La Ley de IA en Dinamarca: autoridades, plazos y obligaciones empresariales
Cómo se aplica la Ley de IA en Dinamarca: directamente aplicable, sin transposición, plazos de la UE, la autoridad del art. 70. Qué hacer ya.
Directamente. La Ley de IA de la UE —el Reglamento (UE) 2024/1689— se aplica en Dinamarca por la fuerza del propio derecho de la UE, sin que haga falta ninguna ley danesa para crear las obligaciones. La pregunta específica de Dinamarca no es si Dinamarca ha «adoptado» la Ley; es qué obligaciones se aplican ya, y qué autoridad nacional las operativizará. Esta guía responde a ambas para proveedores, responsables del despliegue, importadores y distribuidores que operan en Dinamarca.
Dinamarca está sistemáticamente entre los sectores públicos más digitalizados de la UE, lo que sitúa de lleno la automatización del sector público en el marco de alto riesgo y eleva lo que está en juego con la evaluación de impacto relativa a los derechos fundamentales del artículo 27. Este artículo expone las obligaciones directamente aplicables, el mecanismo de designación del artículo 70, el solapamiento con el RGPD, el calendario, las sanciones y un ejemplo resuelto.
La Ley de IA se aplica en Dinamarca directamente — sin transposición danesa
El Reglamento (UE) 2024/1689 es un reglamento, no una directiva. En virtud del artículo 288 del TFUE, un reglamento se aplica directamente en cada Estado miembro, Dinamarca incluida, sin una ley nacional de aplicación que cree los deberes sustantivos. Las empresas alemanas y suecas no esperan a una ley interna antes de que la Ley surta efecto, y las danesas tampoco.
Las obligaciones ya están vigentes con independencia de cualquier paso nacional. Las prácticas prohibidas del artículo 5 y los deberes de alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025. Las obligaciones de modelos de IA de uso general (GPAI) del capítulo V (artículos 51-55) se aplican desde el 2 de agosto de 2025.
Lo que Dinamarca debe hacer según el artículo 70 es más estrecho que volver a legislar la Ley: designar autoridades nacionales competentes —al menos una autoridad notificante y al menos una autoridad de vigilancia del mercado—, nombrar un punto de contacto único para la Oficina de IA de la UE y conferir potestades de aplicación internas para que esas autoridades puedan investigar y multar. Eso es procedimiento y maquinaria, no las reglas sustantivas.
Donde la guía de Alemania sigue una ley de aplicación nombrada (la KI-MIG) y la de Suecia sigue una autoridad propuesta nombrada (PTS vía SOU 2025:101), esta guía deliberadamente no inventa el nombre de una autoridad danesa. Aviso de revisión humana: no nombres una autoridad competente danesa concreta ni un acto de aplicación danés concreto salvo que se haya verificado con la notificación vigente de Dinamarca a la Comisión.
El mecanismo de designación del artículo 70 — y qué verificar
El artículo 70 exige que cada Estado miembro designe al menos una autoridad notificante y al menos una autoridad de vigilancia del mercado (AVM) como sus autoridades nacionales competentes, y que las comunique a la Comisión. El hito para esa comunicación era el 2 de agosto de 2025. El mecanismo es uniforme en toda la Unión; lo que difiere es el organismo nacional que cada Estado nomina.
Describe el panorama de candidatos daneses solo en términos de mecanismo. Dinamarca tiene instituciones sólidas de gobierno digital y organismos consolidados de vigilancia del mercado y de protección de datos, cualquiera de los cuales podría en principio acoger el mandato de la Ley de IA. Pero cuál lo ostenta es competencia de la designación oficial —confírmalo, y cualquier acto de aplicación danés, con la fuente oficial antes de tratar ambos como resueltos.
El artículo 74 rige la vigilancia del mercado. Una vez que las potestades de aplicación danesas estén en vigor, la AVM designada obtiene la facultad de auditar la documentación técnica del anexo IV, revisar las evaluaciones de la conformidad y la vigilancia poscomercialización del artículo 72, ordenar medidas correctoras, exigir retiradas e imponer las multas del artículo 99.
La GPAI queda excluida de la supervisión nacional. Los proveedores de modelos de IA de uso general son supervisados directamente por la Oficina de IA de la UE en Bruselas, con multas de la Comisión según el artículo 101 —no por ninguna autoridad nacional danesa. Un punto de contacto único danés se limita a coordinarse con Bruselas; no supervisa los modelos GPAI.
El contexto de gobierno digital de Dinamarca y por qué eleva lo que está en juego
Dinamarca está, por mediciones repetidas, entre los sectores públicos más digitalizados de la UE, con un uso extendido de la identidad digital y la tramitación automatizada de expedientes en toda la administración pública. Ese es el telón de fondo fáctico, sin atribuir despliegues de IA concretos a organismos daneses nombrados.
Importa por dónde aterriza el anexo III. El anexo III, punto 5(a) cubre la IA usada por las autoridades públicas para evaluar la admisibilidad a prestaciones y servicios públicos esenciales; el anexo III, punto 8 cubre la administración de justicia y los procesos democráticos. Un sector público muy automatizado tiene, por tanto, más sistemas en el marco de alto riesgo que uno menos digitalizado.
Esa exposición conecta directamente con el artículo 27. La evaluación de impacto relativa a los derechos fundamentales es obligatoria para los organismos públicos —y los organismos de derecho público— que despliegan sistemas de alto riesgo del anexo III, y para los responsables del despliegue privados en las categorías de solvencia (punto 5(b)) y de seguros de vida y de salud (punto 5(c)). Para un sector público danés que ejecuta puntuación de admisibilidad a escala, la EIDF no es un deber marginal; es un área de foco temprano.
Los roles siguen. Un municipio o un organismo danés que explota una herramienta de puntuación de admisibilidad es responsable del despliegue según el artículo 26. Si construye el sistema, o modifica sustancialmente uno, el artículo 25 puede convertirlo en proveedor con la pila completa de obligaciones.
Cómo se acumula la Ley de IA con el RGPD en Dinamarca
El RGPD y la Ley de IA de la UE corren en paralelo para cualquier sistema de IA que trate datos personales —lo que cubre la mayoría de los sistemas de alto riesgo del anexo III. La Agencia Danesa de Protección de Datos (Datatilsynet) sigue aplicando el RGPD; ese papel no cambia con la Ley de IA, y ambos marcos se acumulan.
El solapamiento más práctico es entre la evaluación de impacto relativa a la protección de datos (EIPD) del artículo 35 del RGPD y la EIDF del artículo 27 de la Ley de IA. Ambas son evaluaciones obligatorias previas al despliegue de los riesgos para los derechos fundamentales. El artículo 27(4) permite expresamente que la EIDF se apoye en una EIPD existente cuando el alcance se solapa, así que ambas están diseñadas para engranar en lugar de duplicarse.
La conservación de registros también interactúa. Los deberes de registro automático del artículo 12 para los sistemas de alto riesgo conviven con los deberes de transparencia y de revisión humana del artículo 22 del RGPD sobre las decisiones automatizadas. Un responsable del despliegue danés que explota una herramienta de puntuación de alto riesgo carga con obligaciones de ambos instrumentos a la vez.
El punto de secuenciación para los responsables del despliegue daneses es sencillo: construye la base fáctica una vez —descripción del sistema, fuentes de datos, categorías de personas afectadas— y reutilízala en la EIPD y en la EIDF. Cuando un sistema de alto riesgo trata datos personales a escala, espera que tanto Datatilsynet como la autoridad designada de la Ley de IA se interesen.
El calendario de la Ley de IA tal como se aplica en Dinamarca
Las fechas de abajo son de ámbito europeo e idénticas en todos los Estados miembros. No existen plazos específicos de Dinamarca:
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor, exigibles ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V, artículos 51-55), órganos de gobernanza, la Oficina de IA y las disposiciones sancionadoras del artículo 99; también el hito de comunicación de autoridades del artículo 70 |
| 2 de agosto de 2026 | Aplicación general; fecha legal de los sistemas de alto riesgo independientes del anexo III según el artículo 6(2) — léela como la ley salvo que se adopte el Ómnibus Digital |
| 2 de diciembre de 2026 | Deberes de marcado de contenido del artículo 50 para el contenido sintético y generado por IA (Ómnibus, adoptado) |
| 2 de agosto de 2027 | IA de alto riesgo como componente de seguridad de productos regulados del anexo I — fecha legal del artículo 6(1) |
Importan dos salvedades. Primera, el Ómnibus Digital alcanzó un acuerdo político el 6-7 de mayo de 2026 (el COREPER en torno al 13 de mayo de 2026) para aplazar los sistemas de alto riesgo del anexo III al 2 de diciembre de 2027 y los integrados en productos del anexo I (artículo 6(1)) al 2 de agosto de 2028. Añade también un deber de marcado de contenido y una prohibición de CSAM / herramientas «desnudadoras». El paquete ya está adoptado: el pleno del Parlamento Europeo votó a favor el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026. Solo falta la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada.
Segunda, no todo se aplaza. Las prohibiciones del artículo 5, los deberes de alfabetización del artículo 4, las obligaciones de GPAI y los deberes de transparencia del artículo 50 no se ven afectados. Tratar el Ómnibus como un indulto general es una trampa.
Sanciones a las que se enfrentan las empresas danesas según el artículo 99
El artículo 99 fija tres niveles, cada uno expresado como el mayor entre una suma fija o un porcentaje del volumen de negocios anual total mundial.
- 35 millones de euros o el 7 % del volumen de negocios anual total mundial, lo que sea mayor — artículo 99(3), por infringir las prácticas prohibidas del artículo 5.
- 15 millones de euros o el 3 % — artículo 99(4), por incumplir la mayoría de las demás obligaciones: requisitos de alto riesgo (artículos 9-15), deberes del proveedor (artículo 16), deberes del responsable del despliegue (artículo 26) y transparencia del artículo 50.
- 7,5 millones de euros o el 1 % — artículo 99(5), por facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades competentes. El tercer nivel es del 1 %, no del 1,5 %; no hay ningún nivel del 1,5 % en el reglamento.
Para las pymes y las empresas emergentes, el artículo 99(6) aporta proporcionalidad: la multa se limita al menor entre el importe fijo o el porcentaje. Toma una empresa danesa de tamaño medio con unos 40 millones de euros de volumen de negocios que infringe una obligación de alto riesgo. La cifra llamativa son 15 millones, pero el 3 % de 40 millones son 1,2 millones —y como rige la cifra menor, 1,2 millones es el tope aplicable.
La aplicación nacional depende de que la autoridad danesa designada tenga potestades internas en vigor; la prohibición del artículo 5, no obstante, se aplica con independencia de ello. Las multas de GPAI son aparte: hasta 15 millones de euros o el 3 %, impuestas por la Comisión según el artículo 101.
Ejemplo resuelto: una empresa danesa de tecnología sanitaria de 250 personas
Considera Nordhelse, una empresa en expansión de salud digital ilustrativa (ficticia) con sede en Copenhague —unos 250 empleados y alrededor de 40 millones de euros de volumen de negocios anual.
Línea de producto uno: una herramienta de apoyo a la decisión clínica. Esta se cualifica como producto sanitario según el Reglamento de Productos Sanitarios (RPS) 2017/745, que se sitúa en la sección A del anexo I. Según el artículo 43(3), la conformidad de un producto de la sección A del anexo I se canaliza a través de los actos sectoriales RPS/RDIV en lugar de la vía independiente del artículo 43. Los requisitos de los artículos 8-15 siguen aplicándose; la vía de conformidad es la sectorial.
Línea de producto dos: una herramienta independiente de IA de cribado de selección usada para su propia contratación. Es empleo del anexo III, punto 4(a), y toma directamente la pila completa de alto riesgo —artículos 9-15, deberes del proveedor del artículo 16 o deberes del responsable del despliegue del artículo 26, y evaluación de la conformidad del artículo 43— salvo que el filtro de tarea procedimental del artículo 6(3) la saque del alto riesgo.
Análisis de rol. Como constructora de ambas herramientas, Nordhelse es proveedora según el artículo 16. Si en cambio hubiera licenciado una herramienta de cribado de un tercero y solo la explotara, sería responsable del despliegue según el artículo 26 —y afinar o rebautizar esa herramienta podría activar el estatus de proveedor del artículo 25.
Calendario. Las prohibiciones y los deberes de alfabetización ya se aplican. La GPAI no es relevante salvo que entrene un modelo de uso general. Las obligaciones de alto riesgo ya apuntan al 2 de diciembre de 2027 —el aplazamiento del Ómnibus Digital está adoptado, a la espera solo de su publicación en el Diario Oficial. Conjunto de acciones: un inventario de IA, el filtro del artículo 6(3), una EIDF cuando sea responsable del despliegue en una categoría cubierta, la coordinación EIPD/EIDF frente a la exposición ante Datatilsynet, y un paquete de documentación del anexo IV.
Consideraciones de cumplimiento específicas de Dinamarca
Peso de la EIDF en el sector público. Dada la administración pública automatizada de Dinamarca, la EIDF del artículo 27 para las herramientas de admisibilidad del anexo III, punto 5(a) y los sistemas de justicia y democracia del punto 8 es un foco temprano probable. El cumplimiento del sector público es de alta visibilidad y fija el estándar que otros siguen.
Prácticas prohibidas que cribar ahora. El artículo 5(1)(f) prohíbe el reconocimiento de emociones en el trabajo y en la educación; el artículo 5(1)(g) prohíbe la categorización biométrica que infiera atributos sensibles; el artículo 5(1)(a) cubre las técnicas subliminales y manipuladoras. Todas relevantes para la edtech y la HR-tech danesas, y exigibles desde el 2 de febrero de 2025.
Alcance transfronterizo. Dinamarca es un Estado miembro de la UE, así que la Ley se aplica directamente sin paso de incorporación al EEE. Por separado, el alcance extraterritorial del artículo 2 atrapa a cualquier proveedor o responsable del despliegue que introduce IA en el mercado de la UE con independencia de su establecimiento —así que un proveedor de fuera de la UE que vende en Dinamarca queda atrapado.
Riesgo de cambio de rol del artículo 25 para los personalizadores daneses. Un responsable del despliegue que modifica sustancialmente un sistema de alto riesgo, cambia su finalidad prevista a un uso de alto riesgo o lo introduce con su propio nombre se convierte en proveedor con la pila completa del artículo 16 —incluida la repetición de la evaluación de la conformidad. Las empresas que personalizan mucho la IA de proveedores externos deberían ejecutar este análisis antes de suponer el rol más ligero de responsable del despliegue.
Espacio controlado de pruebas regulatorio. Los artículos 57-59 exigen al menos un espacio controlado de pruebas de IA por Estado miembro antes del 2 de agosto de 2026, con acceso prioritario y sin tasas para las pymes y las empresas emergentes según el artículo 58. Las empresas danesas con sistemas difíciles de clasificar deberían seguirlo una vez puesto en marcha.
Deberes de importadores y distribuidores. El artículo 23 (importador) y el artículo 24 (distribuidor) se aplican a las empresas danesas que importan o revenden IA de alto riesgo de terceros.
Cómo ayuda Confir a las empresas danesas
Los equipos de cumplimiento daneses afrontan un conjunto de obligaciones cargado de documentación: gestión de riesgos del artículo 9, documentación técnica del anexo IV, EIDF del artículo 27, preparación de la conformidad del artículo 43 y vigilancia poscomercialización del artículo 72.
Confir es una herramienta de cumplimiento alojada en la UE creada para ese trabajo. Su motor de clasificación es basado en reglas y determinista —sin inferencia de modelos, sin alucinaciones. Codifica los artículos 5 y 6 con la lógica del anexo III en reglas explícitas, de modo que la misma admisión produce siempre la misma conclusión con una explicación legible para humanos de qué regla se activó, lo que hace la salida defendible en una auditoría. Genera el paquete de documentación técnica del anexo IV, la declaración de conformidad del artículo 47 / anexo V y la EIDF del artículo 27. La evaluación abarca cuatro áreas estructuradas: clasificación de riesgo (AIRC), datos y solidez técnica (AITR), transparencia y supervisión humana (AITO) y gobernanza y vigilancia poscomercialización (AIGM). El soporte del flujo de trabajo de GPAI es parcial y está en la hoja de ruta.
Qué deberían hacer ahora las empresas danesas
De inmediato. Audita en busca de prácticas prohibidas del artículo 5 —reconocimiento de emociones en el trabajo o en la educación, categorización biométrica por atributos sensibles, técnicas manipuladoras, extracción no selectiva de imágenes faciales, puntuación social. En vigor desde el 2 de febrero de 2025. Reestructura o detén cualquier sistema no conforme.
Antes del 2 de agosto de 2026. Cumple la transparencia del artículo 50 para cualquier IA que interactúe con personas: los chatbots revelan que son IA; las ultrafalsificaciones y los medios sintéticos se revelan como generados artificialmente; las salidas generativas se marcan de forma legible por máquina. Los deberes de marcado de contenido llegan el 2 de diciembre de 2026 con el Ómnibus (adoptado).
Preparación de alto riesgo 2026-2027. Construye el inventario de IA, aplica el filtro del artículo 6(3), asigna los roles de proveedor, responsable del despliegue, importador y distribuidor, y empieza la documentación del anexo IV y las EIDF —planificando ya con el 2 de diciembre de 2027 como fecha asentada, dado que el aplazamiento del Ómnibus Digital está adoptado y solo falta su publicación en el Diario Oficial.
De forma continua. Vigila la designación oficial de la autoridad del artículo 70 de Dinamarca y cualquier acto de aplicación danés; sigue el Ómnibus Digital a través del Parlamento y el Consejo; y sigue la orientación de GPAI de la Oficina de IA de la UE si construyes o integras modelos fundacionales. Verifica la autoridad nombrada con fuentes oficiales antes de basarte en esta guía para el contacto de aplicación.
Guías relacionadas
- La Ley de IA en Alemania: aplicación y roles de las autoridades
- La Ley de IA en Suecia: autoridad propuesta y obligaciones
- Plazos y fechas de aplicación de la Ley de IA
- autoridad de vigilancia del mercado — glosario
- Cumplimiento de la Ley de IA: por dónde empezar
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →