El Reglamento de IA en Finlandia: IA pública, autoridades y plazos
Cómo se aplica el Reglamento de IA en Finlandia: aplicación directa, plazos comunes a la UE, autoridades del art. 70 y por qué la IA pública amplía el
Más amplio, no más ligero. La larga trayectoria de Finlandia en IA del sector público y en alfabetización en IA a escala de toda la población no le concede un trato más benévolo bajo el Reglamento de IA: amplía el marco de alto riesgo, porque cuanto más se apoya una administración en la IA para prestaciones sociales, justicia y servicios públicos, mayor es su superficie de anexo III. El Reglamento se aplica en Finlandia de forma directa, sin que haga falta ninguna ley finlandesa para generar las obligaciones; las preguntas propias de Finlandia son cuáles de esas obligaciones ya están vigentes y qué autoridad nacional las pondrá en marcha. Esta guía responde a ambas para proveedores, responsables del despliegue, importadores y distribuidores que operan en Finlandia.
Cómo se aplica el Reglamento de IA en Finlandia: de forma directa, sin transposición finlandesa
El Reglamento (UE) 2024/1689 es un Reglamento, no una Directiva. Conforme al artículo 288 del TFUE, un Reglamento se aplica directamente en todos los Estados miembros, de modo que genera obligaciones en Finlandia sin necesidad de una ley finlandesa de aplicación que haga vinculantes las normas sustantivas. No hay que esperar a ningún paso nacional de "adopción".
Lo que Finlandia debe aportar es más limitado que volver a legislar. Conforme al Reglamento, Finlandia designa autoridades nacionales competentes y atribuye potestades internas de ejecución: eso es maquinaria, no normas sustantivas. Tanto si desarrollas, despliegas, importas o distribuyes IA, la sustancia procede del Reglamento; la medida nacional decide quién investiga y quién sanciona.
Las obligaciones ya están en vigor, al margen de los pasos nacionales. Las prácticas prohibidas del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025. Los deberes de los modelos de IA de uso general del capítulo V (artículos 51 a 55) se aplican desde el 2 de agosto de 2025. Una empresa finlandesa que espere a una ley nacional antes de actuar sobre esos puntos ya está expuesta.
La posición distintiva de Finlandia es su liderazgo en IA del sector público y sus esfuerzos nacionales de alfabetización en IA a escala de toda la población. Ese es el telón de fondo, no un reglamento distinto. Los plazos, los tramos de sanción y el mecanismo de designación son idénticos a los de cualquier otro Estado miembro.
El mecanismo de designación del artículo 70 en Finlandia, y qué conviene verificar
El artículo 70 exige que cada Estado miembro designe al menos una autoridad notificante y al menos una autoridad de vigilancia del mercado como autoridades nacionales competentes, y que las comunique a la Comisión. El hito era el 2 de agosto de 2025. El mecanismo es uniforme en toda la Unión; lo único que difiere de un Estado a otro es qué organismo nacional nomina cada uno.
Finlandia cuenta con organismos de vigilancia del mercado, de protección de datos y de administración digital que podrían albergar el mandato. Descríbelo así, en términos de mecanismo, y verifica el resto.
Verifícalo antes de fiarte de ello. Esta guía no nombra una autoridad competente finlandesa concreta ni una ley de aplicación finlandesa concreta, porque la designación exacta debe confirmarse frente a la notificación oficial de Finlandia a la Comisión antes de tratarla como tu punto de contacto a efectos de ejecución. Toma cualquier autoridad nombrada que leas en otro lugar como algo que comprobar, no como un hecho asentado.
Una vez en vigor las potestades de ejecución finlandesas, el artículo 74 rige la vigilancia del mercado: la autoridad de vigilancia del mercado designada puede auditar la documentación técnica del anexo IV, revisar la conformidad y la supervisión poscomercialización del artículo 72, ordenar medidas correctoras e imponer las multas del artículo 99. Hasta que existan esas potestades internas, la vía nacional de sanción está incompleta, pero la prohibición del artículo 5 se aplica de todos modos.
La GPAI queda fuera de la supervisión nacional. Los proveedores de modelos de IA de uso general están supervisados directamente por la Oficina de IA de la UE en Bruselas, con multas de la Comisión conforme al artículo 101. Un punto de contacto único finlandés solo coordina; no supervisa el modelo en sí.
La trayectoria de Finlandia en IA pública y por qué eleva lo que está en juego
Finlandia ha sido pionera en IA del sector público y en alfabetización en IA a escala de toda la población. Ese es el telón de fondo fáctico, expuesto sin atribuir despliegues concretos en activo a agencias finlandesas nombradas.
Una postura madura en IA pública implica que más sistemas del sector público son candidatos al marco de alto riesgo, no menos. El anexo III, punto 5(a) cubre la IA que evalúa el acceso a prestaciones y servicios públicos esenciales; el anexo III, punto 8 cubre la administración de justicia y los procesos democráticos. Cuanto más se apoya una administración en la IA en esas áreas, mayor es su superficie de alto riesgo.
Esa exposición conecta con el artículo 27: la evaluación de impacto sobre los derechos fundamentales (EIDF) es obligatoria para los organismos públicos y los organismos de Derecho público que desplieguen sistemas de alto riesgo del anexo III, y para los responsables del despliegue privados en las categorías de solvencia (anexo III, punto 5(b)) y seguros de vida y de salud (anexo III, punto 5(c)). Un organismo público no puede saltarse la EIDF.
La sólida cultura de alfabetización en IA de Finlandia encaja directamente con el artículo 4 sobre alfabetización en IA, en vigor desde el 2 de febrero de 2025: una ventaja inicial en una obligación, no en toda la pila. No satisface los deberes de documentación, conformidad o registro de eventos del alto riesgo.
Los roles siguen al uso. Una agencia o un municipio finlandés que opere una herramienta de puntuación de elegibilidad es responsable del despliegue conforme al artículo 26; construirla o modificarla sustancialmente puede convertir a ese organismo en proveedor conforme al artículo 25, con toda la pila de proveedor adherida.
Cómo se combina el Reglamento de IA con el RGPD en Finlandia
El RGPD y el Reglamento de IA corren en paralelo para cualquier sistema de IA que trate datos personales, lo que abarca la mayoría de los sistemas de alto riesgo del anexo III. La Defensoría de Protección de Datos finlandesa (Tietosuojavaltuutettu) sigue ejecutando el RGPD, sin que el Reglamento de IA lo altere. Las obligaciones se suman; ninguna desplaza a la otra.
El solapamiento más práctico se da entre la EIPD del artículo 35 del RGPD y la EIDF del artículo 27 del Reglamento de IA. Ambas son evaluaciones previas al despliegue, obligatorias, del riesgo para los derechos fundamentales, y el artículo 27(4) permite expresamente que la EIDF se apoye en una EIPD existente cuando sus ámbitos se solapen. Haces el análisis de derechos fundamentales una vez y luego lo extiendes.
El registro de eventos también interactúa. Los deberes de registro automático del artículo 12 para sistemas de alto riesgo conviven con los deberes de transparencia y revisión humana del artículo 22 del RGPD sobre decisiones automatizadas. Un responsable del despliegue finlandés de una herramienta de elegibilidad carga con ambos a la vez.
La secuencia práctica para los responsables del despliegue finlandeses: construye la base fáctica una sola vez —descripción del sistema, fuentes de datos, categorías de personas afectadas— y reutilízala en la EIPD y en la EIDF. Espera que tanto la autoridad de protección de datos como la autoridad designada del Reglamento de IA muestren interés allí donde coincidan el alto riesgo y los datos personales.
El calendario del Reglamento de IA tal y como se aplica en Finlandia
Las fechas son comunes a toda la UE e idénticas en cada Estado miembro. No hay plazos específicos de Finlandia.
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prohibiciones del artículo 5 y alfabetización en IA del artículo 4: en vigor ahora |
| 2 de agosto de 2025 | Deberes de GPAI (capítulo V, artículos 51 a 55), gobernanza / Oficina de IA, sanciones del artículo 99 y el hito de comunicación de autoridades del artículo 70 |
| 2 de agosto de 2026 | Aplicación general y la fecha legal autónoma del alto riesgo del anexo III conforme al artículo 6(2): léase como ley salvo que se adopte el Ómnibus |
| 2 de diciembre de 2026 | Deberes de marcado de contenido del artículo 50 para contenido sintético o generado por IA (Ómnibus, adoptado) |
| 2 de agosto de 2027 | IA de alto riesgo como componente de seguridad de productos regulados del anexo I: fecha legal del artículo 6(1) |
Las dos salvedades que importan para la planificación finlandesa
Salvedad uno: el Ómnibus ya está adoptado. El Ómnibus Digital alcanzó acuerdo político el 6 y 7 de mayo de 2026 (con el COREPER en torno al 13 de mayo de 2026) para aplazar el alto riesgo autónomo del anexo III al 2 de diciembre de 2027 y los sistemas integrados en productos del anexo I (artículo 6(1)) al 2 de agosto de 2028, y para añadir un deber de marcado de contenido más una prohibición de material de abuso sexual infantil/"desnudadores". El pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó el 29 de junio de 2026. Solo falta la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada.
Salvedad dos: no todo se aplaza. Las prohibiciones del artículo 5, la alfabetización del artículo 4, los deberes de GPAI y la transparencia del artículo 50 no se ven afectados por el aplazamiento. El planteamiento de "parar el reloj" fue rechazado. Tratar el Ómnibus como una prórroga general es una trampa.
Sanciones a las que se enfrentan las empresas finlandesas conforme al artículo 99
El artículo 99 fija tres tramos, cada uno por el importe mayor entre una cantidad fija y un porcentaje del volumen de negocios anual total a escala mundial:
- 35 millones de euros o el 7 % del volumen de negocios anual total a escala mundial, lo que sea mayor: artículo 99(3), por infringir las prácticas prohibidas del artículo 5.
- 15 millones de euros o el 3 %: artículo 99(4), por incumplir la mayoría de las demás obligaciones: requisitos de alto riesgo (artículos 9 a 15), deberes del proveedor (artículo 16), deberes del responsable del despliegue (artículo 26) y transparencia del artículo 50.
- 7,5 millones de euros o el 1 %: artículo 99(5), por facilitar información incorrecta, incompleta o engañosa a organismos notificados o a autoridades competentes.
El tercer tramo es del 1 %, no del 1,5 %. No existe ningún tramo del 1,5 % en el Reglamento. Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al menor entre la cantidad fija y el porcentaje: lo contrario de la regla general de "lo que sea mayor".
La ejecución nacional depende de que la autoridad finlandesa designada tenga potestades internas en vigor; la prohibición del artículo 5 se aplica de todos modos. Las multas de GPAI son un instrumento aparte: hasta 15 millones de euros o el 3 %, impuestas por la Comisión conforme al artículo 101.
Ejemplo práctico: una empresa finlandesa de IA de 200 personas
Conoce a Suomenpilvi, un proveedor de software del sector público con sede en Helsinki, ficticio e ilustrativo, de unos 200 empleados y alrededor de 30 millones de euros de volumen de negocios. Está inventado para mostrar el análisis, no es una empresa real.
La línea de producto uno es una herramienta de IA autónoma que puntúa la elegibilidad de la ciudadanía para una prestación pública por cuenta de un cliente municipal: anexo III, punto 5(a), servicios públicos esenciales. Asume directamente toda la pila de alto riesgo: artículos 9 a 15, deberes de proveedor conforme al artículo 16 (o deberes de responsable del despliegue conforme al artículo 26 para el municipio) y evaluación de la conformidad conforme al artículo 43, salvo que el filtro de tareas procedimentales del artículo 6(3) lo excluya por no plantear un riesgo significativo para la salud, la seguridad o los derechos fundamentales.
La línea de producto dos es una función de IA de cribado de candidaturas para la propia contratación de Suomenpilvi: anexo III, punto 4(a), empleo. El mismo resultado: toda la pila de alto riesgo directamente, salvo que se aplique el artículo 6(3).
Análisis de roles. Como creadora de ambos, Suomenpilvi es proveedor conforme al artículo 16. Si simplemente hubiera licenciado y operado una herramienta de terceros, sería responsable del despliegue conforme al artículo 26, pero ajustar, renombrar o cambiar la finalidad prevista hacia un uso de alto riesgo podría activar la condición de proveedor del artículo 25, incluido repetir la evaluación de la conformidad.
Ángulo del sector público. Como la herramienta de elegibilidad la despliega un organismo público, el cliente municipal debe completar una EIDF del artículo 27 antes del despliegue, y la documentación de Suomenpilvi la alimenta. El artículo 27(4) permite que esa EIDF se apoye en la EIPD del artículo 35 del RGPD del cliente.
Calendario para Suomenpilvi. Las prohibiciones y la alfabetización ya se aplican; la GPAI es irrelevante salvo que entrene un modelo de uso general. Sus obligaciones de alto riesgo ya apuntan al 2 de diciembre de 2027 —el aplazamiento del Ómnibus Digital está adoptado, a la espera solo de su publicación en el Diario Oficial. Conjunto de acciones: inventario de IA, filtro del artículo 6(3), apoyo a la EIDF, coordinación EIPD/EIDF y un paquete documental del anexo IV.
Consideraciones de cumplimiento específicas de Finlandia
Peso de la EIDF en el sector público. Dada la madurez de Finlandia en IA pública, las EIDF del artículo 27 para las herramientas de elegibilidad del anexo III, punto 5(a), y los sistemas de justicia y democracia del punto 8 serán un foco temprano probable. El cumplimiento del sector público es muy visible y marca el estándar que otros siguen.
Prácticas prohibidas que cribar ya. El artículo 5(1)(f) prohíbe el reconocimiento de emociones en el trabajo y la educación; el artículo 5(1)(g) prohíbe la categorización biométrica que infiere atributos sensibles; el artículo 5(1)(a) cubre las técnicas subliminales y manipuladoras. Todas son ejecutables desde el 2 de febrero de 2025 y resultan directamente relevantes para la edtech y la HR tech finlandesas.
Alcance transfronterizo. Finlandia es un Estado miembro de la UE, así que el Reglamento se aplica directamente sin un paso de incorporación al EEE. Por separado, el alcance extraterritorial del artículo 2 atrapa a cualquier proveedor o responsable del despliegue que introduzca IA en el mercado de la UE con independencia de su establecimiento, de modo que un proveedor de fuera de la UE que venda en Finlandia queda atrapado.
Riesgo de cambio de rol del artículo 25 para quienes personalizan en Finlandia. Modificar sustancialmente un sistema de alto riesgo, cambiar su finalidad prevista hacia un uso de alto riesgo o ponerlo bajo tu propio nombre te convierte en proveedor con toda la pila del artículo 16, incluido repetir la evaluación de la conformidad. Las empresas finlandesas que personalicen mucho la IA de un proveedor deberían realizar el análisis del artículo 25 antes de asumir el rol más ligero de responsable del despliegue.
Espacio controlado de pruebas regulatorio. Los artículos 57 a 59 exigen al menos un espacio controlado de pruebas de IA por Estado miembro antes del 2 de agosto de 2026, con acceso prioritario y gratuito para pymes y empresas emergentes conforme al artículo 58. Las empresas finlandesas con sistemas difíciles de clasificar deberían seguirlo una vez constituido.
Deberes de importadores y distribuidores. El artículo 23 (importador) y el artículo 24 (distribuidor) se aplican a las empresas finlandesas que importen o revendan IA de alto riesgo de terceros.
Cómo ayuda Confir a las empresas finlandesas
Los equipos de cumplimiento finlandeses se enfrentan a un conjunto de obligaciones cargado de documentación: gestión de riesgos del artículo 9, documentación técnica del anexo IV, EIDF del artículo 27, preparación de la conformidad del artículo 43 y supervisión poscomercialización del artículo 72.
Confir es una herramienta de cumplimiento alojada en la UE. Su motor de clasificación es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, que codifica los artículos 5 y 6 con la lógica del anexo III en reglas explícitas, de modo que la misma entrada siempre produce el mismo resultado, con una explicación legible de qué regla se activó. Eso hace que el resultado sea defendible en una auditoría.
Confir genera el paquete de documentación técnica del anexo IV, la declaración de conformidad del artículo 47 / anexo V y la EIDF del artículo 27. La evaluación abarca cuatro áreas estructuradas: clasificación de riesgo (AIRC), datos y robustez técnica (AITR), transparencia y supervisión humana (AITO), y gobernanza y supervisión poscomercialización (AIGM). El soporte del flujo de GPAI es parcial y está en la hoja de ruta, dicho claramente: no es una capacidad terminada.
Qué deberían hacer ahora las empresas finlandesas
De inmediato. Audita las prácticas prohibidas del artículo 5: reconocimiento de emociones en el trabajo o la educación, categorización biométrica por atributos sensibles, técnicas manipuladoras, extracción no selectiva de imágenes faciales, puntuación social. Están en vigor desde el 2 de febrero de 2025. Reestructura o detén los sistemas no conformes.
Antes del 2 de agosto de 2026. Cumple la transparencia del artículo 50: los chatbots informan de que son IA, las ultrafalsificaciones y los contenidos sintéticos se revelan como generados artificialmente, y las salidas generativas se marcan de forma legible por máquina. Los deberes de marcado de contenido llegan el 2 de diciembre de 2026 conforme al Ómnibus, ya adoptado (a la espera solo de su publicación en el Diario Oficial).
Preparación de alto riesgo 2026-2027. Construye el inventario de IA, aplica el filtro del artículo 6(3), asigna roles de proveedor / responsable del despliegue / importador / distribuidor, e inicia la documentación del anexo IV y las EIDF, planificando ya con el 2 de diciembre de 2027 como fecha asentada, dado que el aplazamiento del Ómnibus Digital está adoptado y solo falta su publicación en el Diario Oficial.
De forma continua. Vigila la designación oficial de autoridad del artículo 70 de Finlandia y cualquier ley de aplicación finlandesa; sigue el Ómnibus Digital por el Parlamento y el Consejo; atiende a las orientaciones sobre GPAI de la Oficina de IA de la UE si construyes o integras modelos fundacionales. Verifica la autoridad nombrada frente a fuentes oficiales antes de fiarte de esta guía como punto de contacto para la ejecución.
Guías relacionadas
- El Reglamento de IA en Suecia: autoridad propuesta y obligaciones
- El Reglamento de IA en Dinamarca: autoridades y plazos
- Plazos y fechas de aplicación del Reglamento de IA
- autoridad de vigilancia del mercado — glosario
- Cumplimiento del Reglamento de IA: por dónde empezar
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →