Regulación
44 análisis
Acuerdo político entre el Consejo y el Parlamento retrasa la fecha límite de agosto de 2026 y abre una ventana de 19 meses para la adecuación, pero las multas y la cláusula de extraterritorialidad permanecen intactas.
En agosto de 2026, el EU AI Act impondrá sus primeras obligaciones vinculantes para sistemas de alto riesgo. Paralelamente, cuatro estados estadounidenses tienen leyes de IA en vigor que chocan con la estrategia federal de la administración Trump. Para las empresas, el cumplimiento ahora implica gestionar jurisdicciones que se contradicen.
La Illinois Biometric Information Privacy Act (BIPA) ha generado más de 2.5 mil millones de dólares en acuerdos desde 2008 y sigue produciendo litigios récord. En 2025, Texas y Washington expandieron legislaciones equivalentes. En Europa, el AI Act clasifica los sistemas biométricos de identificación remota como de alto riesgo. La proliferación de cámaras con reconocimiento facial y autenticación por voz en el entorno corporativo expone a las empresas a un creciente riesgo legal.
Desde 2018, el GDPR ha acumulado €7,1 mil millones en multas, con el 60% del total impuesto solo después de enero de 2023. En agosto de 2026, el EU AI Act añade una segunda capa: penalizaciones de hasta €35 millones o el 7% de la facturación global. Las organizaciones que procesan datos con IA enfrentan una exposición regulatoria doble y simultánea.
China ha construido el marco regulatorio de IA más detallado y en capas del mundo. Con tres regulaciones principales ya en vigor y al menos dos en preparación, el país exige registro de modelos de base, evaluación de seguridad previa al lanzamiento y control de contenido generado por IA. Las empresas con operaciones o usuarios en China deben mapear la conformidad en múltiples frentes simultáneamente.
Las reglas de la SEC sobre divulgación de incidentes cibernéticos, en vigor desde diciembre de 2023, exigen reporte de incidentes materiales en un plazo de cuatro días hábiles a través del Formulario 8-K. En mayo de 2025, asociaciones bancarias estadounidenses solicitaron a la SEC la derogación de la regla. El resultado práctico: el CISO pasó a ser interlocutor directo del consejo y del área legal en decisiones de materialidad.
En diciembre de 2024, el Senado brasileño aprobó el PL 2338/2023, que establece el marco regulatorio de IA en el país. En marzo de 2025, el texto fue enviado a la Cámara de Diputados. La ley adopta un enfoque basado en riesgos, con tres categorías: riesgo excesivo (prohibido), alto riesgo (con requisitos rigurosos) y otros sistemas (obligaciones generales). Para desarrolladores y operadores, los impactos son inmediatos y estructurales.
La Ley de Resiliencia Operacional Digital entrará en vigor el 17 de enero de 2025, imponiendo requisitos uniformes de resiliencia digital a aproximadamente 22.000 entidades financieras en la Unión Europea. En noviembre de 2025, AWS, Microsoft Azure y Google Cloud fueron designados como proveedores críticos de TIC, sujetos a auditoría directa por parte de los reguladores europeos.