La Ley de IA en Estonia: quién la aplica y qué hacer ahora
Estonia designará a la TTJA como autoridad de la Ley de IA, con la AKI en datos. Quién la aplica, las sanciones y el calendario de alto riesgo de 2027.
No esperas a una ley estonia para que la Ley de IA de la UE se te aplique. El Reglamento (UE) 2024/1689 es directamente aplicable en Estonia desde las fechas que fija el propio reglamento —las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025, y las obligaciones surten efecto con independencia de en qué punto esté Estonia de ultimar su configuración nacional de aplicación. Para la economía de e-Estonia, cargada hacia el responsable del despliegue —un país que hace pasar más servicios públicos por software que casi cualquier otro en la UE—, la pregunta práctica rara vez es «¿está esto transpuesto todavía?». Es «¿cuáles de mis sistemas de IA quedan atrapados, qué debo hacer y quién en Tallin preguntará por ello?».
Esta guía expone las autoridades competentes que Estonia está designando, qué se está ultimando todavía, el calendario corregido tras el Ómnibus Digital, las sanciones y un ejemplo resuelto concreto para una pyme estonia.
Un reglamento, no una directiva — no hace falta transposición estonia
La Ley de IA de la UE es un reglamento. En virtud del artículo 288 del Tratado de Funcionamiento de la UE, surte efecto en Estonia directamente, en el calendario del propio reglamento, sin que se requiera ninguna ley estonia de aplicación para que sus obligaciones sean vinculantes. Este es el punto más importante para las empresas estonias, y el que más a menudo se malinterpreta: la ausencia de una ley nacional específica no te compra tiempo.
A junio de 2026 no hay una ley estonia de aplicación de la Ley de IA independiente confirmada. Lo que hace una medida nacional —cuando llega— es engranar el reglamento en el derecho administrativo estonio: confirmar qué organismo ostenta qué rol, fijar el procedimiento interno para las multas y alinear la supervisión sectorial existente. No crea ni pospone los deberes sustantivos. Esos ya están corriendo.
Así que las prohibiciones del artículo 5 están vigentes hoy en Estonia. Las obligaciones de IA de uso general (GPAI) del capítulo V se aplican desde el 2 de agosto de 2025. Y el régimen de alto riesgo llega en su propio calendario (más abajo) se haya aprobado o no para entonces una ley estonia.
¿Quién aplica la Ley de IA en Estonia?
Estonia ha adoptado un modelo de supervisión multiautoridad —no hay un único «superregulador» de IA. La responsabilidad se reparte entre el organismo previsto para los sistemas de IA, el supervisor de protección de datos y, para los modelos de uso general, un organismo de nivel europeo en Bruselas.
La TTJA — el organismo previsto para los sistemas de IA
La TTJA —la Autoridad de Protección del Consumidor y de Regulación Técnica (Tarbijakaitse ja Tehnilise Järelevalve Amet)— está prevista para actuar como autoridad competente de Estonia para los sistemas de IA, y ya ha empezado a emitir orientación pública para las empresas. Según su propia descripción, la TTJA presenta el rol de autoridad competente como uno que desempeñará en adelante, una vez que se resuelva la designación. Es el organismo consolidado de vigilancia del mercado y de regulación técnica de Estonia, así que la vigilancia del mercado de la Ley de IA encaja con naturalidad junto a su competencia existente en seguridad de productos y conformidad.
Una cosa que conviene declarar con claridad en lugar de exagerar. El reglamento exige que cada Estado miembro designe, según el artículo 70, tanto una autoridad de vigilancia del mercado como un punto de contacto único para la Oficina de IA de la UE, además de una autoridad notificante para los organismos de evaluación de la conformidad. La TTJA ha sido prevista como autoridad competente para los sistemas de IA —es el organismo que supervisará los sistemas de IA y ya publica orientación—, pero la designación completa de punto de contacto único y autoridad notificante todavía se está ultimando. Trata a la TTJA como tu contraparte de aplicación para los sistemas de IA, y está atento a la confirmación de los roles restantes del artículo 70 en lugar de suponer que un único organismo ya los ostenta todos.
Una nota sobre los plazos: el plazo de designación del artículo 70 era el 2 de agosto de 2025, y varios Estados miembros —Estonia entre los que aún ultiman— no completaron la designación completa en esa fecha. Un retraso en nombrar a las autoridades no retrasa las obligaciones; solo afecta a la maquinaria que las aplica.
La AKI — protección de datos en el tratamiento de IA
La AKI —la Inspección de Protección de Datos (Andmekaitse Inspektsioon)— supervisa la dimensión de protección de datos de la IA. Cuando un sistema de IA trata datos personales —lo que cubre casi todos los usos de alto riesgo del anexo III—, el RGPD y la Ley de Protección de Datos Personales (LPDP) de Estonia siguen aplicándose en su totalidad, supervisados por la AKI, además de los deberes de la Ley de IA que la TTJA está prevista para supervisar.
En la práctica esto significa que dos autoridades pueden tener un interés legítimo en el mismo sistema. Una empresa estonia que explota una herramienta de IA que criba candidatos a un puesto o puntúa el crédito responde ante la TTJA en materia de vigilancia del mercado de la Ley de IA y ante la AKI en materia de licitud del tratamiento, salvaguardias de las decisiones automatizadas (artículo 22 del RGPD) y evaluaciones de impacto relativas a la protección de datos (artículo 35 del RGPD). La documentación construida para una a menudo nutre a la otra.
La Oficina de IA de la UE — modelos de IA de uso general
Las empresas estonias que desarrollan e introducen en el mercado modelos de IA de uso general son supervisadas no por la TTJA sino directamente por la Oficina de IA de la UE en Bruselas, que tiene competencia sobre las obligaciones de GPAI de los artículos 53 y 55. Las multas a los proveedores de modelos GPAI las impone la Comisión según el artículo 101, aparte de la vía sancionadora nacional. La mayoría de las empresas emergentes estonias construyen sobre modelos de terceros en lugar de comercializar sus propios modelos fundacionales —si ese es tu caso, esta capa no es tu preocupación principal, pero conoce dónde está la línea.
La estrategia nacional de IA de Estonia: el plan «Kratt»
La política de IA de Estonia está anclada en el Plan de Acción de IA y Datos 2024-2026, conocido por el apodo «Kratt» —una criatura del folclore estonio, un sirviente ensamblado a partir de retales y traído a la vida para hacer el trabajo de su dueño, adoptado desde hace tiempo como la mascota del país para la IA aplicada. El plan lo lidera el Ministerio de Asuntos Económicos y Comunicaciones (MKM) y lleva un presupuesto de unos 85 millones de euros. Convive con el Libro Blanco de Datos e IA 2024-2030, más amplio, que fija la dirección estratégica a más largo plazo.
Para una empresa, la relevancia es contexto, no obligación: el plan «Kratt» señala que Estonia invierte en la adopción y la IA del sector público en lugar de construir un aparato sancionador punitivo. No cambia ni un solo deber del reglamento. Trasfondo útil; no un insumo de cumplimiento.
Un espacio controlado de pruebas regulatorio — esperado, aún no confirmado
El reglamento exige que cada Estado miembro establezca un espacio controlado de pruebas de IA antes del 2 de agosto de 2026 (artículos 57-59), con acceso prioritario y gratuito para las pymes y las empresas emergentes (artículo 58). Dada la densidad de empresas emergentes de Estonia y la postura del MKM, un espacio controlado nacional es ampliamente esperado —pero a junio de 2026 los detalles operativos no están confirmados. Si eres una pyme estonia que planea un producto de alto riesgo, trata un espacio controlado como una vía futura probable hacia las pruebas supervisadas, y consulta los canales del MKM y de la TTJA para el lanzamiento en lugar de basarte en él ahora.
Cómo clasifica tus sistemas la Ley de IA
El reglamento no clasifica empresas ni herramientas —clasifica usos. Cuatro niveles, más una categoría transversal aparte para los modelos de uso general:
| Nivel | Qué cubre | Qué significa para ti |
|---|---|---|
| Prohibido (artículo 5) | Puntuación social, extracción no selectiva de imágenes faciales, manipulación que explota vulnerabilidades, la mayoría de la identificación biométrica pública en tiempo real, reconocimiento de emociones en el trabajo / la educación | Prohibido de plano — vigente desde el 2 de febrero de 2025 |
| Alto riesgo (artículo 6 + anexo III) | Puntuación crediticia, contratación y gestión de trabajadores, biometría, servicios esenciales y otras cinco áreas | Obligaciones completas: gestión de riesgos, documentación, supervisión humana, evaluación de la conformidad |
| Riesgo limitado (artículo 50) | Chatbots, ultrafalsificaciones, revelación de contenido sintético y de interacción con IA | Deberes de transparencia — avisar a las personas de que tratan con IA |
| Mínimo | Todo lo demás (filtros de spam, la mayoría de la analítica) | Sin obligaciones obligatorias de la Ley de IA |
| GPAI (capítulo V) | Los propios modelos de uso general | Deberes aparte del proveedor del modelo (artículos 53, 55), supervisados por la Oficina de IA |
Ten en cuenta que la IA de uso general es una categoría transversal, no un quinto nivel de riesgo. El sistema que construyes sobre un modelo de uso general se clasifica por su propio uso —un chatbot de IA de atención al cliente es de riesgo limitado según el artículo 50; el mismo modelo conectado a una decisión de crédito es de alto riesgo. Clasifica por lo que hace el sistema, nunca por la marca del modelo de debajo. Para saber dónde cae la línea entre responsable del despliegue y proveedor, consulta la guía de proveedor frente a responsable del despliegue.
El calendario de la Ley de IA tal como se aplica en Estonia
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor, exigibles ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza y la Oficina de IA, sanciones del artículo 99 |
| 2 de agosto de 2026 | Aplicación general, incluida la mayoría de los deberes de transparencia de riesgo limitado del artículo 50 |
| 2 de diciembre de 2026 | Prohibición de CSAM / herramientas «desnudadoras» y marcado de contenido / marca de agua del artículo 50 — adoptado |
| 2 de diciembre de 2027 | Sistemas de IA de alto riesgo independientes (anexo III) — adoptado |
| 2 de agosto de 2028 | IA de alto riesgo como componente de seguridad de productos regulados del anexo I — adoptado |
Las fechas de 2026-2027 marcadas como «adoptado» ya cuentan con el voto del pleno del Parlamento Europeo (16 de junio de 2026) y la adopción formal del Consejo (29 de junio de 2026); solo falta su publicación en el Diario Oficial. Existen con el Ómnibus Digital —el paquete de modificaciones de la Comisión, adoptado en junio de 2026 por el Parlamento y el Consejo—, que aplaza el régimen de alto riesgo a fechas de calendario fijas: el 2 de diciembre de 2027 para los sistemas independientes del anexo III, el 2 de agosto de 2028 para los integrados en productos del anexo I, e introduce el plazo del 2 de diciembre de 2026 para la prohibición de CSAM y el marcado de contenido. El 2 de diciembre de 2027 es la fecha asentada para los sistemas de alto riesgo independientes del anexo III; solo falta la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, una formalidad que no afecta a las fechas. Las nuevas fechas son fechas de calendario fijas —no vinculadas a la disponibilidad de normas armonizadas, una versión de «parar el reloj» que se propuso y se rechazó.
Y ten en cuenta lo que no se movió: la GPAI, las prohibiciones del artículo 5, la alfabetización del artículo 4 y la mayoría de los deberes de transparencia del artículo 50 conservan sus fechas originales.
Sanciones: a qué se enfrenta realmente una empresa estonia
Las sanciones están en el artículo 99 del reglamento y se aplicarán a través del procedimiento interno de aplicación de Estonia. Hay exactamente tres niveles, cada uno «lo que sea mayor» entre una suma fija o un porcentaje del volumen de negocios anual total mundial:
| Infracción | Multa máxima | Apartado |
|---|---|---|
| Prácticas prohibidas del artículo 5 | 35 000 000 € o el 7 % | Artículo 99(3) |
| La mayoría de las demás obligaciones — requisitos de alto riesgo, deberes del proveedor (art. 16) y del responsable del despliegue (art. 26), transparencia del artículo 50 | 15 000 000 € o el 3 % | Artículo 99(4) |
| Información incorrecta, incompleta o engañosa a las autoridades o a los organismos notificados | 7 500 000 € o el 1 % | Artículo 99(5) |
Dos puntos importan más para las pymes de Estonia. Primero, el tercer nivel es del 1 %, no del 1,5 % —una cifra que la literatura del mercado a menudo confunde; no hay ningún nivel del 1,5 % en parte alguna del reglamento. Segundo, y más tranquilizador: para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al menor entre el importe fijo o el porcentaje. Para una pequeña empresa estonia, el porcentaje casi siempre rige —y la exposición basada en el volumen de negocios es una fracción de las cifras llamativas. Las multas de modelos GPAI son el instrumento aparte del artículo 101 (hasta 15 M€ o el 3 %, impuestas por la Comisión).
Ejemplo resuelto: Tallinn Tasku OÜ
Tallinn Tasku OÜ es una empresa ficticia de fintech-SaaS de Tallin de unos 70 empleados, alrededor de 9 millones de euros de volumen de negocios. Despliega dos sistemas de IA de terceros: un modelo de puntuación crediticia que licencia para evaluar a los solicitantes de préstamos, y un cribador de currículums de IA para su propia contratación.
Rol. Tasku no construyó ninguno de los dos sistemas —los usa licenciados. Eso la convierte en responsable del despliegue según el artículo 26, no en proveedora. La mayoría de las pymes estonias aterrizan aquí, y los deberes del responsable del despliegue son más ligeros de lo que temen los fundadores.
Clasificación. Ambos usos son de alto riesgo según el anexo III: la evaluación de la solvencia cae bajo el anexo III, punto 5(b), y la contratación / selección de trabajadores bajo el punto 4. Así que Tasku carga con las obligaciones de responsable del despliegue del artículo 26 en ambos —supervisión humana, monitorización, uso del sistema según sus instrucciones y conservación de logs.
EIDF. Como Tasku despliega un sistema de puntuación de la solvencia (anexo III, 5(b)), está dentro del conjunto estrecho de responsables del despliegue que deben completar una evaluación de impacto relativa a los derechos fundamentales (EIDF) según el artículo 27 —distinta de la EIPD del artículo 35 del RGPD, aunque ambas puedan compartir una base fáctica. El cribador de currículums, como despliegue de empleador privado, no desencadena por sí solo la EIDF del artículo 27.
Exposición. Supón que Tasku infringe una obligación de responsable del despliegue de alto riesgo. La cifra llamativa es «15 M€ o el 3 %», pero el artículo 99(6) limita a una pyme a la cifra menor: el 3 % de 9 M€ son unos 270 000 € —reales, pero dos órdenes de magnitud por debajo de los 15 millones. Dimensionar bien el miedo es parte de lograr una respuesta proporcionada.
La trampa del proveedor. Si Tasku empieza a afinar el modelo de crédito con sus propios datos, se arriesga a cruzar la línea del artículo 25 —una modificación sustancial puede convertir a un responsable del despliegue en proveedor, arrastrando la pila completa de proveedor del artículo 16 y una nueva evaluación de la conformidad. Muchos equipos de ingeniería estonios no saben que existe este umbral.
Quién pregunta. Tasku informa y responde ante la TTJA en materia de vigilancia del mercado de la Ley de IA. Como ambos sistemas tratan datos personales a escala, la AKI también tiene un interés legítimo en la licitud del tratamiento y en las salvaguardias de las decisiones automatizadas.
Cómo ayuda Confir
Confir es una herramienta de cumplimiento alojada en la UE para exactamente este trabajo. Su motor de clasificación es basado en reglas y determinista —codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma admisión produce siempre la misma conclusión con una explicación legible para humanos de qué regla se activó. Para una empresa como Tasku, registra cada sistema de IA, deriva el rol de responsable del despliegue frente a proveedor, ejecuta la EIDF del artículo 27 cuando entra en alcance y genera el paquete de documentación técnica del anexo IV y la declaración de conformidad del artículo 47 / anexo V. Empieza con un registro de casos de uso de IA para ver qué tienes realmente.
Qué deberían hacer ahora las empresas estonias
Hoy (el artículo 5 está vigente): audita cualquier uso de IA que roce la puntuación social, la extracción no selectiva de imágenes faciales, la manipulación de personas vulnerables o el reconocimiento de emociones en el trabajo / la educación. Si un uso encaja y no aplica ninguna exención, deténlo o reestructúralo —la prohibición es exigible desde el 2 de febrero de 2025.
Antes del 2 de agosto de 2026 (artículo 50): asegúrate de que cualquier chatbot, asistente de voz o función de contenido generado por IA avisa a los usuarios de que tratan con IA y marca el contenido sintético. Esta es la fecha a corto plazo que no se aplaza.
A lo largo de 2026-2027 (preparación de alto riesgo): construye tu inventario y clasificación de IA, aplica el filtro del artículo 6(3) para confirmar qué sistemas son genuinamente de alto riesgo, asigna los roles de proveedor / responsable del despliegue y empieza la documentación. El aplazamiento del Ómnibus Digital ya está adoptado, a la espera solo de su publicación en el Diario Oficial; trata el 2 de diciembre de 2027 como la fecha asentada.
De forma continua: está atento a la confirmación de la designación completa del artículo 70 de Estonia —el nombramiento formal de la TTJA como autoridad competente, punto de contacto único y autoridad notificante— y al lanzamiento del espacio controlado de pruebas regulatorio. Sigue la orientación publicada de la TTJA —sus primeras señales de aplicación te dirán qué sectores y obligaciones está priorizando.
Guías relacionadas
- Proveedor frente a responsable del despliegue: ¿qué rol eres?
- Obligaciones del responsable del despliegue del artículo 26
- El artículo 27 y el requisito de la EIDF
- Qué es una evaluación de impacto relativa a los derechos fundamentales
- Registro de casos de uso de IA
- La Ley de IA en Alemania
- La Ley de IA en Irlanda
- Cumplimiento de IA en fintech
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →