Ley de IA de la UE frente a la orden de EE. UU.: calendario para compradores

Los responsables de TI, los MSP y los equipos de cumplimiento que siguen la regulación de la IA a ambos lados del Atlántico se enfrentan a dos sistemas que no comparten calendario, alcance ni diseño de base. Confundirlos puede llevar a paralizar un proyecto que sigue siendo legal, o a aceptar una declaración de cumplimiento de un proveedor que no se sostiene. Esta guía explica dónde están realmente la Ley de IA de la UE y la orden ejecutiva de EE. UU. sobre IA, qué ha cambiado y qué comprobar antes de firmar nada.

Qué ya está en vigor en la UE

Las obligaciones de transparencia del artículo 50 de la Ley de IA —requisitos de aviso para chatbots y etiquetado de contenido generado por IA— se aplican desde el 2 de agosto de 2026, y la Oficina de IA de la Comisión Europea ya tiene poderes de supervisión sobre las obligaciones de los modelos de IA de uso general, vigentes desde un año antes. Las prácticas prohibidas del artículo 5 y las obligaciones de alfabetización en IA del artículo 4 se aplican desde antes, desde febrero de 2025. Nada de esto cambió con el Digital Omnibus de 2026.

Qué cambió en 2026

Lo que cambió es el calendario para el alto riesgo. El Digital Omnibus sobre IA de la UE, aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, retrasó las obligaciones sustantivas de alto riesgo. Los sistemas autónomos del anexo III —que cubren usos como empleo, educación y biometría— se aplican desde el 2 de diciembre de 2027 en lugar de agosto de 2026, y los sistemas integrados en productos del anexo I pasan a agosto de 2028.

El motivo declarado es que las normas técnicas armonizadas necesarias para dar a los sistemas de alto riesgo la presunción de conformidad no estaban listas. La sustancia de las normas no cambió, solo la fecha en que empiezan a aplicarse.

Qué hace realmente la orden ejecutiva de EE. UU.

Estados Unidos siguió un camino distinto. El presidente Trump firmó la Executive Order 14409, “Promoting Advanced Artificial Intelligence Innovation and Security”, el 2 de junio de 2026. Se aplica a las agencias federales y no directamente a las empresas privadas, y plantea la IA sobre todo como una cuestión de ciberseguridad e innovación, no como un régimen de cumplimiento por niveles de riesgo.

La orden exige a las agencias priorizar la ciberdefensa de los sistemas federales civiles en un plazo de 30 días desde la firma, con la CISA emitiendo directrices para acelerar ese trabajo, y crea un centro de intercambio de ciberseguridad de IA —coordinado por el Tesoro, la NSA y la CISA— para compartir información sobre vulnerabilidades y remediación relacionada con sistemas de IA. Por separado, crea un marco voluntario mediante el cual los desarrolladores pueden compartir “modelos de frontera cubiertos” con el gobierno para su evaluación antes del lanzamiento público.

La orden descarta explícitamente las licencias obligatorias: la Sección 3(c) establece que nada en ella autoriza un requisito gubernamental obligatorio de licencia, autorización previa o permiso para desarrollar, publicar o distribuir nuevos modelos de IA. Se trata de un compromiso político incluido en esta orden, no de una prohibición legal permanente, ya que una futura orden o ley podría introducir ese requisito. Tampoco cuenta con un sistema de clasificación similar al anexo III ni con un equivalente a las obligaciones de la UE para los desplegadores de sistemas de alto riesgo.

Qué significa esto para quien compra

La postura de cumplimiento de un proveedor en EE. UU. bajo la EO 14409 no dice nada sobre su preparación frente a la Ley de IA de la UE, y viceversa: los dos regímenes cubren materias distintas, para actores distintos, con calendarios distintos. Para los responsables de TI europeos, la orden no tiene fuerza legal directa, pero sí indica el entorno en el que operan los proveedores de IA estadounidenses: revisión previa voluntaria en lugar de obligatoria, con obligaciones de ciberseguridad que recaen en las agencias federales y no en los productos comerciales de los proveedores.

Busca pruebas de que un proveedor participa en el marco voluntario de modelos de frontera, en lugar de asumir que eso equivale a una revisión equivalente a la Ley de IA de la UE. Quien ya esté reuniendo evidencias para NIS2 y DORA puede aplicar la misma disciplina a los plazos de la Ley de IA: Auris Comply ofrece soporte de cumplimiento NIS2/DORA y registro de auditoría para ese tipo de documentación.

Qué hacer

Antes de dar por buena la declaración de cumplimiento de un proveedor, repasa esta lista:

• Pregunta qué artículo o anexo concreto dice cumplir el proveedor y comprueba en qué fecha entró realmente en vigor esa disposición: algunos plazos de la UE se movieron, otros no.
• Trata el retraso del anexo III hasta diciembre de 2027 como margen adicional, no como una exención: las obligaciones de transparencia del artículo 50 ya se aplican, independientemente de cuándo llegue el anexo III.
• Con proveedores estadounidenses, pregunta si han compartido modelos a través del marco voluntario de la EO 14409, en lugar de suponer que hubo una revisión gubernamental formal.
• No interpretes la ausencia de licencias obligatorias en la orden de EE. UU. como prueba de preparación frente a la Ley de IA de la UE: los dos textos regulan cuestiones completamente distintas.
• Lleva por separado los calendarios de la UE y de EE. UU. en contratos y expedientes de auditoría, porque un retraso en un lado no mueve los plazos del otro.

Fuentes: artificialintelligenceact.eu, La Casa Blanca, Congressional Research Service.