El calendario no admitía más demoras. El 2 de agosto de 2025, la Unión Europea activó las obligaciones más exigentes de su histórico Reglamento de Inteligencia Artificial —el llamado EU AI Act— convirtiendo a Europa en el primer bloque económico del mundo en someter a los modelos de IA de propósito general a un régimen jurídico vinculante. Para miles de empresas que operan en los 27 países miembros, ese día marcó el inicio de una nueva era: la de la IA con reglas.
El contexto: la primera ley integral de IA en el mundo
El Reglamento (UE) 2024/1689, conocido como AI Act, entró formalmente en vigor el 1 de agosto de 2024, pero con obligaciones escalonadas. La Comisión Europea confirmó en julio de 2025 que no habría retrasos en el calendario (Greenberg Traurig LLP). El texto establece un enfoque basado en riesgo: clasifica los sistemas de IA en categorías —inaceptable, alto, limitado y mínimo— y exige más cuanto mayor es el impacto potencial sobre los derechos fundamentales. Las primeras prohibiciones —entre ellas el social scoring y la manipulación cognitiva— entraron en vigor el 2 de febrero de 2025. Pero fue el 2 de agosto de 2025 el verdadero punto de inflexión: ese día comenzaron a aplicarse las obligaciones para los modelos GPAI (IA de propósito general) y se activó el marco de gobernanza del AI Office europeo (Innguma / Comisión Europea).
El desarrollo: qué cambió el 2 de agosto y quién tiembla
Desde esa fecha, los proveedores de modelos como GPT-4, Claude, Gemini o Llama —sistemas capaces de ejecutar una amplia gama de tareas sin estar limitados a un solo objetivo— deben cumplir con nuevas exigencias de transparencia, documentación técnica y respeto a los derechos de autor (Innguma). Los modelos que superan 10²⁵ FLOPs de cómputo en entrenamiento se clasifican como de riesgo sistémico y enfrentan obligaciones adicionales: notificación a la Comisión Europea en un plazo de dos semanas, evaluaciones de riesgo, medidas de ciberseguridad y reporte de incidentes graves (Javadex).
El régimen sancionador es igualmente contundente. Las multas alcanzan hasta 35 millones de euros o el 7% de la facturación global anual por prácticas prohibidas, y 15 millones de euros o el 3% por otras infracciones (Techpinions). Y el alcance es extraterritorial: aplica a cualquier empresa que ofrezca sistemas de IA en el mercado europeo, con independencia de donde tenga su sede —la misma lógica que convirtió al GDPR en estándar global (Techpinions).
Los costos de cumplimiento pintan el cuadro de quién estaba listo y quién no. Las grandes empresas enfrentan entre 8 y 15 millones de dólares en inversión inicial para sistemas de alto riesgo; los proveedores de IA de propósito general, entre 12 y 25 millones en el primer año; y las empresas medianas, entre 2 y 5 millones iniciales (Techpinions). No son costos tecnológicos, sino de gobernanza: abogados, auditores, sistemas de documentación y gestión del cambio organizacional.
Google ya anunció su adhesión al Código de Buenas Prácticas para IA de propósito general, aunque en sus propias palabras expresó preocupación porque la ley y el Código podrían «ralentizar el desarrollo y despliegue de la IA en Europa si no se aplican de forma proporcionada» (Mottum.io). La tensión entre innovación y regulación, en síntesis, está lejos de resolverse.
El 18 de julio de 2025, la Comisión Europea publicó directrices interpretativas que aclaran quién debe cumplir con las obligaciones GPAI, cómo y en qué casos (artificialintelligenceact.eu). Para las pymes y startups, el reglamento prevé acceso prioritario a sandboxes regulatorios, reducción de tasas de evaluación de conformidad y canales de orientación dedicados (EU AI Act Compliance Checker).
Impacto y lo que viene: el reloj sigue corriendo
El 2 de agosto de 2025 no es el fin, sino el inicio de un calendario que se extiende hasta 2028. El 2 de agosto de 2026 entrarán en vigor las obligaciones para los sistemas de alto riesgo —IA utilizada en empleo, crédito, educación, infraestructura crítica y aplicación de la ley—, aunque en noviembre de 2025 la Comisión Europea propuso, a través del llamado Digital Omnibus, aplazar esa fecha hasta diciembre de 2027 para sistemas del Anexo III y hasta agosto de 2028 para los integrados en productos regulados (Cooley / Javadex). Esa propuesta aún debe ser aprobada por el Parlamento Europeo y el Consejo.
Para el sector empresarial, el mensaje es claro: la IA dejó de estar solo bajo observación política para entrar en un régimen jurídico vinculante (Tecnología Responsable). Quien use ChatGPT o Copilot en un contexto profesional dentro de la UE ya tiene obligaciones. El mayor riesgo, advierten los expertos, no es la falta de herramientas, sino la falta de visibilidad y gobernanza sobre dónde y cómo se usa la IA dentro de las organizaciones (Stack Cybersecurity). El reloj lleva meses corriendo. Muchas empresas apenas están despertando.
Fuentes consultadas: Comisión Europea (digital-strategy.ec.europa.eu), Greenberg Traurig LLP (gtlaw.com), Innguma (innguma.com), Javadex (javadex.es), Techpinions (techpinions.com), Mottum.io, artificialintelligenceact.eu, Cooley (cooley.com), Stack Cybersecurity (stackcyber.com), Tecnología Responsable (tecnologiaresponsable.com), IBM (ibm.com)