El Reglamento de IA de la UE y una sociedad automatizada argentina: qué se aplica y desde cuándo

¿Alcanza a una sociedad constituida en Argentina?

El artículo 2, apartado 1, enumera a quiénes se aplica el Reglamento. Dos de sus siete letras no dependen de dónde está la sociedad:

«a) los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA o que introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de si dichos proveedores están establecidos o ubicados en la Unión o en un tercer país; […] c) los proveedores y responsables del despliegue de sistemas de IA que estén establecidos o ubicados en un tercer país, cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión».

La letra f) suma a «los representantes autorizados de los proveedores que no estén establecidos en la Unión», y la g) a «las personas afectadas que estén ubicadas en la Unión». La prueba no es el domicilio social. Es si el sistema llega al mercado de la Unión, o si lo que el sistema produce se utiliza allá: un presupuesto enviado a un cliente en Madrid, una conversación de soporte con un usuario en Berlín, una decisión de crédito sobre un residente de Lisboa.

Lo que queda afuera: «las obligaciones de los responsables del despliegue que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional» (artículo 2, apartado 10); la investigación y el desarrollo antes de la introducción en el mercado (apartado 8); «los sistemas de IA divulgados con arreglo a licencias libres y de código abierto, a menos que se introduzcan en el mercado o se pongan en servicio como sistemas de IA de alto riesgo o como sistemas de IA que entren en el ámbito de aplicación del artículo 5 o del artículo 50» (apartado 12); y los usos militares, de defensa y de seguridad nacional (apartado 3). Una sociedad automatizada, por definición una actividad profesional, no entra en la excepción del uso personal.

Proveedor o responsable del despliegue: los dos roles que deciden todo

El Reglamento cuelga las obligaciones de roles, y una misma sociedad puede tener un rol distinto para cada sistema que opera. El artículo 3 los define:

Dos definiciones importan para el calendario. «Introducción en el mercado» es «la primera comercialización en el mercado de la Unión de un sistema de IA o de un modelo de IA de uso general» (punto 9); «puesta en servicio» es «el suministro de un sistema de IA para su primer uso directamente al responsable del despliegue o para uso propio en la Unión para su finalidad prevista» (punto 11). Y la definición de sistema de IA (punto 1) es lo bastante amplia para cubrir a los agentes de los que habla este sitio: «un sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que pueda mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtuales».

Los roles pueden cambiar. Según el artículo 25, apartado 1, un responsable del despliegue u otro tercero «será considerado proveedor de un sistema de IA de alto riesgo» cuando ponga su nombre en uno ya introducido en el mercado, cuando lo modifique sustancialmente o, letra c), «cuando modifique la finalidad prevista de un sistema de IA, incluido un sistema de IA de uso general, que no haya sido considerado de alto riesgo […] de tal manera que el sistema de IA de que se trate se convierta en un sistema de IA de alto riesgo». Una sociedad automatizada que reconvierte un asistente general para ordenar candidatos a un puesto acaba de convertirse en proveedora de un sistema de alto riesgo.

El calendario después del Ómnibus de julio de 2026

El Reglamento entró en vigor el 1 de agosto de 2024 y «será aplicable a partir del 2 de agosto de 2026» (artículo 113, párrafo segundo). El Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, adoptado el 8 de julio de 2026 y en vigor desde el 27 de julio de 2026, reescribió dos de las excepciones y agregó una tercera. Las fechas tal como quedan en el texto consolidado:

Las reglas de transición siguen la misma lógica. Los sistemas de alto riesgo ya en el mercado antes de la fecha del capítulo III quedan alcanzados «únicamente si, a partir de esa fecha, dichos sistemas se ven sometidos a cambios significativos en sus diseños», salvo que los «destinados a ser utilizados por las autoridades públicas» deben cumplir a más tardar el 2 de agosto de 2030 (artículo 111, apartado 2). Los proveedores de sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el marcado legible por máquina del artículo 50, apartado 2 (artículo 111, apartado 4). Los proveedores de modelos de uso general introducidos antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 (apartado 3).

El Ómnibus hizo más que mover fechas. Definió la «pequeña empresa de mediana capitalización» por remisión a la Recomendación (UE) 2025/1099 (artículo 3, punto 14 ter) y la «pyme» por remisión a la Recomendación 2003/361/CE (punto 14 bis); permitió a ambas presentar la documentación técnica «de manera simplificada» con un formulario de la Comisión que los organismos notificados deben aceptar (artículo 11, apartado 1); obligó al proveedor inicial a cooperar con quien pasa a ser nuevo proveedor según el artículo 25 (apartado 2); acotó qué cuenta como componente de seguridad (artículo 6, apartados 1 bis a 1 quater); exigió a cada Estado miembro al menos un espacio controlado de pruebas «operativo a más tardar el 2 de agosto de 2027» (artículo 57, apartado 1); y bajó el tope de multa para esas empresas (artículo 99, apartado 6 bis).

Lo que ya rige para todo operador

Alfabetización en IA (artículo 4, desde el 2 de febrero de 2025)

«Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.»

La última oración la agregó el Ómnibus: el deber es de medios. Para una sociedad automatizada «sin requerir trabajadores en relación de dependencia ni recursos humanos para su operación ordinaria» (proyecto PE-193/26, art. 14), las «personas que se encarguen en su nombre del funcionamiento y la utilización» son sus administradores, su responsable humano si el proyecto termina exigiéndolo, y los contratistas que configuran los agentes.

Prácticas prohibidas (artículo 5, desde el 2 de febrero de 2025)

El artículo 5, apartado 1, prohíbe introducir en el mercado, poner en servicio o utilizar IA que: se sirva «de técnicas subliminales que trasciendan la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas» que alteren el comportamiento y causen perjuicios considerables (letra a); explote vulnerabilidades «derivadas de su edad o discapacidad, o de una situación social o económica específica» (b); puntúe socialmente a las personas con trato perjudicial en contextos ajenos o desproporcionado a su comportamiento (c); prediga delitos «basándose únicamente en la elaboración del perfil de una persona física o en la evaluación de los rasgos y características de su personalidad» (d); cree bases de reconocimiento facial «mediante la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión» (e); infiera emociones «en los lugares de trabajo y en los centros educativos», salvo por motivos médicos o de seguridad (f); categorice biométricamente para inferir «raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual» (g); o use identificación biométrica remota «en tiempo real» en espacios públicos con fines policiales fuera de las excepciones listadas (h). Desde el 2 de diciembre de 2026, las letras b bis) y b ter) suman las ultrafalsificaciones sexuales de personas identificables sin «consentimiento libre, específico, informado e inequívoco y explícito» y el material de abuso sexual infantil, con las condiciones de los apartados nuevos 1 bis y 1 ter.

Para una sociedad automatizada comercial, los riesgos vivos son a), b) y f): un agente de ventas optimizado para presionar, un agente de precios que apunta a personas en apuros económicos, una herramienta interna que lee el ánimo de los contratistas en las llamadas. Infringir el artículo 5 lleva el tramo de multa más alto (abajo).

Transparencia: agentes que hablan, escriben y generan (artículo 50, desde el 2 de agosto de 2026)

El artículo 50 es la parte del Reglamento con la que una sociedad automatizada se cruza primero, porque apunta a lo que esa sociedad hace: interactuar con personas y producir contenido. Cuatro deberes, por rol:

La información «se facilitará a las personas físicas de que se trate de manera clara y distinguible a más tardar con ocasión de la primera interacción o exposición» (apartado 5). Quién debe el aviso del chatbot depende de quién es el proveedor del chatbot: una sociedad que ejecuta un asistente licenciado es su responsable del despliegue, y el deber de diseño del apartado 1 recae en quien lo construyó; una sociedad que arma su propio agente sobre un modelo de uso general y lo pone en servicio con su nombre es la proveedora. Las infracciones al artículo 50 están en el segundo tramo de multas (artículo 99, apartado 4, letra g). El Ómnibus reemplazó el apartado 7: la Comisión «fomentará y facilitará la elaboración de códigos de buenas prácticas en el ámbito de la Unión» para el marcado y el etiquetado, y podrá adoptar un acto de ejecución si un código resulta inadecuado.

Alto riesgo: qué usos, desde cuándo, qué debe el responsable del despliegue

El artículo 6 tiene dos puertas. Por el apartado 1, un sistema es de alto riesgo si es componente de seguridad de un producto del anexo I (máquinas, juguetes, ascensores, productos sanitarios, vehículos y similares) que necesita evaluación de conformidad de terceros; el Ómnibus agregó que los sistemas «que se utilicen únicamente para aspectos no relacionados con la seguridad en los ámbitos de la asistencia al usuario, la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad no se considerarán componentes de seguridad» (apartado 1 bis). Por el apartado 2, «también se considerarán de alto riesgo los sistemas de IA contemplados en el anexo III». El anexo III enumera ocho ámbitos; en los que puede entrar una empresa de servicios son estos:

• Empleo, gestión de los trabajadores y acceso al autoempleo (punto 4): sistemas «destinados a ser utilizados para la contratación o la selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos», y sistemas «para tomar decisiones que afecten a las condiciones de las relaciones de índole laboral o a la promoción o rescisión de relaciones contractuales de índole laboral, para la asignación de tareas a partir de comportamientos individuales o rasgos o características personales o para supervisar y evaluar el rendimiento y el comportamiento de las personas en el marco de dichas relaciones».
• Acceso a servicios privados y públicos esenciales (punto 5): sistemas «para evaluar la solvencia de personas físicas o establecer su calificación crediticia, salvo los sistemas de IA utilizados al objeto de detectar fraudes financieros» (letra b), y «para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud» (letra c).
• Biometría (punto 1), cuando esté permitida: identificación remota, categorización biométrica por atributos sensibles, reconocimiento de emociones.
• Educación, infraestructuras críticas, garantía del cumplimiento del Derecho, migración, justicia y procesos democráticos (puntos 2, 3, 6, 7 y 8) conciernen a organismos públicos y sectores regulados más que a una sociedad comercial.

El artículo 6, apartado 3, saca a un sistema de la lista «cuando no plantee un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales de las personas físicas, también al no influir sustancialmente en el resultado de la toma de decisiones», si está destinado a «una tarea de procedimiento limitada», a «mejorar el resultado de una actividad humana previamente realizada», a detectar patrones de decisión sin sustituir la valoración humana, o a «una tarea preparatoria»; pero «los sistemas de IA a que se refiere el anexo III siempre se considerarán de alto riesgo cuando el sistema de IA efectúe la elaboración de perfiles de personas físicas». El proveedor que se apoya en esa excepción «documentará su evaluación antes de que dicho sistema sea introducido en el mercado o puesto en servicio» y lo registrará (apartado 4; artículo 49, apartado 2).

Qué debe el responsable del despliegue de un sistema de alto riesgo (artículo 26, desde el 2 de diciembre de 2027 para el anexo III)

• Usarlo «con arreglo a las instrucciones de uso que los acompañen» (apartado 1).
• «Los responsables del despliegue encomendarán la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias» (apartado 2).
• Asegurarse de que «los datos de entrada sean pertinentes y suficientemente representativos», en la medida en que los controle (apartado 4).
• Vigilar el funcionamiento y, cuando el uso «puede dar lugar a que ese sistema […] presente un riesgo», informar al proveedor o distribuidor y a la autoridad de vigilancia del mercado «sin demora indebida» y suspender el uso; informar los incidentes graves (apartado 5).
• Conservar los archivos de registro generados automáticamente «durante un período de tiempo adecuado para la finalidad prevista […] de al menos seis meses» (apartado 6).
• Si es empleador, informar «a los representantes de los trabajadores y a los trabajadores afectados de que estarán expuestos a la utilización del sistema de IA de alto riesgo» antes de usarlo en el lugar de trabajo (apartado 7).
• Usar la información del proveedor para la evaluación de impacto de protección de datos cuando el RGPD la exija (apartado 9).

El artículo 26, apartado 2, es lo más parecido que tiene el Reglamento al deber de configuración y supervisión del proyecto argentino: la supervisión se encomienda a personas físicas, y competentes. Para una sociedad automatizada esa es exactamente la pregunta que el Senado discute desde agosto: quiénes son esas personas.

Vender un sistema de IA en la Unión: el representante autorizado

Si la sociedad automatizada es la proveedora de un sistema de alto riesgo y quiere ponerlo en el mercado de la Unión, el artículo 22, apartado 1, va primero:

«Antes de comercializar sus sistemas de IA de alto riesgo en el mercado de la Unión, los proveedores establecidos en terceros países tendrán que nombrar, mediante un mandato escrito, a un representante autorizado que esté establecido en la Unión.»

El mandato debe habilitar al representante para «verificar que se han elaborado la declaración UE de conformidad […] y la documentación técnica […] y que el proveedor ha llevado a cabo un procedimiento de evaluación de la conformidad adecuado», para conservarlas «durante un período de diez años» a disposición de las autoridades, para entregar documentación y «el acceso a los archivos de registro» ante una solicitud motivada, para cooperar con las autoridades y para ocuparse del registro (apartado 3, letras a) a e)). El representante «pondrá fin al mandato si considera o tiene motivos para considerar que el proveedor está actuando de manera contraria a sus obligaciones» y debe informar a la autoridad (apartado 4). No nombrarlo, o que el representante incumpla, está en el segundo tramo de multas (artículo 99, apartado 4, letra b).

Otros dos deberes viajan con el rol de proveedor. El artículo 25, apartado 4, reescrito por el Ómnibus, exige que el proveedor de un sistema de alto riesgo y «el tercero que suministre un sistema de IA, un modelo de IA, herramientas, servicios, componentes o procesos que se utilicen o integren en un sistema de IA de alto riesgo» especifiquen «mediante acuerdo escrito» la información, las capacidades y el acceso técnico que el proveedor necesita para cumplir; la excepción son los terceros que publican bajo licencias libres y de código abierto algo que no sea un modelo de uso general. Y el artículo 53 pone los deberes de documentación, política de derechos de autor y resumen del contenido de entrenamiento sobre los proveedores de modelos de IA de uso general: una sociedad que construye sus agentes sobre el modelo de otro no los hereda, salvo que entrene y comercialice un modelo propio.

Multas y los topes para pymes y empresas de mediana capitalización (artículo 99)

Los importes son techos que los Estados miembros aplican con sus propios regímenes (apartado 1), que pueden incluir «multas administrativas, advertencias o medidas no pecuniarias»; al imponer sanciones «tendrán en cuenta los intereses de las pymes, incluidas las empresas emergentes y las pequeñas empresas de mediana capitalización, así como su viabilidad económica». La definición de pyme está tomada de la Recomendación 2003/361/CE (artículo 3, punto 14 bis), que se basa en plantilla y facturación; el texto consolidado no la condiciona a estar establecida en la Unión. Si una sociedad argentina concreta califica es una pregunta para un abogado, no para esta página.

Lado a lado con el proyecto argentino

Los dos textos regulan capas distintas. El Reglamento no dice nada sobre quién es la sociedad; el proyecto no dice nada sobre qué sistemas son riesgosos. Donde se tocan, así se alinean las preguntas (los artículos del proyecto tal como los transcribió este sitio; el Reglamento según el consolidado al 27 de julio de 2026):

La consecuencia práctica: una sociedad automatizada argentina que comercie con Europa cargaría con el responsable humano del proyecto en casa y con los supervisores competentes del Reglamento y, si vende un sistema de alto riesgo, con un representante en la UE. Ninguno de los tres roles reemplaza a otro.

Qué haría hoy una sociedad automatizada

1. Mapear cada sistema de IA que opera y, para cada uno, si es proveedora o responsable del despliegue (artículo 3, puntos 3 y 4) y si los resultados llegan a la Unión (2, apartado 1, letra c).
2. Revisar el artículo 5 contra el diseño y los incentivos de cada sistema; ese deber rige desde el 2 de febrero de 2025 y lleva el tramo de multa más alto.
3. Documentar las medidas de alfabetización en IA para administradores, representantes y contratistas (artículo 4): un deber de medios, ya vigente.
4. Desde el 2 de agosto de 2026, cumplir el artículo 50: los agentes de cara al cliente deben avisar que son IA salvo que sea evidente; el contenido generado debe marcarse; las ultrafalsificaciones y el texto de IA sobre asuntos de interés público deben divulgarse.
5. Clasificar contra el anexo III: selección de personal, asignación de tareas, supervisión del rendimiento, calificación crediticia y precios de seguros son de alto riesgo desde el 2 de diciembre de 2027; si se invoca una excepción del artículo 6, apartado 3, dejar la evaluación por escrito (apartado 4).
6. Si es la proveedora de un sistema de alto riesgo para el mercado de la Unión, nombrar un representante autorizado establecido allá antes de vender (artículo 22) y poner por escrito las obligaciones de los proveedores de componentes (artículo 25, apartado 4).
7. Encomendar la supervisión humana a personas físicas con nombre y competencia y conservar los registros al menos seis meses (26, apartados 2 y 6); son también los hechos que los administradores argentinos van a necesitar para mostrar que configuraron y supervisaron el sistema (proyecto, art. 102).
8. Revisar con un abogado la definición de pyme o de pequeña empresa de mediana capitalización: decide qué tope de multa aplica (99, apartados 6 y 6 bis) y si está disponible el formulario simplificado de documentación técnica (11, apartado 1).