EU AI Act 2026: requisitos de IA para empresas en la UE

La mayoría de los dueños de negocios en la UE han oído hablar de la Ley de IA de la UE, pero pocos entienden qué se vuelve específicamente obligatorio y cuándo. Un centro médico en Viena que utiliza un chatbot de IA para responder a los pacientes, un bufete de abogados en Frankfurt con un asistente de IA para trabajar con contratos, un distribuidor en Múnich con una herramienta de IA para gerentes, todos están cubiertos por la Ley de IA. La única pregunta es a qué categoría de riesgo pertenece su sistema y qué obligaciones específicas impone.

En este artículo, encontrará una línea de tiempo clara, cuatro niveles de riesgo con ejemplos específicos, requisitos para la medicina y los abogados en DE/AT, y una explicación de por qué la arquitectura de su sistema de IA, ya sea autoalojada o en la nube, afecta directamente el cumplimiento de la ley.

¿Qué es la Ley de IA de la UE y por qué concierne a su negocio ahora?

La Ley de IA de la UE es el Reglamento UE 2024/1689, adoptado el 21 de mayo de 2024 y publicado el 12 de julio de 2024. Entró en vigor legal el 1 de agosto de 2024. En su lógica, es similar al RGPD: regula no tecnologías específicas, sino los riesgos de su uso, también tiene aplicación extraterritorial y también prevé sanciones graves por incumplimiento.

La diferencia clave con el RGPD es que mientras el RGPD regula *cómo* usted procesa los datos personales, la Ley de IA regula *qué sistemas de IA* usted utiliza y para qué. Estos dos reglamentos no se reemplazan mutuamente, sino que se complementan. Si su sistema de IA procesa datos personales de clientes o pacientes, está sujeto tanto al RGPD como a la Ley de IA.

Por qué esto concierne específicamente a su negocio ahora. La Ley de IA se aplica a cualquier organización que introduzca sistemas de IA en el mercado de la UE o los utilice en sus operaciones dentro de la UE, independientemente de dónde se encuentre el desarrollador del sistema. Es decir, si usted es un centro médico en Viena que ha conectado un chatbot de IA estadounidense para responder a los pacientes, usted, como implementador (deployer), está sujeto a las obligaciones de la Ley de IA. Si usted es un bufete de abogados en Berlín que utiliza un servicio de IA SaaS para analizar contratos, es lo mismo.

La ley distingue dos tipos de operadores: el proveedor (el desarrollador que crea o encarga un sistema de IA y lo introduce en el mercado) y el implementador (la organización que utiliza un sistema de IA existente en sus operaciones). La mayoría de las empresas —centros médicos, bufetes de abogados, distribuidores— son implementadores. Los implementadores tienen menos obligaciones que los proveedores, pero son reales y obligatorias.

Cronograma de implementación: lo que ya está vigente, lo que se lanza en agosto de 2026

La Ley de IA se implementa por etapas, no todo a la vez. Aquí está el cronograma exacto:

Lo que ya ha ocurrido y lo que significa para las empresas. A partir del 2 de febrero de 2025, se prohíben 8 categorías de prácticas de IA, incluidas la puntuación social y los sistemas de reconocimiento de emociones en el lugar de trabajo y en las instituciones educativas, la recopilación masiva de datos biométricos. La multa por violar estas prohibiciones es de hasta 35 millones de euros o el 7% de la facturación global anual, lo que sea mayor (art. 99 de la Ley de IA).

A partir del 2 de agosto de 2025, los proveedores de modelos GPAI (OpenAI, Google, Anthropic, Mistral) deben proporcionar documentación técnica, cumplir con los derechos de autor y publicar un resumen de los datos de entrenamiento. OpenAI, Google, Mistral y Microsoft ya han firmado el Código de Prácticas correspondiente. Meta se negó y ahora se encuentra en un limbo regulatorio.

Fecha clave para la mayoría de las empresas: 2 de agosto de 2026. A partir de esta fecha, se aplican plenamente los requisitos para los sistemas de IA de alto riesgo según el Anexo III. Esto se aplica a la IA en medicina, derecho, finanzas, educación, empleo e infraestructuras críticas. A día de hoy (abril de 2026), quedan menos de 100 días.

Nota: En noviembre de 2025, la Comisión Europea propuso el Ómnibus Digital, un paquete de simplificaciones que podría ajustar la fecha de aplicación de las reglas de alto riesgo. En el momento de escribir este artículo, esta propuesta aún no ha sido adoptada y se está discutiendo en el Parlamento Europeo. Hasta su adopción, la fecha oficial sigue siendo el 2 de agosto de 2026.

Cuatro niveles de riesgo: a qué categoría pertenece su sistema de IA

La Ley de IA no regula todos los sistemas de IA de la misma manera. La lógica de la ley es que cuanto mayor sea el riesgo potencial para la salud, la seguridad o los derechos fundamentales de las personas, más estrictas serán las obligaciones. El sistema de clasificación tiene cuatro niveles: desde la prohibición total hasta la ausencia total de requisitos. El alcance del cumplimiento depende de la categoría a la que pertenezca su sistema de IA, desde cero obligaciones adicionales hasta documentación técnica completa, auditoría independiente y registro en la base de datos de la UE.

Antes de continuar leyendo: si no está seguro de a qué categoría pertenece su sistema, utilice el Verificador de Cumplimiento gratuito del Future of Life Institute. La herramienta hace entre 10 y 15 preguntas y proporciona una clasificación preliminar.

Nivel 1: Riesgo Inaceptable — Prohibido desde el 2 de febrero de 2025

Estos son sistemas de IA que representan una amenaza directa para los derechos fundamentales, la seguridad o la dignidad humana. Están totalmente prohibidos en el territorio de la UE, no regulados, sino específicamente prohibidos. El artículo 5 de la Ley de IA contiene una lista exhaustiva de 8 categorías. Las prohibiciones entraron en vigor el 2 de febrero de 2025.

Qué está específicamente prohibido:

• Puntuación social: Sistemas de IA que evalúan a las personas en función de su comportamiento, características sociales o rasgos de personalidad y, basándose en ello, determinan su acceso a servicios, oportunidades o restringen sus derechos. Un análogo al sistema de crédito social chino, totalmente prohibido.
• Manipulación a través de técnicas subconscientes: IA que utiliza métodos subliminales o explota intencionalmente debilidades psicológicas para modificar el comportamiento de una persona de manera que le cause daño. Esto incluye sistemas de IA que manipulan a grupos vulnerables: niños, ancianos, personas con problemas de salud mental.
• Reconocimiento de emociones en el lugar de trabajo y en las escuelas: IA que analiza el estado emocional de los empleados o estudiantes a través de expresiones faciales, voz, comportamiento. Esta es una prohibición directa para las soluciones de RR. HH. que intentan "leer" las emociones del personal durante el trabajo.
• Recopilación masiva de datos biométricos: raspado web no dirigido o grabaciones de CCTV para construir o ampliar bases de datos de reconocimiento facial.
• Categorización biométrica: IA que determina la raza, las opiniones políticas, la religión, la orientación sexual u otras características protegidas basándose en datos biométricos.
• Predicción de delitos basada en perfiles: IA que evalúa el riesgo de que una persona específica cometa un delito basándose en características personales, en lugar de pruebas objetivas.
• Identificación biométrica remota en tiempo real en lugares públicos: sistemas de reconocimiento facial en tiempo real con fines policiales en espacios públicos, con estrechas excepciones para situaciones críticas.

Multa por incumplimiento: hasta 35 000 000 € o el 7% de la facturación anual global, lo que sea mayor (art. 99 de la Ley de IA). Para una empresa con una facturación de 10 millones de euros, el máximo es de 700.000 €. Para una empresa con una facturación de 1.000 millones de euros, es de 70.000.000 €.

Qué significa esto para las PYMES en la práctica: si su departamento de RR. HH. está considerando una herramienta de IA que "analiza microexpresiones faciales en entrevistas" o "evalúa el estado emocional del personal", esto es un incumplimiento directo del art. 5 de la Ley de IA que ya está vigente. Se deben evitar tales herramientas, independientemente de cómo las posicione el vendedor.

Nivel 2: Alto Riesgo — Requisitos estrictos a partir del 2 de agosto de 2026

Esta es la categoría más amplia e importante en términos de cumplimiento para las empresas. Los sistemas de IA de alto riesgo no están prohibidos, sino que están sujetos a una regulación detallada. La lista completa se encuentra en el Anexo III de la Ley de IA y cubre ocho áreas donde la IA puede tener un impacto significativo en los derechos, la salud o el bienestar de las personas.

Ocho áreas de IA de alto riesgo:

• Biometría: sistemas de identificación de personas remota (no en tiempo real), IA para categorización biométrica, sistemas de reconocimiento de emociones (salvo casos prohibidos en el trabajo y en escuelas). Ejemplo: un sistema de verificación de identidad para acceder a una oficina o a la banca en línea.
• Infraestructuras críticas: IA como componente de seguridad en la gestión del suministro de agua, gas, electricidad, tráfico, infraestructura digital. Ejemplo: IA que detecta anomalías en el sistema energético o gestiona el flujo de tráfico.
• Educación y formación: IA que determina el acceso o la admisión a instituciones educativas y de formación, evalúa a alumnos o estudiantes, determina el nivel de conocimiento. Ejemplo: un sistema de IA que clasifica a los solicitantes de admisión a la universidad o asigna automáticamente calificaciones en los exámenes.
• Empleo y RR. HH.: IA para reclutamiento y selección de personal, cribado y filtrado de currículos, clasificación de candidatos, toma o apoyo a decisiones sobre condiciones laborales. Ejemplo: una IA que filtra automáticamente currículos o clasifica candidatos para un gerente de RR. HH. es de alto riesgo. Importante para las empresas en la UE: si utiliza LinkedIn Recruiter con funciones de clasificación de IA o cualquier ATS con cribado de IA, verifique el cumplimiento de la Ley de IA.
• Servicios privados y públicos esenciales: IA para evaluar la solvencia crediticia de personas físicas o determinar la calificación crediticia (excepto la detección de fraude), IA para la evaluación de riesgos y la fijación de precios en seguros de vida y salud, IA para evaluar el derecho a prestaciones sociales, incluida la atención médica. Ejemplo: un algoritmo bancario que decide aprobar una hipoteca o un modelo de seguro que determina el tamaño de la prima para una persona específica.
• Aplicación de la ley: IA para evaluar el riesgo de que una persona específica cometa un delito, polígrafos y sistemas similares de detección de mentiras, IA para analizar pruebas y predecir delitos. Se aplica a la policía y los servicios de inteligencia, no a empresas típicas.
• Migración, asilo y control fronterizo: IA para evaluar riesgos de entrada, procesar solicitudes de visa y asilo, identificar personas en la frontera. Se aplica a las autoridades públicas.
• Justicia y procesos democráticos: IA para ayudar a los órganos judiciales en el análisis de hechos, la interpretación de la ley, la aplicación de la ley a casos específicos. Ejemplo: una herramienta de IA que ayuda a un juez a analizar un caso es de alto riesgo. Una IA que ayuda a un abogado a encontrar un punto relevante en 300 contratos *no* es de alto riesgo.

Obligaciones para sistemas de alto riesgo (Artículos 9-15 de la Ley de IA):

• ✔️ Art. 9: Sistema de gestión de riesgos — documentado, continuo, que abarca todo el ciclo de vida del sistema
• ✔️ Art. 10: Gestión de datos — los datos de entrenamiento y prueba deben cumplir con los requisitos de calidad y representatividad
• ✔️ Art. 11: Documentación técnica — descripción completa del sistema, sus capacidades, limitaciones y medidas de seguridad, preparada antes del despliegue
• ✔️ Art. 12: Registro (logging) — mantenimiento automático de un registro de eventos para garantizar la auditabilidad y la detección de riesgos
• ✔️ Art. 13: Transparencia para los implementadores — instrucciones claras para las empresas que utilizan el sistema sobre su propósito, limitaciones y riesgos
• ✔️ Art. 14: Supervisión humana — una persona debe poder controlar eficazmente el sistema, comprender sus decisiones y tener la capacidad de suspenderlas o revocarlas
• ✔️ Art. 15: Precisión, fiabilidad, ciberseguridad — métricas de precisión documentadas, resistencia a ataques y errores
• ✔️ Registro en la base de datos de la UE sobre IA — antes de la puesta en servicio
• ✔️ Evaluación de conformidad — para algunas categorías (biometría, dispositivos médicos) se requiere una evaluación de conformidad independiente por un organismo notificado

Multa por incumplimiento: hasta 15 000 000 € o el 3% de la facturación anual global, lo que sea mayor.

Qué significa esto para las PYMES en la práctica: si su empresa en DE/AT utiliza una herramienta de IA para cribar currículos, evaluar automáticamente candidatos o determinar la calificación crediticia de los clientes, estos sistemas son de alto riesgo. Para el 2 de agosto de 2026, se requiere documentación técnica, un sistema de supervisión documentado y, si el proveedor no garantiza el cumplimiento, la migración a un sistema compatible o la renuncia a la funcionalidad.

Nivel 3: Riesgo Limitado — Requisitos de Transparencia a partir del 2 de agosto de 2026

Estos son sistemas de IA que interactúan directamente con las personas o generan contenido, pero no toman decisiones que afecten significativamente los derechos o el bienestar. Las obligaciones aquí son mucho menores que para el alto riesgo: lo más importante es la transparencia. La persona debe saber que está interactuando con IA.

Qué entra en el ámbito del riesgo limitado (art. 50 de la Ley de IA):

• Chatbots y asistentes de IA que se comunican con personas: cualquier chat público o semipúblico de IA en el sitio web de una clínica, tienda en línea, bufete de abogados, banco. A partir del 2 de agosto de 2026, el sistema *debe informar explícitamente* al usuario al inicio de la interacción que está hablando con IA. La formulación "Potenciado por IA" en letra pequeña en la parte inferior de la página no cumple con el requisito. Se requiere una notificación clara al principio de la sesión.
• Sistemas de generación de imágenes, video, audio o texto: la IA que genera deepfakes o contenido sintético destinado a la difusión pública debe etiquetar el contenido de salida como generado por IA en un formato legible por máquina.
• IA que sintetiza la voz de una persona real: debe revelar que la voz es sintética.

Multa por incumplimiento del art. 50: hasta 15 000 000 € o el 3% de la facturación anual global.

Qué significa esto para las PYMES en la práctica: si tiene un chatbot de IA en el sitio web de un centro médico, bufete de abogados o distribuidor, debe agregar una notificación explícita al comienzo del chat antes del 2 de agosto de 2026. Esto no es técnicamente difícil, pero es legalmente obligatorio. El incumplimiento conlleva una multa del mismo nivel que para los sistemas de alto riesgo por violar el art. 13.

Nivel 4: Riesgo Mínimo o Nulo — Sin regulación adicional

La gran mayoría de las herramientas de IA que las empresas utilizan a diario entran aquí. La Ley de IA especifica directamente que no impone requisitos a los sistemas de riesgo mínimo. Ejemplos: filtros de spam en el correo electrónico, recomendaciones de contenido de IA en plataformas de streaming, IA para videojuegos, sistemas de autocorrección de texto, herramientas básicas de automatización y planificación.

No hay obligaciones adicionales según la Ley de IA para esta categoría. Sin embargo, los requisitos generales del RGPD sobre el procesamiento de datos personales siguen siendo válidos independientemente de la categoría de riesgo de la Ley de IA.

¿Dónde se encuentra el asistente de IA para documentos en esta clasificación?

Esta es la pregunta que más frecuentemente hacen nuestros clientes: centros médicos, bufetes de abogados y distribuidores. La respuesta depende de *qué* hace exactamente el sistema y *qué decisiones* apoya.

Conclusión práctica: un asistente de IA que responde preguntas exclusivamente de sus documentos cargados y no toma decisiones que afecten significativamente los derechos o el bienestar de las personas, con mayor frecuencia entra en la categoría de riesgo limitado o mínimo. Esto significa un volumen relativamente pequeño de obligaciones: una notificación explícita sobre la IA y el cumplimiento del RGPD en cuanto al almacenamiento de datos. Pero si el mismo instrumento comienza a utilizarse para evaluar candidatos, calificar crédito o realizar triajes médicos, la categoría cambia a alto riesgo y los requisitos aumentan drásticamente.

Requisitos específicos para empresas en DE/AT: medicina, abogados, finanzas

La Ley de IA es un reglamento paneuropeo, pero no funciona en el vacío. En Alemania y Austria, interactúa con sus propias implementaciones del GDPR, legislación sectorial y códigos profesionales. Para centros médicos, bufetes de abogados y empresas financieras en DE/AT, esto significa una capa doble o triple de requisitos, y la omisión de cualquiera de ellas crea un riesgo legal. Más detalles sobre la especificidad del GDPR en DE/AT en el artículo IA y GDPR en Alemania y Austria: requisitos para sistemas corporativos.

Centros médicos en Austria y Alemania

La medicina es la esfera más regulada en el contexto de la IA en la UE. Los sistemas de IA en medicina están sujetos simultáneamente a cuatro capas de legislación: la Ley de IA de la UE, el GDPR (art. 9 - categorías especiales de datos), el Reglamento de Dispositivos Médicos de la UE (MDR 2017/745) y la legislación nacional de salud. Las cuatro capas actúan en paralelo y no se sustituyen mutuamente.

Qué se considera de alto riesgo en medicina según la Ley de IA (Anexo III):

• IA que ayuda en el diagnóstico de enfermedades o la prescripción de tratamientos es de alto riesgo y, al mismo tiempo, está sujeta a la MDR como software de dispositivo médico.
• IA para el triaje de pacientes y la asignación de ambulancias es de alto riesgo con supervisión humana obligatoria por parte de un médico o despachador.
• IA para evaluar el derecho del paciente a la atención médica pública o subsidios es de alto riesgo como sistema que afecta el acceso a servicios esenciales.

Qué no se considera de alto riesgo pero está sujeto al nivel 3 (riesgo limitado): Un asistente de IA que responde preguntas informativas de los pacientes a partir de protocolos de la clínica — "¿cómo prepararse para una gastroscopia?", "¿qué llevar a la cita?", "¿cuánto dura una resonancia magnética?" — no se considera de alto riesgo según la Ley de IA. Sin embargo, está sujeto al art. 50 (requisito de transparencia) y al GDPR si, durante la interacción, recopila cualquier dato personal del paciente.

Requisitos prácticos para un centro médico en Austria o Alemania:

• Notificación explícita de IA (art. 50 Ley de IA, vigente desde el 02/08/2026): el paciente, al iniciar un chat, debe recibir una notificación clara de que está interactuando con un sistema de IA. No es suficiente escribir "Chat de IA" en el encabezado; el requisito se refiere a una notificación activa al inicio de cada sesión. Redacción: "Está interactuando con el asistente de IA de la clínica [nombre]. Para consultas médicas, consulte a un médico".
• Prohibición de decisiones médicas sin un médico: La IA no puede recomendar de forma independiente un diagnóstico, prescribir o suspender un tratamiento, ni determinar dosis. Cualquier formulación en la respuesta de la IA que pueda interpretarse como una recomendación médica representa un riesgo legal. El sistema debe tener una limitación incorporada y una derivación clara a un especialista.
• Ubicación de servidores y GDPR (art. 9 GDPR): los datos médicos son una categoría especial de datos personales que requiere una base legal separada para su tratamiento. El tratamiento a través de servicios en la nube estadounidenses (API de OpenAI, Google Cloud, AWS) requiere Cláusulas Contractuales Tipo (SCC), una Evaluación de Impacto de Transferencia (TIA) y, en la mayoría de los casos, medidas de protección técnicas adicionales. En la práctica, para la mayoría de los centros médicos en DE/AT, la única opción segura es un servidor en la UE gestionado por una empresa no estadounidense.
• Austria - § 54 Ärztegesetz (secreto médico): el secreto médico en Austria está protegido por ley penal y se aplica a cualquier sistema que procese datos médicos de pacientes, incluidos los asistentes de IA. La transferencia de estos datos a un proveedor sujeto a la Ley CLOUD de EE. UU. (incluso a través de una API cifrada) constituye una posible violación del § 54. Los documentos sobre el secreto médico deben actualizarse para incluir los componentes de IA.
• Alemania - Bundesdatenschutzgesetz (BDSG) y Patientendatenschutzgesetz (PDSG): la PDSG (Ley de Protección de Datos del Paciente, 2020) establece requisitos adicionales para el tratamiento de datos médicos en sistemas digitales. Un sistema de IA que procesa datos de pacientes debe cumplir con la PDSG, independientemente de la ubicación del servidor.
• Registro de consultas: Incluso para chats de IA informativos (nivel 3), se recomienda el mantenimiento de un registro como elemento de rendición de cuentas según el GDPR y la Ley de IA. Para sistemas de alto riesgo, el registro es obligatorio (art. 12). El período mínimo de retención de registros para sistemas médicos debe acordarse con su Delegado de Protección de Datos (DPO), generalmente de 6 a 12 meses.
• Evaluación de Impacto de Protección de Datos (DPIA): si un sistema de IA procesa datos médicos de pacientes en un volumen significativo, la DPIA es obligatoria según el art. 35 del GDPR. Para sistemas de IA de alto riesgo, también puede ser necesaria una Evaluación de Impacto sobre Derechos Fundamentales (FRIA) según la Ley de IA. En la práctica, se recomienda combinar ambos en un único proceso de evaluación.

Más detalles sobre el tratamiento de datos médicos a través de IA y GDPR en el artículo IA en medicina: cómo procesar datos médicos sin infringir la ley.

Bufetes de abogados en Austria y Alemania

Los bufetes de abogados se encuentran en una posición particularmente difícil: la Ley de IA, el GDPR y el secreto profesional como principio constitucionalmente protegido exigen que los datos de los clientes no abandonen un entorno controlado. Al mismo tiempo, la mayoría de las herramientas de IA populares para abogados son servicios en la nube de origen estadounidense.

Qué se considera de alto riesgo para bufetes de abogados según la Ley de IA: La IA que ayuda a un tribunal a analizar hechos de un caso o interpretar la ley se considera de alto riesgo según el Anexo III, punto 8. La IA que ayuda a un abogado a encontrar puntos relevantes en contratos o a formular argumentos *no* es de alto riesgo, pero está sujeta a los requisitos de transparencia si interactúa directamente con el cliente.

Especificidad de DE/AT para bufetes de abogados:

• Alemania - BRAO § 43e y BORA: La Ordenanza Federal de Abogados (Bundesrechtsanwaltsordnung, § 43e) obliga a los abogados a utilizar medios técnicos de tal manera que garanticen la confidencialidad de los datos de los clientes. La Ordenanza Profesional para Abogados (Berufsordnung für Rechtsanwälte, BORA) detalla estos requisitos. Un sistema de IA que transmite expedientes a un proveedor de servicios en la nube estadounidense infringe potencialmente el § 43e, incluso si existe un Acuerdo de Procesamiento de Datos (DPA), debido a que los proveedores estadounidenses están sujetos a la Ley CLOUD de EE. UU. independientemente de la ubicación de sus servidores y pueden ser obligados a entregar datos a las autoridades policiales estadounidenses.
• Austria - RAO § 9 (Verschwiegenheitspflicht): El secreto profesional del abogado en Austria, Verschwiegenheitspflicht, está protegido por el § 9 de la Ordenanza de Abogados (Rechtsanwaltsordnung) y es una obligación absoluta. Su incumplimiento acarrea responsabilidad disciplinaria, incluso la revocación del estatus de abogado. La Cámara Austriaca de Abogados (Österreichischer Rechtsanwaltskammertag, ÖRAK) recomienda a los abogados utilizar exclusivamente sistemas donde los datos se procesen dentro de la UE y no estén sujetos a la jurisdicción de terceros países.
• Requisito de transparencia de la Ley de IA (art. 50) para los clientes: si un bufete de abogados utiliza IA para generar borradores de documentos, memorandos o cartas que luego son firmados por un socio, el cliente tiene derecho a saber sobre el uso de la IA. Esto no significa que deba indicarse en cada carta, sino que la política general del bufete sobre el uso de IA debe estar documentada y disponible para el cliente previa solicitud. Varias asociaciones de abogados en DE/AT recomiendan incluir una cláusula sobre el uso de IA en el acuerdo de prestación de servicios con el cliente.
• Registro de Actividades de Tratamiento (ROPA) con componente de IA: según el GDPR (art. 30), un bufete de abogados está obligado a mantener un registro de las operaciones de tratamiento de datos. Cada herramienta de IA que procesa datos de clientes debe figurar en el ROPA, indicando: nombre de la herramienta, proveedor, ubicación del tratamiento, categoría de datos, base legal, medidas técnicas de protección. La ausencia de una entrada en el ROPA constituye una violación del GDPR, independientemente de la Ley de IA.
• Limitaciones en los documentos que se pueden cargar en IA: materiales de casos activos, contratos de clientes con cláusulas de confidencialidad, correspondencia que contenga secreto profesional, no deben cargarse en ningún servicio de IA en la nube donde los datos se procesen fuera de su control. La excepción son los sistemas autoalojados donde usted es el único operador de datos y los datos no abandonan físicamente su servidor. Más sobre esto en el artículo IA para bufetes de abogados: seguridad de los datos del cliente.
• Qué se puede cargar de forma segura: normativas públicas, jurisprudencia de registros abiertos, manuales metodológicos internos del bufete que no contengan datos de clientes, plantillas de documentos sin información personal. Todo esto se puede cargar en un sistema de IA para búsqueda y respuestas, incluso si el servidor no se encuentra en la UE. Sin embargo, tan pronto como un documento contenga el nombre del cliente, los detalles del caso o cláusulas de confidencialidad, los requisitos de almacenamiento y tratamiento se vuelven máximos.

Empresas financieras y de seguros en Austria y Alemania

El sector financiero es un área de máxima atención para la Ley de IA. El Anexo III incluye explícitamente como categorías de alto riesgo dos casos de uso clave que son estándar para bancos y compañías de seguros: la evaluación de la solvencia de personas físicas y la calificación de riesgos en seguros. Junto con la Ley de IA, las empresas financieras en DE/AT están sujetas a la regulación prudencial de BaFin y FMA, que ya tienen sus propios requisitos para decisiones algorítmicas.

Qué se considera de alto riesgo para empresas financieras según la Ley de IA (Anexo III):

• Evaluación de la solvencia de personas físicas: Cualquier sistema de IA que determine la calificación crediticia, la puntuación o la decisión sobre la concesión de un crédito, hipoteca o leasing a una persona física específica es de alto riesgo. Excepción: la IA para la detección de fraude financiero está explícitamente excluida de la categoría de alto riesgo del Anexo III.
• Calificación de riesgos y fijación de precios en seguros: La IA que determina la tarifa de seguro o las condiciones de la póliza para una persona específica basándose en la evaluación de riesgos es de alto riesgo. Esto se aplica a seguros de vida, salud y, potencialmente, seguros de automóvil donde la tarifa se determina individualmente.

Obligaciones para empresas financieras a partir del 2 de agosto de 2026:

• Documentación técnica (art. 11): descripción completa del sistema de IA: arquitectura, datos de entrenamiento, métricas de precisión, limitaciones y riesgos conocidos, preparada antes de su despliegue y actualizada al realizar cambios en el sistema. En caso de auditoría de BaFin o FMA, se proporcionará a solicitud.
• Sistema de gestión de riesgos (art. 9): un proceso documentado y continuo de identificación, evaluación y minimización de los riesgos del sistema de IA durante todo su ciclo de vida. No es un informe único, sino un proceso operativo con responsables designados y revisiones periódicas.
• Registro de auditoría (art. 12): registro automático de todas las decisiones del sistema con un nivel de detalle suficiente para reconstruir por qué el sistema tomó una decisión concreta sobre una persona concreta. Para decisiones de crédito y seguros, es fundamental para responder a quejas de clientes y solicitudes de reguladores.
• Supervisión humana (art. 14): para decisiones financieras de alto riesgo, la IA no puede ser el único árbitro final. Debe existir un procedimiento documentado de revisión humana, especialmente para denegaciones y casos límite. El cliente tiene derecho a solicitar una explicación de la decisión y una revisión humana.
• Registro en la base de datos de IA de la UE: antes de poner en funcionamiento un sistema de alto riesgo después del 2 de agosto de 2026.
• BaFin (Alemania): La Autoridad Federal de Supervisión Financiera (Bundesanstalt für Finanzdienstleistungsaufsicht) ya ha emitido directrices sobre IA en el sector financiero y ha señalado que espera un enfoque proactivo en el cumplimiento de la Ley de IA por parte de las empresas supervisadas. Los sistemas de IA para decisiones de crédito también están sujetos a los requisitos de Basilea III en cuanto a la gestión del riesgo de modelos y la explicabilidad de las decisiones algorítmicas.
• FMA (Austria): La Autoridad del Mercado Financiero de Austria (Finanzmarktaufsicht Österreich) también espera que los bancos y las compañías de seguros documenten los sistemas de IA que afectan las decisiones sobre los clientes. La Ley de Protección de Datos de Austria (DSG) añade requisitos al tratamiento de datos personales en decisiones financieras automatizadas.
• Derecho del cliente a una explicación (art. 22 GDPR + art. 13 Ley de IA): una persona física sobre la cual la IA ha tomado una decisión automatizada (denegación de crédito, aumento de la prima de seguro) tiene derecho a solicitar una explicación y una revisión humana. Este requisito ya está vigente según el GDPR y se ve reforzado por la Ley de IA. Las empresas financieras deben tener un procedimiento documentado para responder a dichas solicitudes.

Qué no se considera de alto riesgo para empresas financieras: Un asistente interno de IA que ayuda a los gerentes a encontrar información en reglamentos internos y descripciones de productos no es de alto riesgo; es de nivel 4 (riesgo mínimo). La IA que responde a preguntas generales de los clientes sobre productos del banco a través de un chat en el sitio web es de nivel 3 (riesgo limitado, requisito de transparencia). La diferencia es fundamental: el mismo banco puede tener simultáneamente un sistema de alto riesgo (calificación crediticia) y un sistema de riesgo mínimo (directorio interno para el personal).

Por qué la IA en la nube genera problemas con la Ley de IA — y dónde gana la autoalojada

La Ley de IA y el GDPR, juntos, crean un panorama de cumplimiento donde la decisión arquitectónica —dónde se implementa físicamente su sistema de IA y quién es el operador de datos— tiene consecuencias jurídicas directas. No se trata de preferencias o conveniencia. Se trata de si puede cumplir los requisitos específicos de los artículos 9-15 de la Ley de IA y los artículos 5, 24, 28 del GDPR al utilizar un servicio en la nube de origen estadounidense. Para la mayoría de las empresas en DE/AT que procesan datos sensibles, la respuesta se complica por tres problemas sistémicos.

Más información sobre dónde se almacenan físicamente sus datos con diferentes servicios de IA — en el artículo IA autoalojada vs. en la nube: dónde residen sus datos.

Problema 1: La Ley CLOUD de EE. UU. frente al GDPR y la Ley de IA

La Ley CLOUD (Clarifying Lawful Overseas Use of Data Act, EE. UU., 2018) permite a las fuerzas del orden estadounidenses exigir a las empresas estadounidenses que proporcionen datos almacenados en sus servidores, independientemente de la ubicación física de estos servidores. OpenAI, Google, Microsoft, Amazon, Notion, Salesforce son todas empresas estadounidenses y todas están sujetas a la Ley CLOUD. Esto significa que, incluso si su asistente de IA basado en OpenAI está implementado en servidores en Frankfurt, bajo una orden judicial de EE. UU., OpenAI podría verse obligada a proporcionar acceso a estos datos a la parte estadounidense.

El GDPR y la Ley de IA no anulan ni bloquean la Ley CLOUD; regulan jurisdicciones diferentes. Los Acuerdos de Procesamiento de Datos (DPA) con un proveedor estadounidense y las Evaluaciones de Impacto de Transferencia (TIA) son documentos obligatorios, pero reducen el riesgo para la mayoría de los datos, sin eliminarlo para las categorías más sensibles. Para los datos médicos de pacientes (artículo 9 del GDPR — categorías especiales), materiales de casos judiciales sujetos al secreto profesional, o datos financieros de clientes con requisitos de secreto bancario — ni siquiera un DPA firmado proporciona protección suficiente. La Cámara de Abogados de Austria (ÖRAK) y varias cámaras de abogados de los estados alemanes recomiendan explícitamente no utilizar servicios de IA en la nube estadounidenses para procesar materiales de casos precisamente debido al riesgo de la Ley CLOUD.

¿Qué significa esto en la práctica? Si usted es un centro médico en Viena o un bufete de abogados en Múnich y utiliza la API de ChatGPT o Notion AI para trabajar con datos sensibles de clientes, tiene una vulnerabilidad legal abierta que ningún contrato con el proveedor cierra. Un sistema autoalojado en un servidor Hetzner en Nuremberg o Helsinki —gestionado por una empresa alemana o finlandesa— elimina este riesgo arquitectónicamente: las autoridades policiales estadounidenses no tienen jurisdicción sobre datos que nunca han llegado a una empresa estadounidense.

Problema 2: Transparencia, documentación y control del sistema

La Ley de IA exige a los desplegadores —es decir, a usted como empresa que utiliza IA— capacidades específicas: explicar cómo toma decisiones el sistema (artículo 13), demostrar control sobre él (artículo 14), tener documentación técnica del sistema (artículo 11) y mantener un registro de su funcionamiento (artículo 12).

Un proveedor de SaaS en la nube le proporciona documentación de su sistema, pero no de su instalación específica. OpenAI publica el mapa del sistema de GPT-4, Microsoft publica la documentación de Copilot, pero esta documentación describe el modelo base, no cómo su empresa lo ha configurado exactamente, qué documentos ha cargado y qué prompt del sistema utiliza. Para el cumplimiento de la Ley de IA, se necesita documentación de su sistema específico, que usted mismo ha configurado e implementado.

Existe otro problema: los proveedores de la nube actualizan sus modelos, a menudo sin previo aviso y sin la posibilidad de permanecer en una versión anterior. GPT-4o en febrero de 2026 y GPT-4o en agosto de 2026 son versiones diferentes con comportamientos diferentes. Si su sistema de alto riesgo pasó la evaluación de conformidad en febrero, y el proveedor actualizó el modelo en abril sin su conocimiento, técnicamente su documentación está obsoleta y el sistema necesita una reevaluación. Un sistema autoalojado donde usted mismo controla qué versión del modelo utiliza se libera de este problema.

¿Qué significa esto en la práctica? Para el nivel 3 (riesgo limitado), la IA en la nube es totalmente aceptable si hay un DPA y una notificación explícita a los usuarios. Para el nivel 2 (alto riesgo), la IA en la nube requiere un esfuerzo considerablemente mayor para documentar y demostrar el cumplimiento: está esencialmente obligado a documentar un sistema ajeno, que no controla y que puede cambiar sin su conocimiento. Más información — en el artículo IA autoalojada vs. SaaS: qué elegir para documentos corporativos.

Problema 3: Supervisión humana y control real del sistema

El artículo 14 de la Ley de IA exige que, para los sistemas de alto riesgo, una persona pueda controlar eficazmente el sistema, comprender sus decisiones y tener la capacidad de suspenderlas o revocarlas. No es solo un requisito de interfaz, es un requisito arquitectónico: el sistema debe estar diseñado de manera que la supervisión humana sea realmente posible, no solo formal.

El SaaS en la nube le proporciona control dentro de los límites permitidos por la API del proveedor. Puede configurar el prompt del sistema, establecer límites a través de los parámetros de la API, deshabilitar ciertas funciones, pero no puede controlar el modelo base, no sabe exactamente cómo interpreta su prompt después de otra actualización y no puede garantizar que su comportamiento no cambie. Si el sistema empieza repentinamente a dar respuestas inesperadas después de una actualización del proveedor, sus opciones de intervención se limitan a lo que permite la API.

Un sistema autoalojado le da otro nivel de control: usted mismo determina qué modelo utiliza (Llama, Mistral, Qwen o GPT a través de OpenRouter), usted mismo configura el prompt del sistema y los límites, y usted mismo controla cuándo y qué versión se actualiza. Si el modelo se comporta de manera inesperada, puede revertir a una versión anterior, cambiar la configuración o reemplazar completamente el proveedor de LLM sin cambiar el resto del sistema. Esto es supervisión humana real en el sentido del artículo 14 de la Ley de IA.

Problema 4: Responsabilidad y cadena de operadores

La Ley de IA distingue claramente entre el proveedor (desarrollador del sistema) y el desplegador (empresa que lo utiliza) y distribuye las obligaciones entre ellos. Pero cuando utiliza un SaaS en la nube, la cadena de responsabilidad se complica: está el desarrollador del modelo base (por ejemplo, OpenAI), el proveedor de SaaS que crea un producto sobre la base de este modelo, y usted como desplegador final. Si algo sale mal, el regulador acudirá a usted como desplegador, y su respuesta "es culpa del proveedor" no le exime de responsabilidad según el artículo 26 de la Ley de IA.

Un sistema autoalojado donde usted es tanto el desplegador como el operador efectivo simplifica esta cadena. Usted sabe lo que utiliza, documenta su sistema y asume la responsabilidad de su propia instalación, no de una plataforma ajena que no controla.

Dónde gana la autoalojada desde la perspectiva de la Ley de IA y el GDPR

Advertencia honesta: autoalojado no significa cumplimiento automático de la Ley de IA. Usted todavía debe: informar explícitamente a los usuarios sobre la interacción con la IA (artículo 50), mantener un registro de consultas, documentar su sistema y —si su caso de uso es de alto riesgo— cumplir con la lista completa de requisitos de los artículos 9-15. Autoalojado le proporciona las herramientas para cumplir estos requisitos y elimina las barreras estructurales que surgen al tratar con proveedores en la nube. Pero la arquitectura por sí sola no es suficiente — se necesitan procesos documentados, responsables designados y una revisión regular del sistema.

Más información sobre los riesgos de fuga de datos a través de servicios de IA y cómo verificarlos — en el artículo 6 riesgos de fuga de datos a través de IA en negocios.

Lista de verificación: qué revisar en su sistema antes de agosto de 2026

Quedan menos de 100 días para el 2 de agosto de 2026. Esto es lo que necesita revisar ahora, independientemente del sistema de IA que utilice.

Sobre la preparación de documentos para sistemas de IA — en el artículo Cómo preparar documentos para un asistente de IA: qué cargar y qué no.

Preguntas frecuentes

¿Se aplica la Ley de IA a las pequeñas y medianas empresas (PYMES)?

Sí, pero con un enfoque proporcional a las multas. Para las PYMES y startups, la multa se calcula como la menor de dos cantidades (una suma fija o un porcentaje del volumen de negocios). Es decir, para una empresa con una facturación anual de 500.000 € la multa máxima de primer nivel es de 35.000 € (7% de la facturación), no 35 millones de €. Pero las obligaciones de transparencia (artículo 50) y prohibición (artículo 5) son las mismas para todos, independientemente del tamaño.

¿El chat de IA en el sitio web de una clínica está sujeto a la Ley de IA?

Sí, como mínimo a los requisitos de transparencia de nivel 3 (artículo 50). A partir del 2 de agosto de 2026, el chat debe informar explícitamente a los pacientes que están interactuando con IA. Si el chat solo responde preguntas informativas de los protocolos de la clínica, es un riesgo limitado. Si ayuda en el diagnóstico o triaje, es potencialmente de alto riesgo con el conjunto completo de requisitos.

¿Es suficiente firmar un DPA con el proveedor de IA para cumplir con la Ley de IA?

El DPA (Acuerdo de Procesamiento de Datos) es obligatorio para el GDPR, pero no es suficiente para el cumplimiento total de la Ley de IA. La Ley de IA exige además transparencia del sistema, registro, supervisión humana y —para sistemas de alto riesgo— documentación técnica y registro. El DPA resuelve la cuestión de "dónde y cómo se almacenan los datos", pero no resuelve la cuestión del control sobre el sistema de IA y la auditabilidad.

¿Qué es una Evaluación de Impacto de Transferencia (TIA) y cuándo se necesita?

Un TIA es una evaluación del impacto de la transferencia de datos a un tercer país (por ejemplo, EE. UU.) que exige el GDPR tras la sentencia Schrems II (2020). Si su proveedor de IA es una empresa estadounidense y procesa los datos de sus clientes o pacientes en servidores fuera de la UE, un TIA es obligatorio. Incluso si los servidores están físicamente en la UE pero el proveedor es estadounidense, se recomienda un TIA debido al riesgo de la Ley CLOUD.

¿Quiere verificar si su sistema de IA cumple con los requisitos de la Ley de IA?

En AskYourDocs, construimos asistentes de IA autoalojados sobre documentos para PYMES, centros médicos y bufetes de abogados — con implementación en un servidor en la UE (Hetzner DE/FI u OVH FR) y una arquitectura que cumple con los requisitos del GDPR y la Ley de IA.

Envíenos 2-3 de sus documentos reales. En 30 minutos, le mostraremos una demostración en vivo y analizaremos a qué categoría de riesgo de la Ley de IA pertenece su caso de uso y qué se necesita específicamente para el cumplimiento.

Escribir por Telegram →

Implementación llave en mano en 5-7 días. Desde 500 $. Servidor en la UE. Sin equipo de TI de su lado.

Fuentes:

• Reglamento UE 2024/1689 (Ley de IA de la UE) — Texto oficial
• Comisión Europea: Ley de IA — cronograma e implementación
• artificialintelligenceact.eu — Resumen de alto nivel de la Ley de IA (Future of Life Institute)
• Anexo III Ley de IA — Lista completa de sistemas de IA de alto riesgo
• Artículo 99 Ley de IA — multas y sanciones
• Verificador de Cumplimiento de la Ley de IA de la UE (herramienta gratuita)
• LegalNodes: Actualizaciones de la Ley de IA de la UE para 2026 — Requisitos de Cumplimiento y Riesgos Empresariales
• Legiscope: Guía Práctica de Cumplimiento de la Ley de IA de la UE para 2026 (marzo de 2026)
• Matproof: Multas y Sanciones de la Ley de IA de la UE — tres niveles de multas (marzo de 2026)
• Comisión Europea: Navegando la Ley de IA — Preguntas frecuentes para empresas