Reglamento de IA de la UE para empresas australianas: cómo te alcanza el artículo 2
Australia archivó sus guardarraíles de IA en 2025, pero el Reglamento de IA de la UE sigue vinculando a las empresas australianas a través del artículo 2.
Una empresa SaaS de Sídney cuya herramienta de IA de contratación usa un empleador de Ámsterdam queda vinculada por el Reglamento de IA de la UE — aunque Australia, a mediados de 2026, haya optado por orientaciones voluntarias en lugar de una ley de IA obligatoria. Esta es la parte que las empresas australianas pasan por alto con más frecuencia. El Reglamento de IA de la UE no es Derecho australiano y nunca llega a serlo; no hay fecha de aplicación australiana. Pero el artículo 2 del Reglamento (UE) 2024/1689 le confiere al Reglamento un alcance extraterritorial deliberado, y atrapa a los proveedores y responsables del despliegue australianos en el momento en que introducen un sistema de IA en el mercado de la UE o la salida de su sistema se usa en la Unión. La decisión de Australia de no legislar guardarraíles obligatorios no suaviza en nada ese alcance.
Australia es un tercer país: el Reglamento nunca llega a ser Derecho australiano
Australia no es un Estado miembro de la UE ni forma parte del Espacio Económico Europeo (EEE). No hay vía de transposición, ni incorporación al EEE, por la que el Reglamento de IA de la UE entre en el Derecho federal o estatal australiano. Así que para una empresa australiana la única pregunta que importa es la extraterritorial: ¿tu actividad te sitúa dentro del artículo 2?
Australia eligió orientaciones voluntarias — no hay ninguna ley de IA australiana que esperar
En 2024, el Gobierno australiano sometió a consulta unos guardarraíles obligatorios para la IA de alto riesgo junto a una Norma Voluntaria de Seguridad de la IA (diez guardarraíles). Pero en diciembre de 2025, el Plan Nacional de IA confirmó que Australia se apoyará en las leyes existentes, tecnológicamente neutras, y en los reguladores sectoriales —respaldados por orientaciones voluntarias y un nuevo Instituto de Seguridad de la IA— en lugar de introducir una ley de IA independiente o guardarraíles obligatorios inmediatos. La propuesta anterior de un régimen específico para la IA de alto riesgo quedó efectivamente en pausa. El efecto práctico para los equipos de cumplimiento: no hay una ley de IA australiana integral en vigor, y los guardarraíles voluntarios no son ley.
El paisaje real de IA en Australia es voluntario más Derecho general
En lugar de una ley de IA, la gobernanza de la IA en Australia transcurre por la Ley de Privacidad y otras leyes existentes tecnológicamente neutras, los reguladores sectoriales, la Norma Voluntaria de Seguridad de la IA y las orientaciones del Centro Nacional de IA para la adopción de IA. Nada de eso sustituye al Reglamento de IA de la UE, y el Reglamento de IA de la UE no sustituye a nada de eso. Una empresa australiana que vende IA en la UE afronta ambos cuadros en paralelo — trata el lado australiano como algo cambiante y asunto para asesoramiento jurídico australiano aparte.
Artículo 2: los dos supuestos que atrapan a las empresas australianas
El artículo 2 fija el ámbito del Reglamento, y está redactado para alcanzar más allá de las fronteras de la UE, de modo que los proveedores de fuera de la UE no puedan competir deslealmente con los de la UE quedándose en el extranjero.
Introducir IA en el mercado de la UE (artículo 2(1)(a))
Conforme al artículo 2(1)(a), todo proveedor que introduce un sistema de IA en el mercado de la UE o lo pone en servicio en la Unión está dentro del ámbito, con independencia de dónde esté establecido. Una empresa australiana que vende, licencia o de otro modo pone su producto de IA a disposición de clientes en Alemania, Francia o Irlanda queda atrapada — la constitución en Nueva Gales del Sur y los servidores en Sídney no cambian nada.
Salida usada en la Unión (artículo 2(1)(c))
Conforme al artículo 2(1)(c), un proveedor o responsable del despliegue establecido en un tercer país está dentro del ámbito cuando la salida del sistema de IA se usa en la Unión. La prueba es dónde aterriza el efecto, no dónde se asienta la empresa o el servidor. Una empresa australiana cuyo modelo puntúa, ordena o genera contenido sobre personas en la UE queda atrapada por este supuesto incluso sin un contrato con un cliente de la UE.
La obligación de representante autorizado (artículo 22)
Un proveedor australiano de un sistema de alto riesgo debe, antes de introducirlo en el mercado de la UE, designar un representante autorizado establecido en la Unión conforme al artículo 22. Es un punto de contacto y de responsabilidad designado dentro de la Unión — estructuralmente similar al requisito de representante en la UE que las empresas australianas quizá ya cumplan con el RGPD, pero una designación aparte bajo un texto legal aparte.
Calendario: las fechas de la UE se aplican a las empresas australianas dentro del ámbito
No hay una fecha australiana aparte. Una empresa australiana dentro del ámbito por el artículo 2 planifica contra el calendario legal de la UE.
| Hito | Fecha de la UE | Qué significa para una empresa australiana dentro del ámbito |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible en el mercado de la UE ya; no aplazado |
| Obligaciones de GPAI (artículos 51 a 55) | 2 de agosto de 2025 | En vigor ya; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | En vigor desde esta fecha de la UE; sin fecha australiana aparte |
| Alto riesgo autónomo (artículo 6(2), anexo III) | 2 de diciembre de 2027 | Originalmente el 2 de agosto de 2026; aplazado por el Reglamento (UE) 2026/1744 |
| Alto riesgo integrado en producto (artículo 6(1), anexo I) | 2 de agosto de 2028 | Originalmente el 2 de agosto de 2027; aplazado por el Reglamento (UE) 2026/1744 |
El aplazamiento de alto riesgo del Ómnibus Digital (ya en vigor)
Con el Ómnibus Digital —Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—, las obligaciones de alto riesgo autónomas del anexo III se aplazaron del 2 de agosto de 2026 al 2 de diciembre de 2027, y las obligaciones de alto riesgo integradas en producto del anexo I, del 2 de agosto de 2027 al 2 de agosto de 2028. El texto modificado del Reglamento ya recoge esas fechas, así que el 2 de diciembre de 2027 y el 2 de agosto de 2028 son las fechas legales.
Lo que no se movió
La propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de reserva; los colegisladores adoptaron en cambio fechas fijas. Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI de los artículos 51 a 55, desde el 2 de agosto de 2025. Para los proveedores australianos de modelos fundacionales y de GPAI que introducen modelos en el mercado de la UE, los deberes de GPAI están vivos ahora — y los modelos que ya estaban en el mercado de la UE antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir conforme a la disposición transitoria.
Qué tienen que hacer realmente las empresas australianas dentro del ámbito
Las obligaciones son las obligaciones de la UE
Como el Reglamento vincula por el artículo 2 y no por ninguna transposición australiana, un proveedor o responsable del despliegue australiano dentro del ámbito afronta los mismos deberes basados en el rol que una empresa de la UE. No hay una versión australiana descafeinada. Los roles se mapean de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor — con los deberes del importador en el artículo 23 y los del distribuidor en el artículo 24.
El cambio de rol del artículo 25
Un responsable del despliegue, distribuidor o importador se convierte en proveedor conforme al artículo 25 en el momento en que pone su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Una empresa australiana que ajusta un modelo base hacia una nueva finalidad de alto riesgo, o renombra una herramienta de alto riesgo de la UE, puede heredar todo el conjunto de obligaciones de proveedor sin darse cuenta.
Deberes de alto riesgo y sanciones
Para un sistema de alto riesgo autónomo del anexo III, el conjunto de obligaciones de proveedor se aplica en su totalidad: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y solidez (artículos 9 a 15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones de proveedor del artículo 16. Las sanciones son los tramos del artículo 99 — cifras idénticas, calculadas sobre el volumen de negocios mundial, no sobre los ingresos de la UE o de Australia: hasta 35 M€ o el 7 % por infracciones del artículo 5 (artículo 99(3)); hasta 15 M€ o el 3 % por la mayoría de las demás obligaciones, incluidos los deberes de proveedor de alto riesgo (artículo 99(4)); hasta 7,5 M€ o el 1 % por facilitar información incorrecta o engañosa (artículo 99(5)). Para pymes, el artículo 99(6) limita la multa a la cifra inferior entre el importe fijo y el porcentaje. Por separado, los proveedores de modelos de GPAI son multados por la Comisión conforme al artículo 101 (hasta 15 M€ o el 3 %), no conforme al artículo 99.
Ejemplo práctico: una firma SaaS de Sídney que vende software de IA de contratación en la UE
Coralline Pty Ltd es una empresa SaaS de Sídney de unos 130 empleados con alrededor de 24 millones de dólares australianos de ingresos anuales. Vende una herramienta de cribado y ordenación de candidatos por IA, y varios de sus clientes son empleadores de los Países Bajos e Irlanda.
Por qué Coralline está dentro del ámbito ahora
Como proveedor que introduce el sistema en el mercado de la UE, Coralline está dentro del ámbito conforme al artículo 2(1)(a) hoy — no se requiere oficina en la UE, y la ausencia de una entidad europea es irrelevante. Su herramienta es de alto riesgo según el anexo III, punto 4(a) (contratación y selección de personas físicas), lo que activa todo el conjunto de obligaciones de proveedor de los artículos 9 a 15, aplicable desde el 2 de diciembre de 2027. Incluso cuando Coralline no tiene contrato directo con la UE, el artículo 2(1)(c) puede atraparla cuando la salida de la herramienta se usa para evaluar candidatos en la Unión.
La barrera de prácticas prohibidas va primero
Antes de cualquier trabajo de alto riesgo, Coralline debe superar la barrera dura del artículo 5(1)(f): el reconocimiento de emociones en el contexto laboral es una práctica prohibida, salvo por motivos médicos o de seguridad. Si el flujo de cribado infiere emoción a partir de entrevistas en vídeo —leyendo "confianza" o "entusiasmo" a partir de la expresión facial o el tono—, esa función debe eliminarse para el mercado de la UE con independencia de la condición de alto riesgo. Una práctica prohibida no se cura con documentación; sencillamente está prohibida.
Lista de comprobación previa al mercado de Coralline
- Designar un representante autorizado del artículo 22 establecido en la Unión antes de introducir el sistema en el mercado de la UE.
- Construir la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V.
- Ejecutar la evaluación de la conformidad y registrar el sistema conforme al artículo 49.
- Anotar la exposición: el incumplimiento de proveedor de alto riesgo se sitúa en el tramo del artículo 99(4); como pyme, Coralline se beneficia del límite del artículo 99(6) a la cifra inferior entre el importe fijo y el porcentaje, así que el 3 % de los ingresos es el techo operativo, no la cifra de 15 M€.
- Mantener las obligaciones australianas —la Ley de Privacidad, la Norma Voluntaria de Seguridad de la IA— en paralelo; el expediente de la UE no las cumple, y a la inversa.
Qué deberían hacer ahora las empresas australianas
Mapea tu exposición a la UE, no tu situación australiana
No partas de "¿hay una ley de IA australiana?" — no hay ninguna integral en vigor, y los guardarraíles voluntarios no son ley. Eso no reduce tu exposición a la UE ni en una sola obligación. Parte de "¿tocamos el mercado de la UE?". Si introduces IA en el mercado de la UE o tu salida se usa en la Unión, el calendario de la UE te vincula por el artículo 2.
Una lista de comprobación inicial de cinco pasos
- Mapea tus sistemas de IA contra el artículo 2 para confirmar dónde introduces sistemas en el mercado de la UE o tu salida llega a la Unión.
- Clasifica cada sistema: supera primero la barrera de prácticas prohibidas del artículo 5, después evalúa el artículo 6 / anexo III para la condición de alto riesgo.
- Asigna roles —proveedor, responsable del despliegue, importador, distribuidor— y haz la comprobación de conversión del artículo 25 sobre todo lo que renombres, ajustes o reutilices.
- Para los sistemas de alto riesgo, designa un representante autorizado del artículo 22 en la Unión antes de la introducción en el mercado.
- Construye el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y la declaración de conformidad del anexo V — y mantén tus obligaciones australianas en paralelo.
Novedades que vigilar
Sigue estas piezas en movimiento para la revisión jurídica: en la UE, las directrices de la Comisión sobre clasificación de alto riesgo del artículo 6 (publicadas en borrador en mayo de 2026) y las normas armonizadas, que aún no se han citado en el Diario Oficial; en Australia, si el Gobierno revive los guardarraíles obligatorios o una ley de IA específica — lo que puede añadir obligaciones australianas pero no desplazará el alcance extraterritorial del Reglamento de IA de la UE.
Cómo ayuda Confir a las empresas australianas
Confir deriva tu rol de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una entrada en lenguaje claro. El motor es determinista y basado en reglas — sin inferencia de modelo, sin alucinación — de modo que la misma entrada siempre produce la misma conclusión defendible ante una auditoría, con una explicación legible de qué regla se activó.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando aplica. El objetivo es darle a una empresa australiana un expediente de cumplimiento para el mercado de la UE que se sostenga por sí mismo, separado de las obligaciones federales y estatales australianas que apliquen. El flujo de GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- Alcance extraterritorial del Reglamento de IA de la UE para empresas de fuera de la UE
- Reglamento de IA de la UE para empresas estadounidenses: alcance del artículo 2
- Ámbito del Reglamento de IA de la UE explicado (artículo 2)
- Clasificación de alto riesgo del Reglamento de IA de la UE (artículo 6)
- Plazos y fechas de aplicación del Reglamento de IA de la UE
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →