El Reglamento de IA en Grecia: autoridades, ejecución y obligaciones empresariales

Un operador naviero griego o una plataforma de turismo que se pregunte "¿esperamos a una ley griega de IA?" se está haciendo la pregunta equivocada. El Reglamento de IA —Reglamento (UE) 2024/1689— ya es directamente aplicable en Grecia. No espera a ninguna ley de Atenas, y sus plazos tampoco. Lo que Grecia debe hacer es designar las autoridades que lo ejecutan, y esa pieza aún se está montando.

Esta guía expone cómo se aplica el Reglamento en Grecia: el panorama de supervisión (y por qué la designación de una única autoridad competente debe formularse con cuidado), el calendario corregido tras el Ómnibus Digital, los tramos de sanción del artículo 99 y un ejemplo práctico para una pyme griega de tecnología naviera.

---

Un Reglamento, no una Directiva: no hace falta transposición griega

El Reglamento de IA es un Reglamento. Entró en vigor el 1 de agosto de 2024 y se aplica directamente en cada Estado miembro, Grecia incluida, conforme al artículo 288 del TFUE, sin transposición al Derecho griego. Las obligaciones muerden según el propio calendario del Reglamento: las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025, y las obligaciones de los proveedores de modelos de IA de uso general (GPAI) conforme al capítulo V desde el 2 de agosto de 2025.

Lo que Grecia aporta es la infraestructura de ejecución: autoridades competentes designadas, un punto de contacto único para la Comisión Europea y procedimientos sancionadores internos. Una medida nacional de aplicación determina quién ejecuta, no qué se aplica ni cuándo.

---

¿Quién supervisa la IA en Grecia? (Léelo con atención)

Este es el estado de la cuestión, con honestidad. El artículo 70 del Reglamento exigía que cada Estado miembro designara al menos una autoridad notificante y al menos una autoridad de vigilancia del mercado —y un punto de contacto único— antes del 2 de agosto de 2025. Grecia, como varios Estados miembros, no completó esa designación dentro del plazo, y la posición sigue asentándose a mediados de 2026. Ninguna "autoridad griega del Reglamento de IA" concreta debería presentarse como definitiva y exclusivamente designada, y no hay ninguna ley de aplicación griega autónoma confirmada en el momento de escribir esto. Quien afirme lo contrario está exagerando una posición que las fuentes primarias aún no respaldan.

Lo que sí puede afirmarse, anclado en cómo se distribuye actualmente la supervisión:

• El Ministerio de Gobernanza Digital es el organismo central que coordina la estrategia nacional de IA de Grecia y se espera ampliamente que ancle la estructura de gobernanza del Reglamento de IA. Es el candidato natural a albergar o coordinar la función de autoridad competente, pero la designación formal del punto de contacto único del artículo 70 debería tratarse como aún por ultimar.
• La Autoridad Helénica de Protección de Datos (HDPA / Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) supervisa las cuestiones de protección de datos que surgen de la IA: las decisiones automatizadas, la elaboración de perfiles y el tratamiento de datos personales que subyace a la mayoría de los sistemas de alto riesgo. Su papel aquí es firme e independiente de la designación del Reglamento de IA.
• La Autoridad Helénica para la Seguridad y la Privacidad de las Comunicaciones (ADAE) es relevante allí donde la IA afecta a la privacidad, la confidencialidad y la seguridad de las comunicaciones.
• El Defensor del Pueblo griego y la Comisión Nacional Griega de Derechos Humanos (GNCHR) intervienen allí donde las decisiones impulsadas por IA tocan la mala administración o los derechos fundamentales.

La conclusión práctica para una empresa griega: no esperes a la designación final para actuar. Las obligaciones se aplican al margen de qué autoridad de Atenas acabe sosteniendo la pluma de la ejecución, y la HDPA ya es un regulador activo sobre la dimensión de datos personales de cualquier sistema de IA.

La Oficina de IA de la UE en Bruselas, no una autoridad griega, supervisa a los proveedores de modelos GPAI conforme a los artículos 53 y 55, un punto que rara vez afecta a las pymes griegas, la mayoría de las cuales son responsables del despliegue y no constructores de modelos.

---

El calendario tal y como se aplica en Grecia

Dos puntos para las empresas griegas.

Primero, el plazo de alto riesgo ya no es agosto de 2026. Conforme al Ómnibus Digital —el paquete de enmiendas de la Comisión adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio)—, los sistemas de alto riesgo autónomos del anexo III tienen ahora hasta el 2 de diciembre de 2027, y la IA de alto riesgo integrada en productos hasta el 2 de agosto de 2028.

Segundo, la actualización que la mayoría de los comentarios antiguos aún no reflejan: este aplazamiento ya está adoptado. El pleno del Parlamento votó a favor el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, así que el 2 de diciembre de 2027 es ya la fecha asentada para el alto riesgo autónomo del anexo III. Las nuevas fechas son fechas de calendario fijas, no la idea de "parar el reloj" condicionada a las normas que se planteó y se rechazó.

Lo que no se movió: las obligaciones de GPAI, las prohibiciones del artículo 5, la alfabetización del artículo 4 y la mayor parte de los deberes de transparencia del artículo 50. Una plataforma de turismo griega que opera un chatbot de cara al cliente tiene un deber de divulgación del artículo 50 desde el 2 de agosto de 2026, al margen del aplazamiento del alto riesgo.

---

Sanciones: lo que afrontan las empresas griegas

Los techos de sanción provienen del artículo 99 del Reglamento y los aplica la autoridad competente griega una vez que sus potestades de ejecución estén plenamente en marcha. Hay exactamente tres tramos, cada uno por "lo que sea mayor" entre una cantidad fija y un porcentaje del volumen de negocios anual total a escala mundial:

El tercer tramo es del 1 %, no del 1,5 %: no existe ningún tramo del 1,5 % en el Reglamento. Grecia no fija sus propios importes de multa; las cifras son las del Reglamento.

Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al menor entre el porcentaje y la cantidad fija. Una empresa griega de tecnología naviera con 8 millones de euros de volumen de negocios no puede afrontar la cifra de 15 millones de euros por una infracción de alto riesgo: el 3 % de 8 millones de euros son 240.000 €, y ese es el techo. Las multas a los proveedores de modelos GPAI son aparte: hasta 15 millones de euros o el 3 %, impuestas por la Comisión conforme al artículo 101.

---

Ejemplo práctico: una pyme griega de tecnología naviera

Toma Aigaío Marine Analytics A.E., una pyme ficticia de tecnología naviera del Pireo —unos 45 empleados, alrededor de 7 millones de euros de volumen de negocios— que vende una plataforma de optimización de rutas y eficiencia de combustible a operadores de buques, más una herramienta de IA interna que criba candidaturas de empleo para su creciente equipo de ingeniería.

Recorriendo sus sistemas por el Reglamento:

• IA de optimización de rutas / eficiencia de combustible: analiza datos del buque y meteorológicos para recomendar rutas. No aparece en ninguna categoría de alto riesgo del anexo III y no elabora perfiles de personas físicas. Es de riesgo mínimo: sin obligaciones obligatorias del Reglamento de IA. Los clientes de Aigaío son responsables del despliegue de una herramienta que no es de alto riesgo. Una buena gobernanza de datos y una documentación clara siguen siendo buenas prácticas, pero el régimen pesado no se aplica.
• Herramienta de IA de cribado de candidaturas: esta es la que muerde. La IA usada para cribar o filtrar candidaturas de empleo cae de lleno en el epígrafe de empleo del anexo III, lo que la convierte en de alto riesgo. Como responsable del despliegue de esta herramienta interna, Aigaío debe los deberes del artículo 26: supervisión humana, usar el sistema conforme a sus instrucciones, informar a los trabajadores afectados y (porque el cribado de empleo elabora perfiles de candidatos) no puede apoyarse en la exención del artículo 6(3). Si Aigaío hubiera construido o modificado sustancialmente la herramienta, cargaría además con las obligaciones de proveedor del artículo 16. El plazo de alto riesgo para este sistema es el 2 de diciembre de 2027 conforme al aplazamiento, y, dado que el aplazamiento ya está adoptado (solo falta su publicación en el Diario Oficial), Aigaío puede planificar ya con esa fecha.

El veredicto: un producto de riesgo mínimo, un sistema interno de alto riesgo. La herramienta de contratación es donde va el presupuesto de cumplimiento de Aigaío —clasificación, supervisión humana, información a los trabajadores y documentación—, mientras que el motor de optimización de rutas necesita poco más que un buen mantenimiento. En el lado de la supervisión, la HDPA ya es relevante para los datos personales de la herramienta de contratación, y la eventual autoridad competente del Reglamento de IA sostendrá las potestades de ejecución del alto riesgo.

---

Cómo ayuda Confir a las empresas griegas

Un responsable de cumplimiento griego necesita separar los sistemas de riesgo mínimo de los genuinamente de alto riesgo, fijar el rol de proveedor/responsable del despliegue y producir registros que aguanten, sin contratar consultores para una sola herramienta de alto riesgo.

Confir es software de cumplimiento alojado en la UE, hecho para esto. Su motor de clasificación es basado en reglas y determinista: codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma entrada siempre produce el mismo resultado, con una explicación legible de qué regla se activó, reproducible por diseño. Genera el paquete de documentación técnica del anexo IV, la declaración de conformidad del artículo 47 / anexo V y la EIDF del artículo 27, y mantiene un registro de IA y un registro de auditoría a escala de la organización.

---

Qué deberían hacer ahora las empresas griegas

De inmediato: audita cualquier práctica del artículo 5; es ejecutable desde el 2 de febrero de 2025. Antes del 2 de agosto de 2026: asegúrate de que todo chatbot o herramienta de contenido de cara al cliente cumple la transparencia del artículo 50. A lo largo de 2026-2027: construye el inventario de IA, clasifica cada sistema conforme al artículo 6 con el filtro del artículo 6(3), identifica qué sistemas aterrizan realmente en el anexo III (contratación, puntuación crediticia y biometría son disparadores comunes), fija los roles de proveedor/responsable del despliegue e inicia la documentación. De forma continua: vigila la designación formal del artículo 70 de Grecia y cualquier medida nacional de aplicación, y recuerda que la HDPA ya supervisa el lado de protección de datos de tu IA.

Guías relacionadas

• Fundamentos del Reglamento de IA
• el calendario de ejecución corregido
• El Ómnibus Digital y el aplazamiento de 2027
• Sanciones del artículo 99 explicadas
• roles de proveedor frente a responsable del despliegue
• Casos de uso de alto riesgo del anexo III
• el Reglamento de IA en Italia