El Reglamento de IA en Suiza: por qué no hay fecha de aplicación suiza, solo alcance extraterritorial
Suiza no es ni UE ni EEE: el Reglamento de IA nunca es derecho suizo. Solo obliga vía artículo 2 cuando una empresa toca el mercado de la UE.
Solo a través del mercado de la UE. Suiza no es Estado miembro de la UE ni miembro del EEE, así que el Reglamento de IA nunca se convierte en derecho interno suizo y no hay ninguna fecha de aplicación suiza que esperar. La trampa está en leer «no estamos en la UE, así que el Reglamento no se nos aplica» como una exención limpia: cierto en cuanto al derecho interno suizo, falso para cualquier empresa que toque el mercado de la UE, porque el artículo 2 alcanza a los proveedores y responsables del despliegue suizos con independencia de dónde estén establecidos. Para una empresa suiza, el alcance extraterritorial del artículo 2 no es un puente provisional, sino la base entera y permanente sobre la que el Reglamento puede llegar a aplicarse.
Suiza, la UE y por qué no hay aplicación automática
Suiza ocupa una posición inusual entre los Estados europeos no comunitarios. No está en la UE y, a diferencia de Noruega, Islandia y Liechtenstein, tampoco está en el Espacio Económico Europeo.
Ni UE ni EEE: una posición de tercer país
A efectos del Reglamento de IA —el Reglamento (UE) 2024/1689—, Suiza es un tercer país, sin más. La legislación del mercado único de la UE no se le extiende automáticamente y el Reglamento nunca se incorpora al derecho suizo. No hay paso de transposición (el Reglamento es directamente aplicable dentro de la UE, no es una directiva) ni paso de incorporación al EEE (Suiza queda fuera del EEE). La consecuencia es contundente: no hay fecha de entrada en vigor suiza para el Reglamento de IA, y nunca la habrá.
Por qué Suiza es distinta de Noruega
Noruega, Islandia y Liechtenstein son Estados del EEE. El derecho del mercado único de la UE los alcanza a través del Acuerdo EEE: un acto evaluado como pertinente para el EEE se incorpora mediante el Comité Mixto del EEE y luego se traslada al derecho interno. Suiza rechazó la adhesión al EEE en un referéndum de 1992 y desde entonces se ha apoyado en acuerdos bilaterales con la UE, ninguno de los cuales incorpora el Reglamento de IA. Así que, mientras una empresa noruega puede acabar viendo cómo el Reglamento se convierte en derecho interno por la vía de la incorporación al EEE, una empresa suiza nunca llega a tener ese momento de aplicación interna.
El error: leer «sin EEE» como «sin obligación»
La trampa del razonamiento es tratar «sin transposición, sin incorporación» como «sin obligación». Es cierto que el Reglamento no impone ningún deber interno suizo. Es falso que una empresa suiza en el mercado de la UE quede por ello libre de él. El artículo 2 alcanza a las empresas suizas por su contacto con el mercado de la UE, no por ningún paso legal suizo. El debate, en evolución, sobre la gobernanza de la IA en Suiza es una cuestión aparte, tratada más adelante como contexto, no como fuente de obligaciones vinculantes del Reglamento de IA.
Artículo 2: la única vía por la que el Reglamento de IA alcanza a una empresa suiza
Para una empresa suiza, el artículo 2 no es una vía entre varias. Es la única, sin red interna detrás, así que entender sus apartados es toda la partida.
Introducir IA en el mercado de la UE (artículo 2(1)(a))
Conforme al artículo 2(1)(a), un proveedor que introduce un sistema de IA en el mercado de la UE o lo pone en servicio en la Unión queda dentro del ámbito de aplicación con independencia de dónde esté establecido. Un proveedor suizo con sede en Zúrich, Ginebra o Zug queda atrapado en cuanto vende un producto de IA a clientes de la Unión. Estar fuera del EEE no cambia nada; vender hacia la Unión te mete dentro del Reglamento.
Resultado utilizado en la Unión (artículo 2(1)(c))
Conforme al artículo 2(1)(c), un proveedor o responsable del despliegue establecido en un tercer país queda dentro del ámbito de aplicación cuando el resultado del sistema de IA se utiliza en la Unión. El efecto se produce en la UE, no donde esté la empresa o sus servidores. El artículo 2(1)(b) alcanza por separado a los responsables del despliegue de sistemas de IA ubicados dentro de la Unión, lo que resulta relevante para grupos suizos con operaciones radicadas en la UE. Las empresas suizas ya conocen esta lógica por la protección de datos: bajo la LPD y el RGPD, el enganche sigue a la persona radicada en la UE o al uso en la UE, no a la sede.
Por qué Suiza no tiene red interna
Aquí es donde Suiza se aparta drásticamente de Noruega. Como no hay incorporación al EEE, no hay red de derecho interno ni un foro de ejecución suizo posterior que llegue a activarse nunca. Para una empresa noruega, el artículo 2 es un puente provisional hasta que se complete la incorporación; para una empresa suiza, es la base entera y permanente de la aplicación: nada detrás, nada por venir. Para la mecánica completa del representante autorizado del artículo 22, consulta la guía específica sobre extraterritorialidad.
Calendario: las fechas de la UE están fijadas y no hay fecha suiza
Usa el calendario legal de toda la UE como tu único ancla. Una empresa suiza en el mercado de la UE no tiene una fecha suiza a la que recurrir, así que las fechas de la UE son las únicas que importan. No inventes una fecha suiza separada.
| Hito | Fecha UE | Qué significa para una empresa suiza |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible en el mercado de la UE ya; no aplazado |
| Obligaciones de GPAI (artículos 51–55) | 2 de agosto de 2025 | En vigor ya; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | Fecha UE; no existe una fecha suiza separada |
| Alto riesgo autónomo (artículo 6(2), anexo III) | 2 de diciembre de 2027 | Fecha fijada por el Ómnibus Digital, adoptado en junio de 2026 |
| Alto riesgo integrado en producto (artículo 6(1), anexo I) | 2 de agosto de 2027 (texto vigente) | Aplazado al 2 de agosto de 2028 (adoptado) |
El calendario fijo de la UE se aplica vía artículo 2
Las fechas legales las fija el propio Reglamento y son idénticas en toda la UE. Las prácticas prohibidas del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI de los artículos 51–55, desde el 2 de agosto de 2025. Están vivas ya para cualquier empresa suiza en el mercado de la UE. Suiza no obtiene ningún plazo sustantivo separado, porque nada incorpora el Reglamento al derecho suizo.
El aplazamiento de alto riesgo del Digital Omnibus, ya adoptado
Las fechas de alto riesgo se han movido, y el aplazamiento ya está adoptado. El alto riesgo autónomo del anexo III (artículo 6(2)) se aplica desde el 2 de diciembre de 2027, la fecha que fija el Digital Omnibus, adoptado en junio de 2026 (voto del Pleno del Parlamento Europeo el 16 de junio, adopción formal del Consejo el 29 de junio). El alto riesgo integrado en producto del anexo I (artículo 6(1)) marca el 2 de agosto de 2027, con un aplazamiento al 2 de agosto de 2028. Solo falta la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, para la entrada en vigor; las fechas en sí ya están asentadas.
Ninguna fecha suiza, jamás
No todo está aplazado, y la propuesta de «parar el reloj» para pausar el calendario fue rechazada. La distinción con Noruega es nítida: una empresa noruega podría ver cómo la incorporación al EEE se retrasa respecto a las fechas de la UE, pero una empresa suiza no tiene ningún acto de incorporación. Las fechas de la UE son las únicas que existirán para ella.
Contexto de gobernanza de la IA en Suiza (señalado, no exagerado)
Esto es contexto para revisión legal, no una fuente de obligaciones del Reglamento de IA. Trátalo con cautela.
Una vía suiza separada, no transposición del Reglamento de IA
Suiza viene desarrollando su propio enfoque de regulación de la IA y ha firmado el Convenio Marco del Consejo de Europa sobre Inteligencia Artificial. Es un instrumento distinto y no implementa el Reglamento de IA. Cualquier norma interna suiza sobre IA, derecho sectorial o el régimen vigente de protección de datos bajo la LPD son obligaciones separadas. Deliberadamente no nombramos aquí ninguna ley de IA suiza, autoridad de ejecución ni fecha de entrada en vigor, porque el panorama está sin asentar; trata esos detalles como cuestiones para revisión legal contra la situación vigente.
Por qué las normas suizas no desplazan al artículo 2
Aunque Suiza adopte normas internas de IA, una empresa suiza en el mercado de la UE sigue debiendo las obligaciones completas del Reglamento de IA por la vía del artículo 2. Las obligaciones internas y las de la UE se acumulan; no se sustituyen. Superar un futuro régimen suizo no descargaría ni un solo deber del artículo 2 debido al mercado de la UE, así que el cumplimiento suizo no sustituye a la preparación frente al Reglamento de IA.
Qué aspecto tienen las obligaciones suizas dentro del ámbito de aplicación
Obligaciones equivalentes, mismo texto del Reglamento
Una vez que se aplica el artículo 2, los proveedores y responsables del despliegue suizos afrontan el mismo texto del Reglamento y las mismas cifras que sus competidores de la UE. No hay un régimen suizo más ligero ni cuantías de multa específicas suizas; las obligaciones y las sanciones son las de la UE.
El stack del proveedor frente a la vía de producto del artículo 2(2)
Los roles se corresponden de forma idéntica: proveedor, responsable del despliegue, importador (artículo 23), distribuidor (artículo 24). Un responsable del despliegue, distribuidor o importador se convierte en proveedor bajo el artículo 25 al poner su propio nombre o marca en un sistema de alto riesgo, modificarlo sustancialmente o cambiar su finalidad prevista. El alto riesgo autónomo del anexo III asume directamente el stack completo del proveedor: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y robustez (artículos 9–15), evaluación de la conformidad (artículo 43), la declaración UE de conformidad (artículo 47), el registro (artículo 49) y las obligaciones del proveedor (artículo 16). La vía de producto difiere: el alto riesgo integrado en producto del anexo I discurre por el derecho sectorial enumerado conforme al artículo 2(2) —no apliques los artículos 9–15, 16 o 43 directamente a las categorías de la sección B del anexo I.
Representante autorizado del artículo 22 para proveedores suizos
Un proveedor no establecido en la UE de un sistema de alto riesgo —y un proveedor suizo es, sin duda, no establecido en la UE— debe designar un representante autorizado en la Unión conforme al artículo 22 antes de introducir el sistema en el mercado. Los proveedores de modelos GPAI afrontan la obligación equivalente bajo el artículo 54. Las sanciones son los tramos del artículo 99, calculados sobre el volumen de negocio mundial: 35 M€ o el 7 %, lo que sea mayor, para las infracciones del artículo 5 (artículo 99(3)); 15 M€ o el 3 % para las infracciones del proveedor de alto riesgo (artículo 99(4)); 7,5 M€ o el 1 % por suministrar información incorrecta o engañosa (artículo 99(5)). Solo para pymes y empresas emergentes (start-ups) el artículo 99(6) invierte el cálculo a la menor de las dos cuantías, la fija o el porcentaje.
Ejemplo práctico: una insurtech suiza que introduce un modelo de tarificación de seguros de salud en el mercado de la UE
HelvetiRisk AG es una insurtech con sede en Zug, de unos 140 empleados y cerca de 28 millones de CHF (en torno a 29 millones de EUR) de ingresos anuales, que vende un modelo de IA de puntuación de riesgos y tarificación a aseguradoras de salud en Alemania y Austria.
Por qué HelvetiRisk está dentro del ámbito ahora bajo el artículo 2(1)(a)
Como proveedor que introduce el sistema en el mercado de la UE, HelvetiRisk está dentro del ámbito bajo el artículo 2(1)(a) hoy. Su sede suiza y su condición de fuera del EEE no cambian nada, y no hay fecha suiza que esperar. El detonante es el contacto con el mercado de la UE; la sede de Zug es irrelevante.
Clasificación del anexo III, punto 5(c), y el filtro del artículo 5
La IA utilizada para la evaluación de riesgos y la tarificación en seguros de vida y salud es de alto riesgo bajo el anexo III, punto 5(c), lo que activa el stack del proveedor de los artículos 9–15, la evaluación de la conformidad del artículo 43 y el registro del artículo 49. Antes de nada de eso, HelvetiRisk debe superar el filtro duro del artículo 5: ninguna categorización biométrica que infiera atributos sensibles bajo el artículo 5(1)(g) puede alimentar el modelo de tarificación. Una práctica prohibida no se cura con documentación; está simplemente vetada.
Representante autorizado, documentación y exposición sancionadora
Como HelvetiRisk no está establecida en la UE ni en el EEE, debe designar un representante autorizado en la Unión conforme al artículo 22 antes de la introducción en el mercado, y construir la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V. En cuanto a la exposición, una infracción del proveedor de alto riesgo se sitúa en el tramo del artículo 99(4) —15 M€ o el 3 % del volumen de negocio anual mundial total, lo que sea mayor. Como pyme (menos de 250 empleados y volumen de negocio igual o inferior a 50 millones de EUR), HelvetiRisk se beneficia del límite del artículo 99(6) a la menor de las dos, así que el 3 % de aproximadamente 29 millones de EUR de volumen de negocio es el techo operativo —y ese límite a la menor de las dos solo aplica porque califica como pyme. Planifica frente a la fecha de alto riesgo del 2 de diciembre de 2027.
Qué deberían hacer ahora las empresas suizas
Actúa según el calendario de la UE, no uno suizo
No esperes a una fecha suiza: no existe. Si introduces IA en el mercado de la UE o tu resultado se utiliza en la Unión, el artículo 2 te obliga según el calendario de la UE hoy. Tratar la posición no comunitaria de Suiza como una exención es la trampa.
Una lista de comprobación inicial en cinco pasos
- Mapea tus sistemas de IA contra el artículo 2 para confirmar los puntos de contacto con el mercado de la UE o el uso del resultado en la UE.
- Clasifica cada sistema, superando el filtro duro del artículo 5 antes de cualquier evaluación del artículo 6 / anexo III.
- Asigna roles —proveedor, responsable del despliegue, importador, distribuidor— y aplica la comprobación de conversión del artículo 25 a todo lo que renombres, modifiques o reutilices.
- Para los sistemas de alto riesgo en los que seas proveedor no establecido en la UE, designa un representante autorizado del artículo 22 antes de la introducción en el mercado.
- Construye el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y la declaración de conformidad del anexo V.
Dos vías que vigilar
Sigue el estado de adopción del Digital Omnibus que rige las fechas de alto riesgo y, por separado, vigila la vía interna suiza de gobernanza de la IA para revisión legal. Trátalas como acumulativas, no sustitutivas. Y clasifica con precisión en lugar de sobredimensionar el alcance: la analítica de negocio ordinaria, la ITSM y las herramientas de ciberseguridad defensiva no son casos de uso del anexo III.
Cómo ayuda Confir a las empresas suizas
Confir deriva tu rol de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una entrada de datos en lenguaje claro. El motor es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, así que la misma entrada produce el mismo resultado defendible ante una auditoría, con una explicación legible de qué regla se activó.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27 cuando procede. El objetivo es situar a las empresas suizas en posición de estar preparadas frente al calendario de la UE con independencia de los desarrollos internos suizos. El flujo de trabajo de GPAI (artículos 51–55) es parcial y está en la hoja de ruta, no completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- Alcance extraterritorial del Reglamento de IA para empresas no comunitarias
- El Reglamento de IA en Noruega: la vía de incorporación al EEE
- El ámbito de aplicación del Reglamento de IA explicado (artículo 2)
- Plazos y fechas de aplicación del Reglamento de IA
- autoridad de vigilancia del mercado (glosario)
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →