La Ley de IA en Chipre: autoridades, aplicación y qué deben hacer las empresas
Chipre designó pronto sus autoridades de la Ley de IA: el Comisionado de Comunicaciones lidera, la APD cosupervisa. Roles, sanciones, plazo dic. 2027.
Chipre es uno de los Estados de la UE que se movió pronto con la Ley de IA. Mientras varios Estados miembros se saltaron el plazo del 2 de agosto de 2025 del artículo 70, Chipre designó sus autoridades nacionales por decisión del Consejo de Ministros en enero de 2025 —antes de lo previsto. El organismo principal es el Comisionado de Comunicaciones, con la autoridad de protección de datos cosupervisando los sistemas más sensibles para los derechos. Esa claridad es inusual en un Estado pequeño, y son buenas noticias para las empresas chipriotas: sabes con quién tratar.
La Ley de IA de la UE, el Reglamento (UE) 2024/1689, se aplica directamente en Chipre. Esta guía expone las autoridades designadas, cómo queda el calendario tras el Ómnibus Digital, las sanciones y qué deberían hacer ahora los proveedores y los responsables del despliegue chipriotas.
Un reglamento, no una directiva: no hace falta transposición chipriota
La Ley de IA de la UE es un reglamento. Entró en vigor el 1 de agosto de 2024 y se aplica directamente en Chipre en virtud del artículo 288 del Tratado de Funcionamiento de la Unión Europea —no se requiere ninguna ley chipriota para que las obligaciones surtan efecto. Las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025, la alfabetización en IA del artículo 4 desde la misma fecha y los deberes de GPAI del capítulo V desde el 2 de agosto de 2025.
Lo que Chipre tenía que aportar —y aportó pronto— es la infraestructura de aplicación: una autoridad de vigilancia del mercado designada, una autoridad notificante y un punto de contacto único para la Oficina de IA de la UE. Una legislación nacional de aplicación específica, que detalla el procedimiento interno, todavía estaba en preparación a mediados de 2026, pero las designaciones de las autoridades ya están en vigor.
¿Quién aplica la Ley de IA en Chipre?
Mediante una decisión del Consejo de Ministros de enero de 2025, Chipre fijó un modelo centralizado con un cosupervisor definido para los ámbitos sensibles.
| Rol según la Ley de IA | Organismo chipriota |
|---|---|
| Autoridad notificante + autoridad de vigilancia del mercado + punto de contacto único (artículo 70) | Comisionado de Comunicaciones (Oficina del Comisionado de Comunicaciones Electrónicas y Regulación Postal, OCECPR) |
| Autoridad de vigilancia del mercado adicional para ciertos sistemas de alto riesgo | Comisionada para la Protección de Datos Personales (la autoridad de protección de datos) |
| Dirección de políticas y coordinación estratégica | Viceministerio de Investigación, Innovación y Política Digital (DMRID) |
| Autoridades de derechos fundamentales (artículo 77) | Comisionada para la Protección de Datos Personales; el Defensor del Pueblo (Comisionado para la Administración y los Derechos Humanos); el Fiscal General |
| Organismo nacional de acreditación | Organización Chipriota de Normalización (CYS) |
El Comisionado de Comunicaciones: la autoridad central
El Comisionado de Comunicaciones —que opera a través de la OCECPR— es el eje del modelo chipriota: es la autoridad notificante, la autoridad de vigilancia del mercado y el punto de contacto único para la Oficina de IA de la UE, todo en un mismo organismo. Gestiona un portal específico de la Ley de IA (en griego e inglés) con un proceso de notificación y un canal de reclamaciones. Para la mayoría de las empresas chipriotas, esta es la autoridad con la que tratarás en materia de conformidad, registro y aplicación.
La Comisionada de Protección de Datos: cosupervisora de los sistemas sensibles
La Comisionada para la Protección de Datos Personales lleva dos sombreros en el modelo chipriota. Es una autoridad de vigilancia del mercado adicional para los sistemas de IA de alto riesgo en ámbitos sensibles desde el punto de vista de los datos —piensa en la biometría y otros casos de uso del anexo III intensivos en derechos—, trabajando junto al Comisionado de Comunicaciones. Es también una de las autoridades de derechos fundamentales del artículo 77. Así que una empresa chipriota que despliega, por ejemplo, un sistema biométrico debería esperar el interés de la comisionada de protección de datos además de la función de vigilancia del mercado del Comisionado de Comunicaciones.
DMRID: política, no aplicación
Conviene ser preciso aquí, porque los nombres invitan a la confusión. El Viceministerio de Investigación, Innovación y Política Digital marca la dirección de la política nacional de IA y coordina el marco de gobernanza, y representa a Chipre en el Consejo Europeo de Inteligencia Artificial. No es la autoridad de vigilancia del mercado ni la notificante —esos son los roles del Comisionado de Comunicaciones. No trates al DMRID como el organismo que audita o multa.
La GPAI se supervisa desde Bruselas
Como en toda la UE, los proveedores de modelos de IA de uso general son supervisados directamente por la Oficina de IA de la UE en Bruselas, no por ningún organismo chipriota. Los desarrolladores chipriotas de modelos fundacionales deberían participar en el proceso de los códigos de buenas prácticas de la Oficina de IA.
Estrategia nacional y legislación de aplicación
Chipre se movió pronto también en política: adoptó su primera Estrategia Nacional de IA por decisión del Consejo de Ministros en enero de 2020, construida sobre pilares de inversión, datos, competencias e IA fiable. Un grupo de trabajo nacional de IA creado en 2025 prepara una estrategia renovada, pero no se había publicado a mediados de 2026.
En el plano jurídico: las designaciones de las autoridades están en vigor (la decisión del Consejo de Ministros de enero de 2025), pero una ley nacional específica de aplicación de la IA —que detalle los procedimientos y las particularidades de la aplicación interna— todavía estaba en preparación a mediados de 2026. Las obligaciones sustantivas y los niveles de sanción proceden del propio reglamento y no esperan a esa ley nacional.
El calendario de la Ley de IA tal como se aplica en Chipre
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor, exigibles ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza, Oficina de IA, sanciones del artículo 99 |
| 2 de agosto de 2026 | Aplicación general, incluida la transparencia de riesgo limitado del artículo 50 (chatbots, ultrafalsificaciones) |
| 2 de diciembre de 2026 | Nuevo: prohibición de CSAM / herramientas «desnudadoras» y marcado de contenido sintético del artículo 50 |
| 2 de diciembre de 2027 | Sistemas de IA de alto riesgo independientes (anexo III) — adoptado con el Ómnibus Digital |
| 2 de agosto de 2028 | IA de alto riesgo como componente de seguridad de productos regulados del anexo I — adoptado |
Dos puntos para las empresas chipriotas.
Primero, el plazo de alto riesgo ya no es el 2 de agosto de 2026. Con el Ómnibus Digital —el paquete de modificaciones de la Comisión, con acuerdo político del Parlamento y el Consejo el 6-7 de mayo de 2026—, los sistemas de alto riesgo independientes del anexo III se aplazan al 2 de diciembre de 2027 y los integrados en productos al 2 de agosto de 2028. Este aplazamiento ya está adoptado: el pleno del Parlamento votó a favor el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada para el alto riesgo independiente del anexo III.
Segundo, como las autoridades de Chipre ya están designadas, aquí no hay margen de "todavía no hay regulador". El Comisionado de Comunicaciones ya puede actuar sobre las prohibiciones del artículo 5, y la capa de GPAI se aplica desde Bruselas.
Sanciones: a qué se enfrentan las empresas chipriotas
Los topes de las multas los fija el artículo 99 del reglamento y se aplican en toda Chipre. Hay exactamente tres niveles; no deben citarse cifras de multa específicas de Chipre.
- 35 000 000 € o el 7 % del volumen de negocios anual total mundial (lo que sea mayor) — por las prohibiciones del artículo 5. Art. 99(3).
- 15 000 000 € o el 3 % — para la mayoría de las demás obligaciones: requisitos de alto riesgo (artículos 9-15), deberes del proveedor (artículo 16), deberes del responsable del despliegue (artículo 26) y transparencia del artículo 50. Art. 99(4).
- 7 500 000 € o el 1 % — por facilitar información incorrecta, incompleta o engañosa a las autoridades o a los organismos notificados. Art. 99(5).
Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al menor entre la suma fija o el porcentaje. Una empresa chipriota con 4 millones de euros de volumen de negocios no puede enfrentarse a una multa de 15 millones por una infracción de alto riesgo: el 3 % de 4 millones es 120 000 €, el tope aplicable. El tercer nivel es del 1 %, nunca del 1,5 %. Los proveedores de modelos GPAI se enfrentan a un instrumento aparte: hasta 15 millones de euros o el 3 % según el artículo 101, impuesto por la Comisión.
Ejemplo resuelto: un responsable del despliegue chipriota de iGaming
Considera Aphrodite Interactive Ltd, una empresa ficticia de servicios en línea de Limasol —unos 120 empleados, ~18 millones de euros de volumen de negocios— que despliega una herramienta de IA para verificar la identidad de los clientes mediante cotejo facial en la incorporación.
La verificación de identidad biométrica está en el territorio de la biometría del anexo III, y la biometría es la única área del anexo III canalizada hacia la evaluación de la conformidad por tercero del anexo VII, no la autoevaluación. Como responsable del despliegue según el artículo 26, Aphrodite Interactive debe garantizar la supervisión humana del artículo 14, seguir las instrucciones del proveedor y dar el aviso del artículo 50(3) cuando entra en juego la categorización biométrica. Y, lo que es crucial, la estructura de Chipre implica que entran en escena dos autoridades: el Comisionado de Comunicaciones como autoridad general de vigilancia del mercado, y la Comisionada para la Protección de Datos Personales como cosupervisora de los sistemas de alto riesgo biométricos / sensibles en datos. Aphrodite Interactive debería mapear ya ambas relaciones —y comprobar si la verificación de identidad uno a uno (cotejo estilo «inicio de sesión facial del móvil») llega siquiera al umbral de alto riesgo para su uso concreto, porque no toda comprobación biométrica es automáticamente de alto riesgo. Esa decisión de clasificación es justo donde el análisis del artículo 6 gana su sueldo.
Cómo ayuda Confir
Los equipos chipriotas tienen la ventaja de contar con autoridades nombradas, pero aun así afrontan un conjunto de obligaciones cargado de documentación. Confir es una herramienta de cumplimiento alojada en la UE creada para este trabajo. Su motor de clasificación es determinista y basado en reglas —codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma admisión arroja la misma conclusión con una explicación legible para humanos de qué regla se activó. Construye el inventario de IA, deriva el rol de proveedor/responsable del despliegue, genera la documentación técnica del anexo IV y la EIDF del artículo 27, y ejecuta una evaluación estructurada que abarca clasificación de riesgo, solidez de datos, transparencia y supervisión humana, y vigilancia poscomercialización —útil cuando dos autoridades chipriotas pueden interesarse ambas por el mismo sistema.
Qué deberían hacer ahora las empresas chipriotas
De inmediato: audita en busca de prácticas prohibidas del artículo 5 —puntuación social, extracción no selectiva de imágenes faciales, categorización biométrica por rasgos sensibles, reconocimiento de emociones en el trabajo o en centros educativos. El Comisionado de Comunicaciones ya puede actuar sobre ellas; la capa de GPAI se aplica desde Bruselas.
Antes del 2 de agosto de 2026: prepárate para la transparencia del artículo 50 —etiqueta los chatbots, marca el contenido sintético, revela las ultrafalsificaciones y da los avisos de biometría / reconocimiento de emociones. Esta fecha no se aplazó.
A lo largo de 2026-2027: construye el inventario de IA, clasifica cada sistema, aplica el filtro del artículo 6(3), asigna los roles y empieza la documentación de alto riesgo. El aplazamiento del Ómnibus ya está adoptado, a la espera solo de su publicación en el Diario Oficial, así que trata el 2 de diciembre de 2027 como la fecha asentada. Para los sistemas biométricos o sensibles en datos, implica pronto tanto al Comisionado de Comunicaciones como a la comisionada de protección de datos.
De forma continua: está atento a la ley nacional específica de aplicación, que añadirá detalle procedimental interno, y sigue el portal de la Ley de IA del Comisionado de Comunicaciones para orientaciones y requisitos de notificación.
Guías relacionadas
- Fundamentos de la Ley de IA
- Cumplimiento para pequeñas empresas
- Artículo 5: prácticas prohibidas
- Las sanciones del artículo 99 explicadas
- Obligaciones de transparencia del artículo 50
- El Ómnibus Digital, definido
- Autoridad de vigilancia del mercado, definida
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →