El momento regulatorio actual: por qué 2024-2025 define la próxima década
El 2 de agosto de 2026 no es una fecha más en el calendario regulatorio. Ese día entra en vigor la fase más exigente del Reglamento Europeo de Inteligencia Artificial: requisitos completos para sistemas de alto riesgo, gobernanza nacional y un régimen sancionador que alcanza los 35 millones de euros o el 7 % de la facturación global. Pero la verdadera encrucijada no es jurídica, es estructural.
Mientras Europa aprueba el marco regulatorio más ambicioso del planeta, la inversión privada en IA cuenta otra historia: en 2025 Estados Unidos destinó 285.900 millones de dólares, Europa 20.900 millones y China 12.400 millones, según el Stanford AI Index 2026. Una relación de 1 a 14 entre el Viejo Continente y el líder norteamericano. La pregunta ya no es si la regulación frena la innovación, sino si es posible ser el mejor regulador del mundo y simultáneamente el peor financiador.
España llega a esa cita como el país más avanzado de la UE en implementación. Fue el primero en lanzar un sandbox de IA de alto riesgo, ha designado a la AESIA como supervisora y ha impulsado la prohibición de deepfakes sexuales a nivel europeo. Sin embargo, su ley orgánica de adaptación —aprobada como proyecto en mayo de 2026— sigue en trámite parlamentario y no será derecho vigente hasta 2027. Tres capas normativas se superponen: el AI Act europeo (aplicación directa), la ley nacional de desarrollo y el sandbox como instrumento de seguridad jurídica. Confundirlas genera la inseguridad que la regulación pretendía evitar.
Enfoques contrapuestos: el modelo de riesgos de la UE vs. la autorregulación sectorial de EE. UU. y el control estatal chino
La triangular geopolítica de la IA se ha condensado en una fórmula periodística tan precisa como reduccionista: Europa regula, Estados Unidos financia, China controla. Cada verbo encierra una filosofía de gobernanza distinta. El enfoque europeo es asimétrico y proporcionado: clasifica los sistemas en cuatro niveles de riesgo (inaceptable, alto, limitado y mínimo) y aplica obligaciones solo donde el daño potencial lo justifica. Como explica Moisés Barrio, letrado del Consejo de Estado y experto del sandbox español, "es muy diferente la regulación que tiene un coche autónomo, como sistema de alto riesgo con las máximas garantías, que la del corrector ortográfico de Word, con ninguna obligación imperativa".
Estados Unidos ha optado por la financiación masiva y la autorregulación sectorial, respaldada por executive orders presidenciales y compromisos voluntarios de las Big Tech. China ha desplegado un modelo de control estatal donde la IA sirve a objetivos de seguridad nacional y estabilidad social, con requisitos de licencia previa, censura algorítmica y soberanía de datos. Tres modelos, tres apuestas: la europea apuesta por la confianza como ventaja competitiva; la estadounidense, por la velocidad y la escala; la china, por la soberanía y el control.
Los nudos irresueltos: IA generativa, copyright, responsabilidad civil y definición de 'alto riesgo'
Antes de la explosión de la IA generativa, el AI Act fue diseñado. Su adaptación a modelos de propósito general (GPAI) llegó en agosto de 2025, pero los litigios de copyright están desbordando el marco. Documentos judiciales desclasificados en el litigio de The New York Times contra OpenAI y Microsoft revelan la preocupación interna de empleados de ambas compañías: califican el uso de millones de artículos de prensa para entrenar modelos como "el mayor robo de trabajo de la historia de la humanidad". La tensión entre fair use estadounidense y las excepciones de minería de texto y datos europeas sigue sin resolución global. El análisis comparativo de excepciones de copyright para entrenamiento de IA generativa muestra que no hay consenso internacional: ni en alcance, ni en compensación, ni en transparencia sobre los datos de entrenamiento.
Otro nudo es la definición de "alto riesgo". El Reglamento establece listas anexas (selección de personal, scoring crediticio, infraestructuras críticas, dispositivos médicos), pero la frontera es porosa. Un sistema de IA que filtra currículos en un banco es de alto riesgo; el mismo algoritmo vendiendo zapatos no lo es. La responsabilidad civil, por su parte, permanece en gran medida en el derecho nacional: la directiva europea de responsabilidad por productos defectuosos se está adaptando, pero la carga de la prueba y el nexo causal entre decisión algorítmica y daño siguen abiertos.
Impacto en la innovación: compliance costs, barreras de entrada para startups y soberanía tecnológica
Cinco obligaciones concretas del AI Act van a redefinir la operativa empresarial: gestión de riesgos continua e iterativa durante todo el ciclo de vida; transparencia explicativa (no publicar código, sino que las decisiones sean comprensibles para técnicos y usuarios, como el prospecto de un medicamento); gobernanza de datos con criterios de calidad, representatividad y ausencia de sesgos; supervisión humana real, no formal; y estándares técnicos armonizados en diez áreas críticas que desarrolla el comité CTN 71/SC 42 con 142 expertos de 63 entidades.
De forma asimétrica repercute el coste de cumplimiento. Una startup que desarrolla un sistema de diagnóstico médico por IA debe integrar requisitos del AI Act y del Reglamento de productos sanitarios (con fecha de aplicación en agosto de 2027), mantener documentación técnica única y sistema de calidad único, y garantizar eliminación de sesgos en datos clínicos. Inmaculada Pérez, de BSI Group, confirma que "los requisitos podrán integrarse dentro del marco actual", pero el esfuerzo técnico y legal es considerable. Para las grandes tecnológicas, el compliance es un centro de coste asumible; para el ecosistema emprendedor europeo, puede ser una barrera de entrada que refuerce la dependencia de modelos fundacionales extranjeros.
Aquí se juega la soberanía tecnológica europea. Si la regulación no viene acompañada de capacidad de cómputo, talento y capital de riesgo, el AI Act se convierte en un estándar de calidad para productos que se entrenan y despliegan fuera. El sandbox español ha demostrado que la seguridad jurídica es posible: 12 sistemas de alto riesgo testados entre 44 candidaturas, guías técnicas publicadas, cooperación entre AESIA y Agencia de Protección de Datos. Es un modelo replicable, pero requiere recursos sostenidos.
Gobernanza global fragmentada: el papel de la ONU, OCDE, G7 Hiroshima y la cumbre de Seúl
Más allá de las tres potencias, la fragmentación regulatoria no se detiene. El Proceso de Hiroshima del G7 estableció principios voluntarios para IA avanzada. La cumbre de Seúl (2024) intentó traducirlos en compromisos de seguridad. La OCDE actualizó sus principios de IA en 2024. La ONU, a través de su Órgano Asesor de Alto Nivel, ha propuesto una arquitectura de gobernanza global con funciones de evaluación científica, estándares y creación de capacidades. Pero ninguno de estos foros tiene capacidad vinculante. El resultado es un patchwork de normas: empresas globales deben cumplir el AI Act en Europa, navegar executive orders y leyes estatales en EE.UU., y obtener licencias en China. La convergencia regulatoria avanza solo en declaraciones de principios; la divergencia operativa se profundiza.
Derechos fundamentales en juego: sesgo algorítmico, vigilancia biométrica y derecho a la explicación
Prohíbe el AI Act prácticas de riesgo inaceptable: social scoring gubernamental, manipulación subliminal, explotación de vulnerabilidades, reconocimiento facial en tiempo real en espacios públicos (con excepciones antiterroristas), categorización biométrica para inferir raza, opinión política u orientación sexual. Pero la vigilancia biométrica post-hoc (análisis de grabaciones) queda en zona gris. El derecho a la explicación —que el RGPD ya esbozaba para decisiones automatizadas— se refuerza: Nuria Delgado, AI Lead en CaixaBank, lo ilustra con el caso de una familia que solicita una ayuda y recibe un "no" sin motivos frente a una respuesta "clara, humana y útil que explica los motivos y orienta los siguientes pasos". La transparencia no es solo técnica; es condición de legitimidad democrática.
Desde la gobernanza de datos se ataca el sesgo algorítmico, por su parte: representatividad, calidad, ausencia de sesgos históricos. Belén Arribas, CEO de BAS Abogados y presidenta de ENATIC, reconoce "la tensión" entre el AI Act y el RGPD: minimización de datos frente a necesidad de conjuntos masivos para entrenar; finalidad determinada frente a modelos de propósito general; derecho al olvido frente a imposibilidad de unlearning en redes neuronales. La convivencia de ambos marcos será el principal campo de batalla judicial de los próximos años.
Escenarios a 2030: convergencia regulatoria, fragmentación en bloques o carrera hacia el fondo
Tres escenarios son plausibles. Convergencia regulatoria: EE.UU. aprueba ley federal de IA inspirada en principios de riesgo (proyecto Algorithmic Accountability Act o similar), China abre verificación algorítmica internacional, y la ONU crea un mecanismo de mutuo reconocimiento. Probabilidad: baja. Requiere voluntad política que hoy no existe.
Fragmentación en bloques: tres zonas regulatorias incompatibles (UE, EE.UU., China) con de-coupling tecnológico progresivo: modelos, chips, datos y talento segregados. Las empresas globales mantienen versiones regionales. Probabilidad: media-alta. Es la trayectoria actual. Carrera hacia el fondo: presión competitiva fuerza a la UE a flexibilizar el AI Act (cláusulas de innovation-friendly, exenciones para sandboxes permanentes), EE.UU. relaja controles voluntarios, China exporta su modelo de control a socios del Global South. La gobernanza se reduce a estándares técnicos mínimos de seguridad (evitar catástrofes existenciales) sin protección de derechos. Probabilidad: no despreciable si la brecha de inversión persiste.
De las fuentes emerge una tesis incómoda pero ineludible: la regulación europea es necesaria pero no suficiente. Ha establecido el gold standard de protección de derechos fundamentales en la era algorítmica. Sin una política industrial que cierre la brecha de inversión 1:14, sin resolución del nudo del copyright que dé seguridad a desarrolladores y creadores, y sin arquitectura de gobernanza global con dientes, el AI Act corre el riesgo de convertirse en la regulación más sofisticada para un ecosistema que ya no existe en Europa. El 2 de agosto de 2026 es el examen de realidad. Lo que ocurra en los hospitales, bancos, fábricas y tribunales españoles en las cinco semanas posteriores dirá más sobre el futuro de la IA europea que mil comunicados de Bruselas.
