El AI Act aplaza obligaciones de alto riesgo y Colorado, California y Nueva York adoptan regímenes de IA distintos

Qué cambia con el AI Act

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. Entrada en vigor no equivale a aplicación: el propio artículo 113 establece un calendario escalonado, no una entrada en vigor única. Las prohibiciones originales del artículo 5 —puntuación social, ciertas prácticas de manipulación y, con tres excepciones estrechas, la identificación biométrica remota "en tiempo real" en espacios públicos para fines policiales— son exigibles desde el 2 de febrero de 2025. Desde el 2 de febrero de 2025 también es aplicable el artículo 4 sobre alfabetización en IA: proveedores y desplegadores deben adoptar, en la mayor medida posible, medidas para garantizar un nivel suficiente de conocimientos, competencias y comprensión de IA entre el personal y las personas que operen o utilicen sistemas de IA en su nombre, según sus conocimientos técnicos, experiencia, formación y contexto de uso —no impone una certificación ni un curso de formato único—. El Digital Omnibus introduce, con aplicación desde el 2 de diciembre de 2026, nuevas prohibiciones sobre determinados sistemas destinados a generar o facilitar material íntimo no consentido y material de abuso sexual infantil, incluido material total o parcialmente sintético. El alcance depende de la conducta prohibida y de las condiciones establecidas en el artículo 5 modificado. Las obligaciones principales del capítulo V para proveedores de modelos GPAI se aplican desde el 2 de agosto de 2025. Los modelos comercializados antes de esa fecha disponen, con carácter general, hasta el 2 de agosto de 2027 para adaptarse. El artículo 101, relativo a las multas específicas de la Comisión para proveedores GPAI, sigue la fecha de aplicación prevista en el artículo 113 y debe verificarse en el texto consolidado del Reglamento tras el Digital Omnibus. Estas obligaciones recaen principalmente sobre quien actúa como proveedor de un modelo GPAI incluido en el ámbito del capítulo V, en función de la fecha de comercialización y de las disposiciones transitorias aplicables. Una empresa que solo utiliza GPT, Claude, Gemini u otro modelo de terceros mediante API o licencia empresarial no asume por ese uso las obligaciones propias del proveedor GPAI.

El Digital Omnibus modificó parte del calendario que inicialmente preveía la aplicación general de determinadas obligaciones el 2 de agosto de 2026. La enmienda aplaza las obligaciones de los sistemas de alto riesgo del anexo III —empleo, educación, evaluación crediticia, aplicación de la ley e infraestructuras críticas— hasta el 2 de diciembre de 2027. Las obligaciones aplicables a sistemas de IA integrados en productos regulados por la legislación armonizada del anexo I —determinados productos sanitarios, maquinaria o componentes aeronáuticos— y sujetos al procedimiento de evaluación de conformidad correspondiente se aplazan hasta el 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 mantienen, en general, la fecha del 2 de agosto de 2026, salvo el etiquetado de contenido ya comercializado, con prórroga hasta el 2 de diciembre de 2026. No todas pesan sobre el mismo sujeto: los proveedores de sistemas que interactúan con personas deben dejar claro que se trata de IA, y los de contenido sintético deben incorporar marcado técnico; los desplegadores de reconocimiento de emociones o categorización biométrica deben informar a los expuestos —con excepción para prevención de delitos permitida por ley—, y los de deepfakes deben revelar que el contenido es artificial. El Digital Omnibus no elimina el régimen de registro en la base de datos de la UE; su efecto práctico depende de la categoría del sistema, del rol del operador y del calendario aplicable a la obligación de alto riesgo correspondiente. Las prohibiciones desde 2025 y las obligaciones GPAI desde agosto de 2025 tampoco se han visto afectadas.

La clasificación de riesgo tampoco es, en sentido estricto, una jerarquía legal cerrada de "cuatro niveles": es una simplificación divulgativa de cuatro regímenes —prácticas prohibidas, alto riesgo, transparencia y modelos de propósito general, estos últimos con una capa adicional para quienes superan un umbral de "riesgo sistémico" de más de 10²⁵ FLOPs acumulados de cómputo de entrenamiento—. No todos los sistemas de alto riesgo requieren evaluación por un tercero independiente: para la mayoría de los sistemas del anexo III, el Reglamento prevé una evaluación de conformidad mediante control interno del proveedor. Determinados sistemas biométricos y los sistemas integrados en productos regulados del anexo I pueden requerir procedimientos con intervención de organismos notificados, según el sistema y la legislación sectorial aplicable. El artículo 99 gradúa las sanciones a operadores y organismos notificados: hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual, aplicándose la cifra que resulte superior, por prácticas prohibidas; hasta 15 millones o el 3 % por otros incumplimientos; y hasta 7,5 millones o el 1 % por facilitar información incorrecta, incompleta o engañosa a las autoridades. Para proveedores de modelos GPAI, el artículo 101 prevé hasta 15 millones de euros o el 3 % de su facturación mundial anual, aplicándose igualmente la cifra superior.

Qué deben hacer las organizaciones

Obligaciones aplicables según el caso

• Si usa o proporciona sistemas de las prácticas prohibidas del artículo 5, esas prohibiciones ya son exigibles (las nuevas de diciembre de 2026, desde esa fecha).
• Los proveedores y desplegadores deben adoptar, desde el 2 de febrero de 2025 y en la mayor medida posible, medidas de alfabetización en IA proporcionales a los conocimientos técnicos, la experiencia, la formación, el contexto de uso y las personas afectadas.
• Si actúa como proveedor de un modelo GPAI incluido en el ámbito del capítulo V, debe analizar las obligaciones aplicables según la fecha de comercialización del modelo y las disposiciones transitorias correspondientes (no según el simple hecho de desarrollarlo internamente).
• Si opera un sistema del anexo III concreto (los usos listados, no cualquier IA del sector), sus obligaciones se aplican desde el 2 de diciembre de 2027.
• Si el sistema interactúa con personas, genera contenido sintético o hace reconocimiento de emociones o categorización biométrica, alguna obligación del artículo 50 sigue aplicándose desde el 2 de agosto de 2026 —el sujeto obligado varía según el caso—.

Controles recomendados de gobernanza (no exigidos literalmente por el Reglamento)

• Inventario de los sistemas de IA en uso, incluida la "shadow AI" o IA en la sombra —herramientas adoptadas por empleados sin pasar por TI—: facilita cumplir después los deberes concretos de documentación y registro, pero no es en sí mismo un mandato del AI Act.
• Documentación tipo "model card": útil y extendida en la industria, pero el Reglamento no exige documentación con ese nombre, sino el contenido técnico de su anexo IV.
• Técnicas de interpretabilidad adecuadas al caso de uso: el Reglamento es tecnológicamente neutral y no exige herramientas concretas como SHAP, LIME o análisis contrafactual.

Evidencia y documentación que conviene conservar

• Origen y transformaciones de los datos de entrenamiento cuando haya obligación de gobernanza de datos —sistemas de alto riesgo cuando corresponda, o normativa sectorial— y como buena práctica en el resto de casos.
• Actas de la clasificación de riesgo de cada sistema, con el supuesto legal y el anexo concretos que la sustentan.
• Evidencia de las evaluaciones de conformidad, sea autoevaluación interna o certificación por organismo notificado, según cuál aplique.

Estados Unidos: no existe una única ley estatal de IA

Colorado. La Colorado AI Act original (SB 24-205), que exigía deber de diligencia frente a la discriminación algorítmica y programas de gestión de riesgos, fue derogada y sustituida por el SB 26-189, firmado por el gobernador Jared Polis el 14 de mayo de 2026 y aplicable desde el 1 de enero de 2027. Regula la tecnología de decisión automatizada (ADMT) en "decisiones consecuentes" —empleo, crédito, vivienda, salud—. Al desarrollador le exige proporcionar al desplegador documentación técnica sobre los usos previstos de la ADMT, las categorías de datos de entrenamiento, sus limitaciones conocidas y las instrucciones para un uso adecuado y para la revisión humana. Al desplegador le exige aviso previo y, dentro de los 30 días siguientes a una decisión consecuente que produzca un resultado adverso, una descripción en lenguaje claro del papel de la tecnología de decisión automatizada en la decisión, además del derecho a solicitar revisión humana significativa y reconsideración. Ambos conservan registros al menos tres años; la aplicación se centraliza en la Fiscalía General. No impone, por sí sola, inventario general de IA ni auditoría independiente.

California. La SB 53 (Transparency in Frontier Artificial Intelligence Act), en vigor desde el 1 de enero de 2026, no es una ley general de gobernanza para cualquier empresa usuaria: distingue "frontier developer" (entrena un modelo frontera, por encima de 10²⁶ FLOPs) de "large frontier developer" (frontier developer cuyos ingresos, con los de sus filiales, superan los 500 millones de dólares). Informes de transparencia antes de desplegar un modelo nuevo o modificado, y notificación de incidentes críticos —15 días con carácter general, 24 horas si hay riesgo inminente de muerte o lesión grave— corresponden a todo frontier developer; el marco anual de seguridad frente a riesgos catastróficos es solo de los "large frontier developers".

Nueva York. La RAISE Act, firmada originalmente el 19 de diciembre de 2025, fue sustituida por una enmienda de capítulo firmada el 27 de marzo de 2026 antes de entrar en vigor; el texto vigente se codificó como artículo 44-B de la General Business Law, aplicable desde el 1 de enero de 2027. Es también una ley de modelos frontera, no horizontal sobre decisiones automatizadas. En su versión vigente, "modelo frontera" se define solo por cómputo —más de 10²⁶ operaciones, sin umbral de coste ni cláusula de destilación, a diferencia de la versión original de diciembre de 2025—; "frontier developer" es quien lo entrena; "large frontier developer" es el que, con sus filiales, factura más de 500 millones de dólares anuales —la enmienda sustituyó el umbral original de gasto de cómputo por uno de ingresos—. Todo frontier developer notifica incidentes críticos en 72 horas (24 si hay riesgo inminente de muerte o lesión grave) y no puede declarar falsamente sobre riesgo catastrófico. Los deberes reforzados —marco de seguridad público revisado al menos anualmente, informe de transparencia antes de cada despliegue, conservación de información no redactada durante cinco años y declaración periódica ante la oficina reguladora— recaen solo sobre "large frontier developers"; el texto vigente no exige auditoría independiente anual, a diferencia de la versión original. Como Colorado y California, no impone un inventario general de IA a cualquier empresa usuaria. La enmienda también redujo el régimen sancionador: la Fiscalía General puede solicitar multas de hasta 1 millón de dólares por una primera infracción y hasta 3 millones por infracciones posteriores.

Impacto sectorial

Finanzas y seguros. El anexo III lista dos supuestos: solvencia o scoring crediticio de personas físicas (5.b) y riesgo/precio de seguros de vida y salud (5.c). Otros ramos —autos, hogar— no son categoría autónoma. La detección de fraude está excluida. Se suman, según el caso, normativa financiera, de datos, de consumo y de no discriminación. Cuando aplique, la obligación llega en diciembre de 2027.

Salud. No todo apoyo clínico entra en el anexo III. La vía habitual pregunta primero si el sistema es, o es componente de seguridad de, un producto sanitario que ya exige evaluación por organismo notificado: si es así, entra por el anexo I —hasta agosto de 2028—; si no, se mira el anexo III. No todo sistema en un hospital es automáticamente de alto riesgo.

Recursos humanos. Selección, contratación y monitorización del desempeño pueden entrar en el anexo III según la finalidad concreta, no por pertenecer a RR. HH. en general; en Colorado entra además en las "decisiones consecuentes" del SB 26-189.

Manufactura y cadena de suministro. El mantenimiento predictivo o la logística no son, por defecto, de alto riesgo: en la simplificación divulgativa caerían en "riesgo mínimo", sin ser categoría legal formal. Cambia si la IA es componente de seguridad de un producto ya regulado.

Proveedores de modelos de propósito general o frontera. El grupo con más obligaciones ya exigibles: documentación técnica desde agosto de 2025 (quien solo use estos modelos vía API no las asume), y en EE. UU., si el desarrollador supera los umbrales de California o Nueva York, deberes reforzados.

Hoja de ruta para dirección

1. Revisar qué sistemas tienen obligaciones ya exigibles —prohibiciones desde 2025 y desde diciembre de 2026, alfabetización en IA desde 2025, GPAI desde agosto de 2025, transparencia desde agosto de 2026— frente a los aplazados a 2027-2028.
2. Documentar el supuesto legal y el anexo de cada clasificación de riesgo, sin asumirla por sector.
3. Mantener un inventario de IA, incluida la IA en la sombra, como control recomendable, no mandato legal.
4. Si opera en Colorado, California o Nueva York, mapear qué sistemas encajan en "decisión consecuente" (Colorado) frente a "modelo frontera" (California, Nueva York): los sujetos regulados no son los mismos.
5. Adoptar el NIST AI RMF como marco voluntario, sin tratarlo como exigencia legal.
6. Designar un responsable único, legal y técnico, que siga la evolución normativa dado el ritmo de enmiendas de 2026.
7. Priorizar la documentación de los modelos GPAI o frontera que la organización desarrolle, entrene, modifique sustancialmente o comercialice; para los de terceros que solo use, priorizar la evaluación del proveedor, los contratos, las garantías de documentación y las reglas internas de uso.

Fuentes

• Reglamento (UE) 2024/1689 (AI Act), texto consolidado a 27 de julio de 2026 — EUR-Lex.
• Reglamento (UE) 2026/1744, Digital Omnibus on AI — EUR-Lex.
• Artículo 113 del AI Act: entrada en vigor y aplicación — Comisión Europea.
• Marco regulatorio de la IA y Oficina Europea de IA — Comisión Europea.
• Artículo 99 del AI Act: sanciones y artículo 101: multas para proveedores de modelos GPAI — Comisión Europea, AI Act Service Desk.
• SB 24-205, Colorado AI Act (derogada y sustituida) y SB 26-189, su sustituta — Asamblea General de Colorado.
• SB 53, Transparency in Frontier Artificial Intelligence Act — Legislatura de California.
• Artículo 44-B de la General Business Law de Nueva York (RAISE Act) — New York State Senate, texto consolidado; S8828, enmienda de capítulo a la RAISE Act — Legislatura del Estado de Nueva York; y comunicado de la firma — Oficina de la Gobernadora de Nueva York.
• AI Risk Management Framework (AI RMF 1.0) — NIST, marco voluntario, publicado el 26 de enero de 2023.
• Mapping the AI Governance Landscape: April 2026 Update — MIT AI Risk, 9 de abril de 2026 (citado únicamente para los hallazgos de su análisis del conjunto AGORA de CSET, no como fuente de obligaciones legales).

Artículo actualizado el 19 de agosto de 2026. El calendario del AI Act refleja el Digital Omnibus (Reglamento (UE) 2026/1744), en vigor desde el 27 de julio de 2026; el estado de las leyes estatales de EE. UU. refleja su situación legislativa a esa misma fecha.