TL;DR
El EU AI Act se vuelve plenamente exigible el 2 de agosto de 2026. Multas hasta 35 millones de euros o 7% del ingreso global. Aplica a cualquier empresa — incluidas mexicanas, colombianas, argentinas, brasileñas — que ofrezca sistemas de IA usados por personas en territorio europeo. Si tu SaaS tiene clientes UE, si tu fintech scorea usuarios que viven allá, si tu app de salud procesa pacientes europeos, te aplica. Este artículo cubre 20 preguntas para saber si estás expuesto, las 6 obligaciones técnicas clave, el stack self-hosted que facilita el cumplimiento (Langfuse, Qdrant on-prem, NeMo Guardrails) y el calendario de remediación para llegar a tiempo.
Quién está en riesgo y no lo sabe
El primer malentendido es creer que el AI Act solo aplica a empresas europeas. No. La regulación es extraterritorial en tres escenarios concretos:
- El proveedor pone un sistema de IA en el mercado de la UE (aunque esté establecido en LATAM).
- El output del sistema se usa dentro de la UE.
- Los sujetos afectados por el sistema están en la UE.
En la práctica, eso abarca:
- Fintechs que dan scoring crediticio a usuarios europeos.
- Healthtechs que procesan datos de pacientes en la UE.
- SaaS B2B con clientes corporativos en la UE que usan la funcionalidad IA.
- Plataformas de RR.HH. con candidatos europeos.
- E-commerce con recomendaciones personalizadas que se consumen desde la UE.
El segundo malentendido es creer que "los modelos son de OpenAI/Anthropic, no míos". El AI Act define al deployer (quien opera el sistema en producción) como sujeto regulado independientemente del provider del modelo. Eres responsable por cómo integras, qué datos pasas y cómo usas la respuesta.
Las 20 preguntas: ¿te aplica?
Responde sí/no. Tres o más "sí" en la sección de riesgo y necesitas iniciar proceso de compliance ya.
A. Alcance territorial
- ¿Tu producto tiene usuarios finales en cualquier país de la UE, EEA o Reino Unido acogido?
- ¿Facturas o emites contratos con empresas ubicadas en la UE?
- ¿Tu sitio web/app está disponible en idiomas UE y acepta pagos en euros?
- ¿Procesas datos de personas que residen en la UE (aunque no hayan firmado contrato)?
B. Naturaleza del sistema
- ¿Tu producto usa modelos de IA (LLMs, ML clásico, visión, voz, etc.) en decisiones que afectan a usuarios finales?
- ¿Esas decisiones influyen en acceso a crédito, empleo, educación, salud, vivienda, justicia, migración o cumplimiento de contratos?
- ¿Usas biometría (reconocimiento facial, voz, huella) para identificar o autenticar?
- ¿Generas contenido sintético (texto, imagen, voz) que podría confundirse con humano?
- ¿Tu sistema hace scoring, clasificación o recomendación personalizada de usuarios?
C. Gobernanza actual
- ¿Tienes documentado qué modelos de IA usa cada feature?
- ¿Guardas trazas con inputs, outputs y decisiones para cada inferencia (con retención auditable)?
- ¿Tienes un proceso humano para revisar/apelar decisiones automatizadas?
- ¿Tu equipo sabe qué es un "sistema de alto riesgo" según el anexo III del AI Act?
- ¿Tienes un encargado o responsable formal de gobernanza IA?
D. Datos y entrenamiento
- ¿Entrenaste o fine-tunaste modelos con datos de usuarios?
- ¿Documentaste la procedencia y licencia de esos datos?
- ¿Verificaste sesgos (género, edad, origen étnico) en el comportamiento del modelo?
- ¿Tienes procedimiento para que un usuario solicite acceso/borrado de datos usados en inferencia?
E. Transparencia
- ¿Notificas al usuario cuando interactúa con IA (no solo en el T&C, sino en la interfaz)?
- ¿Informas claramente cuando un contenido fue generado sintéticamente?
Clasificación de riesgo: las 4 categorías
El AI Act organiza los sistemas en una pirámide:
| Nivel | Ejemplos | Obligaciones |
|---|---|---|
| Riesgo inaceptable (prohibido) | Social scoring estilo gobierno, manipulación subliminal, reconocimiento emocional en trabajo/educación | No puedes operarlo en la UE, punto |
| Alto riesgo | Scoring crediticio, filtrado de CVs, dispositivos médicos, biometría | Todo el paquete: DPIA, registro, supervisión humana, trazas |
| Riesgo limitado | Chatbots, deepfakes, contenido sintético | Transparencia (informar al usuario) |
| Riesgo mínimo | Filtros de spam, IA en videojuegos | Voluntario |
La mayoría de PyMEs exportadoras LATAM caen en alto riesgo o riesgo limitado. Las cargas son muy distintas.
Las 6 obligaciones técnicas que importan
Para sistemas de alto riesgo (art. 8-15 del AI Act):
1. Sistema de gestión de calidad (QMS)
Documentación viva que cubra: arquitectura, modelos usados, datasets de entrenamiento, métricas de desempeño, pruebas de sesgo, procedimientos de actualización. No es un PDF — es un conjunto de artefactos versionados en Git.
2. Datos y gobernanza de datos
Los datasets deben ser "relevantes, representativos, libres de errores y completos". Requiere procedencia documentada, análisis estadístico y mitigación de sesgos. Para fine-tuning: licencia clara de cada fuente.
3. Documentación técnica
Ficha técnica del sistema que una autoridad pueda auditar: arquitectura, decisiones de diseño, limitaciones conocidas, métricas. Plantilla oficial disponible en la Implementation Guideline europea.
4. Registro automático de eventos (logs)
Cada inferencia debe dejar traza auditable por mínimo 6 meses. Input, output, versión del modelo, usuario, timestamp. Este es el punto donde Langfuse self-hosted se vuelve obligatorio — no puedes depender de LangSmith en US si el dato debe quedarse en la UE.
5. Transparencia hacia el usuario
El usuario final debe saber que interactúa con un sistema de IA, qué decisiones se toman automáticamente y cómo puede apelar. En interfaces: un componente visible ("Este asistente es IA") y una ruta clara de escalación humana.
6. Supervisión humana
Diseño que permita intervención humana en decisiones materiales. No es "un humano mira el log después"; es "un humano puede cambiar la decisión antes de que tenga efecto".
Stack self-hosted para compliance
Las firmas europeas venden "AI Act as a Service" a 300-500 EUR/hora. Una PyME LATAM puede construir 80% de lo que necesita con software libre y un servidor propio.
| Requerimiento | Stack OSS recomendado | Por qué |
|---|---|---|
| Registro de inferencias | Langfuse self-hosted | Apache 2.0; 6+ meses retención; export completo para auditoría |
| Data residency UE | Droplet/VPS en Frankfurt, París o Amsterdam | Todos los grandes cloud tienen región UE; deploy igual que en LATAM |
| Vector DB on-prem | Qdrant en la misma región UE | Datos sensibles no salen de UE |
| Guardrails (contenido, PII, topic) | NeMo Guardrails + Guardrails AI | Bloqueo automático de respuestas que violan política |
| Detección de sesgo | Fairlearn + Aequitas | Baterías de métricas pre-deploy |
| Documentación viva | MkDocs + repo Git | Versionado auditable |
| Consentimiento/acceso | Endpoints /user/{id}/ai-data GET y DELETE | Cumple art. 15 GDPR + AI Act combinado |
| Observabilidad infra | Grafana + Prometheus | Evidencia de uptime y performance |
El costo de un stack completo UE-residente ronda 120-180 EUR/mes por ambiente. Comparado con 30,000-80,000 EUR de una auditoría + remediación hecha en el último momento, es orden de magnitud mejor.
Calendario de remediación
Si hoy es abril 2026 y tienes exposición alto riesgo:
Semanas 1-4 (abril-mayo)
- Inventario de sistemas IA: qué modelos, qué datos, qué features dependen.
- Clasificación formal por riesgo.
- Gap analysis contra las 6 obligaciones.
- Nombrar un responsable (interno o fraccional).
Semanas 5-8 (mayo-junio)
- Desplegar stack de logging en región UE.
- Migrar datos sensibles a proveedores con data residency UE.
- Implementar transparencia en UI (banners, avisos, rutas de apelación).
- Escribir primera versión de documentación técnica.
Semanas 9-12 (junio-julio)
- Evaluaciones de sesgo y robustez.
- Ejercicio interno de auditoría (simulacro).
- Cerrar brechas identificadas.
- Capacitación de equipo (legal + producto + ingeniería).
Semanas 13-14 (última semana de julio)
- Freeze de cambios.
- Confirmación con asesor legal.
- Preparar paquete de respuesta ante solicitud de autoridad.
Fecha límite: 2 de agosto 2026. A partir de ese día, cualquier inspección o queja puede activar procedimiento sancionatorio.
Errores comunes que vemos
- "Pero yo no vendo a Europa directamente." El cliente enterprise que te revende sí. Y ese cliente exigirá cumplimiento contractual, igual que exige GDPR.
- "Mi modelo es de OpenAI, ellos son los responsables." No. OpenAI cumple como provider de modelo fundacional; tú cumples como deployer del sistema.
- "Esperemos a ver qué pasa después de agosto." Las multas aplican desde el día 1. No hay periodo de gracia para sistemas ya en producción.
- "Contrataremos a un abogado europeo cuando llegue el momento." Los tiempos de auditoría y remediación son 3-6 meses. Contratar el 15 de julio es arriesgado.
- "Tenemos ISO 27001, eso basta." ISO 27001 cubre seguridad de información. AI Act exige ISO 42001 (AI Management System) o equivalente más documentación específica.
Costos: lo que vemos en clientes reales
| Tamaño empresa | Alcance | Costo remediación |
|---|---|---|
| Startup (<20 personas), un producto, riesgo limitado | Transparencia + logging básico | 5,000-15,000 USD |
| PyME (20-200), varios productos, al menos uno alto riesgo | QMS, docs, guardrails, supervisión | 15,000-60,000 USD |
| Scale-up (>200), múltiples sistemas alto riesgo | Programa completo + ISO 42001 | 60,000-250,000 USD |
Multa esperada por no cumplir y ser inspeccionado: mínimo 2 millones EUR + cese de operación en UE.
Rangos de remediación medidos en engagements AI Act Diagnosis de Numoru. Exposición post-inspección calibrada a ratios públicos de GDPR + enforcement esperado del AI Act.
- Costo de remediación (USD)
- Exposición realista a multa (USD)
Datos de consultoría Numoru + registro público de multas GDPR (CMS DLA Piper GDPR Enforcement Tracker, 2025).
Impacto de negocio y casos
Por qué la ventana de compra es ahora, no después de agosto
A diferencia de regulaciones blandas que se corren, el AI Act tiene fecha dura en el texto de la ley. Las únicas variables que un exportador LATAM controla son alcance, calidad de remediación y tiempos. Cada semana después de abril 2026 comprime el delivery y sube el costo. Empresas que arrancan en junio reciben típicamente cotizaciones 2-3× del precio de abril porque los consultores, DPOs y auditores se retaineran con clientes más grandes primero.
Cotizaciones públicas de Numoru y 4 consultoras boutique partners a un SaaS B2B LATAM con un caso high-risk. El precio sube conforme se acaba la capacidad.
Datos de ventas Numoru + cotizaciones públicas de 4 firmas partner (muestra 2025-2026 Q1).
Industrias y rangos de ticket
Pricing de servicios AI Act por perfil (Numoru, 2026)
Benchmarks públicos y referencias de enforcement
Comisión Europea — arquitectura de enforcement AI Act
CMS DLA Piper — GDPR Enforcement Tracker
ICO — casos de acción regulatoria sobre IA
Caso ilustrativo — SaaS B2B LATAM con clientes UE
SaaS colombiano (scheduling + HR features) sirviendo a 14 clientes enterprise UE
Calculadora ROI — remediación AI Act (SMB high-risk)
Exportador LATAM mid-market: remediación vs status quo (18 meses)
| Diagnóstico + remediación (one-time) | −$58,000 |
| Retainer en curso (18 mo × $2,400) | −$43,200 |
| Tiempo interno ingeniería (~320 h × $95) | −$30,400 |
| Infra (droplet UE + Langfuse + Qdrant, 18 mo) | −$3,240 |
| ARR UE retenido | +$1,900,000 |
| Margen bruto sobre ARR retenido | +$1,292,000 |
| Multa esperada evitada | +$680,000 |
| Deals UE incrementales (velocity) | +$420,000 |
| Contribución neta 18 mo | +$2,257,160 |
Tiers de pricing Numoru
- Checklist de 20 preguntas de exposición
- Clasificación de riesgo por sistema IA
- Gap analysis vs 6 obligaciones
- Roadmap de remediación priorizado
- Workshop ejecutivo de 2 h
- Entregable: PDF 30 páginas + board Miro
- Deploy del stack OSS en región UE
- QMS + docs técnicas en Git
- Testing de bias y robustness
- UI de transparencia + workflow de apelación
- Training al equipo (legal + product + eng)
- Mock de auditoría interna
- Packet de respuesta a autoridad
- Revisión trimestral de documentación
- Evaluación de impacto IA en nuevas features
- Retención Langfuse & audit-ready
- Monitoreo de cambio regulatorio
- Mock-audit anual
- Respuesta a DPIAs de clientes UE
Scale-ups con múltiples sistemas high-risk o alcance ISO 42001: contrato maestro desde $180,000. El ticket crece con el número de sistemas IA y la exposición de ingresos UE.
Qué pasa con otras regulaciones
- ISO 42001 (AI Management System) — certificación voluntaria pero útil; muchas licitaciones europeas ya la piden como prueba de cumplimiento AI Act.
- GDPR — sigue aplicando y se cruza: datos personales usados en training requieren base legal GDPR Y evidencia AI Act.
- NIS2 — si operas infraestructura crítica, ciberseguridad obligatoria suma a lo anterior.
- México / Brasil / Colombia — marcos locales se están alineando; implementar AI Act te deja adelantado para cuando tu país regule.
FAQ
¿Si soy un consultor independiente y uso IA para hacer reportes a clientes UE, me aplica?Como herramienta personal, no. Si entregas outputs automatizados que afectan decisiones del cliente final europeo, sí.
¿El modelo local (Ollama, Llama) reduce mi exposición?En datos sí — no sales de tu infraestructura. En compliance no — seguís siendo deployer y debes documentar igual.
¿Puedo seguir usando Anthropic/OpenAI si tengo clientes UE?Sí, siempre que firmes los DPAs correspondientes y documentes que el provider cumple obligaciones de model provider. Verifica que ofrezcan región UE para el endpoint.
¿El AI Act afecta solo a IA generativa?No. ML clásico (scoring, clasificación) también está cubierto si cae en categorías de alto riesgo.
¿Qué documentación debería tener lista el 2 de agosto?
- Inventario de sistemas, 2) clasificación de riesgo, 3) DPIA y AI Impact Assessment, 4) documentación técnica por sistema, 5) logs activos, 6) UI con transparencia, 7) procedimientos de supervisión y apelación, 8) plan de respuesta ante incidentes.
¿Cómo empiezo si tengo cero gobernanza hoy?Con el checklist de 20 preguntas + gap analysis. En una semana tienes claridad de alcance y costo.
Próximos pasos
Si tu empresa responde sí a más de 3 preguntas de la sección B y tiene exposición UE, el costo de esperar crece cada semana. El servicio "Diagnóstico AI Act en 10 días" de Numoru incluye el gap analysis completo y un plan de remediación priorizado con stack OSS concreto. El siguiente artículo de esta serie detalla la implementación técnica de logging auditable con Langfuse en región UE.