La Ley de IA de la UE entra oficialmente en vigor, pero con un matiz
A principios de agosto de 2026, la Ley de Inteligencia Artificial de la Unión Europea ha pasado de ser un proyecto legislativo pendiente a un cuerpo legal que las empresas deben cumplir realmente. El último boletín de protección de datos de TechGDPR destaca este hito, señalando que la Ley se hizo aplicable mientras que sus normas para los sistemas de IA de alto riesgo quedan temporalmente excluidas. Para quienes siguen la intersección entre la regulación de la IA y la privacidad de datos, este es un momento notable: la ley está técnicamente activa, pero uno de sus capítulos más importantes está en pausa.
La Ley de IA se diseñó con un enfoque basado en el riesgo. Los sistemas se clasifican en categorías, desde riesgo mínimo hasta riesgo inaceptable, y las obligaciones aumentan en consecuencia. La IA de alto riesgo —pensemos en sistemas utilizados en contratación, calificación crediticia, aplicación de la ley o diagnósticos médicos— siempre debía soportar la mayor carga de cumplimiento: evaluaciones de conformidad, requisitos de supervisión humana y documentación detallada. El hecho de que estas obligaciones específicas se estén retrasando, incluso cuando la ley más amplia entra en vigor, dice mucho sobre lo difícil que ha sido para los reguladores y la industria acordar plazos de implementación para las disposiciones más exigentes.
Por qué se pausan las normas sobre IA de alto riesgo
El retraso no es una señal de que los reguladores hayan suavizado su postura sobre la supervisión de la IA. Refleja, más bien, la realidad práctica de poner en marcha una ley tan compleja. Los organismos de normalización, los reguladores nacionales y la Comisión Europea necesitaron más tiempo para finalizar las especificaciones técnicas que los proveedores de IA de alto riesgo deberían cumplir. En lugar de obligar a las empresas a cumplir normas que no estaban completamente definidas, las obligaciones vinculadas a los sistemas de alto riesgo se pospusieron, mientras que el resto de la Ley, incluidas las disposiciones sobre prácticas prohibidas y alfabetización en IA, avanzó según lo previsto.
Este despliegue escalonado es especialmente relevante para los profesionales de la protección de datos. Muchos casos de uso de IA de alto riesgo —identificación biométrica, toma de decisiones automatizada en el empleo o la concesión de préstamos— implican un tratamiento significativo de datos personales. Cuando el plazo de cumplimiento para esos sistemas se retrasa, se crea un vacío temporal en el que las salvaguardias específicas de la IA aún no son exigibles, aunque las obligaciones del RGPD sobre esas mismas actividades de tratamiento de datos sigan plenamente en vigor. Las organizaciones no pueden considerar el retraso como un permiso para relajar el cumplimiento de la privacidad en general, sino solo en lo que respecta a la capa adicional de requisitos de la Ley de IA para las categorías de alto riesgo.
La conexión con el RGPD: la privacidad sigue presente
Una de las cosas más útiles que hay que entender sobre la Ley de IA es que no sustituye al RGPD, sino que convive con él. Cualquier sistema de IA que trate datos personales, esté clasificado como de alto riesgo o no, debe cumplir la legislación de protección de datos existente: base jurídica para el tratamiento, transparencia hacia los interesados y salvaguardias contra el uso indebido. La Ley de IA añade normas sectoriales y específicas de riesgo sobre esa base.
Este enfoque de doble vía no es exclusivo de la UE. Los regímenes de protección de datos de todo el mundo están lidiando con cuestiones similares sobre cómo regular las nuevas tecnologías sin dejar lagunas en la supervisión. El regulador de telecomunicaciones de Zimbabue, por ejemplo, se está preparando para hacer cumplir activamente su propia ley de protección de datos a partir de septiembre de 2026, un cambio que cubrimos en nuestro informe sobre los planes de aplicación de POTRAZ. En otros lugares, propuestas como el plan de Sudáfrica de vincular el registro de tarjetas SIM móviles a la identidad digital han suscitado preocupaciones similares sobre cómo se utilizan los datos personales una vez recogidos, un tema que exploramos en nuestra cobertura del debate sobre SIM e identidad en Sudáfrica. Distintas regiones, distintos mecanismos, pero la misma tensión subyacente: la tecnología avanza más rápido que las normas que pretenden regularla.
Qué significa esto para usted
Si es un consumidor, el impacto práctico inmediato es limitado. Las disposiciones sobre alto riesgo de la Ley de IA de la UE siempre estuvieron dirigidas a las empresas y organismos públicos que implementan sistemas de IA, no a los usuarios individuales. Pero el despliegue general merece atención porque indica la seriedad con que los reguladores se están tomando el tratamiento de datos basado en IA, y cuánto trabajo queda antes de que esas protecciones estén plenamente operativas.
Si trabaja en una empresa que crea o utiliza herramientas de IA que afectan a usuarios de la UE, el retraso en las obligaciones de alto riesgo no significa que pueda esperar para prepararse. Los reguladores han dejado claro que el aplazamiento se refiere a los plazos de implementación, no a un cambio de rumbo. Adelantarse ahora en documentación, evaluaciones de riesgos y gobernanza de datos será importante cuando se cumplan los plazos para los sistemas de alto riesgo.
Puntos clave
- La Ley de IA de la UE entró en vigor en agosto de 2026, pero las obligaciones para los sistemas de IA de alto riesgo se excluyeron temporalmente a la espera de que se finalicen las normas técnicas.
- Las obligaciones del RGPD siguen aplicándose plenamente, independientemente de la aplicación gradual de la Ley de IA, por lo que el tratamiento de datos vinculado a sistemas de IA sigue requiriendo una base jurídica y transparencia.
- Las empresas que implementan IA en la UE deben considerar el retraso como un margen para planificar, no como una exención de cumplimiento, y seguir avanzando hacia los eventuales requisitos de alto riesgo.
- Observar cómo otras jurisdicciones, desde Zimbabue hasta Sudáfrica, abordan la aplicación de la protección de datos ofrece un contexto útil sobre cómo el impulso regulador global en torno a los datos personales avanza en paralelo con las normas específicas sobre IA.
