¿Se aplica la Ley de IA a las empresas de fuera de la UE? El alcance extraterritorial

Sí —la Ley de IA de la UE, el Reglamento (UE) 2024/1689, llega mucho más allá de las fronteras de la UE. Como el RGPD antes que ella, la Ley se aplica en función de dónde se introduce la IA en el mercado o se usa, no de dónde está establecida la empresa. Una empresa de EE. UU., el Reino Unido o Asia-Pacífico puede estar de lleno dentro del alcance sin tener oficina en la UE.

Los desencadenantes del alcance (artículo 2)

El artículo 2 te incluye en el alcance si se aplica alguno de estos supuestos:

• eres un proveedor que introduce un sistema de IA (o un modelo de GPAI) en el mercado de la UE o lo pone en servicio en la UE, con independencia de dónde estés establecido;
• eres un responsable del despliegue de un sistema de IA ubicado dentro de la UE;
• eres un proveedor o responsable del despliegue establecido fuera de la UE, cuando la salida producida por el sistema de IA se usa en la UE.

Ese tercer desencadenante es el brazo largo: aunque tú y tu sistema os situéis fuera de la UE, si su salida se usa en la Unión, la Ley puede aplicarse.

Qué significa estar dentro del alcance para una empresa de fuera de la UE

Si eres un proveedor de fuera de la UE de un sistema de alto riesgo dentro del alcance, debes cumplir las obligaciones del proveedor (artículos 9-16), ejecutar la evaluación de la conformidad y —algo importante— designar un representante autorizado en la UE según el artículo 22 antes de introducir el sistema en el mercado. Un proveedor de modelos de GPAI de fuera de la UE debe designar un representante según el artículo 54. Así, la Ley da a las autoridades de la UE un punto de contacto dentro de la Unión incluso para los proveedores extranjeros.

Qué queda excluido

El artículo 2 fija también exclusiones: los sistemas de IA usados exclusivamente con fines militares, de defensa o de seguridad nacional; la investigación y el desarrollo científicos; el uso puramente personal y no profesional por particulares; y (de forma estrecha) los sistemas libres y de código abierto que no sean de alto riesgo, prohibidos ni estén sujetos al artículo 50 (artículo 2(12)). Estos limitan el alcance en los márgenes.

Ejemplo resuelto: un proveedor de SaaS estadounidense

Una empresa de SaaS estadounidense integra una función de IA y vende a clientes de la UE. Como introduce el sistema en el mercado de la UE, está dentro del alcance según el artículo 2 —y si la función es de alto riesgo, debe cumplir las obligaciones del proveedor y designar un representante autorizado del artículo 22. Incluso una empresa estadounidense que solo tratara datos de usuarios de la UE y devolviera una salida usada en la UE podría quedar atrapada por el tercer desencadenante. Estar fuera de la UE no es, por sí solo, estar fuera de la Ley.

Cómo ayuda Confir

Confir ayuda a una empresa de fuera de la UE a determinar si está dentro del alcance según el artículo 2 —por dónde introduce sistemas y dónde se usa la salida— y, si lo está, a dimensionar las obligaciones de proveedor o de responsable del despliegue y el requisito del representante autorizado. El motor es determinista y basado en reglas, así que la conclusión sobre el alcance queda documentada y es reproducible.

Preguntas frecuentes

¿Se aplica la Ley de IA a las empresas de fuera de la UE?

Sí. Según el artículo 2 se aplica a los proveedores que introducen sistemas de IA o modelos de GPAI en el mercado de la UE con independencia de dónde estén establecidos, a los responsables del despliegue ubicados en la UE y a los proveedores y responsables del despliegue de fuera de la UE cuando la salida del sistema se usa en la UE. Estar establecido fuera de la UE no te deja fuera del alcance.

¿Qué es el desencadenante de la «salida usada en la UE»?

Es la disposición del artículo 2 que incluye en el alcance a los proveedores y responsables del despliegue de fuera de la UE cuando la salida producida por su sistema de IA se usa dentro de la UE, aunque la empresa y el sistema se sitúen fuera de la Unión. Es el alcance más largo de la Ley.

¿Qué debe hacer un proveedor de fuera de la UE?

Cumplir las obligaciones del proveedor para su nivel de riesgo, ejecutar la evaluación de la conformidad para los sistemas de alto riesgo y designar un representante autorizado en la UE según el artículo 22 (o el artículo 54 para los modelos de GPAI) antes de introducir el sistema en el mercado de la UE. El representante es el punto de rendición de cuentas del lado de la UE.

¿Qué queda excluido del alcance?

La IA con fines militares, de defensa o de seguridad nacional; la investigación y el desarrollo científicos; el uso puramente personal y no profesional; y, de forma estrecha, los sistemas libres y de código abierto que no sean de alto riesgo, prohibidos ni estén sujetos a la transparencia del artículo 50 según el artículo 2(12).

¿En qué se parece esto al RGPD?

Ambos se aplican en función del mercado y de los efectos, no del establecimiento. Igual que el RGPD alcanza a las empresas de fuera de la UE que tratan datos de residentes de la UE, la Ley de IA alcanza a las empresas de fuera de la UE que introducen IA en el mercado de la UE o cuya salida de IA se usa en la UE.

Guías relacionadas

• ¿Se aplica la Ley de IA a tu empresa?
• Representante autorizado según la Ley de IA
• ¿Quién aplica la Ley de IA?
• Roles de proveedor frente a responsable del despliegue
• Cómo funciona la clasificación de riesgo de IA