El Reglamento de IA en Luxemburgo: autoridades, finanzas y obligaciones empresariales
Cómo se aplica el Reglamento de IA en Luxemburgo: la CNPD como autoridad líder, el papel de la CSSF, sanciones y el plazo de alto riesgo del 2 dic. 2027.
Luxemburgo no necesita aprobar una ley de IA para que el Reglamento de IA vincule a las empresas aquí: ya las vincula. El Reglamento (UE) 2024/1689 es directamente aplicable en cada Estado miembro, de modo que un administrador de fondos, una fintech o una aseguradora de Luxemburgo están sujetos a las mismas normas que una firma de Fráncfort o de París. Lo que Luxemburgo tiene que hacer es nombrar a las autoridades que lo aplican. Eso es precisamente lo que pretende el proyecto de ley n.º 8476, presentado por el Gobierno el 23 de diciembre de 2024, y en su centro se sitúa la CNPD, la comisión nacional de protección de datos.
Esta guía cubre cómo se aplica el Reglamento en el Gran Ducado: las autoridades que designa el proyecto (y la redacción cuidadosa que exige el hecho de que todavía sea un proyecto), el solapamiento con el sector financiero que más importa a la economía de fondos y fintech de Luxemburgo, el calendario corregido tras el Digital Omnibus, las sanciones del artículo 99 y un ejemplo práctico para una pyme luxemburguesa de administración de fondos.
Un reglamento, no una directiva: sin transposición luxemburguesa
El Reglamento de IA es un reglamento. Entró en vigor el 1 de agosto de 2024 y se aplica directamente en toda la UE en virtud del artículo 288 del TFUE, también en Luxemburgo, sin necesidad de incorporarse a una ley luxemburguesa. Las empresas no esperan a una ley nacional para que las obligaciones se apliquen: las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025, y las obligaciones sobre los proveedores de modelos de IA de uso general (GPAI) del capítulo V se aplican desde el 2 de agosto de 2025.
El proyecto n.º 8476 no crea las obligaciones —las crea el Reglamento—. El proyecto asigna la fontanería nacional: qué autoridad luxemburguesa puede investigar, quién es la autoridad notificante, quién actúa como punto de contacto único ante la Comisión Europea y cómo se administran las sanciones a nivel interno.
¿Quién aplica el Reglamento de IA en Luxemburgo?
Primero, una precisión, y es importante: el proyecto n.º 8476, a mediados de 2026, sigue siendo un proyecto que avanza por el proceso legislativo, aún no es una ley promulgada. Las designaciones que siguen reflejan el plan declarado por el Gobierno en ese proyecto. Están muy avanzadas y ampliamente reportadas, pero hasta que el proyecto se vote y el punto de contacto único se notifique formalmente a la Comisión conforme al artículo 70(2), trátalas como la arquitectura prevista y no como un texto consolidado. El plazo de designación del artículo 70 era el 2 de agosto de 2025, y Luxemburgo —como muchos Estados miembros— todavía lo está ultimando.
La CNPD: la autoridad líder y el punto de contacto único
Conforme al proyecto n.º 8476, está previsto que la Commission nationale pour la protection des données (CNPD) sea la autoridad de vigilancia del mercado por defecto de Luxemburgo y el punto de contacto único ante la Oficina de IA de la UE y la Comisión. La CNPD también coordinaría a las demás autoridades sectoriales —convocándolas, armonizando enfoques y actuando como canal hacia las instituciones de la UE—. Para la mayoría de las empresas luxemburguesas, la CNPD es, por tanto, la autoridad a vigilar.
La CNPD ya es el regulador de protección de datos de Luxemburgo, así que aporta experiencia en evaluación de derechos fundamentales y cooperación transfronteriza —útil, dado que casi todo sistema de IA de alto riesgo trata también datos personales—.
Las autoridades sectoriales conservan sus ámbitos
El proyecto emplea un modelo basado en competencias: la CNPD es la autoridad por defecto, pero los reguladores sectoriales existentes conservan la supervisión dentro de su propio ámbito. Según el proyecto tal como se presentó, estos incluyen:
- CSSF (Commission de Surveillance du Secteur Financier) — supervisa la IA usada por las entidades financieras que ya regula: bancos, empresas de inversión, gestoras de fondos y administradores de fondos.
- CAA (Commissariat aux Assurances) — la IA usada por aseguradoras y reaseguradoras, incluido el sesgo en decisiones de seguros impulsadas por IA.
- ILNAS — los sistemas de IA que son componentes de seguridad de productos cubiertos por la legislación de armonización de la UE (anexo I, puntos 1 a 10) que cumplen las condiciones del artículo 6(1), además de los productos de infraestructuras críticas.
- ILR (Institut Luxembourgeois de Régulation) — las obligaciones del responsable del despliegue (artículo 26) para operadores de servicios esenciales e importantes.
- ALMPS — la IA en productos sanitarios y diagnósticos in vitro.
- ALIA — los deberes de transparencia del artículo 50 para el contenido sintético y las ultrafalsificaciones en el ámbito audiovisual.
La Oficina de IA de la UE en Bruselas, y no ninguna autoridad luxemburguesa, supervisa a los proveedores de modelos de GPAI conforme a los artículos 53 y 55. Una empresa luxemburguesa que construye e introduce un modelo de uso general en el mercado trata directamente con la Oficina de IA.
El ángulo financiero: dónde se cruzan la CSSF y el Reglamento de IA
Luxemburgo es el mayor centro de fondos de inversión de Europa y un sustancial polo fintech. Para la mayoría de las firmas de aquí, la pregunta práctica no es "¿está prohibida la IA?", sino "¿dónde encaja nuestra IA y a qué supervisor le importa?".
La CSSF supervisa la IA desplegada por las entidades bajo su ámbito. Su interés se superpone por encima del Reglamento de IA, no en su lugar. Así que una gestora de fondos luxemburguesa que use una herramienta de IA para, pongamos, la monitorización de transacciones o el alta de clientes se enfrenta a dos referencias: la clasificación y las obligaciones del Reglamento de IA, y las propias expectativas de supervisión de la CSSF sobre externalización, riesgo de las TIC (DORA) y gobernanza de modelos.
Un matiz crucial para los equipos financieros: la mayor parte de la IA financiera no es automáticamente de alto riesgo bajo el Reglamento. La lista de alto riesgo del anexo III recoge la evaluación de la solvencia y la calificación crediticia de personas físicas (excluida la detección de fraude) y la evaluación de riesgos y fijación de precios en seguros de vida y de salud. No arrastra por defecto a cada modelo de negociación algorítmica, ni a cada motor de asesoramiento automatizado (robo-advisory), ni a cada herramienta de monitorización de transacciones contra el blanqueo (AML). Esos se clasifican por su uso, y muchos quedan en los niveles de riesgo limitado (transparencia) o riesgo mínimo. La disciplina consiste en clasificar sistema por sistema conforme al artículo 6 y al filtro del artículo 6(3), no en presuponer "es una IA financiera, así que es de alto riesgo".
El calendario tal como se aplica en Luxemburgo
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor, exigible ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza, Oficina de IA, sanciones del artículo 99 |
| 2 de agosto de 2026 | Aplicación general, incluida la mayoría de los deberes de transparencia del artículo 50 |
| 2 de diciembre de 2026 | Novedad: prohibición de CSAM / herramientas "nudifier" y marcado / marca de agua de contenido del artículo 50 |
| 2 de diciembre de 2027 | Sistemas de IA de alto riesgo independientes (anexo III) — aplazado bajo el Digital Omnibus |
| 2 de agosto de 2028 | IA de alto riesgo integrada en productos regulados del anexo I — aplazado bajo el Digital Omnibus |
Dos puntos para las empresas luxemburguesas.
Primero, el plazo de alto riesgo ya no es agosto de 2026. En el marco del Digital Omnibus —el paquete de modificaciones de la Comisión que alcanzó un acuerdo político entre el Parlamento y el Consejo el 6 y 7 de mayo de 2026—, los sistemas independientes de alto riesgo del anexo III tienen ahora hasta el 2 de diciembre de 2027, y la IA de alto riesgo integrada en productos hasta el 2 de agosto de 2028.
Segundo, una actualización importante: el aplazamiento ya está adoptado. El pleno del Parlamento lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026; solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, para su entrada en vigor. La fecha del 2 de diciembre de 2027 para la IA de alto riesgo independiente del anexo III ya está asentada. No es la idea de "parar el reloj" condicionada a normas que se propuso y se rechazó: las nuevas fechas son fechas de calendario fijas.
Lo que no se movió: las obligaciones de GPAI, las prohibiciones del artículo 5, la alfabetización del artículo 4 y la mayoría de los deberes de transparencia del artículo 50.
Sanciones: a qué se enfrentan las empresas luxemburguesas
Los topes sancionadores los fija el artículo 99 del Reglamento y los aplican las autoridades luxemburguesas. Hay exactamente tres niveles, cada uno "el importe que sea mayor" entre una suma fija o un porcentaje del volumen de negocios anual total a escala mundial:
| Infracción | Multa máxima | Apartado |
|---|---|---|
| Prácticas prohibidas del artículo 5 | 35.000.000 € o 7 % | art. 99(3) |
| La mayoría de las demás obligaciones (requisitos de alto riesgo, deberes de proveedor/responsable del despliegue, artículo 50) | 15.000.000 € o 3 % | art. 99(4) |
| Información incorrecta / incompleta / engañosa a las autoridades | 7.500.000 € o 1 % | art. 99(5) |
El tercer nivel es el 1 %, no el 1,5 %: no existe ningún nivel del 1,5 % en ninguna parte del Reglamento, pese a lo que afirmaron algunos comentarios tempranos.
Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al importe menor entre el porcentaje o la cantidad fija. Una fintech luxemburguesa con 12 millones de euros de volumen de negocios no puede enfrentarse a la cifra de cabecera de 15 millones de euros por una infracción de alto riesgo: el 3 % de 12 millones de euros son 360.000 euros, y ese es el tope. Las multas a proveedores de modelos de GPAI son un instrumento aparte: hasta 15 millones de euros o el 3 %, impuestas por la Comisión en virtud del artículo 101, no por las autoridades luxemburguesas.
Ejemplo práctico: una fintech luxemburguesa de administración de fondos
Tomemos Stäreklang FundOps S.à r.l., una pyme ficticia luxemburguesa de administración de fondos y fintech —unos 70 empleados, alrededor de 11 millones de euros de volumen de negocios, que da servicio a gestoras de fondos de inversión alternativa desde una oficina en Kirchberg—. Opera tres herramientas de IA: un modelo de extracción de documentos que lee formularios de suscripción, un chatbot de IA en su portal de inversores, y un modelo de IA de un proveedor que ha afinado (fine-tuning) con sus propios datos para señalar cálculos anómalos del valor liquidativo (NAV).
Analizando cada una con el Reglamento:
- Extracción de documentos — una tarea estrecha y procedimental que mejora una actividad de back-office, con humanos revisando el resultado. Bajo el filtro del artículo 6(3) no es de alto riesgo; queda en riesgo mínimo. Ninguna obligación obligatoria del Reglamento de IA, aunque una buena gobernanza de datos sigue siendo recomendable.
- Chatbot del portal de inversores — riesgo limitado. El artículo 50(1) exige que Stäreklang informe a los usuarios de que interactúan con IA. Ese deber se aplica desde el 2 de agosto de 2026. Barato de cumplir: una línea de aviso clara.
- Modelo afinado de anomalías del NAV — el interesante. Como Stäreklang adaptó sustancialmente un modelo de proveedor y lo opera con su propio nombre, el artículo 25 puede convertirlo de responsable del despliegue en proveedor respecto de ese sistema, heredando las obligaciones de proveedor del artículo 16 si el sistema es de alto riesgo. La detección de anomalías del NAV no figura en el anexo III, así que no es de alto riesgo: aquí Stäreklang sigue siendo responsable del despliegue. Pero la firma debería documentar ese análisis del artículo 25, porque la misma maniobra de fine-tuning sobre un modelo de calificación crediticia o de fijación de precios de seguros sí desencadenaría los deberes de proveedor.
Mapa de supervisión: la CSSF tiene interés en las tres como supervisor financiero de Stäreklang; la CNPD es el punto de contacto del Reglamento de IA y el regulador de protección de datos. Ninguno de estos sistemas es de alto riesgo, así que la maquinaria de evaluación de la conformidad de 2027 no se aplica, pero sí lo hacen el aviso del chatbot del artículo 50 y la documentación del artículo 25.
Cómo ayuda Confir a las empresas luxemburguesas
Un equipo de cumplimiento o de riesgos luxemburgués necesita clasificar cada sistema de IA, fijar el rol de proveedor/responsable del despliegue y producir registros defendibles —exactamente el trabajo que se vuelve enrevesado cuando la CSSF y la CNPD tienen ambas interés—.
Confir es un software de cumplimiento alojado en la UE para esto. Su motor de clasificación es determinista y basado en reglas: codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma entrada de datos siempre arroja el mismo resultado, con una nota legible para personas de qué regla se activó —reproducible por diseño, que es lo que un supervisor quiere ver—. Construye el paquete de documentación técnica del anexo IV, la declaración de conformidad del artículo 47 / anexo V y la EIDF (evaluación de impacto relativa a los derechos fundamentales) del artículo 27, y mantiene un registro de IA y un registro de auditoría a escala de toda la organización.
Qué deberían hacer ahora las empresas luxemburguesas
De inmediato — audita cualquier práctica del artículo 5 (es exigible desde el 2 de febrero de 2025). Antes del 2 de agosto de 2026 — asegúrate de que todo chatbot o herramienta de contenido de cara al cliente cumple la transparencia del artículo 50. Durante 2026-2027 — construye el inventario de IA, clasifica cada sistema conforme al artículo 6 con el filtro del artículo 6(3), resuelve los roles de proveedor/responsable del despliegue (atención a la trampa del fine-tuning del artículo 25) y empieza la documentación de todo lo que sea genuinamente de alto riesgo. De forma continua — sigue el proyecto n.º 8476 por la Cámara de Diputados, observa las señales de supervisión de la CSSF sobre IA, y sigue el trabajo sobre GPAI de la Oficina de IA de la UE si construyes modelos.
Guías relacionadas
- Fundamentos del Reglamento de IA
- el calendario de aplicación corregido
- El Digital Omnibus y el aplazamiento de 2027
- Las sanciones del artículo 99 explicadas
- roles de proveedor frente a responsable del despliegue
- cumplimiento de IA en fintech
- el Reglamento de IA en Francia
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →