La EU AI Act entró en vigor en agosto de 2024, y sus obligaciones se están desplegando ahora por fases. Para agosto de 2026, la mayoría de los sistemas de IA de alto riesgo deberán cumplir con los requisitos completos de evaluación de conformidad. Para las organizaciones que utilizan IA en RRHH, scoring crediticio, sanidad, aplicación de la ley e infraestructuras críticas, la pregunta ya no es si cumplir — sino cómo.
Lo que la AI Act exige realmente
La AI Act clasifica los sistemas de IA en cuatro niveles de riesgo:
- Riesgo inaceptable — prohibido sin excepción (puntuación social, vigilancia biométrica en tiempo real en espacios públicos)
- Alto riesgo — obligaciones sustanciales: evaluaciones de conformidad, transparencia, supervisión humana, gobernanza de datos
- Riesgo limitado — obligaciones de transparencia más ligeras (los chatbots deben declarar que son IA)
- Riesgo mínimo — sin obligaciones específicas
La mayoría de los despliegues LLM empresariales se encuadran en la categoría de alto riesgo o riesgo limitado. Si su sistema de IA influye en decisiones sobre empleo, crédito, sanidad o educación, probablemente se encuentre en la categoría de alto riesgo.
Por qué las API de terceros generan problemas de cumplimiento
Cuando envía consultas a una API LLM con sede en Estados Unidos, varios requisitos de la AI Act se vuelven estructuralmente difíciles de satisfacer:
Transparencia y registro. Los sistemas de IA de alto riesgo deben mantener registros "en la medida necesaria para garantizar que el sistema pueda ser supervisado." Con una API de terceros opaca, su visibilidad sobre lo que realmente ocurre es muy limitada.
Gobernanza de datos. La AI Act exige que los datos de entrenamiento sean "pertinentes, suficientemente representativos y, en la medida de lo posible, libres de errores." Utilizar un modelo cloud de propósito general implica aceptar los datos de entrenamiento elegidos por el proveedor — a menudo sin ninguna ficha de conformidad con la AI Act a la vista.
Supervisión humana. Los sistemas deben estar diseñados para que los seres humanos puedan "supervisarlos eficazmente." Esto es más difícil cuando no se controla la pila de inferencia.
Obligaciones de los modelos GPAI. Los modelos de IA de propósito general con riesgo sistémico (en términos generales, los que superan los 10^25 FLOPs) están sujetos a obligaciones específicas, incluidas pruebas adversariales e informes de incidentes. Si construye productos sobre estos modelos, hereda parte de ese riesgo.
La ventaja de la infraestructura soberana
Gestionar su propia infraestructura LLM dentro de la UE resuelve muchos de estos problemas de forma estructural:
- Las trazas de auditoría son suyas. EULLM Engine incluye un registro integrado diseñado para casos de uso de cumplimiento normativo — usted controla qué se registra, almacena e informa.
- Los datos nunca salen de su perímetro. La ausencia de transferencias transfronterizas de datos significa que no hay mecanismos del artículo 46 del RGPD de los que preocuparse.
- Usted elige el modelo. EULLM Hub proporciona fichas de conformidad con la AI Act para cada modelo — de modo que sabe exactamente lo que despliega y puede justificarlo ante una autoridad supervisora.
Plazos a vigilar
| Fecha | Obligación | |-------|-----------| | Feb. 2025 | Entra en vigor la prohibición de prácticas de IA no permitidas | | Ago. 2025 | Se aplican las obligaciones para modelos GPAI | | Ago. 2026 | Requisitos para sistemas de IA de alto riesgo plenamente aplicables | | Ago. 2027 | Ciertos sistemas de IA heredados deben cumplir |
Si está leyendo esto en 2026, el plazo de agosto está próximo. Es el momento de auditar su stack de IA y migrar hacia una infraestructura que usted realmente controle.
EULLM es una plataforma de código abierto para desplegar IA soberana y conforme con el RGPD dentro de la UE. Ver en GitHub.