Reglamento de IA de la UE para empresas canadienses: cómo te alcanza el artículo 2 tras la AIDA
La AIDA decayó en 2025, pero el Reglamento de IA de la UE vincula a las empresas canadienses vía el artículo 2 cuando venden IA en la UE o se usa allí.
Una empresa SaaS de Toronto cuyo modelo de IA de tarificación de seguros usa una aseguradora de Dublín queda vinculada por el Reglamento de IA de la UE — aunque Canadá, a mediados de 2026, no tenga una ley de IA integral propia. Esta es la trampa para las empresas canadienses. El Reglamento de IA de la UE no es Derecho canadiense y nunca llega a serlo; no hay fecha de aplicación canadiense. Pero el artículo 2 del Reglamento (UE) 2024/1689 le confiere al Reglamento un alcance extraterritorial deliberado, y atrapa a los proveedores y responsables del despliegue canadienses en el momento en que introducen un sistema de IA en el mercado de la UE o la salida de su sistema se usa en la Unión. El propio proyecto de ley de IA de Canadá se vino abajo en 2025 — y esa ausencia convierte el expediente de la UE en la obligación viva, no en una razón para esperar.
Canadá es un tercer país: el Reglamento nunca llega a ser Derecho canadiense
Canadá no es un Estado miembro de la UE ni forma parte del Espacio Económico Europeo (EEE). No hay vía de transposición, ni incorporación al EEE, por la que el Reglamento de IA de la UE entre en el Derecho federal o provincial canadiense. Así que para una empresa canadiense la única pregunta que importa es la extraterritorial: ¿tu actividad te sitúa dentro del artículo 2?
La AIDA decayó — no hay ninguna ley de IA canadiense que esperar
El primer intento de Canadá de un estatuto federal de IA, la Artificial Intelligence and Data Act (AIDA), formaba parte del proyecto de ley C-27. Ese proyecto decayó en el orden del día cuando el Parlamento se prorrogó en enero de 2025 y, a mediados de 2026, no se ha reintroducido y se considera ampliamente improbable que regrese en su forma original. El efecto práctico para los equipos de cumplimiento: no hay un estatuto específico de IA canadiense en vigor, no hay un régimen canadiense de "IA de alto impacto" y, por tanto, nada doméstico que refleje —o descargue— las obligaciones de la UE.
El paisaje real de IA en Canadá es un mosaico
En ausencia de la AIDA, la gobernanza de la IA en Canadá transcurre por el Derecho general de privacidad (PIPEDA a nivel federal, más regímenes provinciales como la Ley 25 de Quebec), orientaciones sectoriales y el Código de Conducta Voluntario sobre el Desarrollo y la Gestión Responsables de Sistemas Avanzados de IA Generativa. Nada de eso sustituye al Reglamento de IA de la UE, y el Reglamento de IA de la UE no sustituye a nada de eso. Una empresa canadiense que vende IA en la UE afronta ambos cuadros en paralelo — trata el lado canadiense como algo cambiante y asunto para asesoramiento jurídico canadiense aparte.
Artículo 2: los dos supuestos que atrapan a las empresas canadienses
El artículo 2 fija el ámbito del Reglamento, y está redactado para alcanzar más allá de las fronteras de la UE, de modo que los proveedores de fuera de la UE no puedan competir deslealmente con los de la UE quedándose en el extranjero.
Introducir IA en el mercado de la UE (artículo 2(1)(a))
Conforme al artículo 2(1)(a), todo proveedor que introduce un sistema de IA en el mercado de la UE o lo pone en servicio en la Unión está dentro del ámbito, con independencia de dónde esté establecido. Una empresa canadiense que vende, licencia o de otro modo pone su producto de IA a disposición de clientes en Alemania, Francia o Irlanda queda atrapada — la constitución en Ontario y los servidores en Montreal no cambian nada.
Salida usada en la Unión (artículo 2(1)(c))
Conforme al artículo 2(1)(c), un proveedor o responsable del despliegue establecido en un tercer país está dentro del ámbito cuando la salida del sistema de IA se usa en la Unión. La prueba es dónde aterriza el efecto, no dónde se asienta la empresa o el servidor. Una empresa canadiense cuyo modelo puntúa, ordena o genera contenido sobre personas en la UE queda atrapada por este supuesto incluso sin un contrato con un cliente de la UE.
La obligación de representante autorizado (artículo 22)
Un proveedor canadiense de un sistema de alto riesgo debe, antes de introducirlo en el mercado de la UE, designar un representante autorizado establecido en la Unión conforme al artículo 22. Es un punto de contacto y de responsabilidad designado dentro de la Unión — estructuralmente similar al requisito de representante en la UE que las empresas canadienses quizá ya cumplan con el RGPD, pero una designación aparte bajo un texto legal aparte.
Calendario: las fechas de la UE se aplican a las empresas canadienses dentro del ámbito
No hay una fecha canadiense aparte. Una empresa canadiense dentro del ámbito por el artículo 2 planifica contra el calendario legal de la UE.
| Hito | Fecha de la UE | Qué significa para una empresa canadiense dentro del ámbito |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible en el mercado de la UE ya; no aplazado |
| Obligaciones de GPAI (artículos 51 a 55) | 2 de agosto de 2025 | En vigor ya; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | Se aplica ya, desde el 2 de agosto de 2026; sin fecha canadiense aparte |
| Alto riesgo autónomo (artículo 6(2), anexo III) | 2 de diciembre de 2027 | Aplazado desde el 2 de agosto de 2026 por el Ómnibus Digital (Reglamento (UE) 2026/1744) |
| Alto riesgo integrado en producto (artículo 6(1), anexo I) | 2 de agosto de 2028 | Aplazado desde el 2 de agosto de 2027 por el Ómnibus Digital (Reglamento (UE) 2026/1744) |
El aplazamiento de alto riesgo del Ómnibus Digital (ya en vigor)
Con el Ómnibus Digital —el Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—, las obligaciones de alto riesgo autónomas del anexo III se aplazaron del 2 de agosto de 2026 al 2 de diciembre de 2027, y las obligaciones de alto riesgo integradas en producto del anexo I, del 2 de agosto de 2027 al 2 de agosto de 2028. El texto modificado del Reglamento ya recoge esas fechas, así que el 2 de diciembre de 2027 y el 2 de agosto de 2028 son las fechas legales; las originales quedan solo como antecedente.
Lo que no se movió
La propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de reserva; los colegisladores adoptaron en cambio fechas fijas. Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI de los artículos 51 a 55, desde el 2 de agosto de 2025. Para los proveedores canadienses de modelos fundacionales y de GPAI que introducen modelos en el mercado de la UE, los deberes de GPAI están vivos ahora — y los modelos que ya estaban en el mercado de la UE antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir conforme a la disposición transitoria.
Qué tienen que hacer realmente las empresas canadienses dentro del ámbito
Las obligaciones son las obligaciones de la UE
Como el Reglamento vincula por el artículo 2 y no por ninguna transposición canadiense, un proveedor o responsable del despliegue canadiense dentro del ámbito afronta los mismos deberes basados en el rol que una empresa de la UE. No hay una versión canadiense descafeinada. Los roles se mapean de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor — con los deberes del importador en el artículo 23 y los del distribuidor en el artículo 24.
El cambio de rol del artículo 25
Un responsable del despliegue, distribuidor o importador se convierte en proveedor conforme al artículo 25 en el momento en que pone su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Una empresa canadiense que ajusta un modelo base hacia una nueva finalidad de alto riesgo, o renombra una herramienta de alto riesgo de la UE, puede heredar todo el conjunto de obligaciones de proveedor sin darse cuenta.
Deberes de alto riesgo y sanciones
Para un sistema de alto riesgo autónomo del anexo III, el conjunto de obligaciones de proveedor se aplica en su totalidad: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y solidez (artículos 9 a 15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones de proveedor del artículo 16. Las sanciones son los tramos del artículo 99 — cifras idénticas, calculadas sobre el volumen de negocios mundial, no sobre los ingresos de la UE o de Canadá: hasta 35 M€ o el 7 % por infracciones del artículo 5 (artículo 99(3)); hasta 15 M€ o el 3 % por la mayoría de las demás obligaciones, incluidos los deberes de proveedor de alto riesgo (artículo 99(4)); hasta 7,5 M€ o el 1 % por facilitar información incorrecta o engañosa (artículo 99(5)). Para pymes, el artículo 99(6) limita la multa a la cifra inferior entre el importe fijo y el porcentaje. Por separado, los proveedores de modelos de GPAI son multados por la Comisión conforme al artículo 101 (hasta 15 M€ o el 3 %), no conforme al artículo 99.
Ejemplo práctico: una insurtech de Toronto que vende suscripción de seguros por IA en la UE
NorthRate Inc es una insurtech de Toronto de unos 120 empleados con alrededor de 19 millones de dólares canadienses de ingresos anuales. Vende un modelo de IA que tarifica y puntúa el riesgo de solicitantes de seguros de vida y de salud, y dos de sus clientes son aseguradoras de Irlanda y Alemania.
Por qué NorthRate está dentro del ámbito ahora
Como proveedor que introduce el sistema en el mercado de la UE, NorthRate está dentro del ámbito conforme al artículo 2(1)(a) hoy — no se requiere oficina en la UE, y la ausencia de una entidad europea es irrelevante. Su herramienta es de alto riesgo según el anexo III, punto 5(c) (evaluación de riesgos y tarificación en seguros de vida y de salud), lo que activa todo el conjunto de obligaciones de proveedor de los artículos 9 a 15. Incluso cuando NorthRate no tiene contrato directo con la UE, el artículo 2(1)(c) puede atraparla cuando la salida del modelo se usa para tarificar solicitantes en la Unión.
Lista de comprobación previa al mercado de NorthRate
- Designar un representante autorizado del artículo 22 establecido en la Unión antes de introducir el sistema en el mercado de la UE.
- Construir la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V.
- Ejecutar la evaluación de la conformidad y registrar el sistema conforme al artículo 49.
- Como es un sistema de tarificación de seguros de vida/salud, los aseguradores-responsables del despliegue de la UE de NorthRate deben una EIDF del artículo 27 — construye la documentación para dar soporte a la suya.
- Anotar la exposición: el incumplimiento de proveedor de alto riesgo se sitúa en el tramo del artículo 99(4); como pyme, NorthRate se beneficia del límite del artículo 99(6) a la cifra inferior entre el importe fijo y el porcentaje, así que el 3 % de los ingresos es el techo operativo, no la cifra de 15 M€.
- Mantener las obligaciones canadienses —PIPEDA, el Derecho provincial de privacidad, el código voluntario— en paralelo; el expediente de la UE no las cumple, y a la inversa.
Qué deberían hacer ahora las empresas canadienses
Mapea tu exposición a la UE, no tu situación canadiense
No partas de "¿hay una ley de IA canadiense?" — no hay ninguna integral en vigor, y eso no reduce tu exposición a la UE ni en una sola obligación. Parte de "¿tocamos el mercado de la UE?". Si introduces IA en el mercado de la UE o tu salida se usa en la Unión, el calendario de la UE te vincula por el artículo 2.
Una lista de comprobación inicial de cinco pasos
- Mapea tus sistemas de IA contra el artículo 2 para confirmar dónde introduces sistemas en el mercado de la UE o tu salida llega a la Unión.
- Clasifica cada sistema: supera primero la barrera de prácticas prohibidas del artículo 5, después evalúa el artículo 6 / anexo III para la condición de alto riesgo.
- Asigna roles —proveedor, responsable del despliegue, importador, distribuidor— y haz la comprobación de conversión del artículo 25 sobre todo lo que renombres, ajustes o reutilices.
- Para los sistemas de alto riesgo, designa un representante autorizado del artículo 22 en la Unión antes de la introducción en el mercado.
- Construye el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y la declaración de conformidad del anexo V — y mantén tus obligaciones canadienses en paralelo.
Dos novedades que vigilar
Sigue dos piezas en movimiento para la revisión jurídica: las directrices de la Comisión sobre la clasificación de alto riesgo del artículo 6, publicadas como borrador en mayo de 2026 y aún no definitivas, y si Canadá reintroduce un proyecto de ley federal de IA para sustituir a la AIDA — lo que puede añadir obligaciones canadienses pero no desplazará el alcance extraterritorial del Reglamento de IA de la UE.
Cómo ayuda Confir a las empresas canadienses
Confir deriva tu rol de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una entrada en lenguaje claro. El motor es determinista y basado en reglas — sin inferencia de modelo, sin alucinación — de modo que la misma entrada siempre produce la misma conclusión defendible ante una auditoría, con una explicación legible de qué regla se activó.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando aplica. El objetivo es darle a una empresa canadiense un expediente de cumplimiento para el mercado de la UE que se sostenga por sí mismo, separado de las obligaciones federales y provinciales canadienses que apliquen. El flujo de GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- Alcance extraterritorial del Reglamento de IA de la UE para empresas de fuera de la UE
- Reglamento de IA de la UE para empresas estadounidenses: alcance del artículo 2
- Ámbito del Reglamento de IA de la UE explicado (artículo 2)
- Clasificación de alto riesgo del Reglamento de IA de la UE (artículo 6)
- Plazos y fechas de aplicación del Reglamento de IA de la UE
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →