El Reglamento de IA en el Reino Unido: alcance posterior al Brexit y por qué las empresas británicas de IA siguen estando alcanzadas
El Reglamento de IA no es ley británica, pero el artículo 2 obliga a las empresas del Reino Unido que venden IA a la UE o cuyo resultado se utiliza allí.
Una fintech londinense que vende una herramienta de IA para la toma de decisiones crediticias a un prestamista de Dublín está obligada por el Reglamento de IA hoy. El Brexit no cambió eso. La trampa está en leer «hemos salido de la UE, así que el derecho de la UE no se nos aplica» como una exención limpia: cierto para el Reino Unido como sistema jurídico interno, falso para cualquier empresa británica que introduzca un sistema de IA en el mercado de la UE o cuyo resultado de IA se utilice en la Unión. Para una empresa del Reino Unido, el Reglamento de IA nunca es derecho interno, y no hay fecha de aplicación británica que esperar. Su alcance es extraterritorial, a través del artículo 2, y ese alcance es la base entera y permanente sobre la que el Reglamento puede llegar a obligarte.
El Reino Unido es un tercer país: el Reglamento nunca se convierte en ley británica
El Reino Unido abandonó la UE el 31 de enero de 2020 y el mercado único y la unión aduanera al final del periodo de transición, el 31 de diciembre de 2020. No es Estado miembro de la UE y —a diferencia de Noruega, Islandia y Liechtenstein— no está en el Espacio Económico Europeo (EEE). Así que no hay mecanismo de incorporación al EEE que pueda traer nunca el Reglamento de IA al derecho británico. El Reglamento (UE) 2024/1689 se aplica en el Reino Unido únicamente en la medida en que su ámbito extraterritorial alcanza a un actor británico.
Ninguna fecha de aplicación británica —y ese es el quid
Para un Estado miembro de la UE, el Reglamento se aplica por imperio del derecho de la UE en fechas de calendario fijas. Para el Reino Unido, esas fechas no son un interruptor interno; son sencillamente las fechas en las que las empresas británicas que ya están dentro del ámbito a través del artículo 2 deben cumplir. Esperar una «fecha británica» es esperar algo que nunca llegará. Si tocas el mercado de la UE, las fechas de la UE son tus fechas.
Qué cambió el Brexit, y qué no
El Brexit sacó al Reino Unido de la arquitectura institucional y de ejecución de la UE: ningún asiento británico en el Comité Europeo de Inteligencia Artificial, ninguna autoridad nacional competente británica designada bajo el Reglamento, ninguna autoridad de vigilancia del mercado británica que lo aplique. Lo que el Brexit no cambió es la realidad comercial de que la UE es un mercado de exportación importante —y el Reglamento sigue al producto y al resultado hacia ese mercado, con independencia de dónde se asiente la empresa.
El propio enfoque del Reino Unido: pro-innovación, basado en principios, sin estatuto
El Reino Unido ha optado deliberadamente por no legislar una «ley de IA». Su política, expuesta en el Libro Blanco de 2023 A pro-innovation approach to AI regulation y continuada por el gobierno actual, se apoya en el derecho existente y los reguladores existentes en lugar de en un único estatuto horizontal.
Cinco principios, aplicados por reguladores existentes
En lugar de una sola ley intersectorial, el Reino Unido articula la gobernanza de la IA en torno a cinco principios transversales —seguridad, protección y robustez; transparencia y explicabilidad apropiadas; equidad; responsabilidad y gobernanza; y posibilidad de impugnación y reparación— que los reguladores sectoriales aplican dentro de sus competencias. En la práctica, eso significa la Information Commissioner's Office (ICO) bajo el derecho británico de protección de datos (el UK GDPR, modificado por la Data (Use and Access) Act 2025), Ofcom bajo la Online Safety Act 2023, y la Financial Conduct Authority (FCA) bajo el marco de la FSMA, entre otros. No hay un único regulador de IA británico.
Ninguna ley de IA ante el Parlamento; un plan liderado por sandboxes
A mediados de 2026 no hay ninguna ley de IA gubernamental en vigor ni ningún proyecto de ley de IA del gobierno ante el Parlamento. Se ha presentado en la Cámara de los Lores una Artificial Intelligence (Regulation) Bill de iniciativa parlamentaria, pero no es legislación gubernamental y no se ha convertido en ley. En octubre de 2025, el DSIT publicó su convocatoria de pruebas del AI Growth Lab —que propone sandboxes sectoriales en los que pueden relajarse reglas específicas para hacer pruebas. Trata todo esto como una imagen en movimiento para revisión legal, no como un marco asentado.
El corolario práctico: el régimen del Reino Unido es más ligero y más discrecional que el de la UE. Pero una empresa británica que vende hacia la UE no puede elegir el régimen más ligero —el Reglamento de IA se adhiere por el brazo de la UE, además de lo que el Reino Unido exija en casa.
Artículo 2: por qué las empresas británicas quedan alcanzadas cuando tocan el mercado de la UE
Esta es la disposición decisiva para las empresas británicas de IA. El artículo 2 fija el ámbito de aplicación del Reglamento, y alcanza mucho más allá de las fronteras de la UE.
Introducir IA en el mercado de la UE (artículo 2(1)(a))
Conforme al artículo 2(1)(a), cualquier proveedor que introduce un sistema de IA en el mercado de la UE o lo pone en servicio en la Unión queda dentro del ámbito, con independencia de dónde esté establecido. Una empresa británica que vende un producto de IA a clientes de Alemania, Francia o Irlanda queda atrapada —estar establecida en Londres no te saca del Reglamento; vender hacia la Unión te mete dentro.
Resultado utilizado en la Unión (artículo 2(1)(c))
Conforme al artículo 2(1)(c), un proveedor o responsable del despliegue establecido en un tercer país queda dentro del ámbito cuando el resultado del sistema de IA se utiliza en la Unión. Esto refleja la lógica extraterritorial que las empresas británicas ya conocen del RGPD de la UE: la pregunta es dónde se produce el efecto, no dónde se asienta el servidor o la empresa. Una empresa británica cuyo resultado de IA llega a personas en la UE queda alcanzada por este brazo aunque nunca firme directamente con un cliente de la UE.
La obligación del representante autorizado (artículo 22)
Un proveedor británico de un sistema de alto riesgo debe, antes de introducirlo en el mercado de la UE, designar un representante autorizado establecido en la Unión conforme al artículo 22. Este es el equivalente posterior al Brexit del requisito del representante en la UE que las empresas británicas cumplían bajo el RGPD (artículo 27 del RGPD) —un estatuto distinto, un designado distinto, pero la misma necesidad estructural de un punto de contacto dentro de la Unión.
Calendario: las fechas de la UE se aplican a las empresas británicas dentro del ámbito
No hay una fecha británica separada. Una empresa británica dentro del ámbito a través del artículo 2 planifica contra el calendario legal de la UE.
| Hito | Fecha UE | Qué significa para una empresa británica dentro del ámbito |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible en el mercado de la UE ya; no aplazado |
| Obligaciones de GPAI (artículos 51–55) | 2 de agosto de 2025 | En vigor ya; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | En vigor desde esta fecha UE; no hay fecha británica separada |
| Alto riesgo autónomo (artículo 6(2), anexo III) | 2 de diciembre de 2027 | Originalmente el 2 de agosto de 2026; aplazado por el Reglamento (UE) 2026/1744 |
| Alto riesgo integrado en producto (artículo 6(1), anexo I) | 2 de agosto de 2028 | Originalmente el 2 de agosto de 2027; aplazado por el Reglamento (UE) 2026/1744 |
El aplazamiento de alto riesgo del Digital Omnibus, ya en vigor
El Digital Omnibus ya es derecho de la UE: el Pleno del Parlamento Europeo lo votó el 16 de junio de 2026, el Consejo lo adoptó el 29 de junio de 2026 y, como Reglamento (UE) 2026/1744, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Las obligaciones de alto riesgo autónomo del anexo III se aplazaron del 2 de agosto de 2026 al 2 de diciembre de 2027, y las obligaciones de alto riesgo integrado en producto del anexo I, del 2 de agosto de 2027 al 2 de agosto de 2028; ambas fechas figuran ya en el texto del Reglamento.
No todo se movió
La propuesta de «parar el reloj» para pausar el calendario fue rechazada. Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI de los artículos 51–55, desde el 2 de agosto de 2025, y la transparencia del artículo 50, desde el 2 de agosto de 2026. Están vivas ya para cualquier empresa británica en el mercado de la UE.
Qué tienen que hacer realmente las empresas británicas dentro del ámbito
Las obligaciones son las obligaciones de la UE
Como el Reglamento obliga a través del artículo 2 y no por ninguna transposición británica, un proveedor o responsable del despliegue británico dentro del ámbito afronta los mismos deberes basados en el rol que una empresa de la UE. No hay una versión británica más ligera ni una excepción específica del Reino Unido. Los roles se corresponden de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor —con los deberes del importador en el artículo 23 y los del distribuidor en el artículo 24.
El cambio de rol del artículo 25 alcanza a revendedores y a quienes hacen fine-tuning
Un responsable del despliegue, distribuidor o importador se convierte en proveedor bajo el artículo 25 en el momento en que pone su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Una empresa británica que renombra una herramienta de alto riesgo de la UE, o que ajusta un modelo (fine-tuning) hacia una nueva finalidad de alto riesgo, puede cruzar esa línea y heredar el stack completo del proveedor sin darse cuenta.
Alto riesgo y sanciones
Para un sistema de alto riesgo autónomo del anexo III, el stack del proveedor se aplica por completo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y robustez (artículos 9–15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones del proveedor del artículo 16. Las sanciones son los tramos del artículo 99 —cifras idénticas, calculadas sobre el volumen de negocio mundial, no sobre los ingresos británicos o de la UE: hasta 35 M€ o el 7 % por las infracciones del artículo 5 (artículo 99(3)); hasta 15 M€ o el 3 % por la mayoría de las demás obligaciones, incluidos los deberes del proveedor de alto riesgo (artículo 99(4)); hasta 7,5 M€ o el 1 % por suministrar información incorrecta o engañosa (artículo 99(5)). Para las pymes, el artículo 99(6) limita la multa a la menor entre la cuantía fija y el porcentaje.
Ejemplo práctico: una fintech londinense que vende puntuación crediticia con IA hacia la UE
LedgerLoop Ltd es una fintech londinense de unos 90 empleados con cerca de 14 millones de £ de volumen de negocio anual. Vende una herramienta de IA para la toma de decisiones crediticias a prestamistas de Irlanda y los Países Bajos.
Por qué LedgerLoop está dentro del ámbito ahora
Como proveedor que introduce el sistema en el mercado de la UE, LedgerLoop está dentro del ámbito bajo el artículo 2(1)(a) hoy —el Brexit y la sede londinense no cambian nada de eso. Su herramienta es de alto riesgo bajo el anexo III, punto 5(b) (IA utilizada para evaluar la solvencia o establecer la calificación crediticia de personas físicas, excluida la detección de fraude), lo que activa el stack completo del proveedor de los artículos 9–15.
La lista de comprobación previa al mercado de LedgerLoop
- Designar un representante autorizado del artículo 22 establecido en la Unión antes de introducir el sistema en el mercado de la UE.
- Construir la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V.
- Realizar la evaluación de la conformidad y registrar el sistema conforme al artículo 49.
- Como se trata de un caso de uso de solvencia, preparar a sus clientes para la evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27, que deben realizar los prestamistas como responsables del despliegue de sistemas de puntuación crediticia del anexo III, punto 5(b).
- Anotar la exposición: una infracción del proveedor de alto riesgo se sitúa en el tramo del artículo 99(4). Como pyme, LedgerLoop se beneficia del límite del artículo 99(6) a la menor entre la cuantía fija y el porcentaje, así que el 3 % de aproximadamente 14 millones de £ de volumen de negocio es el techo operativo, no la cifra de 15 M€.
Una empresa británica puede cumplir plenamente en el Reino Unido bajo los regímenes de la ICO y la FCA y aun así deber cada uno de estos deberes de la UE. Los dos regímenes se acumulan; no se sustituyen.
Qué deberían hacer ahora las empresas británicas
Mapea primero tu exposición a la UE
No partas de «¿cumplimos en el Reino Unido?». Parte de «¿tocamos el mercado de la UE?». Si introduces IA en el mercado de la UE o tu resultado se utiliza en la Unión, el calendario de la UE te obliga a través del artículo 2 —con independencia de lo que el Reino Unido legisle o deje de legislar.
Una lista de comprobación inicial en cinco pasos
- Mapea tus sistemas de IA contra el artículo 2 para confirmar dónde introduces sistemas en el mercado de la UE o tu resultado llega a la Unión.
- Clasifica cada sistema: supera primero el filtro de prácticas prohibidas del artículo 5 y luego evalúa el artículo 6 / anexo III para la condición de alto riesgo.
- Asigna roles —proveedor, responsable del despliegue, importador, distribuidor— y aplica la comprobación de conversión del artículo 25 a todo lo que renombres, modifiques o reutilices.
- Para los sistemas de alto riesgo en los que seas proveedor no establecido en la UE, designa un representante autorizado del artículo 22 antes de la introducción en el mercado.
- Construye el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y la declaración de conformidad del anexo V —y mantén tus obligaciones británicas (ICO, FCA, Ofcom) en paralelo.
Dos desarrollos que vigilar
Sigue dos piezas en movimiento para revisión legal: la orientación de la UE que acompaña a las fechas de alto riesgo —las directrices de clasificación del artículo 6, todavía en borrador desde mayo de 2026, y las normas armonizadas, aún no citadas en el Diario Oficial—, y el propio marco del Reino Unido —las propuestas del AI Growth Lab del DSIT y cualquier futura ley de IA del gobierno— que puede añadir obligaciones británicas, pero no desplazará el alcance extraterritorial del Reglamento de IA.
Cómo ayuda Confir a las empresas británicas
Confir deriva tu rol de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una entrada de datos en lenguaje claro. El motor es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, así que la misma entrada produce siempre el mismo resultado defendible ante una auditoría, con una explicación legible de qué regla se activó.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27 cuando procede. El objetivo es situar a una empresa británica en posición de estar preparada frente al calendario de la UE con independencia de cómo evolucione la política interna del Reino Unido. El flujo de trabajo de GPAI (artículos 51–55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- Alcance extraterritorial del Reglamento de IA para empresas no comunitarias
- El Reglamento de IA en Suiza: alcance extraterritorial
- El ámbito de aplicación del Reglamento de IA explicado (artículo 2)
- Plazos y fechas de aplicación del Reglamento de IA
- Proveedor frente a responsable del despliegue: ¿cuál eres?
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →