La Ley de IA en Croacia: quién la aplica y qué deben hacer las empresas croatas
Croacia incumplió el plazo de la autoridad de la Ley de IA; AZOP lidera en protección de datos. Roles, sanciones y la fecha de alto riesgo de dic. 2027.
Si explotas un sistema de IA en Croacia y quieres saber qué autoridad lo inspeccionará, la respuesta honesta a mediados de 2026 es: aún no está del todo resuelto. Croacia incumplió el plazo de la UE del 2 de agosto de 2025 para designar su autoridad de vigilancia del mercado, y todavía se está redactando una ley nacional de aplicación. Lo que ya es seguro es el conjunto de obligaciones en sí —porque la Ley de IA de la UE, el Reglamento (UE) 2024/1689, se aplica directamente en Croacia exista o no aún una ley croata.
Esta guía separa ambas cosas. Expone lo que ya obliga a las empresas croatas, lo que Croacia todavía tiene que implantar, qué está verificado sobre la aplicación de la norma y qué está genuinamente sin decidir, y el calendario de cumplimiento corregido tras el aplazamiento del Ómnibus Digital.
Un reglamento, no una directiva: Croacia no lo "transpone"
La Ley de IA de la UE es un reglamento. Entró en vigor el 1 de agosto de 2024 y, en virtud del artículo 288 del Tratado de Funcionamiento de la Unión Europea, se aplica directamente en cada Estado miembro —Croacia incluida— sin tener que reescribirse en la legislación croata. Las empresas croatas no esperan a una ley nacional para que las obligaciones surtan efecto.
Las obligaciones tempranas ya están vigentes en toda la UE, Croacia entre ellas:
- Las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025 —puntuación social, ciertos sistemas manipuladores, extracción no selectiva de imágenes faciales y reconocimiento de emociones en el trabajo y en centros educativos.
- La alfabetización en IA del artículo 4 —el deber de garantizar que el personal que usa IA tenga un conocimiento suficiente de ella— se aplica desde la misma fecha.
- Las obligaciones de IA de uso general (GPAI) del capítulo V se aplican desde el 2 de agosto de 2025.
Lo que Croacia todavía tiene que aportar es el andamiaje nacional que el reglamento espera que cada Estado construya: autoridades designadas, procedimientos sancionadores internos y la fontanería institucional para las inspecciones. Ahí es donde Croacia va por detrás.
¿Quién aplica la Ley de IA en Croacia?
La autoridad del artículo 70 todavía no está designada
El artículo 70 del reglamento exigía que cada Estado miembro designara, antes del 2 de agosto de 2025, una autoridad nacional competente —en la práctica una autoridad de vigilancia del mercado, una autoridad notificante y un punto de contacto único para la Oficina de IA de la UE. Croacia no cumplió ese plazo. Su Ministerio de Justicia, Administración y Transformación Digital reconoció a mediados de 2025 que Croacia aún no había designado su organismo y que estaría entre los Estados rezagados.
A mediados de 2026, la situación se expresa mejor sin rodeos: Croacia no ha confirmado por ley qué autoridad será su organismo de vigilancia del mercado para la IA. El Ministerio ha señalado su intención de crear un regulador nacional de IA "paraguas" con un mandato claro, apoyado por organismos sectoriales, y de aprobar una ley habilitante, pero no se ha publicado ninguna ley y no se ha confirmado ninguna autoridad única. Trata con desconfianza cualquier afirmación de que Croacia "ha designado su autoridad de vigilancia del mercado para la IA" salvo que cite una fuente oficial croata o de la Comisión que nombre al organismo. La designación completa del artículo 70 todavía se está ultimando.
Lo que sí se ha designado: los organismos de derechos fundamentales
Hay una designación distinta que Croacia sí completó, y es fácil confundirla con la anterior. Según el artículo 77, los Estados miembros debían notificar las autoridades públicas que supervisan las obligaciones de derechos fundamentales pertinentes para la IA de alto riesgo. Croacia cumplió ese plazo anterior y notificó una lista de organismos, entre ellos la Agencia de Protección de Datos Personales, la Defensora del Pueblo, el Defensor del Pueblo para la Infancia, la Defensora para la Igualdad de Género, el Defensor para las Personas con Discapacidad, la Comisión Electoral Estatal y la Agencia de Medios Electrónicos.
Esta es una lista de supervisión de derechos fundamentales, no la designación de vigilancia del mercado. Una empresa no debería leerla como "estos son los reguladores que inspeccionarán y multarán mi sistema de IA": ese rol es la casilla sin cubrir del artículo 70.
El ancla más firme: AZOP, la autoridad de protección de datos
La institución más asentada en el panorama de aplicación de la IA en Croacia es su autoridad de protección de datos —AZOP, la Agencija za zaštitu osobnih podataka (Agencia Croata de Protección de Datos Personales). AZOP es la supervisora establecida del RGPD en Croacia y un órgano de aplicación activo; figura también en la lista de derechos fundamentales del artículo 77. Para cualquier sistema de IA que trate datos personales —lo que abarca la mayoría de los casos de uso de alto riesgo del anexo III—, AZOP es la autoridad con la que una empresa croata es más segura que se encontrará, a través del RGPD si no aún a través de la Ley de IA.
Si AZOP se convierte además en la autoridad de vigilancia del mercado para la IA es una de las preguntas abiertas. Algunos Estados miembros dejan que su APD ejerza también de supervisora de IA; el Ministerio croata lo ha tratado como una opción viva, no como una decisión. Así que AZOP es candidata, no una designada confirmada de la Ley de IA.
La Oficina de IA (Bruselas): la GPAI se queda a nivel de la UE
Para los modelos de IA de uso general, la aplicación no pasa por ninguna autoridad croata en absoluto. Los proveedores de modelos GPAI son supervisados directamente por la Oficina de IA de la UE en Bruselas según los artículos 53 y 55, con multas impuestas por la Comisión según el artículo 101. Una empresa croata que se limita a usar un modelo de uso general es responsable del despliegue de cualquier sistema que construya: no es proveedora de GPAI y no responde ante la Oficina de IA por el modelo en sí.
El calendario de aplicación croata (tras el Ómnibus Digital)
| Fecha | Qué se aplica en Croacia |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza, Oficina de IA, sanciones del artículo 99 — en vigor ahora |
| 2 de agosto de 2026 | Aplicación general, incluida la mayoría de los deberes de transparencia del artículo 50 (chatbots, ultrafalsificaciones) |
| 2 de diciembre de 2026 | Nuevo: prohibición de material de abuso sexual infantil generado por IA / herramientas «desnudadoras» y deberes de marcado de contenido del artículo 50 |
| 2 de diciembre de 2027 | IA de alto riesgo independiente (anexo III) — adoptado |
| 2 de agosto de 2028 | IA de alto riesgo integrada en productos regulados (anexo I) — adoptado |
Una salvedad debe acompañar a las fechas de alto riesgo. Con el paquete del Ómnibus Digital, el Parlamento Europeo y el Consejo alcanzaron un acuerdo político el 6-7 de mayo de 2026 para aplazar el régimen de alto riesgo independiente al 2 de diciembre de 2027 (y la IA de alto riesgo integrada en productos al 2 de agosto de 2028). Este aplazamiento ya está adoptado: el pleno del Parlamento votó a favor el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta la publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada para los sistemas de alto riesgo independientes del anexo III. Ten en cuenta también que el aplazamiento son fechas de calendario fijas: no está vinculado a la disponibilidad de normas armonizadas.
Sanciones: a qué se enfrentan realmente las empresas croatas
El marco sancionador es el artículo 99 del reglamento. La ley de aplicación que falta en Croacia afecta al procedimiento para imponer multas, no a los topes —esos los fija el reglamento y son idénticos en toda la UE. Hay exactamente tres niveles, cada uno «lo que sea mayor» entre una suma fija o un porcentaje del volumen de negocios anual total mundial:
- 35 000 000 € o el 7 % — por infringir las prohibiciones del artículo 5.
- 15 000 000 € o el 3 % — para la mayoría de las demás infracciones: requisitos de alto riesgo (artículos 9-15), deberes del proveedor (artículo 16), deberes del responsable del despliegue (artículo 26) y transparencia del artículo 50.
- 7 500 000 € o el 1 % — por facilitar información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad.
El tercer nivel es del 1 %, no del 1,5 % —no existe ningún nivel del 1,5 % en parte alguna del reglamento, ni existen cifras de multa específicas de Croacia. Para las pymes y las empresas emergentes, el artículo 99(6) es la garantía que importa: la multa es la menor entre el importe fijo o el porcentaje. Una empresa croata con 8 millones de euros de volumen de negocios no se enfrenta a una multa de 15 millones por una infracción de alto riesgo: el 3 % de 8 millones es 240 000 €, y ese es el tope.
Las multas específicas de GPAI son aparte: hasta 15 millones de euros o el 3 %, impuestas por la Comisión según el artículo 101 al proveedor del modelo, no por ninguna autoridad croata.
Ejemplo resuelto: una empresa de tecnología de RR. HH. de Zagreb
Considera Kadrovik d.o.o., una empresa ficticia de software de RR. HH. con sede en Zagreb —unos 60 empleados, alrededor de 9 millones de euros de volumen de negocios anual— que vende una herramienta de cribado de currículums asistida por IA a empleadores croatas y regionales de tamaño medio.
El cribado de currículums para la contratación es un caso de uso de alto riesgo del anexo III (empleo y gestión de los trabajadores). Como Kadrovik desarrolla la herramienta y la introduce en el mercado con su propio nombre, es proveedor según el artículo 16 —el rol más pesado—, no un mero responsable del despliegue. Sus obligaciones incluyen un sistema de gestión de riesgos del artículo 9, documentación técnica del anexo IV, una evaluación de la conformidad del artículo 43, supervisión humana según el artículo 14 y registro según el artículo 49.
¿Y el órgano de aplicación? Hoy no hay ninguna autoridad croata de vigilancia del mercado de IA confirmada, así que Kadrovik aún no puede nombrar a "su" regulador de IA. Pero la herramienta trata datos personales de los candidatos, así que AZOP ya la supervisa según el RGPD, y el artículo 35 del RGPD ya exige una evaluación de impacto relativa a la protección de datos. La secuencia sensata para Kadrovik: construir ya la documentación de la Ley de IA con vistas a la fecha de alto riesgo del 2 de diciembre de 2027, mantener alineadas las evaluaciones del RGPD y de la Ley de IA, y estar atenta a la ley de aplicación croata para confirmar quién inspecciona. Con un volumen de negocios de 9 millones de euros, su exposición de alto riesgo en el peor de los casos es del 3 % —unos 270 000 €—, no los llamativos 15 millones.
Cómo ayuda Confir a las empresas croatas
Un equipo de cumplimiento croata que afronta un panorama de aplicación sin asentar tiene aun así un conjunto fijo de obligaciones que documentar: un inventario de IA, la clasificación del artículo 6 con la lógica del anexo III, la asignación de roles, los registros de riesgo del artículo 9, el expediente técnico del anexo IV, la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando corresponde, y la vigilancia poscomercialización del artículo 72.
Confir es software de cumplimiento alojado en la UE creado exactamente para este trabajo. Su motor de clasificación es basado en reglas y determinista —codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma admisión siempre arroja la misma conclusión con una explicación legible para humanos de qué regla se activó. Genera el paquete de documentación técnica del anexo IV y la declaración de conformidad del artículo 47 / anexo V, y ejecuta la evaluación del artículo 27. La revisión estructurada abarca cuatro áreas: clasificación de riesgo, datos y solidez técnica, transparencia y supervisión humana, y gobernanza y vigilancia poscomercialización.
Qué deberían hacer ahora las empresas croatas
De inmediato: audita en busca de cualquier práctica prohibida del artículo 5 —ya son exigibles, con independencia de la autoridad que falta en Croacia. Si un sistema encaja en una categoría prohibida y no aplica ninguna exención, deténlo o reestructúralo.
Antes del 2 de agosto de 2026: alinea chatbots, asistentes de voz y herramientas de contenido de IA con la transparencia del artículo 50 —hay que avisar a los usuarios cuando interactúan con IA o con contenido sintético.
A lo largo de 2026-2027: construye el inventario de IA, clasifica los sistemas según el artículo 6 con el filtro del artículo 6(3), asigna los roles de proveedor o responsable del despliegue, y empieza la documentación de cualquier sistema de alto riesgo, planificando frente al 2 de diciembre de 2027.
De forma continua: sigue la ley de aplicación croata y la eventual designación del artículo 70 —eso es lo que te dirá, por fin, qué autoridad inspecciona tu IA. Hasta entonces, trata a AZOP y al RGPD como el punto fijo más firme.
Guías relacionadas
- Quién aplica la Ley de IA
- Fundamentos de la Ley de IA
- Las sanciones de la Ley de IA explicadas
- Obligaciones de proveedor frente a responsable del despliegue
- Guía de cumplimiento para pequeñas empresas
- La Ley de IA en la República Checa
- La Ley de IA en Polonia
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →