El Reglamento de IA en Noruega: cómo se aplica a través del mecanismo del EEE
Cómo el Reglamento de IA de la UE alcanza a Noruega vía el Acuerdo EEE y por qué el artículo 2 ya obliga a las empresas noruegas en el mercado de la UE.
Una empresa noruega de SaaS que vende una herramienta de clasificación de candidatos a empleadores en Múnich y Róterdam ya está sujeta al Reglamento de IA de la UE. No cuando Noruega incorpore el Reglamento al Acuerdo EEE, ni en alguna futura fecha de aplicación noruega: hoy. La trampa consiste en leer «Noruega no está en la UE» como «el Reglamento todavía no nos aplica», y esa lectura es errónea para cualquier empresa que toque el mercado de la UE. Este artículo explica la doble vía: cómo el Reglamento pasa a ser Derecho noruego a través del mecanismo del EEE y por qué el artículo 2 ya obliga, en el ínterin, a los proveedores y responsables del despliegue noruegos que operan en el mercado de la UE.
Noruega, el EEE y por qué el Reglamento de IA te alcanza igualmente
Noruega no es un Estado miembro de la UE. Es miembro del Espacio Económico Europeo (EEE) junto con Islandia y Liechtenstein, lo que significa que el Derecho del mercado único de la UE le llega por una vía jurídica distinta y no por aplicabilidad directa al amparo del Derecho originario de la UE. Esa distinción importa para cómo y cuándo surgen las obligaciones, pero no concede a las empresas noruegas una vía libre.
No es un Estado miembro, pero está dentro del mercado único
Como Noruega participa en el mercado único a través del Acuerdo EEE, la legislación de la UE que se considera pertinente para ese mercado se extiende a Noruega mediante un acto deliberado de incorporación, no de forma automática. El Reglamento de IA de la UE —Reglamento (UE) 2024/1689— se considera de forma generalizada pertinente a efectos del EEE y se prevé que se incorpore al Acuerdo EEE y, después, al Derecho noruego. La fecha exacta de incorporación aún no está fijada y no debe confundirse con las fechas legales de la UE. Planifica conforme al calendario de la UE; trata cualquier fecha noruega como una variable futura sujeta a revisión jurídica.
Las dos vías por las que el Reglamento llega a Noruega
Hay dos vías distintas, y confundirlas es el error más habitual.
- El mecanismo de incorporación al EEE. Una vez que el Reglamento se incorpore al Acuerdo EEE y se traslade al Derecho noruego, pasa a ser Derecho interno noruego, con autoridades nacionales facultadas para hacerlo cumplir.
- El alcance extraterritorial del artículo 2. Con independencia del momento de la incorporación, el artículo 2 obliga ya, hoy, a cualquier empresa noruega que introduzca un sistema de IA en el mercado de la UE o cuya salida se utilice en la Unión.
La consecuencia práctica: un proveedor o responsable del despliegue noruego que introduzca IA en el mercado de la UE afronta obligaciones equivalentes a las de un competidor de la UE en cualquier caso. La incorporación cambia quién actúa contra ti y dónde, no si los deberes te obligan.
El mecanismo del EEE: cómo un reglamento de la UE pasa a ser Derecho noruego
Reglamento frente a incorporación al EEE
Dentro de la UE, el Reglamento de IA es un reglamento: directamente aplicable en todos los Estados miembros, sin necesidad de transposición nacional. En el EEE no se aplica de forma automática. Primero debe evaluarse como pertinente a efectos del EEE, luego incorporarse al Acuerdo EEE y, por último, aplicarse en el ordenamiento interno. Esta es la diferencia estructural entre una empresa noruega y, pongamos, una sueca: en Suecia el reglamento ya surte efecto directo, mientras que en Noruega las obligaciones sustantivas solo surgen en el ámbito interno una vez completada la incorporación.
La vía del Comité Mixto, descrita, no inventada
El mecanismo está bien asentado para la legislación del mercado único. El acto se evalúa por su pertinencia a efectos del EEE; el Comité Mixto del EEE adopta entonces una decisión que lo añade al anexo correspondiente del Acuerdo EEE; los Estados AELC del EEE (Noruega, Islandia y Liechtenstein) lo aplican después en su Derecho interno, lo que confiere las competencias de ejecución y designa a las autoridades nacionales competentes y de vigilancia del mercado.
Deliberadamente no nombramos aquí ningún acto de aplicación noruego, ninguna autoridad noruega concreta ni ninguna fecha de incorporación noruega, porque ninguno está aún fijado. Esos detalles son cuestiones para la revisión humana y jurídica frente al proceso del EEE en curso: no des por supuesta una fecha o un nombre de autoridad que no se haya publicado.
Por qué esto difiere de un Estado miembro de la UE
En un Estado miembro de la UE las obligaciones vinculan por la fuerza del Derecho originario de la UE. En Noruega vinculan en el ámbito interno solo tras la incorporación. Ese desfase entre las fechas legales de la UE y la incorporación noruega es precisamente la razón por la que la salvaguarda del artículo 2 importa en el ínterin: cierra la brecha para cualquier empresa noruega presente en el mercado de la UE, de modo que la ausencia de una fecha noruega no es el escudo que pudiera parecer.
Artículo 2: por qué las empresas noruegas están dentro del ámbito antes de la incorporación
Este es el punto decisivo para la mayoría de las empresas noruegas. El artículo 2 fija el ámbito territorial del reglamento, y va mucho más allá de las fronteras de la UE.
Introducir IA en el mercado de la UE (artículo 2(1)(a))
Conforme al artículo 2(1)(a), cualquier proveedor que introduzca un sistema de IA en el mercado de la UE o lo ponga en servicio en la Unión queda dentro del ámbito, con independencia de dónde esté establecido ese proveedor. Un proveedor noruego que venda un producto de IA a clientes en Alemania, Francia o los Países Bajos queda alcanzado hoy, con independencia de que Noruega haya incorporado o no el Reglamento al Acuerdo EEE. Estar establecido en Oslo no te saca del reglamento; vender en la Unión te mete dentro.
Salida utilizada en la Unión (artículo 2(1)(c))
Conforme al artículo 2(1)(c), un proveedor o responsable del despliegue establecido en un tercer país queda dentro del ámbito cuando la salida del sistema de IA se utiliza en la Unión. Esto refleja la lógica extraterritorial del RGPD: la cuestión relevante es dónde recae el efecto, no dónde se encuentra el servidor o la empresa. Una empresa noruega cuya salida de IA llega a personas de la UE queda alcanzada por esta vía aunque no venda nada directamente a un Estado miembro.
El momento de la incorporación cambia el foro, no el deber
La conclusión se desprende con limpieza: el momento de la incorporación cambia quién actúa contra ti y dónde, no si las obligaciones sustantivas te obligan cuando tocas el mercado de la UE. Para el análisis completo del artículo 2 y la mecánica del representante autorizado del artículo 22, consulta la guía específica sobre alcance extraterritorial en lugar de basarte en el resumen de aquí.
Calendario: las fechas de la UE están fijadas; la incorporación noruega puede ir por detrás
Usa el calendario legal de toda la UE como tu ancla. La incorporación al EEE puede seguir estas fechas con cierto retraso, de modo que una empresa noruega presente en el mercado de la UE debería planificar conforme a las fechas de la UE y no esperar a una fecha noruega. No inventes una fecha noruega aparte.
| Hito | Fecha de la UE | Matiz para las empresas noruegas |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible ya en el mercado de la UE; no aplazada |
| Obligaciones de la GPAI (artículos 51 a 55) | 2 de agosto de 2025 | En vigor ya; no aplazada |
| Aplicación general, incl. la transparencia del artículo 50 | 2 de agosto de 2026 | Fecha de la UE; no debe presuponerse una fecha noruega aparte |
| Alto riesgo autónomo (artículo 6(2), anexo III) | 2 de agosto de 2026 (ley) | Aplazado a 2 de diciembre de 2027 (adoptado) |
| Alto riesgo integrado en producto (artículo 6(1), anexo I) | 2 de agosto de 2027 (ley) | Aplazado a 2 de agosto de 2028 (adoptado) |
El calendario fijo de la UE
Las fechas legales las fija el propio reglamento. Son de ámbito de toda la UE e idénticas en todos los Estados miembros; los Estados del EEE no obtienen sus propios plazos sustantivos, solo una fecha de incorporación potencialmente posterior que no relaja la posición del artículo 2.
El aplazamiento del alto riesgo del Ómnibus Digital, en vigor
Las fechas de alto riesgo se han movido, y el aplazamiento ya está en vigor. Tras el acuerdo político del Ómnibus Digital (6 y 7 de mayo de 2026, con el respaldo del COREPER en torno al 13 de mayo de 2026), el Pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Las obligaciones de alto riesgo autónomo del anexo III se aplazan del 2 de agosto de 2026 al 2 de diciembre de 2027, y las de alto riesgo integrado en producto del anexo I del 2 de agosto de 2027 al 2 de agosto de 2028; ambas fechas ya están asentadas.
Planifica conforme a las fechas de la UE, no a una fecha noruega
No todo está aplazado. Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de la GPAI de los artículos 51 a 55, desde el 2 de agosto de 2025. La propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de reserva; los colegisladores adoptaron en cambio fechas fijas. Las fechas vigentes están vigentes para cualquier empresa noruega presente en el mercado de la UE.
Cómo serán las obligaciones noruegas una vez que se aplique
Obligaciones equivalentes, el mismo texto
Como la incorporación al EEE importa el mismo texto del reglamento, los proveedores y responsables del despliegue noruegos afrontan los mismos deberes en función de su papel que las empresas de la UE. No hay un régimen «noruego descafeinado» más ligero ni una excepción específica para Noruega: las obligaciones y las cifras son las de la UE.
Proveedor, responsable del despliegue y el cambio de papel del artículo 25
Los papeles se corresponden de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor. Los deberes del distribuidor están en el artículo 24 y los del importador en el artículo 23. De forma crítica, un responsable del despliegue, distribuidor o importador pasa a ser proveedor en virtud del artículo 25 cuando estampa su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Un revendedor noruego que reetiquete una herramienta de alto riesgo de la UE, o la ajuste hacia una nueva finalidad, puede cruzar esa línea sin darse cuenta y heredar todo el conjunto de obligaciones del proveedor.
Deberes de alto riesgo para las empresas noruegas
En el caso de los sistemas autónomos del anexo III, el conjunto de obligaciones del proveedor de alto riesgo se aplica directamente: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y solidez (artículos 9 a 15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones del proveedor del artículo 16. Ten en cuenta la distinción: el alto riesgo integrado en producto del anexo I se canaliza a través de la legislación sectorial enumerada con arreglo al artículo 2(2) y no debe tratarse como el anexo III autónomo. Las sanciones son las escalas del artículo 99: cifras idénticas, no importes específicos para Noruega. Para el tratamiento completo de cada subescala, consulta la guía específica de sanciones en lugar de reexponer cada tramo en detalle aquí.
Ejemplo práctico: una scale-up noruega que vende IA de cribado de RR. HH. a la UE
NordRekrutt AS es una scale-up con sede en Oslo, de unos 120 empleados y alrededor de 180 millones de coronas noruegas (unos 15 millones de euros) de facturación anual. Vende una herramienta de IA de cribado de CV y clasificación de candidatos a empleadores de Alemania y los Países Bajos.
Por qué NordRekrutt está dentro del ámbito ya
Como proveedor que introduce el sistema en el mercado de la UE, NordRekrutt está dentro del ámbito conforme al artículo 2(1)(a) hoy, antes de cualquier incorporación noruega al EEE. Su herramienta es de alto riesgo conforme al anexo III, punto 4(a) (contratación y selección de personas físicas), lo que activa todo el conjunto de obligaciones del proveedor de los artículos 9 a 15. La sede de Oslo no cambia nada de esa clasificación.
La barrera de las prácticas prohibidas
Antes de cualquier trabajo de alto riesgo, NordRekrutt debe superar la barrera dura del artículo 5(1)(f): el reconocimiento de emociones en el contexto laboral y educativo es una práctica prohibida, salvo por motivos médicos o de seguridad. Si el flujo de clasificación de candidatos infiere emociones a partir de entrevistas en vídeo —leyendo «confianza» o «entusiasmo» en la expresión facial o el tono—, esa funcionalidad debe eliminarse con independencia de su condición de alto riesgo. Una práctica prohibida no se cura con buena documentación; simplemente está prohibida.
La lista de comprobación previa a la introducción en el mercado de NordRekrutt
- Designar un representante autorizado del artículo 22 establecido en la Unión antes de comercializar el sistema en el mercado de la Unión.
- Elaborar la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V.
- Registrar el sistema conforme al artículo 49 y realizar la evaluación de la conformidad.
- Anotar la exposición: el incumplimiento de un proveedor de alto riesgo se sitúa en la escala del artículo 99(4): 15.000.000 € o el 3 % del volumen de negocios anual total a escala mundial, el importe que sea mayor. Como pyme, NordRekrutt se beneficia del límite del artículo 99(6) en el menor de los dos, el importe fijo o el porcentaje, de modo que el 3 % de unos 15 millones de euros de facturación es el techo operativo, no la cifra de los 15 millones de euros.
- Planificar conforme a la fecha legal de alto riesgo del 2 de agosto de 2026, haciendo a la vez seguimiento del aplazamiento acordado al 2 de diciembre de 2027.
Qué deberían hacer ahora las empresas noruegas
Actúa según el calendario de la UE, no según uno noruego
No esperes a la incorporación al EEE. Si introduces IA en el mercado de la UE o tu salida se utiliza en la Unión, el calendario de la UE te obliga hoy a través del artículo 2. Tratar la incorporación como el pistoletazo de salida es la trampa.
Una lista de comprobación inicial en cinco pasos
- Mapea tus sistemas de IA frente al artículo 2 para confirmar dónde tocas el mercado de la UE o tu salida llega a la Unión.
- Clasifica cada sistema: supera primero la barrera dura del artículo 5 y, después, evalúa el artículo 6 / anexo III para determinar la condición de alto riesgo.
- Asigna los papeles —proveedor, responsable del despliegue, importador, distribuidor— y aplica la comprobación de conversión del artículo 25 a todo lo que reetiquetes, modifiques o reorientes.
- En el caso de los sistemas de alto riesgo en los que seas un proveedor no establecido en la UE, designa un representante autorizado del artículo 22 antes de la comercialización.
- Elabora el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y la declaración de conformidad del anexo V.
Dos novedades que conviene vigilar
Haz seguimiento de dos piezas en movimiento para la revisión humana y jurídica: la decisión de incorporación del Comité Mixto del EEE y la legislación de aplicación noruega que designará a las autoridades nacionales; y el estado de adopción del Ómnibus Digital que rige las fechas de alto riesgo. Islandia y Liechtenstein están en la misma posición del EEE, de modo que la misma lógica de incorporación y la misma salvaguarda del artículo 2 se aplican a las empresas establecidas allí.
Cómo ayuda Confir a las empresas noruegas
Confir deriva tu papel de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una recogida de datos en lenguaje claro. El motor es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que la misma recogida de datos siempre arroja el mismo resultado defendible ante una auditoría, con una explicación legible por humanos de qué regla se activó.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27 cuando procede. El objetivo es situar a las empresas noruegas en condiciones de estar listas frente al calendario de la UE con independencia del momento de la incorporación al EEE. El flujo de trabajo de la GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir se aloja en la UE, en confir.eu.
Guías relacionadas
- Alcance extraterritorial del Reglamento de IA para empresas de fuera de la UE
- El Reglamento de IA en Suecia: autoridades y obligaciones
- El ámbito del Reglamento de IA explicado (artículo 2)
- Plazos y fechas de aplicación del Reglamento de IA
- autoridad de vigilancia del mercado (glosario)
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →