El Reglamento de IA en Lituania: quién lo aplica y qué deben hacer las empresas lituanas
Lituania designó a la RRT como autoridad del Reglamento de IA y a la Agencia de Innovación como notificante. Funciones, sanciones, sandbox y dic. 2027.
Lituania es una de las implementaciones del Reglamento de IA más limpias y tempranas. Mientras muchos Estados miembros incumplieron el plazo de agosto de 2025 para designar a sus autoridades, el parlamento lituano ya había legislado en enero de 2025: repartió la tarea entre la Autoridad Reguladora de Comunicaciones (RRT), que pasó a ser la autoridad de vigilancia del mercado y el punto de contacto único, y la Agencia de Innovación, que asumió el papel de autoridad notificante y gestiona el espacio controlado de pruebas (sandbox regulatorio) de IA. Ambas designaciones están confirmadas en la legislación nacional y registradas a nivel de la UE.
Esta guía expone la arquitectura de aplicación lituana, las obligaciones que ya vinculan a las empresas, la única cuestión que sigue genuinamente abierta, el calendario corregido tras el Digital Omnibus y lo que las empresas lituanas deberían hacer ahora.
Un reglamento, no una directiva: efecto directo en Lituania
El Reglamento de IA, Reglamento (UE) 2024/1689, se aplica directamente en Lituania en virtud del artículo 288 del Tratado de Funcionamiento de la Unión Europea. Entró en vigor el 1 de agosto de 2024, y sus primeras obligaciones vinculan a las empresas lituanas con independencia de la legislación nacional: las prácticas prohibidas del artículo 5 y la alfabetización en IA del artículo 4 desde el 2 de febrero de 2025, y las obligaciones sobre IA de uso general (GPAI) del capítulo V desde el 2 de agosto de 2025.
Al ser un reglamento, Lituania no lo transpuso. Lo que sí hizo —y de forma notablemente adelantada— fue designar a sus autoridades modificando dos leyes ya existentes, en lugar de aprobar una única "ley de IA" independiente. El Seimas (parlamento) aprobó las modificaciones de aplicación el 14 de enero de 2025, nombrando a las autoridades competentes. Eso es lo que convierte a Lituania en un caso resuelto.
¿Quién aplica el Reglamento de IA en Lituania?
La RRT: autoridad de vigilancia del mercado y punto de contacto único
La Autoridad Reguladora de Comunicaciones (RRT — Ryšių reguliavimo tarnyba) es la autoridad de vigilancia del mercado y el punto de contacto único designados de Lituania ante la Oficina de IA de la UE conforme al artículo 70. La modificación de la Ley de Servicios de la Sociedad de la Información asigna este papel a la RRT; la RRT figura confirmada en la lista de puntos de contacto único publicada por la Comisión Europea. La RRT ya es el regulador lituano de las comunicaciones electrónicas y de ciertos servicios digitales, lo que le aporta una base de experiencia técnico-regulatoria para la aplicación del Reglamento de IA.
Un matiz importante, tomado directamente del propio Ministerio de Economía e Innovación de Lituania: la RRT no es la única autoridad de vigilancia del mercado. Es el punto de contacto único coordinador, pero las autoridades sectoriales de vigilancia del mercado también supervisarán las disposiciones directamente aplicables del Reglamento de IA dentro de sus propios ámbitos. Así que la designación principal está resuelta, mientras que el reparto exacto de funciones —qué organismo vigila qué sistema de IA en la práctica— todavía se está perfilando. La propia RRT ha señalado una carencia de capacidad: en una encuesta detectó que muchas autoridades aún no están preparadas para supervisar, y ha propuesto reforzar un centro nacional de competencias. Eso es desarrollo de capacidad, no un cambio en la designación.
La Agencia de Innovación: autoridad notificante y sandbox
La Agencia de Innovación (Inovacijų agentūra) está designada como autoridad notificante de Lituania conforme a los artículos 28 y 70 —responsable de evaluar y supervisar a los organismos notificados que realizan la evaluación de la conformidad por terceros— a través de la modificación de la Ley de Tecnología e Innovación, con funciones efectivas en agosto de 2025.
La Agencia de Innovación también tiene encomendado por ley, conforme al artículo 57, gestionar el espacio controlado de pruebas (sandbox regulatorio) de IA de Lituania (DI smėliadėžė): un entorno supervisado, respaldado con financiación de la UE, en el que las pymes lituanas pueden probar sus sistemas de IA frente a las normas antes de lanzarlos. Para una pequeña empresa lituana, el sandbox es una vía genuinamente útil: el artículo 58 concede prioridad y acceso gratuito a las pymes.
La VDAI: la autoridad de protección de datos
La autoridad de protección de datos de Lituania es la Inspección Estatal de Protección de Datos (Valstybinė duomenų apsaugos inspekcija, VDAI), supervisora del RGPD desde 1997. La VDAI es ineludible para cualquier sistema de IA que trate datos personales —lo que cubre la mayoría de los casos de uso de alto riesgo del anexo III—, pero no es la autoridad de vigilancia del mercado designada para el Reglamento de IA. Ese papel corresponde a la RRT. Ambas operan en paralelo: la VDAI bajo el RGPD, la RRT bajo el Reglamento de IA.
La Oficina de IA (Bruselas): la GPAI se queda a nivel de la UE
Los proveedores de modelos de IA de uso general son supervisados por la Oficina de IA de la UE en Bruselas conforme a los artículos 53 y 55, con multas impuestas por la Comisión en virtud del artículo 101 —no por la RRT—. Una empresa lituana que simplemente usa un modelo de uso general es responsable del despliegue del sistema que construye, no un proveedor de GPAI que responda ante la Oficina de IA por el modelo en sí.
El calendario de aplicación lituano (tras el Digital Omnibus)
| Fecha | Qué se aplica en Lituania |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor ahora |
| 14 de enero de 2025 | El Seimas modifica la ley — la RRT queda designada autoridad de vigilancia del mercado y punto de contacto único |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza, Oficina de IA, sanciones del artículo 99; comienzan las funciones de la Agencia de Innovación |
| 2 de agosto de 2026 | Aplicación general, incluida la mayoría de los deberes de transparencia del artículo 50 |
| 2 de diciembre de 2026 | Novedad: prohibición de material de abuso sexual infantil generado por IA / herramientas "nudifier" y deberes de marcado de contenido del artículo 50 |
| 2 de diciembre de 2027 | IA de alto riesgo independiente (anexo III) — aplazamiento adoptado |
| 2 de agosto de 2028 | IA de alto riesgo integrada en productos regulados (anexo I) — aplazamiento adoptado |
Las fechas de alto riesgo llevan una advertencia. En el marco del Digital Omnibus, el Parlamento Europeo y el Consejo alcanzaron un acuerdo político el 6 y 7 de mayo de 2026 para aplazar los sistemas independientes de alto riesgo del anexo III al 2 de diciembre de 2027 y la IA de alto riesgo integrada en productos al 2 de agosto de 2028. El Digital Omnibus ya está adoptado: el Parlamento lo votó en pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, para su entrada en vigor. La fecha del 2 de diciembre de 2027 para la IA de alto riesgo independiente del anexo III ya está asentada. El aplazamiento son fechas de calendario fijas, no condicionadas a normas armonizadas.
Sanciones: a qué se enfrentan realmente las empresas lituanas
El marco sancionador es el artículo 99 del Reglamento, aplicado en Lituania a través de la RRT y de las autoridades sectoriales. Los topes son comunes a toda la UE; la legislación lituana aporta el procedimiento, no cifras distintas. Tres niveles, cada uno "el importe que sea mayor" entre una suma fija o un porcentaje del volumen de negocios anual total a escala mundial:
- 35.000.000 € o 7 % — por infringir las prohibiciones del artículo 5.
- 15.000.000 € o 3 % — para la mayoría de las demás infracciones: requisitos de alto riesgo (artículos 9 a 15), deberes del proveedor (artículo 16), deberes del responsable del despliegue (artículo 26) y transparencia del artículo 50.
- 7.500.000 € o 1 % — por facilitar información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad.
El tercer nivel es el 1 %, no el 1,5 %: no existe ningún nivel del 1,5 % en el Reglamento, ni importes de multa específicos de Lituania. Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al importe menor entre la cantidad fija o el porcentaje. Una empresa lituana con un volumen de negocios de 5 millones de euros no se enfrenta a una multa de 15 millones de euros por una infracción de alto riesgo: el 3 % de 5 millones de euros son 150.000 euros, y ese es el tope.
Las multas específicas de GPAI son aparte: hasta 15 millones de euros o el 3 %, impuestas por la Comisión en virtud del artículo 101 al proveedor del modelo, no por la RRT.
Ejemplo práctico: una empresa EdTech de Vilna
Pensemos en Mokymas UAB, una empresa EdTech ficticia de Vilna —unos 35 empleados, alrededor de 4 millones de euros de volumen de negocios anual— cuya herramienta de IA puntúa exámenes de estudiantes y ayuda a decidir la admisión a un programa de formación profesional.
La IA empleada para evaluar resultados de aprendizaje o determinar el acceso a la educación es un caso de uso de alto riesgo del anexo III (educación y formación profesional). Como Mokymas construye la herramienta y la introduce en el mercado con su propio nombre, es proveedor conforme al artículo 16: gestión de riesgos del artículo 9, documentación técnica del anexo IV, una evaluación de la conformidad del artículo 43, supervisión humana del artículo 14 y registro del artículo 49.
Para Mokymas, el marco lituano es una ventaja. Su autoridad de vigilancia del mercado para el Reglamento de IA está clara —la RRT— y, como pyme, puede solicitar el sandbox regulatorio de la Agencia de Innovación para probar el sistema frente a las normas con prioridad y acceso gratuito antes de su lanzamiento. Como la herramienta trata datos personales de estudiantes, la VDAI también la supervisa bajo el RGPD, y se exige una evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD. La vía sensata: entrar pronto en el sandbox, preparar la documentación del Reglamento de IA frente a la fecha de alto riesgo del 2 de diciembre de 2027 (planificando para agosto de 2026 hasta que el aplazamiento sea ley) y mantener alineadas las evaluaciones del RGPD y del Reglamento de IA. Con 4 millones de euros de volumen de negocios, su exposición de alto riesgo en el peor de los casos es del 3 %: unos 120.000 euros.
Cómo ayuda Confir a las empresas lituanas
Un equipo de cumplimiento lituano tiene un conjunto de obligaciones cargado de documentación: un inventario de IA, la clasificación del artículo 6 con la lógica del anexo III, la asignación de roles, los registros de gestión de riesgos del artículo 9, el expediente técnico del anexo IV, la evaluación del artículo 27 cuando proceda y el seguimiento posterior a la comercialización del artículo 72.
Confir es un software de cumplimiento alojado en la UE creado para este trabajo. Su motor de clasificación es determinista y basado en reglas: codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma entrada de datos siempre arroja el mismo resultado, con una explicación legible para personas de qué regla se activó. Genera el paquete de documentación técnica del anexo IV y la declaración de conformidad del artículo 47 / anexo V, y ejecuta la evaluación del artículo 27. La revisión estructurada abarca cuatro áreas: clasificación de riesgos, datos y robustez técnica, transparencia y supervisión humana, y gobernanza y seguimiento posterior a la comercialización.
Qué deberían hacer ahora las empresas lituanas
De inmediato: audita cualquier práctica prohibida del artículo 5 —exigible desde febrero de 2025—. Si un sistema encaja en una categoría prohibida y no cabe ninguna excepción, deténlo o reconstrúyelo.
Antes del 2 de agosto de 2026: adapta los chatbots, los asistentes de voz y las herramientas de contenido de IA a la transparencia del artículo 50: hay que informar a los usuarios cuando interactúan con IA o con contenido sintético.
Durante 2026-2027: construye el inventario de IA, clasifica los sistemas conforme al artículo 6 con el filtro del artículo 6(3), asigna los roles de proveedor o responsable del despliegue, y empieza la documentación de alto riesgo, planificando frente al 2 de diciembre de 2027. Si eres una pyme con un sistema de alto riesgo, valora el sandbox de la Agencia de Innovación.
De forma continua: sigue las orientaciones de la RRT y sus primeras actuaciones de aplicación, y observa qué autoridades sectoriales asumen funciones de supervisión en tu ámbito: ese reparto de funciones todavía se está perfilando.
Guías relacionadas
- Quién aplica el Reglamento de IA
- Fundamentos del Reglamento de IA
- Las sanciones del Reglamento de IA explicadas
- Obligaciones del proveedor frente al responsable del despliegue
- Guía de cumplimiento para pequeñas empresas
- El Reglamento de IA en Polonia
- El Reglamento de IA en la República Checa
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →