El reglamento europeo de inteligencia artificial entró en vigor en agosto de 2024 y empezó a aplicarse por etapas. Según la Comisión Europea, las prohibiciones sobre prácticas consideradas de riesgo inaceptable comenzaron en febrero de 2025; las obligaciones para los modelos de uso general, en agosto del mismo año. La parte más pesada, sobre sistemas clasificados como de alto riesgo, estaba prevista para agosto de 2026 — pero días antes del plazo, el Parlamento y el Consejo de la Unión Europea aprobaron un paquete que aplazó esa etapa específica hasta diciembre de 2027.
Leído de lejos, eso suena a alivio. Es solo un alivio parcial: las prohibiciones y las obligaciones para modelos de uso general ya están vigentes desde 2025, y el texto del reglamento es explícito sobre a quién alcanza. El artículo 2 extiende las reglas a proveedores y operadores "establecidos o ubicados en un tercer país, cuando el resultado producido por el sistema se usa en la Unión" — sin importar dónde tenga su sede la empresa.
En la práctica, eso incluye a una porción grande de empresas latinoamericanas que nunca abrieron oficina en Europa. Un reportaje de Euronews de julio de 2026 muestra el tamaño del alcance: 47% de las empresas que ya citan el reglamento europeo en sus informes tienen sede fuera de la Unión Europea, y las empresas estadounidenses representan por sí solas el 35% de ese grupo. Es la misma lógica que, una década antes, convirtió la ley europea de protección de datos en referencia mundial incluso para quien nunca tuvo un cliente en Europa.
Una ley europea que ya alcanza a quien nunca fue a Europa
El detonante no es dónde tiene sede la empresa. Es dónde se usa el resultado del sistema. Una empresa que presta un servicio analizado por IA a un cliente europeo, mantiene una filial en la Unión Europea o abastece a una compañía que opera allí puede quedar dentro del alcance del reglamento incluso sin un solo empleado del otro lado del océano.
El alcance de la norma va más allá de las propias fronteras de la Unión Europea, y aplica a cualquier organización cuyos sistemas de IA se usen en el bloque o cuyos resultados afecten a ciudadanos, empresas o instituciones públicas europeas.
Las multas acompañan el tamaño de ese alcance: hasta 35 millones de euros o el 7% de la facturación global anual de la empresa para las infracciones más graves, según el mismo reportaje — el tope aplica por igual a empresas europeas y de fuera de Europa.
Y la preparación real va muy por detrás del riesgo. Un estudio citado por Euronews muestra que solo el 13% de las empresas en el mundo tiene algún programa formal de gobernanza de IA, y apenas el 12,4% exige que una persona revise decisiones individuales tomadas por un sistema de IA. Menos de una de cada cuatro evalúa si su propio uso de IA puede afectar los derechos de quienes trabajan allí.
El patrón que aparece en estas cifras es conocido: la ley ya existe, su alcance ya es internacional, pero la estructura interna para responder a ella todavía no se ha montado en la mayoría de las empresas — incluidas las que deciden con ayuda de IA todos los días.
El aplazamiento que trajo un alivio a medias
El aplazamiento aprobado en 2026 es real y específico. Según el análisis del despacho Gibson Dunn, las obligaciones para sistemas autónomos de alto riesgo — la categoría que cubre la mayor parte del uso corporativo de IA — pasaron de agosto de 2026 al 2 de diciembre de 2027; para la IA integrada en productos ya regulados, el nuevo plazo es agosto de 2028.
Lo que no cambió es el resto del calendario. Las prohibiciones de febrero de 2025 siguen vigentes, y las obligaciones para modelos de uso general, en vigor desde agosto de 2025, tampoco se tocaron. La ley no se suspendió: solo su capítulo más pesado ganó más tiempo.
El error común es tratar diciembre de 2027 como el día en que el asunto empieza a importar. No lo es. El trabajo que exige la norma — descubrir dónde se usa la IA dentro de la empresa, para qué, con qué información y bajo qué autorización — no se arma de la noche a la mañana. Una empresa que solo empiece a mapear esto cerca del nuevo plazo va a descubrir, demasiado tarde, que el inventario nunca existió.
Y "no tenemos oficina en Europa" sigue siendo el supuesto más peligroso de la lista, porque el artículo 2 nunca dependió de eso.
Lo que realmente está en juego
Quitando la capa jurídica, lo que pide el reglamento europeo es bastante concreto: una empresa necesita saber dónde se usa la IA, clasificar ese uso por riesgo, asegurar que una persona responda por las decisiones más sensibles y mantener un registro de lo que ocurrió.
Esas cuatro cosas son exactamente lo que falta cuando el uso de IA dentro de una empresa ocurre en herramientas personales que cada persona elige por su cuenta, sin inventario y sin responsable definido. El problema deja de ser solo jurídico: sin ese mapeo, la empresa tampoco sabe qué decisiones importantes ya se apoyan hoy en IA, estén o no dentro del alcance de la norma europea.
Lo que tiene que existir en la práctica
Un entorno corporativo de IA responde a estas exigencias por construcción, no por promesa después de una auditoría.
Inventario vivo del uso de IA. Cada agente, prompt o flujo creado en la empresa queda registrado — quién lo creó, para qué área, con qué conocimiento conectado. Sin ese registro, "dónde se usa la IA aquí" es una pregunta sin respuesta verificable.
Clasificación por riesgo antes de liberar un uso. No toda tarea de IA necesita el mismo nivel de control; una que toca una decisión de crédito, contratación o dato sensible de cliente exige más revisión que un resumen de una reunión interna.
Aprobación humana según el riesgo. Las acciones sensibles se detienen y piden confirmación de una persona antes de continuar, dentro de la propia conversación — y los documentos críticos pueden exigir revisión y aprobación en dos etapas, con quien escribe separado de quien aprueba.
Registro de auditoría. Crear un agente, aprobar un contenido, cambiar un permiso: todo queda registrado. En una fiscalización o una investigación de incidente, es la diferencia entre reconstruir lo ocurrido en minutos y no poder reconstruirlo.
Así fue diseñada Skyller: identidad que viene del directorio de la empresa, aprobación y registro como estándar de fábrica, no como una configuración que alguien tiene que recordar activar.
De riesgo de multa a ventaja de salida
Una empresa que solo mira esta norma como riesgo de multa se pierde la otra mitad de la historia. El mismo inventario que exige la ley europea es también lo que permite a una empresa responder, en cualquier auditoría interna o de cliente, una pregunta cada vez más común: "¿cómo usan ustedes la IA ahí dentro?"
Quien ya opera en un entorno con identidad corporativa, aprobación por riesgo y registro por defecto llega a diciembre de 2027 con el trabajo pesado hecho meses antes. Quien todavía depende de cuentas personales y hojas de cálculo sueltas va a gastar el tiempo que quede hasta entonces solo reconstruyendo lo que ya debería existir.
También hay una ganancia que no aparece en ninguna exigencia regulatoria: una empresa que ya reúne su uso de IA en un solo lugar puede responder "cuántos agentes de IA tenemos, y para qué" en minutos — en vez de preguntar a cada área y esperar a que las respuestas lleguen por correo.
Una guía para la próxima reunión
Antes de tratar esto como un proyecto de 2027, vale la pena llevar estas preguntas a la próxima conversación con jurídico, TI y las lideranzas de operación:
- ¿Algún uso de IA aquí toca a un cliente, filial o proveedor que opera en la Unión Europea? Si la respuesta es "no lo sabemos", esa es la primera brecha por cerrar — el artículo 2 no exige presencia física en Europa para alcanzar a una empresa.
- ¿Existe hoy un inventario de dónde se usa la IA en la empresa, y por quién? Sin esa lista, no hay forma de clasificar el riesgo ni de probar después que algo fue revisado.
- ¿Quién aprueba una decisión impulsada por IA antes de que se convierta en una acción sobre un cliente o un contrato? Si la respuesta es "nadie, por ahora", esa es la brecha más cara de dejar para después.
- Si un regulador o un cliente pidiera hoy el historial de uso de IA de la empresa, ¿existiría? La respuesta a esa pregunta dice más sobre la preparación real que cualquier fecha en un calendario.
