso específico. Las reglas se aplican a los proveedores de los modelos en sí, independientemente de cómo los usuarios downstream los utilicen. Hay dos niveles.

El AI Act establece una estructura sancionadora de tres niveles. Las autoridades de los Estados Miembros emiten multas bajo su derecho nacional, pero los máximos se establecen a nivel de la UE. Las multas más grandes apuntan a las prácticas prohibidas; la estructura refleja el RGPD pero los topes son más altos.

Para las organizaciones que operan en Europa, el AI Act no existe en aislamiento. Se solapa con el RGPD (protección de datos), NIS2 (ciberseguridad) y el próximo Cyber Resilience Act. Cuando un sistema de IA procesa datos personales a través de un proveedor de nube no europeo, la entidad debe satisfacer los cuatro regímenes simultáneamente. La IA soberana on-premise es la única arquitectura que satisface los cuatro por construcción.

La mayoría de las empresas todavía están en una etapa temprana de su camino con el AI Act. Las fases a continuación describen lo que debería estar en su lugar hoy, lo que debería estar operativo para agosto de 2026 y cómo se ve la práctica continua más allá.

Metis es una plataforma de IA generativa soberana, on-premise, construida en torno al triángulo de cumplimiento europeo: AI Act, RGPD y NIS2. Mientras que los LLM en la nube de EE. UU. requieren controles contractuales y técnicos continuos para mantenerse conformes, Metis es conforme por arquitectura.

Próximos pasos

1. Reserva una evaluación de preparación para el AI Act con nuestro equipo de cumplimiento.
2. Solicita una demo del appliance Metis on-premise y sus funciones de informes de cumplimiento.
3. Obtén una copia de nuestro paquete de documentación de seguridad y cumplimiento de Metis.