El Reglamento de IA y las empresas indias: cómo el artículo 2 alcanza a los proveedores indios de IA
India no tiene ley de IA propia, pero el artículo 2 del Reglamento de IA obliga a las empresas indias que venden IA a la UE o cuya salida se usa allí.
Una empresa SaaS de Bangalore cuya herramienta de cribado con IA usa un empleador de Fráncfort queda sujeta al Reglamento de IA de la UE, aunque no tenga oficina europea, ni entidad europea, ni plan alguno de «cumplir con el derecho de la UE». Esta es la parte que las empresas indias pasan por alto con más frecuencia. El Reglamento de IA no es derecho indio y nunca se convierte en derecho indio; no existe ninguna fecha de aplicación india ni ninguna «autoridad del Reglamento de IA» india en la que registrarse. Pero el artículo 2 le da al Reglamento (UE) 2024/1689 un alcance extraterritorial deliberado, y atrapa a proveedores y responsables del despliegue indios en el momento en que introducen un sistema de IA en el mercado de la UE o se utiliza en la Unión la salida de ese sistema.
Para un exportador indio de servicios de TI, una empresa de productos de aprendizaje automático o un GCC (centro de capacidades global) que construye herramientas usadas por las distintas entidades europeas del grupo, el artículo 2 no es un puente hacia algún régimen indio futuro: es la base entera y permanente sobre la que el Reglamento puede obligarte.
India es un tercer país: el Reglamento nunca se convierte en derecho indio
India no es un Estado miembro de la UE ni forma parte del Espacio Económico Europeo (EEE). Ningún mecanismo —ni transposición, ni incorporación al EEE— convierte el Reglamento (UE) 2024/1689 en derecho central o estatal indio. Así que la única pregunta que importa para una empresa india es la extraterritorial: ¿tu actividad te sitúa dentro del artículo 2?
India no tiene una ley específica de IA
A mediados de 2026, India no tiene una ley horizontal de IA equivalente al Reglamento de IA, y ha señalado una elección deliberada y favorable a la innovación de no precipitar ninguna. La gobernanza descansa, en cambio, en un mosaico:
- La Ley de Protección de Datos Personales Digitales de 2023 (Ley DPDP) —la ley de protección de datos de India, con su reglamento de desarrollo, las DPDP Rules de 2025, notificado en noviembre de 2025 y de aplicación escalonada— rige la dimensión de datos personales de la IA, pero no es un régimen de conformidad de IA.
- La Ley de Tecnologías de la Información de 2000 y las Normas de TI (Directrices para Intermediarios y Código de Ética de Medios Digitales), modificadas a principios de 2026 para abordar el contenido generado sintéticamente y por IA, contienen las obligaciones sobre contenido en línea.
- Los avisos del MeitY y la Misión IndiaAI (un programa nacional de creación de capacidades), junto con el recién creado Instituto de Seguridad de la IA, impulsan la política mediante orientaciones y normas técnicas, no mediante legislación general vinculante.
La muy comentada Ley de la India Digital —destinada a sustituir la Ley de TI de 2000— está en perspectiva desde 2023 pero, a mediados de 2026, no se ha presentado en el Parlamento y no se ha publicado ningún borrador oficial; trátala como propuesta y estancada, no como promulgada. Ninguno de estos instrumentos satisface el Reglamento de IA, y el Reglamento de IA no satisface ninguno de ellos. Una empresa india que vende a la UE se enfrenta a ambos panoramas en paralelo; trata la parte india como un terreno en rápido movimiento y un asunto para asesoría jurídica india por separado.
No hay una fecha de aplicación india que esperar
Para una empresa de la UE el Reglamento se aplica en fechas fijas del calendario de la UE. Para una empresa india esas fechas no son un interruptor doméstico; son simplemente las fechas en que las empresas indias ya dentro del ámbito por el artículo 2 deben cumplir. No hay una «fecha india» distinta, y esperar una es esperar algo que nunca llegará.
Artículo 2: las dos vías que atrapan a las empresas indias
El artículo 2 fija el ámbito de aplicación del Reglamento, redactado para llegar más allá de las fronteras de la UE precisamente para que los proveedores de fuera de la UE no puedan socavar a los europeos quedándose en el extranjero.
Introducir IA en el mercado de la UE (artículo 2, apartado 1, letra a))
Conforme al artículo 2, apartado 1, letra a), todo proveedor que introduzca un sistema de IA en el mercado de la UE o lo ponga en servicio en la Unión está dentro del ámbito, con independencia de dónde esté establecido. Una empresa india que vende, licencia o de otro modo pone su producto de IA a disposición de clientes en Alemania, Francia o Irlanda queda atrapada; estar constituida en Bangalore y tener servidores en Bombay no cambia nada.
Salida utilizada en la Unión (artículo 2, apartado 1, letra c))
Conforme al artículo 2, apartado 1, letra c), un proveedor o responsable del despliegue establecido en un tercer país queda dentro del ámbito cuando la salida del sistema de IA se utiliza en la Unión. El criterio es dónde aterriza el efecto, no dónde está la empresa o el servidor. Una empresa india de servicios cuyo modelo puntúa, clasifica o genera contenido sobre personas en la UE queda atrapada por esta vía aun sin un contrato directo con la UE, un patrón común en el trabajo deslocalizado de TI y BPO realizado para clientes europeos.
La obligación de representante autorizado (artículo 22)
Un proveedor indio de un sistema de alto riesgo debe, antes de introducirlo en el mercado de la UE, designar un representante autorizado establecido en la Unión conforme al artículo 22: un punto de contacto y responsabilidad designado dentro de la Unión, no una oficina completa. Muchos exportadores indios ya cumplen un requisito estructural paralelo bajo la regla del representante en la UE del RGPD (artículo 27 del RGPD); esta es una designación independiente bajo una ley independiente.
Calendario: las fechas de la UE se aplican a las empresas indias dentro del ámbito
No hay una fecha india distinta. Una empresa india dentro del ámbito por el artículo 2 planifica conforme al calendario legal de la UE.
| Hito | Fecha UE | Qué significa para una empresa india dentro del ámbito |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible ya en el mercado de la UE; no aplazado |
| Obligaciones GPAI (artículos 51 a 55) | 2 de agosto de 2025 | En vigor ya; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | En vigor ya desde esta fecha UE; no hay fecha india distinta |
| Alto riesgo autónomo (artículo 6, apartado 2, anexo III) | 2 de diciembre de 2027 | Se aplica desde esta fecha UE; planifica en consecuencia |
| Alto riesgo integrado en producto (artículo 6, apartado 1, anexo I) | 2 de agosto de 2028 | Se aplica desde esta fecha UE; planifica en consecuencia |
El aplazamiento de alto riesgo del Ómnibus Digital (en vigor)
Conforme al Ómnibus Digital —Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—, las obligaciones de alto riesgo autónomo del anexo III se aplican desde el 2 de diciembre de 2027, y las de alto riesgo integrado en producto del anexo I, desde el 2 de agosto de 2028. Antes del Ómnibus, esas fechas eran el 2 de agosto de 2026 y el 2 de agosto de 2027; hoy el 2 de diciembre de 2027 y el 2 de agosto de 2028 son las fechas legales. La propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de reserva; los colegisladores adoptaron en cambio fechas fijas.
Lo que no se movió
Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones GPAI de los artículos 51 a 55, desde el 2 de agosto de 2025. Para los proveedores indios de modelos fundacionales o de GPAI que introducen modelos en el mercado de la UE, las obligaciones GPAI están vigentes ahora, y los modelos que ya estaban en el mercado de la UE antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir, conforme a la disposición transitoria.
Qué tienen que hacer realmente las empresas indias dentro del ámbito
Las obligaciones son las obligaciones de la UE
Como el Reglamento obliga a través del artículo 2 y no por una transposición india, un proveedor o responsable del despliegue indio dentro del ámbito afronta los mismos deberes por función que una empresa de la UE. No existe una versión «India light». Las funciones se asignan de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor, con los deberes del importador en el artículo 23 y los del distribuidor en el artículo 24.
El cambio de función del artículo 25
Un responsable del despliegue, distribuidor o importador se convierte en proveedor conforme al artículo 25 en el momento en que pone su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Una empresa india de servicios que afina un modelo base hacia una nueva finalidad de alto riesgo, o que comercializa con marca blanca una herramienta de alto riesgo de la UE, puede heredar todo el conjunto de obligaciones del proveedor sin darse cuenta, un riesgo vivo para el trabajo intensivo en personalización que define los servicios de TI indios.
Deberes de alto riesgo y sanciones
Para un sistema de alto riesgo autónomo del anexo III, el conjunto de obligaciones del proveedor se aplica por completo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y solidez (artículos 9 a 15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones del proveedor del artículo 16. Las sanciones son las del artículo 99, con cifras idénticas, calculadas sobre el volumen de negocio mundial, no sobre los ingresos de la UE o de India: hasta 35 M€ o el 7 % por infracciones del artículo 5 (artículo 99, apartado 3); hasta 15 M€ o el 3 % por la mayoría de las demás obligaciones, incluidos los deberes del proveedor de alto riesgo (artículo 99, apartado 4); hasta 7,5 M€ o el 1 % por facilitar información incorrecta o engañosa (artículo 99, apartado 5). Para las pymes, el artículo 99, apartado 6 limita la multa al importe menor entre la cifra fija y el porcentaje. El tercer tramo es del 1 %, nunca del 1,5 %. Por separado, los proveedores de modelos de GPAI son multados por la Comisión conforme al artículo 101 (hasta 15 M€ o el 3 %), no por el artículo 99.
Ejemplo práctico: una empresa SaaS de Bangalore que vende software de contratación con IA a la UE
TalentSetu Technologies Pvt Ltd es una empresa SaaS de Bangalore de unos 160 empleados con cerca de 18 millones de euros de ingresos anuales. Vende una herramienta de cribado y clasificación de candidatos con IA, y varios de sus clientes son empleadores en Alemania y los Países Bajos.
Por qué TalentSetu está dentro del ámbito ahora
Como proveedor que introduce el sistema en el mercado de la UE, TalentSetu está dentro del ámbito conforme al artículo 2, apartado 1, letra a) hoy mismo: no se exige oficina en la UE, la ausencia de una entidad europea es irrelevante. Su herramienta es de alto riesgo conforme al anexo III, punto 4 (empleo, gestión de los trabajadores: contratación y selección de personas físicas), lo que activa todo el conjunto de obligaciones del proveedor conforme a los artículos 9 a 15. Incluso donde TalentSetu no tiene contrato directo con la UE, el artículo 2, apartado 1, letra c) puede atraparla cuando la salida de la herramienta se utiliza para evaluar candidatos en la Unión.
El filtro de prácticas prohibidas va primero
Antes de cualquier trabajo de alto riesgo, TalentSetu debe superar el filtro duro del artículo 5, apartado 1, letra f): el reconocimiento de emociones en el lugar de trabajo es una práctica prohibida, salvo por motivos médicos o de seguridad. Si el flujo de cribado infiere emoción a partir de entrevistas en vídeo —leyendo «confianza» o «entusiasmo» a partir de la expresión facial o el tono—, esa funcionalidad debe eliminarse para el mercado de la UE, con independencia del estatus de alto riesgo. Una práctica prohibida no se cura con documentación; simplemente está prohibida.
La lista previa al mercado de TalentSetu
- Designar un representante autorizado del artículo 22 establecido en la Unión antes de introducir el sistema en el mercado de la UE.
- Elaborar la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V.
- Ejecutar la evaluación de la conformidad y registrar el sistema conforme al artículo 49.
- Tener en cuenta la exposición: una infracción del proveedor de alto riesgo se sitúa en el tramo del artículo 99, apartado 4. Como pyme, TalentSetu se beneficia del límite del artículo 99, apartado 6 al menor entre la cifra fija y el porcentaje, de modo que el 3 % de unos 18 millones de euros de ingresos es el techo operativo, no la cifra de 15 M€.
- Mantener las obligaciones indias —la Ley DPDP, las Normas de TI, cualquier aviso del MeitY— en paralelo; el expediente de la UE no libera de ellas, ni a la inversa.
Qué deberían hacer ahora las empresas indias
Mapea tu exposición a la UE, no tu estatus indio
No partas de «¿estamos cubiertos por el derecho indio?». Parte de «¿tocamos el mercado de la UE?». Si introduces IA en el mercado de la UE o tu salida se utiliza en la Unión, el calendario de la UE te obliga a través del artículo 2, con independencia de lo que India legisle o deje de legislar.
Una lista de arranque en cinco pasos
- Mapea tus sistemas de IA frente al artículo 2 para confirmar dónde introduces sistemas en el mercado de la UE o tu salida llega a la Unión, incluido el trabajo realizado de forma deslocalizada para clientes europeos.
- Clasifica cada sistema: supera primero el filtro de prácticas prohibidas del artículo 5, luego evalúa el artículo 6 / anexo III para el estatus de alto riesgo.
- Asigna funciones —proveedor, responsable del despliegue, importador, distribuidor— y ejecuta el control de conversión del artículo 25 sobre todo lo que afines, comercialices con marca blanca o reorientes.
- Para sistemas de alto riesgo, designa un representante autorizado del artículo 22 en la Unión antes de la introducción en el mercado.
- Elabora el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y declaración de conformidad del anexo V, y mantén tus obligaciones indias en paralelo.
Dos novedades a vigilar
Haz seguimiento de dos piezas en movimiento para revisión jurídica: la guía de aplicación de la UE —las directrices de la Comisión sobre clasificación de alto riesgo, aún en borrador, y las normas armonizadas, todavía no publicadas en el Diario Oficial—, y el panorama propio de India en evolución —el avance de la Ley de la India Digital, la normativa de la Ley DPDP y los avisos del MeitY—, que puede añadir obligaciones indias pero no desplazará el alcance extraterritorial del Reglamento de IA.
Cómo ayuda Confir a las empresas indias
Confir deriva tu función de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una entrada en lenguaje sencillo. El motor es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que la misma entrada siempre arroja la misma conclusión defendible ante una auditoría, con una explicación legible de qué regla se ha activado.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando procede. El objetivo es dar a un exportador indio un expediente de cumplimiento del mercado de la UE que se sostenga por sí solo, separado de las obligaciones indias que apliquen. El flujo de trabajo de GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- El Reglamento de IA y las empresas estadounidenses: alcance extraterritorial
- Alcance extraterritorial del Reglamento de IA para empresas de fuera de la UE
- El ámbito de aplicación del Reglamento de IA explicado (artículo 2)
- Proveedor frente a responsable del despliegue en el Reglamento de IA
- Plazos y fechas de aplicación del Reglamento de IA
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →