El AI Act de la Unión Europea ya no es un problema exclusivo de las empresas europeas. Las obligaciones del reglamento alcanzan a cualquier organización global que comercialice o despliegue sistemas de inteligencia artificial en territorio de la UE, y eso incluye a firmas latinoamericanas con operaciones, clientes o socios en Europa. Con los primeros plazos de cumplimiento ya vigentes y los correspondientes a sistemas de alto riesgo aproximándose, revisar la estrategia de compliance dejó de ser optativo.
El Reglamento (UE) 2024/1689 —conocido como AI Act— entró en vigor el 1 de agosto de 2024. Su aplicación es escalonada: las prohibiciones absolutas sobre prácticas de IA inaceptables (manipulación subliminal, sistemas de puntuación social, reconocimiento de emociones en ciertos contextos) comenzaron a regir desde febrero de 2025. Las obligaciones para sistemas de IA de propósito general (GPAI), incluyendo los modelos de lenguaje de gran escala, aplican desde agosto de 2025. Los requisitos para sistemas de alto riesgo —los de mayor complejidad técnica y documental— vencen en agosto de 2026. El calendario no admite demoras.
Qué define al AI Act como norma de alcance extraterritorial
El artículo 2 del AI Act establece su ámbito de aplicación con claridad: alcanza a proveedores que comercializan o ponen en servicio sistemas de IA en la UE, independientemente de dónde estén establecidos. También alcanza a los “deployers” —empresas que utilizan sistemas de IA en sus operaciones— cuando estos se encuentran en la UE. Esto significa que una empresa con sede en Buenos Aires, Ciudad de México o São Paulo que venda software con componentes de IA a clientes europeos, o que use plataformas de IA de proveedores globales para procesar datos de ciudadanos de la UE, queda dentro del alcance del reglamento. El modelo de extraterritorialidad es análogo al del GDPR, cuya aplicación ya genera litigios y multas a empresas latinoamericanas con presencia digital en Europa.
La clasificación de riesgo es el eje del sistema. Los sistemas de alto riesgo —listados en el Anexo III del reglamento— incluyen herramientas de reclutamiento y selección de personal, sistemas de scoring crediticio, plataformas de evaluación educativa y soluciones para infraestructura crítica. Para estas categorías, las obligaciones incluyen: documentación técnica exhaustiva, registro en una base de datos de la UE, supervisión humana, evaluación de conformidad previa al despliegue y un sistema de gestión de riesgos activo durante todo el ciclo de vida del sistema.
El estado regulatorio de IA en Argentina, Brasil y México
Ningún país de América Latina tiene aún una ley de IA equivalente al AI Act, pero los tres principales mercados de la región se encuentran en movimiento regulatorio activo. En Argentina, el Ministerio de Ciencia, Tecnología e Innovación publicó en 2023 una Guía para el Uso de IA Responsable en el Sector Público, de carácter no vinculante. La Agencia de Acceso a la Información Pública (AAIP) ha señalado que los sistemas de IA que traten datos personales quedan sujetos a la Ley 25.326, lo que abre la puerta a sanciones si un sistema automatizado produce decisiones sin las garantías del artículo 14 de esa norma —que reconoce el derecho a no ser objeto de decisiones basadas exclusivamente en tratamiento automatizado.
Brasil avanza con el Proyecto de Ley 2338/2023, que sigue una arquitectura de riesgo similar al AI Act europeo y define categorías de sistemas de alto y muy alto riesgo con obligaciones diferenciadas. El proyecto está en el Senado y, según se informó, podría ser votado antes de que concluya 2025. La Autoridade Nacional de Proteção de Dados (ANPD) ya emitió en 2023 el Relatório de Atividade de Fiscalização sobre el uso de IA y datos personales, marcando la voluntad de intervenir antes de que exista una ley específica. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) aplica a decisiones automatizadas que afecten a titulares, pero el país carece de un marco sectorial de IA. El INAI ha publicado documentos de posición, sin fuerza vinculante.
Esta brecha regulatoria crea un escenario de asimetría: las empresas latinoamericanas que operan en Europa deben cumplir el AI Act sin contar con marcos locales que las guíen en cómo hacerlo. El riesgo no es solo de multa europea —que puede alcanzar hasta 35 millones de euros o el 7% de la facturación global anual para las infracciones más graves— sino de quedar excluidas de cadenas de suministro de software y servicios que ya exigen declaraciones de conformidad a sus proveedores.
Tres brechas operativas que las empresas deben cerrar antes de agosto de 2026
El cumplimiento del AI Act no es solo un ejercicio jurídico. Requiere capacidades técnicas y de gobernanza que muchas organizaciones latinoamericanas aún no tienen formalizadas. Las brechas más frecuentes identificadas en análisis comparativos de cumplimiento incluyen:
- Ausencia de inventario de sistemas de IA: sin un catálogo actualizado de los modelos y herramientas en uso —incluyendo las adquiridas a terceros— es imposible clasificar el riesgo ni asignar responsabilidades. Esto es equivalente a carecer de un data catalog en gobernanza de datos.
- Falta de documentación técnica estandarizada: el AI Act exige para sistemas de alto riesgo documentación que cubra el diseño, los datos de entrenamiento, las métricas de rendimiento y los planes de monitoreo post-despliegue. La mayoría de los equipos técnicos de la región no produce este tipo de artefactos de forma sistemática.
- Vacío en la cadena de responsabilidad proveedor-deployer: cuando una empresa usa un modelo de IA de un proveedor global (OpenAI, Google, Microsoft, entre otros), el AI Act distribuye obligaciones entre proveedor y deployer. Sin contratos que reflejen esa distribución, el deployer asume riesgos que no anticipó.
Qué monitorear: los próximos hitos del AI Act y sus efectos en la región
El plazo de agosto de 2026 para sistemas de alto riesgo es el más urgente, pero no el único hito relevante. La Oficina de IA de la Comisión Europea —creada específicamente para supervisar la implementación del reglamento— publicará estándares armonizados y guías técnicas durante 2025 y 2026. Las empresas que ya operan bajo el GDPR deben prestar especial atención a la interacción entre ambos reglamentos: el AI Act no deroga el GDPR, y los sistemas de IA que traten datos personales quedan sujetos a las dos normativas en paralelo. En la práctica, esto significa que una evaluación de impacto de algoritmos puede requerir tanto una Data Protection Impact Assessment (DPIA) bajo GDPR como una evaluación de conformidad bajo AI Act.
Para empresas latinoamericanas sin presencia física en Europa, el mecanismo de enforcement más probable en el corto plazo no será una inspección de la Comisión, sino la presión contractual de clientes y socios europeos que exijan declaraciones de conformidad como condición de negocio. Esto ya ocurre con el GDPR: muchos contratos B2B europeos incluyen desde hace años cláusulas de adecuación de privacidad. El AI Act seguirá el mismo camino.
Nuestro análisis
El AI Act replica el patrón del GDPR: nace en Europa, pero su efecto de arrastre normativo alcanza a cualquier empresa que quiera hacer negocios en ese mercado. Lo que todavía no ocurrió —y ocurrirá— es que los marcos regulatorios de Brasil, México y Argentina converjan hacia estándares similares, en parte por presión de organismos multilaterales y en parte porque sus propias empresas tecnológicas necesitan esa convergencia para competir globalmente. El PL 2338/2023 de Brasil, si se aprueba con su arquitectura actual, será el primer AI Act latinoamericano y funcionará como referencia regional, del mismo modo en que la LGPD impulsó actualizaciones en las leyes de privacidad de Argentina, Colombia y Chile. Las organizaciones que empiecen a documentar sus sistemas de IA y a clasificarlos por riesgo ahora no solo estarán preparando su cumplimiento europeo: estarán adelantando trabajo que sus reguladores locales les van a exigir dentro de dos o tres años.
La pregunta no es si el AI Act aplica a tu empresa latinoamericana. La pregunta es cuántos de tus sistemas de IA en producción podrían clasificar como alto riesgo bajo sus criterios, y si tenés la documentación para demostrarlo.
