El mapa normativo global: de la AI Act europea al enfoque sectorial estadounidense
La Unión Europea ha cerrado el primer marco jurídico integral del mundo. El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor escalonadamente desde febrero de 2025 y establece una pirámide de cuatro niveles de riesgo: inaceptable (prohibido), alto (obligaciones estrictas), limitado (transparencia) y mínimo (sin reglas añadidas). Nueve prácticas quedan vetadas, desde la manipulación subliminal y el social scoring hasta el reconocimiento biométrico remoto en tiempo real para policía en espacios públicos o la generación de material de abuso sexual infantil mediante nudificación por IA.
Los sistemas de alto riesgo —infraestructuras críticas, educación, empleo, crédito, justicia, migración— deben cumplir requisitos de gobernanza de datos, documentación técnica, supervisión humana, robustez y ciberseguridad antes de diciembre de 2027. Los modelos de propósito general (GPAI) con riesgo sistémico enfrentan obligaciones de transparencia, derechos de autor y evaluación de riesgos desde agosto de 2025. La Oficina de IA centraliza la supervisión de GPAI y puede imponer multas de hasta el 7 % de la facturación global o 35 millones de euros.
Frente a ese bloque unitario, Estados Unidos opta por un mosaico. La Orden Ejecutiva 14110 (octubre de 2023) dirige a las agencias federales a emitir estándares sectoriales —FDA en salud, FTC en prácticas engañosas, EEOC en empleo— sin crear una ley federal única. California (SB 313), Colorado (Colorado AI Act) y otros estados legislan por su cuenta. Las grandes tecnológicas (OpenAI, Google, Microsoft) suscriben compromisos voluntarios de seguridad. El resultado es un régimen fragmentado, voluntario en su núcleo y reactivo, donde la certeza jurídica depende del código postal y la FTC actúa ex post contra prácticas engañosas.
América Latina entre la adopción y la soberanía: México, Argentina, Colombia y Costa Rica
Solo Brasil, El Salvador y Perú cuentan con leyes aprobadas a 2025. Brasil (PL 2338/2023) replica la lógica de riesgo europea con principios de transparencia, no discriminación y responsabilidad algorítmica. Perú sancionó su ley en julio de 2023; El Salvador, en el primer semestre de 2025. El resto de la región navega entre borradores, estrategias nacionales y sandboxes regulatorios.
Colombia ilustra la parálisis por exceso de iniciativas: 16 proyectos en una década (6 retirados/archivados, 7 activos, 3 normativos específicos, 2 decretos vigentes) sin ruta clara. Un estudio de la Universidad de La Guajira identifica una divergencia filosófica: el modelo garantista europeo (control, trazabilidad, alto coste de cumplimiento) frente al modelo Asia-Pacífico (flexibilidad, fomento activo). La recomendación académica apunta a un híbrido con componente de justicia social y reconversión laboral.
Chile publicó su Política Nacional 2026-2030 tras un proceso participativo con 1.300 personas en talleres y 5.300 en encuentros regionales. Su eje "Ética, Aspectos Normativos e Impactos Socioeconómicos" aborda trabajo, consumo, propiedad intelectual, ciberseguridad y género. Argentina y México mantienen estrategias nacionales y marcos de datos (LFPDPPP en México) pero carecen de ley específica de IA. Costa Rica avanza en lineamientos éticos desde la presidencia.
Los nudos críticos: definición de riesgo, gobernanza de datos y responsabilidad algorítmica
El efecto Bruselas —la capacidad de la UE para establecer estándares de facto globales vía extraterritorialidad— arrastra a Latinoamérica a trasplantar categorías europeas sin debatir su encaje. La definición de "alto riesgo" importada no captura, por ejemplo, el uso de IA en cadenas de valor extractivas (minería, agroindustria) ni en servicios públicos informales que predominan en la región.
La IA requiere datos masivos y la región es proveedora neta, asimetría que expone la gobernanza de datos: sin marcos de soberanía de datos, los modelos se entrenan con información local pero la propiedad intelectual y el valor económico migran a servidores de big tech en EE. UU. o Europa. La Directiva europea de derechos de autor obliga a documentar datos de entrenamiento; en LatAm no hay claridad equivalente.
En el limbo queda la responsabilidad algorítmica: ¿responde el desarrollador del modelo fundacional, el deployer local, el usuario final? Los códigos civiles tradicionales no resuelven la cadena de valor distribuida. Colombia y Brasil ensayan derechos de explicación y apelación ante decisiones automatizadas, pero sin autoridad de control dotada de recursos.
Argumentos en contra de la regulación: innovación, captura regulatoria y brecha de competitividad
Abierto y encubierto opera el lobby de big tech. Una investigación de Agencia Pública y 15 medios documentó cómo en Brasil la relajación del PL 2338 siguió a un viaje del senador ponente a Washington. La narrativa del "riesgo de quedarse atrás" funciona como chilling effect legislativo: cualquier exigencia de transparencia o auditoría se presenta como freno a la inversión.
De sandbox o autorregulación se disfraza la captura regulatoria. Los códigos de buenas prácticas GPAI y de marcado de contenidos generados por IA en Europa son voluntarios y redactados con fuerte participación de la industria. En LatAm, la asimetría de recursos técnico-legales entre reguladores nacientes y equipos policy de Google, Microsoft o Meta inclina la balanza.
Real es la brecha de competitividad: el estudio PwC citado por Chile estima que Latinoamérica captará solo el 5,4 % del incremento de PIB global por IA al 2030 (frente al 14 % promedio). Regular copiando a la UE encarece el cumplimiento para startups locales que no tienen legal teams globales, mientras las big tech internalizan el coste como barrera de entrada.
El rol de los organismos internacionales: ONU, OCDE y la búsqueda de un marco común
Transparencia, rendición de cuentas, supervisión humana y sostenibilidad son el vocabulario compartido que proveen la Recomendación UNESCO sobre Ética de la IA (2021) y los Principios OCDE (2019, actualizados 2024). El Pacto Digital Global (ONU, 2024) y la Convención Marco del Consejo de Europa (2024) intentan vincular derechos humanos y IA. Pero ninguna es vinculante globalmente ni integra obligaciones ambientales exigibles.
5 iniciativas internacionales y 77 regulaciones emergentes en LatAm analiza el capítulo Springer (Smart & Labrin, 2026): el hueco ambiental es sistémico. El ciclo de vida de la IA —entrenamiento, data centers, extracción de minerales críticos— impacta agua, energía y comunidades en el Sur Global sin que ningún tratado obligue a reporte ni mitigación. La UE menciona sostenibilidad en considerandos; EE. UU. no la contempla; LatAm la sufre.
Cumplimiento transfronterizo: cómo operan las multinacionales bajo regímenes asimétricos
Una empresa latinoamericana que use GPT-4 para scoring crediticio en México, procese datos de clientes chilenos en cloud estadounidense y venda el servicio a un banco español debe simultáneamente:
- Cumplir AI Act (alto riesgo: evaluación de conformidad, registro, supervisor humano).
- Responder a guías sectoriales FTC/FDA en EE. UU. y leyes estatales (Colorado, California).
- Ajustarse a LGPD Brasil, Ley de Datos Chile, eventual ley Colombia/Perú.
- Gestionar cláusulas contractuales estándar y transferencias internacionales post-Schrems II.
En ventaja competitiva de las grandes corporaciones convierte la asimetría regulatoria el cumplimiento. Las fintechs regionales invierten en lawyers no en I+D. Los sandboxes (Colombia pionera) alivian pero no resuelven la fragmentación jurisdiccional.
Escenarios futuros: convergencia regulatoria, fragmentación definitiva o estándar de facto
Tres trayectorias compiten:
1. Convergencia «Bruselas 2.0»: LatAm adopta AI Act light con plazos extendidos. Ventaja: interoperabilidad, certificación única. Riesgo: regulatory capture, costes fijos insalvables para pymes, ceguera a externalidades ambientales/laborales locales. 2. Fragmentación definitiva: Cada país legisla a su ritmo, EE. UU. mantiene mosaico, China su modelo propio. Las big tech practican forum shopping ambiental y laboral (data centers en Querétaro consumiendo 6× el agua municipal en sequía; data labeling en Venezuela con salarios de pobreza). La región queda como zona de sacrificio de la cadena de valor.
3. Estándar de facto «Latam-First»: Bloque regional (vía CELAC, Alianza del Pacífico o Mercosur) define principios vinculantes propios: soberanía de datos, evaluación de impacto hídrico/energético obligatoria para data centers, cláusulas de fair labor en etiquetado de datos, fondo de reconversión laboral financiado con tasas a computación de alto impacto. Requiere voluntad política y capacidad técnica hoy ausentes.
Incómoda pero ineludible es la tesis que emerge de las fuentes: Latinoamérica no elige entre regular o no regular; elige entre regular desde sus intereses estructurales o importar marcos diseñados para economías que exportan modelos y externalizan costos. La ventana para un tercer camino —híbrido, soberano, ambientalmente honesto— se cierra mientras los congresos debaten definiciones de "sistema de IA" copiadas del artículo 3 del AI Act. Las decisiones técnicas —qué modelos, qué datos, qué infraestructura— ya se toman en Seattle, Pekín y Bruselas. Regular después es administrar la dependencia; regular antes exige imaginar un lugar propio en la cadena de valor global.
