El Reglamento de IA y las empresas israelíes: cómo el artículo 2 alcanza a los proveedores israelíes de IA
Israel adopta un enfoque de IA basado en principios, pero el artículo 2 del Reglamento de IA obliga a las empresas israelíes que venden IA al mercado europeo.
Una startup de Tel Aviv cuya herramienta de IA usa un empleador de Berlín queda sujeta al Reglamento de IA de la UE, aunque no tenga oficina europea, ni entidad europea, y un enfoque interno que evita deliberadamente una ley de IA vinculante. Esa es la trampa para las empresas israelíes: la propia política de IA de Israel se basa en principios y la lideran los sectores, lo que puede hacer que el régimen de derecho duro de la UE parezca un problema ajeno. No lo es. El Reglamento de IA no es derecho israelí y nunca se convierte en derecho israelí; no existe ninguna fecha de aplicación israelí ni ninguna «autoridad competente del Reglamento de IA» israelí en la que registrarse. Pero el artículo 2 le da al Reglamento (UE) 2024/1689 un alcance extraterritorial deliberado, y conlleva sanciones basadas en el volumen de negocio que el marco israelí no contempla.
Para una empresa israelí que toca el mercado de la UE —y una gran parte del sector tecnológico israelí, muy orientado a la exportación, lo hace—, el artículo 2 es la base entera y permanente sobre la que el Reglamento te obliga.
Israel es un tercer país: el Reglamento nunca se convierte en derecho israelí
Israel no es un Estado miembro de la UE ni forma parte del Espacio Económico Europeo (EEE). Ningún mecanismo —ni transposición, ni incorporación al EEE— convierte el Reglamento (UE) 2024/1689 en derecho israelí. Así que la única pregunta que importa para una empresa israelí es la extraterritorial: ¿tu actividad te sitúa dentro del artículo 2?
El enfoque de Israel se basa en principios, no en un Reglamento de IA vinculante
Israel ha elegido deliberadamente una vía liderada por la política y guiada por principios, en lugar de una ley horizontal de IA. A mediados de 2026 no existe un Reglamento de IA israelí. La gobernanza descansa en:
- La Política de Israel sobre Regulación y Ética de la Inteligencia Artificial (publicada en diciembre de 2023), construida sobre la «innovación responsable», que encarga a los reguladores sectoriales elaborar normas a medida en lugar de imponer una única ley horizontal amplia.
- Un emergente Centro de Coordinación de la Política de IA dentro del Ministerio de Innovación, Ciencia y Tecnología, que se espera que dé soporte a los reguladores sectoriales con herramientas de gestión de riesgos.
- El derecho existente —en particular las normas de privacidad y protección de datos aplicadas por la Autoridad de Protección de la Privacidad (PPA)—, que contiene las obligaciones vinculantes cuando intervienen datos personales y decisiones automatizadas.
El contraste con la UE importa. La política de Israel es orientación más acción sectorial específica; el Reglamento de IA es derecho duro con multas del artículo 99 de hasta 35 M€ o el 7 % del volumen de negocio mundial. Seguir la política israelí no satisface el Reglamento de IA, y el Reglamento de IA no satisface las obligaciones sectoriales o de privacidad israelíes. Una empresa israelí que vende a la UE se enfrenta a ambos panoramas en paralelo; trata la parte israelí como un asunto para asesoría jurídica local por separado.
No hay una fecha de aplicación israelí que esperar
Para una empresa de la UE el Reglamento se aplica en fechas fijas del calendario de la UE. Para una empresa israelí esas fechas no son un interruptor doméstico; son simplemente las fechas en que las empresas israelíes ya dentro del ámbito por el artículo 2 deben cumplir. No hay una «fecha israelí» distinta, y esperar una es esperar algo que nunca llegará.
Artículo 2: las dos vías que atrapan a las empresas israelíes
El artículo 2 fija el ámbito de aplicación del Reglamento, redactado para llegar más allá de las fronteras de la UE precisamente para que los proveedores de fuera de la UE no puedan socavar a los europeos quedándose en el extranjero.
Introducir IA en el mercado de la UE (artículo 2, apartado 1, letra a))
Conforme al artículo 2, apartado 1, letra a), todo proveedor que introduzca un sistema de IA en el mercado de la UE o lo ponga en servicio en la Unión está dentro del ámbito, con independencia de dónde esté establecido. Una empresa israelí que vende, licencia o pone su producto de IA a disposición de clientes en Alemania, Francia o Irlanda queda atrapada; estar constituida en Tel Aviv y tener servidores en Israel no cambia nada. Para las firmas israelíes de SaaS, ciberseguridad y productos de IA orientadas a la exportación, una base de clientes en la UE es el desencadenante.
Salida utilizada en la Unión (artículo 2, apartado 1, letra c))
Conforme al artículo 2, apartado 1, letra c), un proveedor o responsable del despliegue establecido en un tercer país queda dentro del ámbito cuando la salida del sistema de IA se utiliza en la Unión. El criterio es dónde aterriza el efecto, no dónde está la empresa o el servidor. Una empresa israelí cuyo modelo puntúa, clasifica o genera contenido sobre personas en la UE queda atrapada por esta vía aun sin contrato con cliente alguno en la UE.
La obligación de representante autorizado (artículo 22)
Un proveedor israelí de un sistema de alto riesgo debe, antes de introducirlo en el mercado de la UE, designar un representante autorizado establecido en la Unión conforme al artículo 22: un punto de contacto y responsabilidad designado dentro de la Unión, no una oficina completa. Esto es paralelo a la estructura del representante en la UE que muchos exportadores israelíes ya cumplen bajo el RGPD (artículo 27 del RGPD), relevante porque Israel cuenta con una decisión de adecuación de la UE para las transferencias de datos, pero la adecuación atañe a la protección de datos y no hace nada por la conformidad con el Reglamento de IA. Es una designación independiente bajo una ley independiente.
Calendario: las fechas de la UE se aplican a las empresas israelíes dentro del ámbito
No hay una fecha israelí distinta. Una empresa israelí dentro del ámbito por el artículo 2 planifica conforme al calendario legal de la UE.
| Hito | Fecha UE | Qué significa para una empresa israelí dentro del ámbito |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible ya en el mercado de la UE; no aplazado |
| Obligaciones GPAI (artículos 51 a 55) | 2 de agosto de 2025 | En vigor ya; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | Se aplica desde esta fecha UE; no hay fecha israelí distinta |
| Alto riesgo autónomo (artículo 6, apartado 2, anexo III) | 2 de diciembre de 2027 | Originalmente 2 de agosto de 2026; aplazado por el Reglamento (UE) 2026/1744 |
| Alto riesgo integrado en producto (artículo 6, apartado 1, anexo I) | 2 de agosto de 2028 | Originalmente 2 de agosto de 2027; aplazado por el Reglamento (UE) 2026/1744 |
El aplazamiento de alto riesgo del Ómnibus Digital
El Ómnibus Digital ya es ley: el Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Las obligaciones de alto riesgo autónomo del anexo III pasaron del 2 de agosto de 2026 al 2 de diciembre de 2027, y las de alto riesgo integrado en producto del anexo I, del 2 de agosto de 2027 al 2 de agosto de 2028; el texto vigente del Reglamento ya recoge ambas fechas. La propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de reserva; los colegisladores adoptaron en cambio fechas fijas.
Lo que no se movió
Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025 (el Ómnibus solo suavizó la redacción del artículo 4: desde el 27 de julio de 2026 exige adoptar medidas para apoyar la alfabetización en IA, no garantizar un nivel concreto); las obligaciones GPAI de los artículos 51 a 55, desde el 2 de agosto de 2025. Para los proveedores israelíes de modelos fundacionales o de GPAI que introducen modelos en el mercado de la UE, las obligaciones GPAI están vigentes ahora, y los modelos que ya estaban en el mercado de la UE antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir, conforme a la disposición transitoria.
Qué tienen que hacer realmente las empresas israelíes dentro del ámbito
Las obligaciones son las obligaciones de la UE
Como el Reglamento obliga a través del artículo 2 y no por una transposición israelí, un proveedor o responsable del despliegue israelí dentro del ámbito afronta los mismos deberes por función que una empresa de la UE. No existe una versión «Israel light», y seguir la política basada en principios de Israel no liberará de ellas. Las funciones se asignan de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor, con los deberes del importador en el artículo 23 y los del distribuidor en el artículo 24.
El cambio de función del artículo 25
Un responsable del despliegue, distribuidor o importador se convierte en proveedor conforme al artículo 25 en el momento en que pone su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Una empresa israelí que afina un modelo base hacia una nueva finalidad de alto riesgo, o que reetiqueta una herramienta de alto riesgo de la UE, puede heredar todo el conjunto de obligaciones del proveedor sin darse cuenta.
Deberes de alto riesgo y sanciones
Para un sistema de alto riesgo autónomo del anexo III, el conjunto de obligaciones del proveedor se aplica por completo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y solidez (artículos 9 a 15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones del proveedor del artículo 16. Las sanciones son las del artículo 99, con cifras idénticas, calculadas sobre el volumen de negocio mundial, no sobre los ingresos de la UE o de Israel: hasta 35 M€ o el 7 % por infracciones del artículo 5 (artículo 99, apartado 3); hasta 15 M€ o el 3 % por la mayoría de las demás obligaciones, incluidos los deberes del proveedor de alto riesgo (artículo 99, apartado 4); hasta 7,5 M€ o el 1 % por facilitar información incorrecta o engañosa (artículo 99, apartado 5). Para las pymes, el artículo 99, apartado 6 limita la multa al importe menor entre la cifra fija y el porcentaje. El tercer tramo es del 1 %, nunca del 1,5 %. Este es el contraste más nítido con la política voluntaria de Israel: multas reales, basadas en el volumen de negocio. Por separado, los proveedores de modelos de GPAI son multados por la Comisión conforme al artículo 101 (hasta 15 M€ o el 3 %), no por el artículo 99.
Ejemplo práctico: una firma de ciberseguridad de Tel Aviv con un módulo de analítica de plantilla
Sela Security Ltd es una empresa de ciberseguridad de Tel Aviv de unos 120 empleados con cerca de 16 millones de euros de ingresos anuales. Su producto principal es la detección de amenazas, pero comercializa un complemento que puntúa el comportamiento de los empleados para señalar el «riesgo interno», vendido a clientes empresariales, incluidos varios en Alemania y Francia.
Por qué la clasificación depende de la funcionalidad concreta
Como proveedor que introduce sistemas en el mercado de la UE, Sela está dentro del ámbito conforme al artículo 2, apartado 1, letra a) hoy mismo. Pero su producto principal de detección de amenazas, por sí solo, lo más probable es que se sitúe en riesgo mínimo o limitado: las herramientas de ciberseguridad no son en sí mismas un caso de uso del anexo III. El módulo de riesgo interno es la exposición: puntuar y supervisar a los empleados puede caer dentro del anexo III, punto 4 (empleo y gestión de los trabajadores), lo que haría de esa funcionalidad un caso de alto riesgo y activaría todo el conjunto de obligaciones del proveedor conforme a los artículos 9 a 15. Clasifica funcionalidad por funcionalidad, no producto por producto.
El filtro de prácticas prohibidas va primero
Si el módulo de riesgo interno infiere los estados emocionales de los empleados a partir de su comportamiento, puede chocar con el artículo 5, apartado 1, letra f): el reconocimiento de emociones en el lugar de trabajo es una práctica prohibida (salvo por motivos médicos o de seguridad), no meramente de alto riesgo. Una funcionalidad prohibida debe eliminarse para el mercado de la UE; no se cura con documentación, y conlleva el tramo de multa más elevado (artículo 99, apartado 3).
La lista de comprobación de Sela
- Clasificar cada funcionalidad por separado: confirmar el nivel de riesgo del producto principal; evaluar el módulo de riesgo interno frente al anexo III, punto 4 y al filtro del artículo 5, apartado 1, letra f).
- Si es de alto riesgo, designar un representante autorizado del artículo 22 en la Unión y elaborar la documentación del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V; registrarse conforme al artículo 49.
- Aplicar la transparencia del artículo 50 cuando cualquier funcionalidad interactúe con personas o genere contenido sintético.
- Tener en cuenta la exposición: una infracción del proveedor de alto riesgo se sitúa en el tramo del artículo 99, apartado 4; como pyme, el artículo 99, apartado 6 limita la multa al menor entre la cifra fija y el porcentaje, de modo que el 3 % de unos 16 millones de euros de ingresos es el techo operativo, no la cifra de 15 M€.
- Mantener las obligaciones israelíes —los deberes de privacidad/PPA y cualquier orientación sectorial— en paralelo; el expediente de la UE no libera de ellas, ni a la inversa.
Qué deberían hacer ahora las empresas israelíes
Mapea tu exposición a la UE, no tu estatus israelí
No partas de «¿estamos cubiertos por la política israelí?», y no des por hecho que el régimen de la UE es tan discrecional como el de Israel. Parte de «¿tocamos el mercado de la UE?». Si introduces IA en el mercado de la UE o tu salida se utiliza en la Unión, el calendario de la UE te obliga a través del artículo 2, con sanciones exigibles.
Una lista de arranque en cinco pasos
- Mapea tus sistemas de IA frente al artículo 2 para confirmar dónde introduces sistemas en el mercado de la UE o tu salida llega a la Unión.
- Clasifica cada sistema —y cada funcionalidad de IA— por uso: supera primero el filtro de prácticas prohibidas del artículo 5, luego evalúa el artículo 6 / anexo III para el estatus de alto riesgo.
- Asigna funciones —proveedor, responsable del despliegue, importador, distribuidor— y ejecuta el control de conversión del artículo 25 sobre todo lo que reetiquetes, afines o reorientes.
- Para sistemas de alto riesgo, designa un representante autorizado del artículo 22 en la Unión antes de la introducción en el mercado.
- Elabora el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y declaración de conformidad del anexo V, y mantén tus obligaciones israelíes en paralelo.
Una nota sobre la adecuación de datos
La decisión de adecuación de la UE para Israel facilita las transferencias de datos personales y puede que ya te obligue a designar un representante del RGPD, pero la adecuación es un mecanismo de protección de datos. No dice nada sobre la conformidad con el Reglamento de IA y no libera de ninguno de los deberes de alto riesgo. No dejes que «somos adecuados» sustituya a una evaluación del Reglamento de IA.
Cómo ayuda Confir a las empresas israelíes
Confir deriva tu función de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas —funcionalidad por funcionalidad— conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una entrada en lenguaje sencillo. El motor es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que la misma entrada siempre arroja la misma conclusión defendible ante una auditoría, con una explicación legible de qué regla se ha activado.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando procede. El objetivo es dar a una empresa israelí un expediente de cumplimiento del mercado de la UE que se sostenga por sí solo, separado de los deberes de privacidad israelíes y de la política de IA basada en principios del país. El flujo de trabajo de GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- El Reglamento de IA y las empresas estadounidenses: alcance extraterritorial
- Alcance extraterritorial del Reglamento de IA para empresas de fuera de la UE
- El ámbito de aplicación del Reglamento de IA explicado (artículo 2)
- Proveedor frente a responsable del despliegue en el Reglamento de IA
- Plazos y fechas de aplicación del Reglamento de IA
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →