El Reglamento de IA en Eslovenia: quién lo aplica bajo la ZIUDHPUI
La ley eslovena ZIUDHPUI (vigente desde nov. 2025) designa cinco autoridades de IA. Funciones, sanciones y la fecha de alto riesgo de dic. 2027.
Eslovenia figura entre los primeros Estados miembros de la UE en legislar por completo la aplicación del Reglamento de IA. Su ley nacional de ejecución —la ZIUDHPUI, vigente desde el 21 de noviembre de 2025— no designa una sola autoridad, sino cinco organismos de vigilancia del mercado, y reparte la supervisión entre comunicaciones, protección de datos, banca, seguros e inspección del mercado. Mientras muchos países de la región incumplieron el plazo de agosto de 2025, la designación eslovena está cerrada por ley.
Esta guía expone la arquitectura de aplicación eslovena, las obligaciones que ya vinculan a las empresas, el anclaje más firme (el Comisionado de Información), el calendario corregido tras el Ómnibus Digital y lo que las empresas eslovenas deberían hacer ya.
Un reglamento, no una directiva, pero Eslovenia legisló pronto
El Reglamento de IA, Reglamento (UE) 2024/1689, se aplica directamente en Eslovenia en virtud del artículo 288 del Tratado de Funcionamiento de la Unión Europea. Entró en vigor el 1 de agosto de 2024, y sus primeras obligaciones vinculan a las empresas eslovenas con independencia del derecho nacional: las prácticas prohibidas del artículo 5 y la alfabetización en IA del artículo 4 desde el 2 de febrero de 2025, y las obligaciones de IA de uso general (GPAI) del capítulo V desde el 2 de agosto de 2025.
Un reglamento no requiere transposición. Lo que hizo Eslovenia —y lo hizo pronto— fue designar autoridades y crear procedimientos internos mediante la ZIUDHPUI: el Zakon o izvajanju Uredbe (EU) o določitvi harmoniziranih pravil o umetni inteligenci (Ley de ejecución del Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial). Se publicó en el Boletín Oficial (Uradni list RS) n.º 85/25 el 6 de noviembre de 2025, fue aprobada por la Asamblea Nacional el 11 de noviembre de 2025 y entró en vigor el 21 de noviembre de 2025. Los identificadores clave son el título esloveno, la abreviatura ZIUDHPUI y la referencia del boletín Uradni list RS 85/25.
¿Quién aplica el Reglamento de IA en Eslovenia?
Cinco autoridades de vigilancia del mercado
En lugar de nombrar a un único supervisor, la ZIUDHPUI designa cinco autoridades de vigilancia del mercado, cada una operando en su propio ámbito:
- AKOS — la Agencia de Redes y Servicios de Comunicación, designada además como punto de contacto único ante la Oficina de IA de la UE y autoridad central de coordinación de Eslovenia (y autoridad del espacio controlado de pruebas regulatorio de IA).
- El Comisionado de Información (Informacijski pooblaščenec) — que es también la autoridad de protección de datos de Eslovenia.
- Banka Slovenije — el Banco de Eslovenia, para la IA del sector financiero.
- La Agencia de Supervisión de Seguros (Agencija za zavarovalni nadzor).
- La Inspección del Mercado (Tržni inšpektorat, TIRS).
Este modelo de reparto sectorial implica que el supervisor competente para un sistema de IA concreto depende de lo que el sistema hace. Una empresa debería identificar cuál de las cinco cubre su caso de uso, en lugar de dar por hecho que existe un único regulador nacional.
El cometido específico del Comisionado de Información en IA
El Comisionado de Información asume una parte definida de la carga de trabajo de alto riesgo y prohibido. Bajo la ZIUDHPUI supervisa los sistemas de IA prohibidos más los sistemas de alto riesgo del anexo III en los puntos donde los derechos fundamentales están más expuestos: punto 1 (biometría), punto 3 (educación), punto 6 (aplicación de la ley), punto 7 (migración, asilo y control de fronteras) y punto 8 (administración de justicia y procesos democráticos). Para un responsable del despliegue esloveno en cualquiera de esas áreas, el Comisionado de Información es el supervisor del Reglamento de IA, además del supervisor del RGPD.
Autoridades notificantes, repartidas por sector
La ZIUDHPUI también reparte la función de autoridad notificante —la de designar y supervisar a los organismos notificados—. Para la IA integrada en productos (anexo I), recae en los ministerios de mercado interior, infraestructuras y sanidad, según el sector. Para los sistemas biométricos de alto riesgo (anexo III, punto 1), la autoridad notificante es el Ministerio de Transformación Digital (Ministrstvo za digitalno preobrazbo). La supervisión de los organismos de evaluación de la conformidad corresponde al servicio de acreditación esloveno.
Un punto útil específico de Eslovenia sobre biometría
Eslovenia optó por no legislar la excepción opcional para la aplicación de la ley relativa a la identificación biométrica remota en tiempo real en espacios públicos. El efecto práctico: la identificación biométrica remota en tiempo real en espacios públicos está prohibida en Eslovenia, sin ninguna excepción nacional. Para cualquier empresa que contemple un sistema de ese tipo, esa puerta está cerrada en Eslovenia.
La Oficina de IA (Bruselas): la GPAI se queda en el nivel de la UE
Los proveedores de modelos de IA de uso general son supervisados por la Oficina de IA de la UE en Bruselas en virtud de los artículos 53 y 55, con multas impuestas por la Comisión conforme al artículo 101, no por ninguna autoridad eslovena. Una empresa eslovena que se limita a usar un modelo de uso general es un responsable del despliegue del sistema que construye, no un proveedor de GPAI que deba responder ante la Oficina de IA por el modelo. (Como contexto, Eslovenia acoge en Liubliana el Centro Internacional de Investigación sobre Inteligencia Artificial afiliado a la UNESCO, IRCAI: un centro de investigación, no un regulador).
El calendario de aplicación esloveno (tras el Ómnibus Digital)
| Fecha | Qué se aplica en Eslovenia |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas del artículo 5 y alfabetización en IA del artículo 4 — en vigor ahora |
| 2 de agosto de 2025 | Obligaciones de GPAI (capítulo V), gobernanza, Oficina de IA, sanciones del artículo 99 — en vigor ahora |
| 21 de noviembre de 2025 | ZIUDHPUI en vigor — cinco autoridades de vigilancia del mercado designadas |
| 2 de agosto de 2026 | Aplicación general, incluida la mayoría de los deberes de transparencia del artículo 50 |
| 2 de diciembre de 2026 | Nuevo: prohibición de material de abuso sexual infantil generado por IA / herramientas de "desnudado" y deberes de marcado de contenido del artículo 50 |
| 2 de diciembre de 2027 | IA de alto riesgo autónoma (anexo III) — aplazamiento adoptado |
| 2 de agosto de 2028 | IA de alto riesgo integrada en productos regulados (anexo I) — aplazamiento adoptado |
Las fechas de alto riesgo llevan una advertencia. En virtud del Ómnibus Digital, el Parlamento Europeo y el Consejo alcanzaron un acuerdo político el 6 y 7 de mayo de 2026 para aplazar los sistemas autónomos de alto riesgo del anexo III al 2 de diciembre de 2027 y la IA de alto riesgo integrada en productos al 2 de agosto de 2028. El Ómnibus Digital ya está adoptado: el pleno del Parlamento lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, para su entrada en vigor. La fecha del 2 de diciembre de 2027 para la IA autónoma de alto riesgo del anexo III ya está asentada. El aplazamiento son fechas de calendario fijas, no condicionadas a las normas armonizadas.
Sanciones: a qué se enfrentan realmente las empresas eslovenas
El marco sancionador es el artículo 99 del Reglamento, aplicado en Eslovenia a través de la ZIUDHPUI y las cinco autoridades designadas. Los límites máximos son comunes a toda la UE; el derecho esloveno aporta el procedimiento. Tres niveles, cada uno por "el importe que sea mayor" entre una suma fija o un porcentaje del volumen de negocios anual mundial total:
- 35 M€ o el 7 % — por infringir las prohibiciones del artículo 5.
- 15 M€ o el 3 % — para la mayoría de las demás infracciones: requisitos de alto riesgo (artículos 9 a 15), deberes del proveedor (artículo 16), deberes del responsable del despliegue (artículo 26) y transparencia del artículo 50.
- 7,5 M€ o el 1 % — por facilitar información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad.
El tercer nivel es el 1 %, no el 1,5 %: no hay ningún nivel del 1,5 % en el Reglamento, ni importes de multa específicos de Eslovenia. Para las pymes y empresas emergentes (start-ups), el artículo 99(6) limita la multa al importe menor entre la suma fija y el porcentaje. Una empresa eslovena con 4 millones de euros de volumen de negocios no se enfrenta a una multa de 15 millones por una infracción de alto riesgo: el 3 % de 4 millones son 120.000 euros, y ese es el tope.
Las multas específicas de GPAI son aparte: hasta 15 M€ o el 3 %, impuestas por la Comisión en virtud del artículo 101 al proveedor del modelo, no por ninguna autoridad eslovena.
Ejemplo práctico: una empresa de acceso biométrico de Liubliana
Imagina Vstop d.o.o., una empresa ficticia de Liubliana —unos 25 empleados, alrededor de 3 millones de euros de volumen de negocios anual— que vende un sistema de IA de verificación facial para el acceso seguro a edificios a empleadores eslovenos.
Los sistemas biométricos son un caso de uso de alto riesgo del anexo III (punto 1). Como Vstop construye el sistema y lo introduce en el mercado con su propio nombre, es un proveedor según el artículo 16: gestión de riesgos del artículo 9, documentación técnica del anexo IV, una evaluación de la conformidad del artículo 43, supervisión humana del artículo 14 y registro del artículo 49. Los sistemas del anexo III, punto 1, siguen la vía de conformidad más exigente, con organismo notificado.
El esquema esloveno le da a Vstop un mapa claro. Su supervisor del Reglamento de IA para biometría es el Comisionado de Información, y la autoridad notificante para los sistemas biométricos es el Ministerio de Transformación Digital. Como el sistema trata datos personales biométricos, el Comisionado de Información también lo supervisa bajo el RGPD, y se requiere una evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD. Una advertencia: Vstop debe mantener su producto en el ámbito de la verificación y el control de acceso; la identificación biométrica remota en tiempo real en espacios públicos está prohibida en Eslovenia, sin excepción nacional. La vía sensata: construir la documentación ya con vistas a la fecha de alto riesgo del 2 de diciembre de 2027, iniciar pronto la vía del organismo notificado y mantener alineadas las evaluaciones del Reglamento de IA y del RGPD. Con 3 millones de euros de volumen de negocios, su exposición máxima de alto riesgo en el peor de los casos es del 3 %: unos 90.000 euros.
Cómo ayuda Confir a las empresas eslovenas
Un equipo de cumplimiento esloveno tiene un conjunto de obligaciones con mucha documentación: un inventario de IA, la clasificación del artículo 6 con la lógica del anexo III, la asignación de funciones, los registros de riesgos del artículo 9, el expediente técnico del anexo IV, la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando proceda y la vigilancia poscomercialización del artículo 72.
Confir es un software de cumplimiento alojado en la UE creado para este trabajo. Su motor de clasificación es determinista y basado en reglas: codifica los artículos 5 y 6 con la lógica del anexo III como reglas explícitas, de modo que la misma entrada arroja siempre el mismo resultado con una explicación legible de qué regla se ha activado. Genera el paquete de documentación técnica del anexo IV y la declaración de conformidad del artículo 47 / anexo V, y ejecuta la evaluación del artículo 27. La revisión estructurada abarca cuatro áreas: clasificación de riesgo, datos y solidez técnica, transparencia y supervisión humana, y gobernanza y vigilancia poscomercialización.
Qué deberían hacer ya las empresas eslovenas
De inmediato: Audita cualquier práctica prohibida del artículo 5, exigible desde febrero de 2025. Recuerda que Eslovenia no legisló ninguna excepción nacional para la identificación biométrica remota en tiempo real en espacios públicos, así que esa práctica está cerrada. Si un sistema encaja en una categoría prohibida, deténlo o reestructúralo.
Antes del 2 de agosto de 2026: Adapta los chatbots, los asistentes de voz y las herramientas de contenido de IA a la transparencia del artículo 50: hay que informar a los usuarios cuando interactúan con IA o con contenido sintético.
A lo largo de 2026-2027: Construye el inventario de IA, clasifica los sistemas según el artículo 6 con el filtro del artículo 6(3), asigna las funciones de proveedor o responsable del despliegue e inicia la documentación de alto riesgo, planificando con el 2 de diciembre de 2027. Identifica cuál de las cinco autoridades de vigilancia del mercado cubre tu caso de uso.
De forma continua: Vigila las orientaciones del Comisionado de Información: dado su cometido sobre la IA prohibida y la sensible para los derechos fundamentales, es probable que sea de las más activas. Para la IA financiera o de seguros, sigue al Banco de Eslovenia y a la Agencia de Supervisión de Seguros, respectivamente.
Guías relacionadas
- Quién aplica el Reglamento de IA
- Fundamentos del Reglamento de IA
- Las sanciones del Reglamento de IA explicadas
- Obligaciones de proveedor frente a responsable del despliegue
- Evaluación de impacto relativa a los derechos fundamentales (artículo 27)
- Guía de cumplimiento para pequeñas empresas
- El Reglamento de IA en Austria
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →