¿Nos aplica el AI Act si no operamos en Europa?
El AI Act europeo se aplica por dónde se usa el resultado de un sistema de IA, no por dónde está la empresa. Una compañía sin oficina en Europa puede quedar dentro si lo que su sistema produce llega a personas o decisiones en la Unión Europea.
Carlos Andrés Ramírez ·
El AI Act europeo se aplica por dónde se usa el resultado de un sistema de IA, no por dónde está la empresa. Una compañía sin oficina en Europa puede quedar dentro si lo que su sistema produce llega a personas o decisiones en la Unión Europea.
Empecemos por cómo suele llegar la pregunta. Un director de operaciones en Bogotá, Lima o Ciudad de México lee que Europa aprobó una ley de inteligencia artificial, ve que su empresa no tiene sede ni oficinas allí y archiva el asunto. Es una conclusión razonable si la ley funcionara como un impuesto local. No funciona así.
La respuesta corta es que el Reglamento (UE) 2024/1689 tiene alcance extraterritorial. Su artículo 2 lo aplica a los proveedores que ponen sistemas de IA en el mercado europeo y también a los proveedores y usuarios de sistemas situados fuera de la Unión cuando el resultado que producen se utiliza en ella. El criterio es el destino de lo que sale del sistema, y la ubicación de quien lo opera pasa a segundo plano. Para una empresa latinoamericana con clientes, filiales o proveedores en Europa, eso cambia el punto de partida: lo normal es que haya que mirar, no que se pueda descartar.
El criterio
¿Cuándo le aplica el AI Act a una empresa que no opera en Europa?
Para decidirlo no hace falta un despacho de abogados el primer día. Hace falta un inventario honesto de qué sistemas de IA usa la empresa y adónde llega lo que producen. Tres preguntas ordenan ese inventario, y se contestan con información que operaciones ya tiene.
- 1. ¿El resultado del sistema llega a personas en la Unión Europea?
- Piensa en un asistente de atención al cliente que contesta desde Lima a usuarios de España, o en un modelo que puntúa solicitudes de crédito de clientes residentes en Alemania. Si la respuesta o la decisión se usa en Europa, el sistema entra en el radar aunque los servidores y el equipo estén fuera.
- 2. ¿Qué papel tiene la empresa: proveedor o usuario?
- Quien desarrolla el sistema o lo vende con su marca es proveedor, y carga con la mayor parte de las obligaciones. Quien lo contrata y lo usa en su operación es usuario, y tiene obligaciones más acotadas, como usarlo según las instrucciones y vigilar su funcionamiento. Muchas empresas son las dos cosas a la vez sin haberlo pensado: compran un modelo y lo integran en un producto que venden.
- 3. ¿Para qué se usa el sistema?
- El Reglamento gradúa las obligaciones según el riesgo del uso. Seleccionar personal, evaluar solvencia o decidir acceso a servicios esenciales se trata como alto riesgo y exige más. Un resumidor de reuniones interno exige mucho menos. Dos empresas con el mismo modelo pueden tener cargas muy distintas por lo que hacen con él.
El mecanismo
La exposición casi nunca viene de la sede, viene de la cadena de clientes y proveedores
Aquí lo que importa es cómo se cuela la exposición sin que nadie la decida. Imagina una empresa de servicios de selección de personal con base en Colombia, que usa un modelo para ordenar candidaturas y que ha ganado como cliente a una filial europea de un grupo multinacional. Nadie en la empresa decidió entrar en el mercado europeo. Pero el resultado del modelo, la lista ordenada de candidatos, se usa en una decisión de contratación en la Unión. Ese es exactamente el tipo de caso que el texto del Reglamento quiere cubrir, y además cae en un uso que trata como de alto riesgo.
La misma lógica funciona en sentido contrario. Una empresa puede ser solo usuaria de un modelo de un proveedor externo, y creer por eso que la obligación es del proveedor. Si el resultado se usa en Europa, parte de la responsabilidad se queda en quien lo usa. Contratar el sistema fuera no traslada la obligación fuera.
El AI Act no pregunta dónde está tu oficina. Pregunta dónde termina lo que tu sistema produce.
BECOME
La decisión
Un programa de cumplimiento completo solo hace falta donde hay exposición real
Responder que sí aplica no significa montar un programa de cumplimiento para toda la empresa. Significa saber en qué sistemas concretos hay exposición y proporcionar el esfuerzo. Un sistema de bajo riesgo con resultados que llegan a Europa pide poco más que transparencia y un uso razonable. Uno de alto riesgo pide documentación, supervisión humana y registro, y eso sí es un proyecto con dueño y calendario.
El orden de trabajo que tiene sentido es este: primero un inventario corto de sistemas de IA y de adónde llega su resultado, después una clasificación por uso, y solo entonces la decisión de cuánto invertir. Hacerlo al revés, contratando un programa genérico antes de saber qué hay, gasta dinero en lo que no se necesita y deja sin cubrir lo que sí. Las fechas de entrada en vigor se van escalonando, y su calendario exacto conviene confirmarlo con asesoría jurídica con el Reglamento delante, porque cambia según el tipo de obligación.
Pide a cada área una lista de los sistemas de IA que usa y a quién llega su resultado. Marca los que tocan a personas o empresas en la Unión Europea y, entre esos, los que intervienen en contratación, crédito o acceso a servicios. Esa lista corta es lo que hay que llevar a asesoría jurídica.
Preguntas frecuentes
¿El AI Act aplica a empresas fuera de la Unión Europea?
Sí, en determinados casos. El Reglamento se aplica a proveedores y usuarios situados fuera de la Unión cuando el resultado que produce su sistema de IA se utiliza dentro de ella. Lo que decide es dónde se usa el resultado, no dónde está la sede de la empresa.
¿Una empresa latinoamericana tiene que cumplir el AI Act?
Depende de si lo que producen sus sistemas de IA llega a personas o decisiones en Europa. Una empresa con clientes europeos, filiales en la Unión o servicios prestados a empresas europeas puede quedar dentro. Una que solo opera en su país y no tiene ese vínculo, normalmente no.
¿Soy proveedor o usuario de un sistema de IA según el AI Act?
Es proveedor quien desarrolla un sistema o lo comercializa con su nombre, y es usuario quien lo emplea en su actividad profesional. Una empresa puede ser las dos cosas si integra un modelo ajeno en un producto propio. Las obligaciones cambian según el papel, y las del proveedor son más amplias.
¿Qué hago primero para saber si el AI Act me afecta?
Un inventario de los sistemas de IA que usa la empresa, con el destino de sus resultados y el uso para el que sirven. Con eso se identifican los sistemas con exposición en la Unión y los que caen en usos de alto riesgo, y se lleva esa lista a asesoría jurídica para que confirme las obligaciones concretas.
Revisemos qué sistemas de IA de tu operación tienen exposición en Europa
De la idea a la operación
Escalar con control exige decidir antes los límites, la supervisión y la trazabilidad. Añadirlos después es reconstruir.
Sobre el autor
Carlos Andrés Ramírez — Director de Transformación
Especialista en transformación y reinvención de negocios. Director de Programas Especializados y docente de Inteligencia Artificial en la Escuela de Postgrado de la UPC.