El 2 de agosto de 2026 deja de ser una consideración futura
La aplicación general del Reglamento de IA de la Unión Europea llega con excepciones y transiciones. Independientemente de qué alcance aplique a tu organización, trazabilidad, transparencia y supervisión humana ya no son opcionales.
Durante los últimos dos años, la conversación sobre regulación de inteligencia artificial en muchas organizaciones latinoamericanas tuvo el mismo tono: es un tema europeo, es a futuro, ya veremos.
La aplicación general del Reglamento de Inteligencia Artificial de la Unión Europea llega el 2 de agosto de 2026, con excepciones y períodos de transición específicos según el tipo de sistema.
Para una organización sin operación europea, la pregunta legítima es qué tiene que ver esto con ella. La respuesta tiene dos partes.
Por qué importa aunque no operes en Europa
Por alcance indirecto. Si tu organización provee servicios o software a clientes con operación europea, esos clientes van a trasladar requisitos hacia sus proveedores. No como una decisión regulatoria propia, sino como parte de su cumplimiento. Esto ya está ocurriendo en los cuestionarios de contratación.
Por convergencia normativa. La dirección que marca esta regulación —clasificación de riesgo, trazabilidad, transparencia, supervisión humana, gestión de riesgos documentada— es la misma que están tomando otros marcos, incluidas normas técnicas internacionales y regulaciones sectoriales locales. Prepararse para uno es prepararse en buena medida para el resto.
Dicho de otro modo: la fecha específica del 2 de agosto es europea. Las capacidades que exige no lo son.
Las cuatro capacidades que hay que tener
Sin entrar en el detalle jurídico, que corresponde a asesoría legal especializada, hay cuatro capacidades operativas que atraviesan cualquier lectura de la regulación.
Trazabilidad. Poder reconstruir qué hizo un sistema, con qué datos, bajo qué configuración y en qué momento. Esto requiere registros que hoy la mayoría de las organizaciones no genera: qué versión de modelo respondió, qué contexto consultó, qué herramientas invocó, quién autorizó.
Transparencia. Que las personas afectadas sepan que están interactuando con un sistema automatizado y, según el caso, qué lógica general lo gobierna. Es más fácil de implementar de lo que parece y se omite con frecuencia porque nadie lo asignó a nadie.
Supervisión humana. Que exista una persona con capacidad real —no formal— de revisar, corregir o detener el sistema. Capacidad real significa que tiene la información necesaria, el tiempo asignado y la autoridad para hacerlo. Una supervisión donde alguien aprueba doscientos casos por hora sin poder evaluarlos no es supervisión.
Gestión de riesgos. Un proceso documentado de identificación, evaluación y tratamiento de riesgos asociados a cada sistema, revisado periódicamente y no solo al inicio.
El inventario, otra vez
Las cuatro capacidades tienen un prerrequisito común: saber qué sistemas de IA están en uso en la organización.
Este punto se repite en cualquier conversación sobre gobierno de IA porque es donde casi todas las organizaciones fallan primero. No se puede clasificar el riesgo de lo que no se sabe que existe, ni asignar supervisión humana a un sistema que nadie registró, ni documentar la gestión de riesgos de un agente que un equipo levantó hace ocho meses para un piloto que nunca terminó.
Construir ese inventario no requiere ningún marco. Requiere preguntar, sistemáticamente, área por área: qué herramientas de IA usan, para qué, con qué datos, quién las contrató y quién es responsable.
Es un trabajo de semanas y produce el documento del que dependen todos los demás.
Qué hacer en las próximas semanas
Para una organización que está empezando desde cero, hay una secuencia de tres pasos con orden de dependencia.
Primero, el inventario. Con dueño, propósito, datos que consulta y nivel de exposición para cada sistema identificado.
Segundo, la clasificación. Cuáles de esos sistemas toman o influyen decisiones que afectan a personas —crédito, contratación, evaluación, acceso a servicios, precios— y cuáles operan sobre procesos internos sin ese efecto. Esa distinción es la que determina el nivel de exigencia y es la que más rápido ordena las prioridades.
Tercero, la trazabilidad de los sistemas clasificados como de mayor exposición. Registro de decisiones, versiones, datos consultados y aprobaciones humanas. No para todos: para esos.
Esa secuencia produce, en unos dos meses, una posición defendible. No un cumplimiento completo, que requiere asesoría legal y trabajo sostenido, pero sí la base sobre la que ese trabajo se construye.
Supervisión humana que no sea nominal
De las cuatro capacidades, la supervisión humana es la más fácil de declarar y la más fácil de tener solo en el papel. Conviene precisar qué la hace real, porque es también la que un auditor va a examinar con más detalle.
Una supervisión efectiva requiere cuatro condiciones simultáneas.
Información suficiente. Quien supervisa tiene que poder ver en qué se basó la recomendación: qué datos se consultaron, qué factores pesaron, qué nivel de certeza hay. Una interfaz que presenta solo la conclusión no permite supervisar, permite ratificar.
Tiempo asignado. Si el volumen de casos dividido por el tiempo disponible da noventa segundos por caso, y evaluarlo bien requiere diez minutos, la supervisión es aritméticamente imposible. Esta condición es la que más se incumple y la más fácil de verificar.
Autoridad real. Quien supervisa puede rechazar sin que eso le genere un costo. Si rechazar significa explicarle a alguien por qué se está frenando el proceso, la mayoría va a aprobar.
Competencia para evaluar. La persona entiende el dominio lo suficiente para detectar un error. Asignar la supervisión a quien tiene disponibilidad en vez de a quien tiene criterio es una forma habitual de cumplir formalmente sin cumplir en absoluto.
Hay un indicador que revela rápidamente si la supervisión es real: la tasa de intervención. Si de mil casos supervisados se modificaron cero, hay dos explicaciones posibles y conviene saber cuál es. Puede ser que el sistema sea excelente, lo cual se puede verificar con una auditoría independiente de una muestra. O puede ser que la supervisión no esté ocurriendo.
Esa verificación —tomar cincuenta casos aprobados y revisarlos a fondo con tiempo suficiente— es de las inversiones más rentables que una organización puede hacer sobre un sistema en operación. Si aparecen errores que la supervisión debió haber detectado, el hallazgo llega mientras todavía es un problema interno y no un incidente con un cliente o un regulador de por medio.
El encuadre que conviene evitar
Hay una tentación de tratar todo esto como una carga regulatoria que hay que soportar. Ese encuadre es comprensible y produce el peor resultado posible: cumplimiento mínimo, documentado para el auditor, desconectado de la operación real.
Las cuatro capacidades tienen valor propio, independientemente de la regulación. La trazabilidad es lo que permite investigar cuando algo sale mal. La clasificación de riesgo es lo que permite asignar atención donde importa. La supervisión humana bien diseñada es lo que evita que un error se propague. La gestión de riesgos es lo que permite tomar más riesgo donde conviene, no menos.
Una organización que construye estas capacidades porque le sirven va a cumplir la regulación como efecto secundario. Una que las construye solo para cumplir va a tener documentos y seguir sin saber qué hizo su sistema el martes pasado.