La facultad de la Comisión Europea para multar a las empresas de inteligencia artificial con hasta 35 millones de euros o el 7 % de su facturación anual global —la cantidad que sea mayor— se hizo plenamente aplicable esta semana, un límite que supera en un 75 % el propio Reglamento General de Protección de Datos (RGPD) de la UE. Según una encuesta realizada por la empresa de tecnología jurídica Casepoint, recogida por Legal Futures, solo el 3 % de las empresas afirma contar con un marco de cumplimiento integral. Implementar un programa de cumplimiento para un único sistema de IA de alto riesgo puede costar entre 193.000 y 330.000 euros de entrada, más unos 71.400 euros anuales de mantenimiento, según un estudio encargado por la propia Comisión Europea para su evaluación de impacto. Y, a fecha de entrada en vigor, no se ha impuesto ninguna multa en virtud de la Ley de IA en ningún país del bloque.

¿Qué cambió realmente el 2 de agosto?

El 2 de agosto de 2026 entró en vigor, en virtud del artículo 101 de la Ley de IA, la supervisión y la aplicación de la normativa por parte de la Comisión Europea sobre los proveedores de modelos de IA de propósito general (GPAI), incluyendo la facultad de exigir documentación, realizar evaluaciones e imponer multas. Dichas obligaciones relativas a la GPAI, que abarcan la documentación técnica y la transparencia de los datos de entrenamiento, ya se aplicaban desde el 2 de agosto de 2025; la novedad de esta semana reside en que Bruselas ahora puede actuar en caso de incumplimiento. Las obligaciones de transparencia del artículo 50 —que obligan a informar a los usuarios cuando interactúan con un sistema de IA— también entraron en vigor de forma generalizada el 2 de agosto de 2026, si bien las normas más exigentes sobre la marca de agua de contenido sintético, previstas en el artículo 50(2), se aplazaron hasta el 2 de diciembre de 2026 para los sistemas que ya se encuentran en el mercado. La autoridad francesa de protección de datos, la CNIL, actuó con rapidez, emitiendo solicitudes de información a las entidades financieras que utilizan algoritmos de calificación crediticia y denegando las solicitudes de prórroga con el argumento de que las empresas habían tenido un plazo de dos años para prepararse; una afirmación coherente con la entrada en vigor de la ley en vigor en 2024, pero que este medio no pudo verificar de forma independiente cotejándola con una declaración oficial de la CNIL en el momento de redactar este artículo.

La regla del titular que nunca llegó a implementarse

La situación es más compleja que simplemente «entran en vigor las normas sobre IA de alto riesgo». En virtud del paquete «Digital Omnibus» que la Comisión y el Parlamento acordaron en mayo de 2026, las obligaciones principales del Capítulo III para la mayoría de los sistemas de IA de alto riesgo —las normas que exigen sistemas de gestión de riesgos, supervisión humana y evaluaciones de conformidad para las herramientas utilizadas en la contratación, el crédito, la educación y la aplicación de la ley— se aplazaron hasta el 2 de diciembre de 2027 para los sistemas del Anexo III y hasta el 2 de agosto de 2028 para la IA integrada en productos regulados como dispositivos médicos y vehículos. Este aplazamiento estaba vinculado explícitamente a la finalización de las normas técnicas que la Comisión aún no había terminado de redactar. En otras palabras, el mecanismo de aplicación que se activó esta semana se aplica de forma más concreta a de modelos fundamentales —empresas como OpenAI, Google, Meta, Anthropic y Mistral— que la Comisión ya había mencionado en sus directrices sobre modelos de riesgo sistémico, en lugar de al conjunto de empresas que utilizan la IA en sus decisiones empresariales cotidianas.

La brecha de cumplimiento que los reguladores están abordando

Incluso con las obligaciones de mayor relevancia aplazadas, las cifras de preparación son alarmantes. La investigación encargada por Casepoint reveló que el 82 % de las organizaciones consideran la regulación de la IA una preocupación importante, pero el 52 % informa una preparación mínima o nula, a pesar de ya implementar IA en herramientas de atención al cliente, recursos humanos y decisiones operativas. La brecha es más pronunciada en las empresas medianas con entre 500 y 5000 empleados, organizaciones lo suficientemente grandes como para operar sistemas de IA importantes, pero que a menudo carecen de equipos de cumplimiento dedicados. Las estimaciones del costo total del cumplimiento varían ampliamente según la metodología: el grupo industrial DIGITALEUROPE sitúa la carga anual de cumplimiento de la Ley de IA en aproximadamente 3300 millones de euros, el Centro de Estudios de Política Europea ha citado un 4000 a 6000 millones de euros para la primera fase de aplicación, y una cifra de 3600 millones de dólares ampliamente difundida de una estimación anterior financiada por la industria fue cuestionada por los investigadores del CEPS por ser una interpretación errónea de su propio estudio, que encontró que el rango real se acerca más a los 1600-3300 millones de euros bajo los supuestos establecidos. Esa diferencia en sí misma resulta instructiva: cinco años después de que se propusiera la ley por primera vez, los analistas independientes todavía no se ponen de acuerdo sobre su impacto económico, ni siquiera en un orden de magnitud.

Un historial de cumplimiento que, hasta ahora, está vacío

Quizás el hecho más concreto sobre la aplicación de la Ley de IA sea lo que no ha ocurrido. Desde la fecha de activación del artículo 101, ningún Estado miembro, la Oficina de IA ni el Supervisor Europeo de Protección de Datos han impuesto una sola multa en virtud de dicha ley. Esto contrasta con el Reglamento General de Protección de Datos (RGPD) de la UE, que ha generado más de 7.100 millones de euros en multas acumuladas desde 2018, incluyendo más de 1.200 millones de euros solo en 2025, según la encuesta anual de multas del RGPD de DLA Piper. Los analistas jurídicos que siguen de cerca ambos regímenes señalan que el RGPD también tuvo un período de calma de varios años después de 2018 antes de que se acelerara su aplicación, y prevén que el régimen de sanciones de la Ley de IA —basado explícitamente en el marco del artículo 83 del RGPD— siga una trayectoria similar. Para las pequeñas y medianas empresas, la estructura de sanciones de la ley es inversa a la de las grandes empresas: las multas se aplican en función del importe que sea menor entre el límite máximo fijo en euros y el porcentaje de facturación, lo que significa que una empresa emergente con 2 millones de euros de ingresos se enfrenta a una exposición máxima de 140.000 euros en lugar de 35 millones de euros.

El patrón general: la regulación por plazos

La implementación de la Ley de IA ilustra una realidad estructural de la regulación tecnológica que va mucho más allá de Bruselas: las normas digitales integrales rara vez se implementan como un evento único, sino como una secuencia de fechas, excepciones y actos delegados que pueden abarcar media década o más entre la aprobación inicial y la plena aplicación. La Ley se adoptó en 2024, con las prácticas prohibidas entrando en vigor en febrero de 2025, las normas de transparencia de la IA pública en agosto de 2025, las facultades de ejecución activándose esta semana, y los requisitos de sistemas de alto riesgo más importantes ahora se han aplazado a 2027 y 2028. Este cronograma escalonado refleja una tensión real a la que se enfrentan los reguladores: los organismos de normalización no habían finalizado las especificaciones técnicas de las que dependen las obligaciones de alto riesgo, y forzar el cumplimiento de normas incompletas conllevaba el riesgo de penalizar a las empresas por no superar pruebas que aún no existían. Queda por ver si se mantendrán los plazos previstos para 2027-2028 o si se producirán nuevos retrasos "ómnibus" a medida que continúe la presión del sector, así como si un modelo regulatorio basado en multas posteriores a los hechos, en lugar de pruebas previas a la comercialización, puede cambiar de manera significativa la forma en que los mayores desarrolladores de IA crean y lanzan sistemas antes de que se produzcan daños, en lugar de después.