A partir del 2 de agosto de 2026, la Comisión Europea puede aplicar el Reglamento de IA de la UE (AI Act) a los proveedores de modelos de IA de uso general, y ya es posible imponer multas, según las directrices de la Comisión y su calendario de implementación [1] [5]. Días antes, el Ómnibus Digital sobre IA, un reglamento de modificación, había entrado en vigor el 27 de julio y trasladó los plazos de alto riesgo a diciembre de 2027 y agosto de 2028 [3]. Para una organización que implementa un modelo de lenguaje grande (LLM) de un proveedor, las obligaciones del proveedor del modelo y las del propio responsable del despliegue son cosas distintas.
Contexto
Las reglas del Reglamento de IA para los modelos de IA de uso general comenzaron a aplicarse el 2 de agosto de 2025. Las directrices de la Comisión enumeran las obligaciones de un proveedor de modelos: documentación técnica para las autoridades y la Oficina de IA, información para los desarrolladores posteriores sobre las capacidades y limitaciones del modelo, una política de derechos de autor, un resumen público del contenido de entrenamiento y un representante en la UE para los proveedores establecidos fuera de la Unión [1]. Las directrices consideran que un modelo es de uso general cuando se entrena con más de 10^23 operaciones de punto flotante y puede generar lenguaje, texto a imagen o texto a video, y describen esto como un umbral indicativo. Se presume que los modelos entrenados con más de 10^25 operaciones conllevan riesgo sistémico [1].
Lo que describen las fuentes
Las preguntas frecuentes de la Comisión dan tres fechas: el 2 de agosto de 2025, cuando comienzan las obligaciones con un periodo inicial de cumplimiento para quienes se adhieren al Código de Buenas Prácticas; el 2 de agosto de 2026, cuando comienza la aplicación plena con posibles multas; y el 2 de agosto de 2027, cuando deben cumplir los modelos que ya estaban en el mercado antes de que se aplicaran las reglas [1]. El calendario del AI Act Service Desk de la Comisión indica que la aplicación para los modelos de IA de uso general y para las obligaciones de transparencia comienza el 2 de agosto de 2026 [5]. Un análisis de un despacho de abogados publicado el 24 de julio de 2026 describe el esquema anterior como un año de gracia para los firmantes del Código de Buenas Prácticas de IA de Uso General, que terminó el 2 de agosto de 2026 [2].
En cuanto al Ómnibus Digital, su situación es de adopción, no de propuesta. Un análisis de un despacho de abogados y una nota de investigación de la Cloud Security Alliance informan que el Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026 [3] [4]. Traslada la fecha de aplicación para los sistemas de alto riesgo independientes del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027, y para la IA integrada en productos cubiertos por la legislación sectorial de seguridad (Anexo I) al 2 de agosto de 2028 [2] [3]. La página del calendario de la Comisión muestra las mismas fechas [5]. Otras obligaciones mantienen su calendario original, entre ellas las obligaciones de los proveedores de IA de uso general, las prácticas prohibidas vigentes desde el 2 de febrero de 2025 y las obligaciones de transparencia del Artículo 50. Los sistemas introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado legible por máquina de los medios sintéticos [3] [4].
Para los responsables del despliegue, las fuentes señalan obligaciones que quedan fuera de la documentación del proveedor del modelo. Los proveedores deben informar que una persona está interactuando con un sistema de IA y marcar el contenido generado por IA; los responsables del despliegue deben informar sobre los deepfakes, el reconocimiento de emociones y la categorización biométrica, y estas obligaciones alcanzan a las organizaciones que operan chatbots de marca y herramientas de IA generativa [2]. El Ómnibus suavizó la obligación general de alfabetización en IA, que pasó a exigir medidas en lugar de un resultado de competencia específico, mientras que los responsables del despliegue de sistemas de alto riesgo mantienen el requisito de competencia del Artículo 26(2) [3].
La documentación de seguridad de los proveedores divide el trabajo de forma similar. El modelo de Microsoft para la IA generativa describe tres capas: la plataforma de IA, la aplicación de IA y el uso de la IA. Indica que la responsabilidad recae, en general, en la parte que realiza la tarea, y que el reparto cambia entre las implementaciones de software como servicio, plataforma como servicio e infraestructura como servicio [6]. Su modelo independiente para agentes autónomos agrega la orquestación, las herramientas y acciones, y la memoria. En él, el cliente conserva la responsabilidad sobre los datos, las identidades, la aprobación humana de las acciones de alto impacto y la rendición de cuentas sobre el uso aceptable en todos los tipos de implementación y, para un agente construido sobre una plataforma administrada, sobre sus instrucciones, la selección de herramientas y los permisos por herramienta [7]. Microsoft califica su guía como ilustrativa y no como una conclusión jurídica [6]. Una entrada de blog de la Cloud Security Alliance de 2023 había propuesto la misma estructura para la IA generativa, con un proveedor del servicio de IA y un usuario del servicio de IA, en la que el usuario conserva el linaje de los datos, la seguridad de la aplicación y los controles de los prompts [8].
Implicaciones para las organizaciones
La aplicación de la ley a los proveedores de modelos no transfiere al proveedor las obligaciones de la organización que implementa el modelo. La documentación del proveedor y la información para desarrolladores posteriores son insumos para la evaluación que el propio responsable del despliegue hace de sus prompts, sus datos, los permisos de sus herramientas y el manejo de los resultados. Las fuentes revisadas no aclaran en qué momento un responsable del despliegue que ajusta o modifica sustancialmente un modelo se convierte a su vez en proveedor; las directrices de la Comisión son el lugar donde revisar esa cuestión en cada caso.
Recomendaciones
- Haz una lista de cada LLM y agente en uso, el proveedor y el tipo de implementación (software, plataforma o autoalojado), ya que el reparto de obligaciones depende de ello.
- Registra qué obligaciones asigna al cliente la documentación del proveedor, y trata los documentos del proveedor como una guía, no como un contrato ni como asesoría legal.
- Comprueba si las obligaciones de transparencia del Artículo 50 se aplican a los chatbots o al contenido generado que publica la organización.
- Para los agentes, revisa los permisos de las herramientas, los pasos de aprobación humana y los registros, que el modelo de Microsoft deja en manos del cliente.
- Lee el curso de FireAI University sobre marcos de seguridad de IA y red teaming y la entrada del blog sobre responsabilidad compartida para LLM.
Relevancia para FireAI
FireAI es un firewall de red para una sola Mac, no un producto de cumplimiento normativo. No evalúa las obligaciones del Reglamento de IA, no clasifica sistemas de IA y no emite ninguna certificación. Lo que sí puede mostrar es el lado de red de una herramienta de LLM en una Mac. Las reglas por app permiten limitar una app de IA o un asistente de programación a los destinos que necesita, el aviso de primera conexión pregunta antes de que una app nueva llegue a un destino desconocido, el Mapa mundial muestra a dónde va el tráfico de una app y las alertas de subida señalan una subida grande y repentina hacia un país. El Botón de corte detiene las conexiones nuevas. FireAI no lee los prompts ni los resultados del modelo, y no ve lo que hace un agente dentro de una aplicación.
Limitaciones
Las páginas de preguntas frecuentes y del calendario de la Comisión se consultaron sin una fecha de publicación visible, y la página de la Comisión no indica montos de multas. Los resúmenes del despacho de abogados y de la nota de investigación coinciden en las fechas del Ómnibus, pero para esta nota no se consultó el texto del Diario Oficial. Las páginas de Microsoft son una guía del proveedor para sus propios servicios y la entrada de la Cloud Security Alliance es una propuesta de 2023, así que ninguna tiene fuerza legal. Ninguna fuente consultada dice cómo usarán en la práctica sus facultades las autoridades nacionales o la Oficina de IA.
Prueba FireAI, de HisnLabs gratis durante 17 días.