EU AI Act desde agosto de 2026: qué deben preparar tus agentes IA
Desde el 2 de agosto de 2026, la Oficina de IA de la Comisión Europea puede supervisar y hacer cumplir el EU AI Act frente a los proveedores de modelos de propósito general (GPAI), con capacidad de imponer multas. Las obligaciones de esos proveedores rigen desde el 2 de agosto de 2025; lo nuevo es que ahora incumplirlas tiene consecuencias.
Es el momento en que la regulación de IA más ambiciosa del mundo deja de ser un documento y se convierte en supervisión real.
Para empresas LATAM que usan o desarrollan agentes IA, el cambio importa incluso si no venden en Europa.
Qué exige el AI Act a los modelos GPAI
Todo proveedor de un modelo GPAI debe tener una política para cumplir la normativa europea de derechos de autor y publicar un resumen suficientemente detallado del contenido usado para entrenar el modelo, siguiendo una plantilla de la Comisión. Su documentación técnica también debe incluir el consumo energético conocido o estimado del modelo.
Los modelos entrenados con más de 10²⁵ FLOPs se presumen de "riesgo sistémico", y la Comisión también puede designar otros modelos en esa categoría. Ahí entran los modelos de frontera más grandes, cuyos proveedores tienen obligaciones adicionales:
- Evaluación del modelo: con protocolos y herramientas del estado del arte, incluidas pruebas adversariales (red-teaming) documentadas para identificar y mitigar riesgos sistémicos.
- Gestión de riesgos sistémicos: evaluar y mitigar los riesgos que puedan surgir del desarrollo, la comercialización o el uso del modelo.
- Incidentes graves: seguir, documentar y reportar sin demora indebida a la Oficina de IA la información relevante sobre incidentes graves y las posibles medidas correctivas.
- Ciberseguridad: un nivel adecuado de protección para el modelo y su infraestructura física.
Las multas para proveedores de modelos GPAI llegan hasta el 3% de la facturación global anual o 15 millones de euros, lo que sea mayor. El tope de 35 millones de euros o el 7% de la facturación corresponde a las prácticas de IA prohibidas.
El impacto para los negocios LATAM
La pregunta obvia es: ¿esto afecta a una empresa en Bogotá, Buenos Aires o Ciudad de México? La respuesta es sí, pero de forma indirecta, y cada vez menos indirecta.
Primer vector: los clientes europeos preguntan. Las empresas B2B que venden tecnología con inteligencia artificial para negocios a compradores europeos pueden recibir cuestionarios de compliance como parte de la evaluación de proveedores: "¿Sus agentes procesan datos de ciudadanos de la UE?", "¿Qué modelo subyacente utilizan?", "¿Cuentan con evaluación de riesgo de IA?". Sin respuesta documentada, el deal se complica.
Segundo vector: los modelos que usas ya están regulados. Cuando integras OpenAI, Anthropic o Google en un ecosistema de agentes, estás usando modelos GPAI sujetos al AI Act. Sus condiciones de uso pueden cambiar para reflejar las nuevas obligaciones, y esos cambios afectan cómo despliegas automatización con IA en producción.
Tercer vector: la presión regulatoria se acerca. En California, la ley SB 53, firmada en septiembre de 2025 y vigente en lo principal desde enero de 2026, exige transparencia a los desarrolladores de modelos de frontera entrenados con más de 10²⁶ operaciones, un umbral diez veces mayor que el europeo. En Brasil, el proyecto de ley 2338/2023 fue aprobado por el Senado en diciembre de 2024 y desde marzo de 2025 está en la Cámara de Diputados. En Colombia, el Gobierno radicó en 2025 un proyecto de ley de IA con un enfoque por niveles de riesgo. Quien entienda hoy el modelo europeo tendrá ventaja cuando llegue una regulación a su mercado local.
Qué preparar ahora si tienes agentes IA en producción
Las obligaciones de esta etapa recaen sobre los proveedores de los modelos base. Quien integra esos modelos en sus productos tiene otras obligaciones según el uso y el riesgo de cada sistema; por ejemplo, los requisitos para los sistemas de alto riesgo del Anexo III se aplicarán desde el 2 de diciembre de 2027. Aun así, hay tres elementos concretos que conviene tener documentados desde ahora:
- Inventario de modelos: registrar qué modelo subyacente usa cada agente (proveedor + versión exacta), con qué datos de la empresa se conecta y qué acciones puede ejecutar de forma autónoma.
- Política de retención de datos: documentar qué conversaciones y outputs de los agentes se almacenan, dónde, por cuánto tiempo y quién tiene acceso. Esto ayuda tanto con el AI Act como con el GDPR si hay datos de ciudadanos europeos involucrados.
- Protocolo de incidentes mínimo: definir qué constituye un fallo grave de un agente (respuesta incorrecta que impacta una operación real, acceso no autorizado a datos sensibles) y los pasos que se siguen. No necesita ser sofisticado; necesita existir por escrito.
Ninguno de los tres requiere abogados especializados para comenzar. Requieren trabajo técnico que ya debería estar haciéndose por razones operativas básicas.
Lo que viene
Agosto de 2026 abrió la etapa de supervisión, y el calendario sigue: los proveedores de modelos GPAI que ya estaban en el mercado antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir con sus obligaciones.
El efecto de mercado puede llegar antes que las multas. Es esperable que los clientes enterprise europeos incorporen preguntas de compliance de IA en sus solicitudes de propuesta (RFPs) y que la documentación de los agentes empiece a pesar en las compras.
Para los negocios que venden B2B en la región o aspiran a clientes globales, la ventana para diferenciarse como proveedor de IA "governance-ready" se está cerrando. Con el tiempo, tenerlo pasará de ventaja competitiva a requisito de entrada al proceso de compra.
En AgentesNexo diseñamos agentes IA con inventario de modelos, políticas de retención y protocolos de incidentes desde la primera implementación. Si quieres construir un ecosistema de agentes auditables y listos para operar bajo cualquier regulación, prueba nuestro agente en vivo en agentesnexo.com o escríbenos por WhatsApp al +591 67564218.
En resumen:
- Desde el 2 de agosto de 2026, la Oficina de IA de la UE puede supervisar y sancionar a los proveedores de modelos GPAI; sus obligaciones rigen desde agosto de 2025.
- Las multas para proveedores de modelos GPAI llegan hasta el 3% de la facturación global anual o 15 millones de euros; el tope de 35 millones o el 7% es para las prácticas prohibidas.
- Empresas LATAM con clientes europeos pueden recibir cuestionarios de compliance de IA en sus procesos de venta.
- California SB 53 ya está en vigor; Brasil y Colombia tramitan proyectos de ley de IA.
- Inventario de modelos, política de retención de datos y protocolo de incidentes son los tres primeros pasos prácticos para cualquier empresa con agentes en producción.
Prueba nuestro agente en vivo en agentesnexo.com o escríbenos por WhatsApp al +591 67564218
Fuentes