Europa: la pirámide de riesgo como estándar de facto global
El AI Act europeo, publicado en el Diario Oficial en julio de 2024 y en vigor desde agosto, introduce una taxonomía de cuatro escalones. En la cima, prácticas prohibidas: puntuación social, manipulación subliminal, reconocimiento de emociones en entornos laborales o educativos, identificación biométrica remota en tiempo real en espacios públicos (con excepciones estrechas). El segundo nivel —alto riesgo— cubre sistemas en sanidad, educación, empleo, servicios financieros esenciales, infraestructuras críticas, aplicación de la ley y gestión migratoria. Estos deben superar evaluación de conformidad, mantener documentación técnica, registro de eventos, supervisión humana, exactitud, robustez y ciberseguridad. El tercer nivel impone transparencia: informar al usuario de que interactúa con IA (chatbots, deepfakes, sistemas de reconocimiento emocional). La base —riesgo mínimo— queda sin obligaciones específicas.
La categoría de modelos de propósito general (GPAI) es la novedad estructural, que incluye a los grandes modelos fundacionales. Sus proveedores deben divulgar resúmenes de datos de entrenamiento, políticas de derechos de autor y, para los que superan umbrales de capacidad computacional, evaluaciones de riesgo sistémico, pruebas adversarias y reporte de incidentes graves. El régimen sancionador escala hasta el 7 % de la facturación mundial anual o 35 millones de euros para prácticas prohibidas, y hasta el 3 % o 15 millones para incumplimientos de obligaciones de GPAI. La aplicación es escalonada: prohibiciones a seis meses, GPAI a doce, alto riesgo a veinticuatro o treinta y seis según anexo.
Ya opera el efecto Bruselas: Canadá (proyecto de ley C-27 con AIDA), Brasil, Corea del Sur y varios estados de EE. UU. —Colorado con la SB 24-205 pionera— miran la pirámide europea como plantilla. Colorado obliga a evaluaciones de impacto para sistemas de alto riesgo, mecanismos de mitigación de sesgos y notificación al fiscal general. AIDA canadiense prefigura obligaciones similares con multas de hasta el 3 % de ingresos globales.
Estados Unidos: la estrategia de la capas sectoriales y el soft law
Washington evita una ley horizontal. La Orden Ejecutiva 14110 (2023) mandató al NIST publicar el AI Risk Management Framework (AI RMF), guía voluntaria pero adoptada de facto por contratistas federales y grandes corporaciones. La SEC, la CFTC, la FTC y la EEOC aplican normativa existente —valores, competencia, consumo, empleo— a casos concretos de IA. El Congreso debate marcos transversales, pero el avance real ocurre en agencias y estados. Esta fragmentación crea compliance asimétrico: una fintech que opera en Nueva York, Illinois y Colorado enfrenta tres umbrales distintos de explicabilidad y bias testing.
Reino Unido y el pro-innovation: principios sin estatuto
Rechaza legislación ad hoc el White Paper británico (2023) y delega en reguladores sectoriales —Ofcom, CMA, ICO, FCA— la aplicación de cinco principios: seguridad, transparencia, equidad, responsabilidad, contestabilidad. La apuesta es agilidad: actualizar guías sectoriales sin pasar por Parlamento. El riesgo es la incoherencia: un mismo sistema de scoring crediticio puede recibir exigencias distintas del FCA (conducta financiera) y del ICO (protección de datos).
ASEAN: la hoja de ruta regional para IA generativa
Estructura nueve dimensiones la Guía Ampliada de Gobernanza y Ética de IA Generativa (2025): rendición de cuentas, datos, desarrollo y despliegue confiable, reporte de incidentes, pruebas y aseguramiento, seguridad, procedencia de contenido, I+D en alineación y seguridad, e IA para bien público. Singapur lidera con AI Verify Foundation y Project Moonshot —marco de pruebas abierto para evaluar modelos—. Vietnam (PhoGPT), Tailandia (ThaiLLM) y programas corporativos multinacionales (Accenture) sirven como casos de uso. El objetivo declarado es interoperabilidad regulatoria en una región de 670 millones de personas y una oportunidad económica estimada en 6 billones de dólares singapurenses hacia 2038.
La norma que no legisla pero certifica: ISO/IEC 42001
Publicada en diciembre de 2023, la primera norma internacional certificable de sistemas de gestión de IA (AIMS) no regula el producto sino la organización. Sigue la estructura de alto nivel (Anexo SL) común a ISO 9001 e ISO/IEC 27001: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño, mejora. Su motor es el ciclo Planificar-Hacer-Verificar-Actuar (PHVA). El Anexo A detalla 38 controles de referencia —políticas de IA, roles y responsabilidades, evaluación de impactos en personas y sociedad, gestión del ciclo de vida, calidad y procedencia de datos, comunicación de incidentes, uso responsable, cadena de suministro— que la organización debe justificar según su apetito de riesgo.
Una certificación por tercera parte acreditada otorga una garantía que las políticas internas no pueden: evidencia externa de que la gobernanza existe, se audita y mejora. Estudios recientes muestran que la adopción reduce riesgos legales al alinear documentación técnica con lo que el AI Act exige para evaluación de conformidad, y mejora la percepción de inversores ESG. La integración con ISO/IEC 27001 permite compartir controles de seguridad de la información, gestión de vulnerabilidades y respuesta a incidentes, evitando duplicidades.
El NIST AI RMF como puente operativo
Con cuatro funciones —Govern, Map, Measure, Manage—, el marco del NIST no certifica, pero ofrece un vocabulario común de riesgo que facilita mapear controles de ISO 42001 a obligaciones del AI Act. Organizaciones que implementan los tres —AIMS certificado, AI RMF operacionalizado, compliance legal documentado— construyen una línea de defensa única frente a reguladores, auditores y juntas directivas.
Sandboxes: el laboratorio donde ley y estándar se encuentran
Prevé el AI Act sandboxes regulatorios —entornos controlados donde proveedores prueban sistemas de alto riesgo bajo supervisión de autoridades competentes—. España, Francia y Alemania ya pilotan los suyos. La ISO 42001, en su cláusula 8.5.3, contempla entornos de validación previos al despliegue. La convergencia natural es usar el sandbox como banco de pruebas del AIMS: la organización demuestra que su sistema de gestión detecta, documenta y mitiga riesgos en condiciones reales antes de la evaluación de conformidad formal.
América Latina: entre la trasposición y la soberanía digital
Argentina, México, Colombia y Ecuador han publicado estrategias nacionales y proyectos de ley que replican la taxonomía europea —riesgo inaceptable, alto, limitado, mínimo— sin haber resuelto la capacidad institucional para evaluar conformidad. Falta infraestructura de notificación de incidentes, registros públicos de sistemas de alto riesgo y pericia técnica en autoridades de mercado. El riesgo es la regulatory theater: leyes en el papel que no se aplican, creando incertidumbre jurídica sin protección efectiva. La alternativa pragmática adoptada por algunos reguladores bancarios y de telecomunicaciones es exigir certificación ISO 42001 como proxy de gobernanza mientras maduran los marcos locales.
Derechos humanos y sesgos: el flanco que ninguna norma cierra del todo
Obliga el AI Act a bias testing y representatividad de datos de entrenamiento para alto riesgo, pero no define umbrales estadísticos de equidad. Colorado exige impact assessments con métricas de disparidad demográfica, pero deja la metodología al desarrollador. La Guía ASEAN identifica seis riesgos de IA generativa —errores y antropomorfismo, desinformación, deepfakes y fraude, propiedad intelectual, privacidad, sesgos incrustados— y recomienda auditorías de terceros y procedencia de contenido (marcas de agua, metadatos C2PA). China exige etiquetado y consentimiento, pero su definición de "contenido dañino" incluye disidencia política. Ningún marco resuelve la tensión entre explicabilidad técnica y secretos industriales: los foundation models son cajas negras por diseño, y la trazabilidad de datos de entrenamiento a escala de billones de tokens es computacionalmente inviable con herramientas actuales.
Educación, trabajo y propiedad intelectual: frentes que exigen regulación propia
En admisiones universitarias, evaluación docente, proctoring remoto y generación de contenidos académicos, el uso de IA ha obligado a ministerios de educación a emitir circulares ad hoc sin base legal sólida. En empleo, sistemas de screening curricular, análisis de video-entrevistas y asignación de turnos caen en alto riesgo bajo el AI Act, pero la directiva de transparencia algorítmica en condiciones de trabajo (UE 2024/2831) aún no se transpone. En propiedad intelectual, la directiva europea DSM (2019/790) permite minería de textos y datos con opt-out de titulares, pero los proveedores de GPAI arguyen que el opt-out técnico es imposible a escala de web scraping. Las demandas colectivas de autores, artistas y editoriales en EE. UU. y Europa definirán case law antes que el legislador.
Gobernanza multinivel: el reto de coordinar capas técnicas, éticas y vinculantes
Una multinacional que desarrolla un modelo fundacional en EE. UU., lo ajusta en India, lo despliega en la nube europea y lo ofrece vía API a clientes en Brasil y Singapur debe simultáneamente: (1) certificar su AIMS bajo ISO 42001 con alcance global; (2) cumplir obligaciones de proveedor de GPAI del AI Act (documentación, copyright policy, evaluación de riesgo sistémico si supera umbrales); (3) satisfacer requisitos de Colorado si el cliente es un empleador en Denver; (4) registrar el algoritmo en China si el servicio es accesible allí; (5) reportar incidentes graves a la autoridad europea y, si afecta datos personales, a la AEPD en 72 horas; (6) alinear controles con NIST AI RMF para contratos federales estadounidenses.
La única forma de no colapsar es una single source of truth documental: un registro unificado de riesgos, controles, evidencias y métricas que alimente cada obligación regulatoria sin duplicar trabajo.
Hacia 2030: fragmentación o convergencia mínima viable
Tres escenarios compiten. El primero, patchwork creciente: cada jurisdicción añade capas —California legisla deepfakes electorales, India exige watermarking obligatorio, la UE extiende obligaciones a agents autónomos—, y el coste de compliance escala exponencialmente, favoreciendo a big tech con ejércitos legales. El segundo, armonización por Brussels Effect extendido: el AI Act se convierte en floor global de facto, y otras jurisdicciones adoptan definiciones, clasificación de riesgo y umbrales de GPAI con variaciones menores.
El tercero, convergencia mínima viable en foros multilaterales —G7 Hiroshima AI Process, G20, OCDE, UN Global Digital Compact— alrededor de: (a) definición común de IA y GPAI; (b) obligación de evaluación de riesgo para capacidades sistémicas; (c) transparencia de datos de entrenamiento y copyright; (d) reporte de incidentes graves cross-border; (e) mutuo reconocimiento de auditorías de terceros acreditados bajo ISO 42001.
Es el tercer camino la apuesta racional, pero requiere voluntad política que hoy escasea. Mientras tanto, la ventaja competitiva pertenece a quienes tratan la doble vía —estándar voluntario más ley vinculante— no como carga, sino como arquitectura de confianza: certifican su AIMS, mapean controles al AI Act y al NIST, y convierten la gobernanza en activo de mercado. El tablero geopolítico seguirá moviéndose; la única jugada segura es construir una gobernanza que sobreviva al próximo cambio de norma.
