TL;DR:
- La Oficina de IA de la Comisión Europea y las autoridades nacionales ya pueden hacer cumplir nuevas obligaciones del AI Act.
- Bruselas puede pedir documentación y acceso a modelos GPAI, ordenar medidas correctivas y restringir su disponibilidad pública.
- Las infracciones de proveedores pueden costar hasta 15 millones de euros o el 3% de su facturación mundial; las prácticas prohibidas llegan a 35 millones o 7%.
Desde el 2 de agosto de 2026, la Unión Europea pasó de redactar reglas para la inteligencia artificial a hacerlas exigibles. La Oficina de IA de la Comisión Europea ya puede investigar a los proveedores de modelos de IA de propósito general, pedir acceso para evaluarlos, exigir cambios, limitar su disponibilidad pública y proponer sanciones. El alcance también cubre a empresas extranjeras que comercialicen sus modelos en el mercado europeo, aunque tengan su sede fuera del bloque.
El cambio importa porque la UE ya no depende únicamente de que las compañías declaren que cumplen. Ahora cuenta con herramientas para revisar el modelo, contrastar la información que entrega el proveedor y actuar si detecta un incumplimiento. Eso sí, la entrada en vigor no convierte a Bruselas en una ventanilla que deba aprobar cada lanzamiento antes de que llegue a Europa.
La Oficina de IA ya puede entrar al modelo, no solo leer el expediente
Los modelos de IA de propósito general, conocidos como GPAI, pueden realizar tareas variadas y alimentar productos distintos. Los chatbots, los generadores de imágenes y muchas herramientas empresariales dependen de este tipo de modelos, aunque el usuario final no vea cuál está detrás.
El AI Act concentra en la Oficina de IA la supervisión de los proveedores de GPAI, incluidos los modelos avanzados que puedan plantear riesgos sistémicos. Las autoridades de cada país se encargan de otros sistemas de IA, mientras que el Supervisor Europeo de Protección de Datos vigila las aplicaciones utilizadas por las instituciones de la Unión.
Las facultades que comienzan a aplicarse incluyen:
- Solicitar información y documentación técnica para comprobar si el proveedor cumple el reglamento.
- Exigir acceso al modelo para que la propia Oficina o expertos independientes realicen evaluaciones.
- Pedir medidas correctivas, incluida la restricción de la disponibilidad pública de un modelo cuando sea necesario.
- Abrir una investigación sancionadora y, si se confirma un incumplimiento intencional o negligente, dejar que la Comisión imponga una multa.
La Comisión también puede imponer multas por respuestas incorrectas, incompletas o engañosas a sus requerimientos. La posibilidad de limitar la disponibilidad pública del modelo añade una presión comercial que va más allá de una sanción económica: un proveedor puede tener que modificar su producto o restringirlo para conservar el acceso al mercado europeo.
La multa puede pesar más que el lanzamiento europeo
El techo para los incumplimientos de las obligaciones de los proveedores de GPAI llega a 15 millones de euros o el 3% de la facturación mundial anual, la cifra que resulte mayor. El cálculo final debe considerar la naturaleza, la gravedad y la duración de la infracción, por lo que el máximo no se aplica automáticamente en cada expediente.
Las prácticas de inteligencia artificial que el AI Act prohíbe tienen un régimen más alto: hasta 35 millones de euros o el 7% de la facturación mundial anual. Esa escala corresponde a la categoría más grave y no debe confundirse con la multa prevista para las obligaciones de los modelos de propósito general o para las reglas de transparencia.
La diferencia es importante para los laboratorios que venden el mismo modelo en varios territorios. Una sanción del 3% puede superar con facilidad los 15 millones en una empresa grande, mientras que la restricción de disponibilidad puede obligarla a corregir el sistema antes de seguir ofreciéndolo a usuarios europeos.
La misma fecha obliga a transparentar chatbots y deepfakes
El 2 de agosto también activó las obligaciones de transparencia del artículo 50. Son reglas relacionadas con la aplicación del AI Act, pero no sustituyen la supervisión específica de los modelos GPAI. Entre los cambios están:
- Los chatbots, agentes y avatares deben informar con claridad cuando la persona está interactuando con una IA y no con un humano.
- El contenido generado o alterado por sistemas generativos debe incluir marcas legibles por máquinas cuando corresponda.
- Las imágenes, los videos y los audios que parezcan auténticos y representen personas, lugares, objetos o acontecimientos deben identificarse como deepfakes.
- Los textos generados o manipulados con IA que informen sobre asuntos de interés público deben llevar una etiqueta si no pasaron por revisión humana ni tienen responsabilidad editorial.
- Los sistemas de reconocimiento de emociones y categorización biométrica deben informar a las personas expuestas, salvo las excepciones previstas por la norma.
FomoEra ya explicó qué contenido entra en las etiquetas obligatorias y qué excepciones contempla el artículo 50:
Patricia Rodriguez
La Comisión publicó un código de prácticas para ayudar a las empresas a demostrar que cumplen. Firmarlo es voluntario; cumplir las obligaciones legales no. Las compañías que elijan otro método tendrán que demostrar ante la autoridad correspondiente que sus medidas son adecuadas.
El calendario del AI Act todavía tiene varias fechas
La ley europea entró en vigor el 1 de agosto de 2024, pero sus reglas se aplican por etapas. Las obligaciones para los modelos GPAI comenzaron en agosto de 2025; la novedad de 2026 es que la Comisión y las autoridades nacionales ya tienen facultades de supervisión y sanción para hacerlas cumplir.
Las siguientes fechas ayudan a ubicar qué entra y qué no entra todavía en el paquete actual:
- El 2 de diciembre de 2026 comenzarán a aplicarse las prohibiciones sobre la generación o manipulación de material íntimo no consentido y material de abuso sexual infantil.
- El 2 de diciembre de 2027 llegarán las reglas para sistemas de alto riesgo en áreas como biometría, empleo, educación, migración y control fronterizo.
- El 2 de agosto de 2028 se aplicarán las reglas para sistemas de alto riesgo integrados en productos regulados, como ciertos juguetes, ascensores o componentes industriales.
Por eso, decir que "todo el AI Act" empezó a aplicarse el 2 de agosto simplifica demasiado el calendario. La fecha activa varias obligaciones y poderes de supervisión, pero otras partes tienen transición propia.
El primer examen será la capacidad de hacer cumplir la ley
La Comisión tendrá que vigilar a algunos de los proveedores de software más grandes del mundo mientras los modelos cambian cada pocos meses. Euronews señaló que Bruselas busca apoyo de un panel científico y de empresas especializadas en seguridad de IA porque sus recursos internos son limitados. The Parliament Magazine anticipó que la primera fase estará dominada por solicitudes de información, diálogo con los proveedores y evaluaciones independientes, antes de llegar a las multas más llamativas.
"La aplicación depende de la voluntad política de hacer cumplir la ley y tomarla en serio. Muchos actores están observando y esperan que la Comisión sea firme desde el primer día."
Risto Uuk, responsable de política e investigación europea del Future of Life Institute, lo dijo a The Parliament Magazine antes del inicio de las nuevas facultades.
Para empresas de México y América Latina, la ubicación de la sede no basta para quedar fuera. Un proveedor que coloque un modelo GPAI en el mercado de la Unión Europea puede entrar en el ámbito del AI Act aunque opere desde otro país. Las obligaciones concretas dependen del papel que cumpla cada compañía, del tipo de sistema y de cómo llegue al mercado europeo.
El 2 de agosto no puso una caseta de revisión delante de cada modelo que quiera llegar a Europa. Puso algo más concreto: una autoridad con capacidad para mirar dentro, pedir cambios y sancionar a quienes incumplan. Para los laboratorios que venden en la UE, el cumplimiento dejó de ser una promesa de papel y se volvió una condición de permanencia comercial.
