La fecha entró en vigor; la ley, por partes

El 2 de agosto de 2026 no empezó a aplicarse todo el AI Act. Ese día comenzó una nueva fase de ejecución: la Comisión y los reguladores nacionales obtuvieron facultades para investigar y hacer cumplir varias obligaciones que ya seguían calendarios distintos. Las prohibiciones de determinadas prácticas rigen desde febrero de 2025; las obligaciones para proveedores de modelos de propósito general, desde agosto de ese año. Los proveedores de modelos que ya estaban en el mercado antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir esas obligaciones. Desde el 2 de agosto de 2026, la Comisión puede usar plenamente sus poderes frente a esos proveedores, mientras se ejecutan las obligaciones de transparencia del artículo 50. La ley ya no es solo un calendario impreso en Bruselas: hay oficinas facultadas para pedir información, evaluar modelos y, dentro de su competencia, ordenar medidas o imponer multas.

La frase «la ley de IA entró en vigor» oculta una pregunta práctica: ¿qué ley, para quién y bajo qué autoridad? El Reglamento europeo empezó a regir en 2024 y organiza obligaciones en plazos distintos. La reforma llamada AI Omnibus, vigente desde el 27 de julio de 2026, aplazó las reglas para sistemas de alto riesgo de ciertos ámbitos —empleo, educación, crédito, infraestructura crítica y otros usos del Anexo III— hasta el 2 de diciembre de 2027. Las reglas para sistemas de IA de alto riesgo integrados en productos regulados del Anexo I se aplicarán el 2 de agosto de 2028. En cambio, determinadas reglas de transparencia y los deberes para modelos de propósito general ya pueden ser objeto de ejecución.

No es una distinción reservada a abogados. El artículo 50 no manda etiquetar cada resultado de IA: establece obligaciones diferentes según quién lo genera o publica y el tipo de contenido. Incluye informar a las personas que interactúan directamente con ciertos sistemas, marcar de forma detectable ciertos resultados sintéticos y revelar ciertos deepfakes y textos de interés público. Para textos sometidos a revisión humana o control editorial y con una persona responsable de la publicación, la norma prevé una excepción. Los sistemas que generan audio, imagen, vídeo o texto sintético y que ya estaban en el mercado antes del 2 de agosto tienen plazo hasta el 2 de diciembre para cumplir el deber técnico de marcado y detección del artículo 50(2); esa transición no suspende las demás reglas de transparencia. Mientras tanto, quien use IA para seleccionar candidatos seguirá el calendario del bloque de alto riesgo, no una fecha universal de agosto de 2026.

Un regulador europeo, varias puertas de entrada

La Oficina de IA de la Comisión supervisa a los proveedores de modelos de propósito general, incluidos los considerados de riesgo sistémico. También tiene competencia sobre determinadas categorías de sistemas construidos sobre esos modelos cuando el proveedor del sistema y el del modelo pertenecen a la misma empresa, y sobre los sistemas que constituyen o están integrados en plataformas o buscadores designados como muy grandes bajo la Ley de Servicios Digitales. El artículo 75 establece excepciones y límites para ciertos sistemas, entre ellos algunos vinculados a productos regulados y ámbitos como infraestructura crítica, justicia, policía, control fronterizo y finanzas. La competencia alcanza a los proveedores de esos sistemas; también cubre a quienes los despliegan cuando son, a su vez, proveedores o pertenecen a la misma empresa que el proveedor del sistema. La Oficina no es el regulador de todos los sistemas basados en modelos generales. La Comisión puede solicitar documentos e información, pedir acceso al modelo para evaluaciones, ordenar medidas correctivas y, si el caso lo exige, restringir su disponibilidad. Para investigaciones puede inspeccionar instalaciones empresariales y entrevistar a personas que acepten hacerlo.

El resto del mapa no cabe en una oficina europea. Las autoridades nacionales de vigilancia del mercado supervisan otras categorías de sistemas, incluidas muchas obligaciones que recaen sobre quienes los utilizan o despliegan. El Supervisor Europeo de Protección de Datos actúa respecto de los sistemas usados por instituciones y organismos de la Unión. Esa división busca conectar la escala europea de ciertos modelos con los reguladores que conocen sectores y mercados nacionales. También crea un problema de coordinación: un sistema puede combinar un modelo general desarrollado por una empresa, un proveedor que lo adapta y un organismo público que lo usa. La competencia depende de la relación entre esos actores y del propósito concreto del sistema.

La reforma de julio intentó reducir parte de ese laberinto al centralizar en la Oficina de IA la supervisión de algunos sistemas construidos sobre modelos generales. No abolió la vigilancia nacional. Cuando un sistema no cae dentro de las categorías europeas centralizadas, el regulador nacional conserva un papel central. Si además el asunto implica derechos fundamentales, protección de datos o reglas sectoriales, otras autoridades pueden tener poderes relevantes bajo leyes distintas. «La UE regula» no equivale a que un solo organismo reciba la denuncia, reúna la evidencia y dicte cada medida.

Las multas son techos legales, no recibos automáticos

Para empresas, los máximos más citados del AI Act llegan a 35 millones de euros o al 7% de su facturación mundial anual para ciertas prácticas prohibidas, lo que resulte mayor. Para otros incumplimientos enumerados —entre ellos obligaciones de proveedores, responsables del despliegue y transparencia— pueden llegar a 15 millones o el 3%, también según cuál cifra sea más alta. Entregar información falsa, incompleta o engañosa a organismos notificados o autoridades nacionales competentes al responder a un requerimiento puede acarrear hasta 7,5 millones o el 1% de la facturación mundial, de nuevo el importe mayor; el artículo 75c adapta esa regla a la Oficina de IA dentro de su competencia. Para pequeñas empresas, incluidas las emergentes, el Reglamento dispone que se aplique el menor entre la cantidad fija y el porcentaje correspondiente; también establece un trato específico para empresas de pequeña capitalización en ciertas infracciones.

Esos máximos no significan que cada error produzca la multa más alta. La norma ordena valorar la naturaleza, gravedad y duración de la infracción, sus consecuencias, cuántas personas resultaron afectadas, el tamaño y la facturación del operador, su grado de responsabilidad, cooperación y medidas para reducir el daño. En infracciones nacionales, cada Estado debe establecer las sanciones y las autoridades o tribunales que las aplican, con garantías procesales y revisión judicial. La Oficina de IA cuenta además con un régimen propio para proveedores de modelos de propósito general bajo el artículo 101, y el artículo 75c adapta sanciones del artículo 99 a sistemas dentro de su competencia. El Supervisor Europeo de Protección de Datos tiene un régimen distinto cuando el operador es una institución de la Unión.

Esa arquitectura puede producir una ley común con ritmos y prácticas distintas. El AI Act exige que los Estados comuniquen sus reglas de sanción y que informen anualmente a la Comisión de las multas impuestas y los litigios relacionados. Esos datos permitirán observar el uso de las multas, aunque una cifra agregada por país no contará toda la historia: una infracción investigada, una orden correctiva y una multa firme no son el mismo resultado.

La Oficina de IA también habilitó canales para denuncias de personas y organizaciones, avisos protegidos de personas vinculadas profesionalmente a proveedores y reclamos de proveedores que incorporan modelos generales de terceros. Presentar una denuncia no abre automáticamente un procedimiento: la Comisión conserva discreción para priorizar casos. Para una persona afectada, esa diferencia importa. El botón de denuncia crea una entrada al sistema; no garantiza que el regulador pueda atribuir el daño, obtener los registros necesarios ni ordenar una reparación individual.

La primera prueba es institucional

En septiembre, la Junta Europea de Inteligencia Artificial discutió las actividades y prioridades de ejecución de la Comisión, la aplicación de las reglas de transparencia y la coordinación de autoridades nacionales. Esa reunión muestra que el trabajo institucional está en marcha; no sustituye una decisión sancionatoria ni demuestra por sí sola que las reglas se estén aplicando de manera uniforme.

Europa construyó un sistema de varios niveles porque no todos los riesgos, modelos y usos se concentran en el mismo sitio. La pregunta para los próximos meses no será solo cuántas multas aparecen en un comunicado. Será si una queja llega al regulador correcto, si las autoridades comparten la evidencia, si el proveedor recibe una orden comprensible y si la decisión puede resistir una impugnación. Para el público, una etiqueta visible o la retirada de un modelo son más concretas que la abstracción de una norma. Para quien recibe la etiqueta o sufre una decisión automatizada, que exista una autoridad con competencia y una ruta de revisión puede ser todavía más importante.

El AI Act distribuye sus instrumentos coercitivos entre Bruselas, los supervisores nacionales y las autoridades sectoriales. Su eficacia dependerá de que esa división produzca decisiones oportunas, razonadas y sujetas a revisión para las personas afectadas. Europa dejó atrás la fase en que bastaba anunciar el reglamento. Ahora debe demostrar que una ley de veintisiete jurisdicciones puede encontrar, con rapidez y razones públicas, a la oficina que tiene que actuar.

Fuentes principales