AI Act ya está vigente, pero su vigilancia sigue a medio definir

Una de las obsesiones de Europa es la de no perder el tren tecnológico, y concretamente de intentar seguir el paso de EEUU y China en lo que respecta a la Inteligencia Artificial. Y no le faltan iniciativas para intentarlo. En el terreno de los modelos, la francesa Mistral es una de las apuestas europeas por desarrollar modelos propios de IA, con una familia de modelos abiertos que ha ido creciendo en capacidades y en adopción empresarial. En infraestructura, la UE impulsa las gigafábricas de IA, grandes instalaciones de computación pensadas para entrenar modelos avanzados en suelo europeo, y cuenta además con Jupiter, el primer superordenador europeo que supera la exaescala, capaz de realizar más de un trillón de operaciones por segundo. En el plano institucional, Bruselas ha presentado sus planes para despegar en soberanía tecnológica y ha puesto en marcha una estrategia específica para apoyar la aplicación de la IA en la industria, de modo que la adopción llegue también a las empresas que no son tecnológicas.

Además, el viernes 13 de noviembre, los Veintisiete celebran en Dublín su primera reunión conjunta de líderes dedicada a la inteligencia artificial, convocada por el presidente del Consejo Europeo, António Costa, con el foco puesto en reducir la dependencia de Estados Unidos y China, según POLITICO. La escena contrasta con otra menos vistosa. A cierre de la semana pasada, dieciséis Estados miembros no habían completado la designación de su autoridad nacional de vigilancia del mercado del AI Act, con el plazo legal agotado desde el 2 de agosto de 2025. Seis capitales no habían nombrado a nadie y otras diez mantenían una designación provisional pendiente de adopción definitiva, según confirmó la Comisión Europea a POLITICO el 8 de noviembre de 2026.

Ese empeño por ganar terreno tecnológico también obliga a Europa a poner en orden la supervisión de la IA, una tarea que avanza a ritmos distintos en cada país. El AI Act, formalmente el Reglamento (UE) 2024/1689, entró en vigor en agosto de 2024 y, al ser un reglamento europeo, se aplica de forma directa en todos los Estados miembros, sin ley de transposición. Esto es importantísimo y hay que tenerlo muy en cuenta. No hay colchón temporal. Las autoridades que ya existían siguen operando. Lo que está incompleto es la designación formal y, con ella, la certeza sobre qué organismo tiene qué competencia en cada país. Esa incertidumbre afecta a la empresa que despliega inteligencia artificial en varios mercados, y de ahí la pregunta de quién vigila qué.

Quién vigila qué, y con qué poderes

El Reglamento reparte la vigilancia entre varios actores. Los más cercanos a la empresa son las autoridades nacionales de vigilancia del mercado, los organismos que en cada Estado supervisan y hacen cumplir las normas sobre sistemas de IA. Según la página oficial de la Comisión, pueden investigar, acceder a la documentación, los conjuntos de datos y el código fuente de los proveedores, exigir medidas correctoras e imponer sanciones, y cualquier persona puede presentarles reclamaciones.

A escala europea actúa la Oficina de IA, la unidad de la Comisión Europea que supervisa los modelos de IA de uso general, es decir, los grandes modelos de base capaces de realizar tareas muy distintas y sobre los que se construyen otros sistemas. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como Ómnibus digital sobre IA, precisa que su competencia exclusiva alcanza a los sistemas basados en un modelo de uso general cuando modelo y sistema los desarrolla el mismo proveedor o proveedores de una misma empresa. Quedan fuera de esa competencia exclusiva, y bajo supervisión nacional, los sistemas integrados en productos regulados del Anexo I, los de infraestructuras críticas, los proporcionados por autoridades policiales, de gestión de fronteras y entidades financieras en el marco del artículo 74, y los de administración de justicia.

La Oficina de IA también tiene competencia exclusiva sobre los sistemas que sean o estén integrados en plataformas o buscadores de muy gran tamaño designados bajo el Reglamento de Servicios Digitales. Son las plataformas en línea y los motores de búsqueda que alcanzan al menos 45 millones de usuarios activos mensuales en la UE y que la Comisión Europea designa formalmente como tales conforme al Reglamento de Servicios Digitales (DSA). Las siglas son VLOP para las plataformas y VLOSE para los buscadores. Para las propias instituciones, órganos y organismos de la Unión, la autoridad de vigilancia es el Supervisor Europeo de Protección de Datos.

El tercer nivel, y probablemente el más relevante para el día a día, es el reparto sectorial del artículo 74, recogido en el espejo consolidado del Reglamento. Cuando un sistema de alto riesgo lo introduce o utiliza una entidad financiera regulada, la autoridad de vigilancia del mercado es el supervisor financiero nacional correspondiente, en la medida en que el uso esté conectado con la prestación de servicios financieros, salvo que el Estado designe a otra autoridad con garantías de coordinación. Para los sistemas de alto riesgo de ámbito policial, de gestión de fronteras o de justicia, la vigilancia corresponde a las autoridades de protección de datos competentes o a otra autoridad designada con las mismas condiciones de independencia. Grecia y Luxemburgo ya han designado a las suyas, según la lista oficial de la Comisión. Cuando la IA viene integrada en productos ya regulados, la vigilancia se apoya en las autoridades sectoriales que existían para esos productos. Una parte relevante de la supervisión dependerá así de reguladores que las empresas ya conocen.

Dieciséis capitales y una ley española caducada

Esa arquitectura exige que cada Estado complete su parte, y ahí aparece el retraso. Según la Comisión, citada por POLITICO el 8 de noviembre de 2026, dieciséis de los veintisiete Estados no habían completado la designación: seis sin autoridad elegida y diez con una designación provisional pendiente de adopción definitiva. Los otros once sí la habían completado, aunque designar una autoridad no equivale a cumplir el reglamento en su conjunto. La lista de la Comisión, actualizada el 9 de noviembre y consultada el 12, recoge otro dato: las ventanillas únicas de contacto. Austria, Bélgica y Croacia aparecen sin contacto publicado y once países figuran con asterisco, es decir, con la designación provisional: Bulgaria, Chipre, Chequia, Estonia, España, Francia, Luxemburgo, Países Bajos, Portugal, Rumanía y Suecia. Son dos recuentos con alcance distinto y no indican que la situación haya mejorado de uno a otro. Un guion en esa lista señala que no hay contacto publicado y no prueba por sí solo que falte el trámite ni que la autoridad carezca de competencias.

La presión política crece. El eurodiputado verde alemán Sergey Lagodinsky pidió por carta a la Comisión abrir un procedimiento formal contra las capitales que incumplen, según POLITICO, con la frase «dejen de culpar a la UE por perder la carrera si incumplen sus propios plazos». La página de la Comisión recuerda que puede incoar un procedimiento de infracción contra los Estados que no designen a su autoridad.

España ilustra bien la diferencia entre designación incompleta y ausencia de supervisión. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, existe desde 2023 y figura en la lista de la Comisión con asterisco. Mientras la adopción definitiva sigue pendiente, continúa operando y publicando guías para las empresas, y puso en marcha su Laboratorio de Ideas en abril. Falta todavía una ley nacional que fije el reparto de autoridades y el régimen sancionador.

Esa ley estuvo cerca. El Consejo de Ministros aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que designaba a la AESIA como autoridad central, preveía un régimen sancionador con los techos del Reglamento y regulaba los espacios controlados de pruebas, entornos supervisados donde probar sistemas antes de comercializarlos. Después, el Real Decreto 806/2026, de 5 de octubre, disolvió las Cortes y convocó elecciones para el 29 de noviembre. Según la ficha del Congreso, la tramitación quedó concluida por caducidad el 6 de octubre y el Boletín Oficial de las Cortes Generales publicó esa caducidad el 4 de noviembre. El análisis jurídico de IFS Abogados, del 1 de noviembre, detalla qué sigue aplicándose mientras tanto, y la respuesta es el propio Reglamento europeo.

Para una empresa que opera en varios países, el resultado es una obligación idéntica con interlocutores desiguales. El texto europeo es el mismo en Madrid, París o Estocolmo, pero no siempre está claro ante quién se responde ni con qué régimen sancionador nacional. Los techos de multas del artículo 99 son los que los regímenes nacionales deben prever: hasta 35 millones de euros o el 7% de la facturación mundial, lo que resulte más alto, por prácticas prohibidas, hasta 15 millones o el 3% por incumplir obligaciones de los operadores, incluidas las de transparencia, y hasta 7,5 millones o el 1% por dar información inexacta a las autoridades. Para las pymes, incluidas las empresas emergentes, se aplica el importe o el porcentaje más bajo, y el Ómnibus extiende esa regla a las pequeñas empresas de mediana capitalización en las multas por obligaciones de los operadores e información inexacta. Esos techos solo alcanzan a obligaciones ya exigibles, y ahí pesa el calendario.

Tras el Ómnibus, al que el Consejo dio luz verde definitiva el 29 de junio y que se anticipó en el acuerdo de mayo, la mayoría de las normas se aplican desde el 2 de agosto de 2026, las prácticas prohibidas del artículo 5 lo hacen desde el 2 de febrero de 2025 y las nuevas prohibiciones sobre contenidos íntimos no consentidos y material de abuso sexual de menores generados con IA llegarán el 2 de diciembre de 2026. Las normas sobre sistemas de alto riesgo se aplicarán el 2 de diciembre de 2027 para los sistemas del Anexo III y el 2 de agosto de 2028 para los integrados en productos del Anexo I.

El paquete mueve fechas y también suaviza obligaciones. La alfabetización en IA del artículo 4 pasa de garantizarse a que proveedores y responsables del despliegue adopten medidas para apoyarla, los espacios controlados de pruebas nacionales deben estar operativos a más tardar el 2 de agosto de 2027, y los proveedores de sistemas generadores de contenido sintético comercializados antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para aplicar el marcado técnico. Los deberes específicos sobre alto riesgo, aplazados, aún no generan responsabilidad bajo este régimen, y siguen siendo reclamables por otras vías el RGPD, la legislación sectorial y las prohibiciones y reglas de transparencia ya vigentes.

Orientación general para ordenar el cumplimiento

El punto de partida es determinar el papel de la empresa, porque el Reglamento carga la mayor parte de las obligaciones sobre el proveedor, quien desarrolla o comercializa el sistema y responde de la documentación técnica y de la evaluación de conformidad, que en ciertos casos exige un organismo notificado, una entidad independiente acreditada para certificar. Al responsable del despliegue, la empresa que lo usa, le reserva deberes más ligeros en el artículo 26: usar el sistema conforme a las instrucciones, garantizar la supervisión humana y cuidar que los datos de entrada sean pertinentes. La frontera entre ambos papeles se mueve con el artículo 25. Quien pone su nombre o su marca a un sistema de alto riesgo ya comercializado, salvo que un acuerdo contractual reparta las obligaciones de otro modo, o lo modifica sustancialmente de forma que siga siendo de alto riesgo, pasa a ser su proveedor, con toda la carga de obligaciones. Lo mismo ocurre con quien cambia la finalidad prevista de un sistema que no era de alto riesgo y lo convierte en uno que sí lo es. Quien utiliza un sistema no queda siempre al margen.

Fijado el papel, el siguiente paso lógico es saber qué hay que clasificar, y eso exige un inventario de los sistemas de IA en uso, incluidos los que llegan embebidos en herramientas de terceros. Sobre él se hace la clasificación por riesgo. Figurar en un ámbito del Anexo III no convierte automáticamente un sistema en de alto riesgo. El artículo 6(3) deja fuera los que no plantean un riesgo importante porque no influyen sustancialmente en la toma de decisiones y se limitan a supuestos tasados, como una tarea de procedimiento limitada, mejorar el resultado de una actividad humana previa o preparar una evaluación posterior. La excepción tiene guardas. Los sistemas del Anexo III que elaboran perfiles de personas físicas se consideran siempre de alto riesgo, y el proveedor que invoque la excepción debe documentar su evaluación antes de poner el sistema en el mercado, registrarlo y facilitar esa documentación a las autoridades si se la piden.

La revisión de las prohibiciones del artículo 5, en vigor desde febrero de 2025 y desglosadas en su día por MuyComputerPRO, marca las prioridades, porque llevan el tramo máximo de multa. A continuación vienen las obligaciones de transparencia del artículo 50, también exigibles, que se repasaron en julio y que dependen del rol. Los proveedores deben diseñar los sistemas que interactúan directamente con personas de modo que estas sepan que hablan con una IA y velar por que los contenidos sintéticos salgan marcados en formato legible por máquina. Los responsables del despliegue deben revelar cuándo una imagen, un audio o un vídeo es una ultrasuplantación generada artificialmente e informar a las personas sometidas a sistemas de reconocimiento de emociones. Hay excepciones para usos autorizados por ley y un trato específico para las obras creativas, satíricas o de ficción.

Todo esto necesita un responsable. Una persona o un comité con autoridad para mantener el inventario, decidir las clasificaciones y atender a una eventual autoridad evita que el cumplimiento quede repartido entre áreas. La formación de la plantilla encaja ahí, porque el artículo 4, aunque suavizado, sigue exigiendo adoptar medidas. Queda preparar los deberes propios del alto riesgo según el calendario nuevo, con el 2 de diciembre de 2027 para los sistemas del Anexo III y el 2 de agosto de 2028 para los integrados en productos regulados. Cuando lleguen esas fechas, el incumplimiento de las obligaciones de proveedores y responsables del despliegue entrará en el tramo de multas de hasta 15 millones o el 3%. El aplazamiento da margen, aunque la documentación y la supervisión humana no se improvisan.

Las consecuencias se concretan por usos y no por sectores enteros. En la banca y los seguros, el Anexo III señala la calificación crediticia de personas físicas, salvo la destinada a detectar fraude, y la tarificación de seguros de vida y salud. En ambos casos, el artículo 74 sitúa como autoridad al supervisor financiero cuando el uso se conecta con servicios financieros. En recursos humanos, el Anexo III recoge la selección y la evaluación de empleados. En salud, el triaje de urgencias. En educación, la evaluación de aprendizajes y la supervisión de exámenes. En infraestructuras críticas, los componentes de seguridad. Los usos policiales, de migración y de justicia completan el listado. Un chatbot de atención al cliente no figura por sí mismo en esa lista y se rige sobre todo por la transparencia del artículo 50. Si la empresa lo usa para decidir sobre una contratación o un crédito, el uso concreto entra en el Anexo III y cambia el análisis.

Qué vigilar en las próximas semanas

El calendario inmediato ofrece tres hitos. La cumbre de Dublín dirá si la designación de autoridades entra en la agenda de los líderes, y habrá que ver si la Comisión se pronuncia sobre los procedimientos de infracción que pide Lagodinsky. El 2 de diciembre llega el doble hito de las nuevas prohibiciones sobre contenidos íntimos no consentidos y del fin del plazo de marcado técnico para los generadores de contenido sintético comercializados antes de agosto. Y en España, las elecciones del 29 de noviembre abren una legislatura en la que la ley de IA tendría que empezar de nuevo, con la AESIA a la espera de pasar de provisional a definitiva y de un régimen sancionador propio. Hasta entonces, el Reglamento se aplica y las autoridades existentes siguen operando. Falta la cartografía completa de quién responde ante quién.