La Ley de IA de la UE no puede implementarse como un memorando jurídico que se entrega al equipo de ingeniería. El 27 de julio de 2026, la Comisión Europea informó que el Ómnibus sobre IA había entrado en vigor, ampliando algunos plazos para sistemas de alto riesgo y simplificando partes de la normativa. Las obligaciones de transparencia del artículo 50 seguían previstas para aplicarse a partir del 2 de agosto de 2026. Las empresas globales ahora deben convertir esas interpretaciones jurídicas en procesos repetibles de inventario, producto, compras, evidencia y lanzamiento.
El texto legal define funciones, clasificaciones, obligaciones y plazos. El área jurídica debe interpretar cómo se aplican a las circunstancias de la empresa. El problema del modelo operativo consiste en hacer duraderas esas decisiones mediante la clasificación de funciones, el inventario, la evidencia, la transparencia, la información de proveedores y las excepciones regionales. Un núcleo global con capas regionales puede reducir trabajo duplicado sin fingir que todas las jurisdicciones o casos de uso son iguales.
El modelo operativo puede reutilizar los niveles de riesgo del gobierno mínimo viable de IA, el enfoque basado en funciones para la alfabetización en IA y la pila de controles desarrollada para las decisiones sobre nube soberana.
La distinción entre asesoría jurídica y preparación operativa suele desdibujarse en el gobierno de IA de alto impacto, pero ambas deben permanecer separadas. El área jurídica puede interpretar los lineamientos de transparencia del artículo 50 o las clasificaciones de riesgo, pero solo un modelo operativo integrado puede garantizar que esas interpretaciones se conviertan en flujos de trabajo accionables para equipos de desarrollo, seguridad y compras.
El cambio de implementación del 27 de julio
El anuncio del 27 de julio extendió los plazos de los sistemas de IA de alto riesgo hasta diciembre de 2027 y las normas para la IA integrada en determinados productos hasta agosto de 2028. También modificó otros detalles de implementación. Por separado, la guía de la Comisión publicada el 20 de julio explicó las obligaciones de transparencia para determinados proveedores y responsables del despliegue, aplicables desde el 2 de agosto de 2026.
Los plazos pueden haber cambiado, pero el trabajo sigue siendo estructural. Un sistema puede construirse en un país, ser suministrado por una empresa de otro y utilizarse para varias funciones en distintas regiones. La clasificación y las obligaciones dependen de la función, el sistema, el uso, el mercado y las disposiciones aplicables, no solo de la ubicación del equipo de ingeniería.
El cambio es profundo porque transforma el cumplimiento de un ejercicio reactivo en una capacidad integrada. Cuando los sistemas de IA se despliegan globalmente, no se puede asumir que las leyes locales sobre soberanía de datos o las evaluaciones regionales de riesgos sean suficientes si entran en conflicto con las obligaciones de la UE. La empresa debe asumir de forma coherente la división del trabajo entre las funciones de proveedor y responsable del despliegue, sin importar la geografía.
Cruce de fronteras y funciones
La Ley contempla varias funciones de operadores, entre ellas proveedores y responsables del despliegue, e incluye disposiciones separadas para modelos de IA de propósito general y para sistemas de IA usados en contextos específicos. La clasificación de alto riesgo está ligada al sistema y al uso previsto, incluidos ciertos usos en ámbitos como el empleo y la educación. El nombre de un producto o una familia de modelos no determina la respuesta por sí solo.
Pensemos en un mismo modelo de propósito general utilizado en un asistente de ventas y en un flujo de trabajo de empleo. El modelo subyacente puede ser el mismo, pero cambian los sistemas de IA, las funciones de los operadores, las personas afectadas y las obligaciones aplicables. Por lo tanto, el inventario debe registrar el uso y el contexto operativo, no solo el proveedor y el nombre del modelo.
El inventario necesita una evaluación de funciones y obligaciones para cada uso, no simplemente una lista de herramientas. Un sistema construido por una división y operado por otra puede cambiar qué entidad proporciona información, da instrucciones, supervisa el desempeño o atiende la solicitud de una persona afectada. Los traspasos entre compras y producto deben preservar suficiente información para que cada parte cumpla su función sin exigir detalles propietarios irrelevantes.
Un núcleo global con una capa regional
Las empresas globales necesitan un modelo operativo que pueda incorporar obligaciones regionales sin obligar a cada equipo nacional a inventar su propio proceso de inventario y evidencia. Un diseño práctico combina un núcleo global reutilizable con capas regionales para obligaciones jurídicas, clasificación de riesgos, avisos, normas laborales, idioma y expectativas de los reguladores.
El núcleo global debe gestionar controles reutilizables: campos de inventario, responsabilidad, flujo de evaluación de funciones, información mínima de proveedores, retención de evidencia, desencadenantes de cambio, enrutamiento de incidentes y patrones técnicos aprobados. Crea un punto de partida coherente. No debería aplicar automáticamente la norma regional más restrictiva a cada uso de bajo riesgo en todo el mundo sin considerar el costo y el propósito.
La capa regional se encarga de las particularidades del derecho local, como la residencia de datos o prohibiciones adicionales de un sector. No sustituye al núcleo, sino que se ubica sobre él para asegurar que se cumplan los estándares globales antes de considerar una excepción local. Esto evita la fragmentación en la que un equipo crea una herramienta que cumple la legislación estadounidense mientras otro incumple los umbrales de la UE porque no tiene visibilidad del inventario global.
Este modelo se diferencia del cumplimiento tradicional porque es operativo, no administrativo. Trata la gestión del riesgo de IA como un proceso continuo de descubrimiento y verificación, no como una auditoría periódica. El núcleo global proporciona el motor; las capas regionales orientan la respuesta a las condiciones locales.
Decisiones sobre las funciones de proveedor y responsable del despliegue
Un componente crítico consiste en decidir qué función de operador ocupa la empresa para cada sistema y uso. Un proveedor desarrolla un sistema de IA, o encarga su desarrollo, y lo coloca en el mercado o lo pone en servicio con su propio nombre o marca. Un responsable del despliegue utiliza un sistema de IA bajo su autoridad, sujeto a las definiciones y excepciones de la Ley. Las obligaciones aplicables dependen entonces de la función y de la parte pertinente de la Ley.
Las funciones pueden cambiar cuando una organización modifica sustancialmente un sistema, cambia su propósito previsto o coloca un sistema en el mercado con su propio nombre. Son determinaciones jurídicas, no etiquetas que un equipo de ingeniería deba improvisar. El flujo de trabajo debe enviar los casos ambiguos al área jurídica y conservar la decisión junto con el registro del sistema.
La claridad de funciones también determina la información de proveedores. El equipo de compras debe obtener la documentación, los avisos de cambios, los términos de uso, la información de datos y la asistencia que la empresa necesita para cumplir sus propias obligaciones. Un contrato no puede transferir una obligación legal y un cliente no puede fabricar evidencia que solo posee el proveedor.
Evidencia y controles de proveedores
La evidencia y los controles de proveedores son el núcleo operativo. El artículo 50 incluye obligaciones de transparencia para determinadas interacciones con IA y para contenido generado o manipulado. La guía de julio de 2026 ayuda a proveedores y responsables del despliegue a determinar cuándo se aplican. Eso exige que los equipos de producto, contenido, tecnología y asuntos legales se coordinen antes de que la función llegue a una persona usuaria.
Para el núcleo global, defina un conjunto de evidencia adecuado a la función de la empresa y al uso del sistema. Puede incluir la decisión de función, el propósito previsto, la documentación del proveedor, las evaluaciones, instrucciones de uso, implementación de transparencia, aprobaciones, incidentes y cambios importantes. Es posible que un responsable del despliegue no tenga los registros de entrenamiento de un proveedor. La automatización puede reunir parte de la evidencia, pero las personas responsables todavía deben juzgar si está completa y es pertinente.
Los controles de proveedores son igualmente importantes. Si un proveedor no entrega la documentación necesaria sobre su sistema de IA, el núcleo global debe señalarlo de inmediato. No puede depender del cumplimiento local del proveedor si entra en conflicto con sus obligaciones globales. Esto exige una integración estrecha entre compras y seguridad, y contratos con cláusulas explícitas sobre transparencia e intercambio de evidencia alineadas con la Ley de IA de la UE.
Mantenga visibles las excepciones
Los equipos regionales necesitan margen para cumplir obligaciones locales, y los equipos globales necesitan visibilidad de las excepciones resultantes. Registre qué capa cambió la línea base, por qué lo hizo, quién lo aprobó y si la diferencia puede vencer. Así se evita que el conocimiento local quede aislado y que los estándares centrales borren hechos regionales importantes.
Implicaciones para la dirección
La dirección debe asignar una persona responsable del modelo operativo transversal, no de tomar cada decisión jurídica. El área jurídica interpreta las obligaciones. Producto e ingeniería las implementan. Seguridad, privacidad, compras, recursos humanos, cumplimiento y responsables de negocio participan según el caso de uso. La auditoría interna u otra función de aseguramiento puede comprobar si el proceso funciona.
La acción inmediata es modesta: elija un sistema de IA utilizado en más de una región y siga de principio a fin su decisión de función, registro en el inventario, evidencia del proveedor, comportamiento de transparencia y excepciones regionales. Las brechas mostrarán si la próxima inversión debe dirigirse al análisis jurídico, diseño de producto, compras, herramientas de evidencia o responsabilidad.
