El Reglamento de IA para empresas de EE. UU.: cómo el artículo 2 alcanza a los proveedores estadounidenses
El Reglamento de IA no es ley de EE. UU., pero el artículo 2 vincula a las empresas que introducen IA en el mercado de la UE o cuyos resultados se usan en ella.
Una empresa SaaS de San Francisco cuya herramienta de IA para contratación la usa un empleador de Berlín queda sujeta al Reglamento de IA, aunque no tenga oficina europea, ni entidad europea, ni intención alguna de "cumplir con el Derecho de la UE". Esta es la parte que las empresas estadounidenses entienden mal con más frecuencia. El Reglamento de IA no es ley estadounidense y nunca lo será; no existe una fecha de aplicación para EE. UU. Pero el artículo 2 otorga al Reglamento un alcance extraterritorial deliberado, y atrapa a proveedores y responsables del despliegue estadounidenses en el momento en que introducen un sistema de IA en el mercado de la UE o cuando el resultado de su sistema se usa en la Unión. Para una empresa de EE. UU., el artículo 2 no es un puente hacia algún régimen interno futuro: es la base entera y permanente sobre la que el Reglamento puede vincularte.
EE. UU. es un tercer país: el Reglamento nunca se convierte en ley estadounidense
Estados Unidos no es un Estado miembro de la UE ni forma parte del Espacio Económico Europeo (EEE). No existe mecanismo alguno —ni transposición, ni incorporación al EEE— por el que el Reglamento (UE) 2024/1689 se convierta en ley federal o estatal estadounidense. Así que la única pregunta que importa para una empresa de EE. UU. es la extraterritorial: ¿tu actividad te sitúa dentro del artículo 2?
No hay una fecha de aplicación estadounidense que esperar
Para una empresa de la UE, el Reglamento se aplica en fechas fijas del calendario europeo. Para una empresa de EE. UU., esas fechas no son un interruptor interno; son simplemente las fechas en que las empresas estadounidenses ya incluidas en el ámbito por el artículo 2 deben cumplir. No hay una "fecha estadounidense" aparte, y esperarla es esperar algo que nunca llegará.
El propio panorama de la IA en EE. UU. es independiente y fragmentado
EE. UU. no tiene una ley federal única equivalente al Reglamento de IA. La actividad federal ha discurrido por la acción ejecutiva y las directrices de las agencias, mientras que un mosaico creciente de leyes estatales (la ya derogada ley de IA de Colorado —sustituida en 2026 por un marco de comunicación más estrecho— y diversas medidas estatales sobre toma de decisiones automatizada, ultrafalsificaciones y datos biométricos) añade obligaciones específicas por sector y por estado. Nada de eso satisface el Reglamento de IA, y el Reglamento de IA no satisface nada de eso. Una empresa estadounidense que vende en la UE se enfrenta a ambos regímenes, en paralelo: trata el panorama estadounidense como algo cambiante y propio de un asesoramiento jurídico estadounidense aparte.
Artículo 2: las dos vías que atrapan a las empresas estadounidenses
El artículo 2 fija el ámbito del Reglamento, y está redactado para alcanzar más allá de las fronteras de la UE precisamente para que los proveedores de fuera de la UE no puedan socavar a los de la UE quedándose fuera.
Introducir IA en el mercado de la UE (artículo 2(1)(a))
Conforme al artículo 2(1)(a), cualquier proveedor que introduzca un sistema de IA en el mercado de la UE o lo ponga en servicio en la Unión queda incluido en el ámbito, con independencia de dónde esté establecido. Una empresa estadounidense que venda, conceda licencias o ponga de otro modo su producto de IA a disposición de clientes en Alemania, Francia o Irlanda queda atrapada: estar constituida en Delaware y tener servidores en Virginia no cambia nada. Lo que te incluye es introducir el sistema en el mercado de la UE.
Resultados usados en la Unión (artículo 2(1)(c))
Conforme al artículo 2(1)(c), un proveedor o responsable del despliegue establecido en un tercer país queda incluido en el ámbito cuando el resultado del sistema de IA se usa en la Unión. Las empresas estadounidenses ya conocen esta lógica por el RGPD: la prueba es dónde aterriza el efecto, no dónde está la empresa o el servidor. Una empresa estadounidense cuyo resultado de IA llega a personas de la UE queda atrapada por esta vía aun sin un contrato con un cliente de la UE; por ejemplo, cuando un modelo creado en EE. UU. puntúa o genera contenido sobre personas de la UE.
La obligación de representante autorizado (artículo 22)
Un proveedor estadounidense de un sistema de alto riesgo debe, antes de introducirlo en el mercado de la UE, designar un representante autorizado establecido en la Unión conforme al artículo 22. Esto es paralelo al requisito de representante en la UE que muchas empresas estadounidenses ya cumplen bajo el RGPD (artículo 27 del RGPD): una designación aparte bajo una norma aparte, pero con la misma necesidad estructural de un punto de contacto y responsabilidad dentro de la Unión.
Calendario: las fechas de la UE se aplican a las empresas estadounidenses incluidas en el ámbito
No hay una fecha estadounidense aparte. Una empresa de EE. UU. incluida en el ámbito por el artículo 2 planifica contra el calendario legal de la UE.
| Hito | Fecha de la UE | Qué significa para una empresa estadounidense incluida en el ámbito |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible en el mercado de la UE ahora; no aplazado |
| Obligaciones de GPAI (artículos 51 a 55) | 2 de agosto de 2025 | En vigor ahora; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | Se aplica desde esta fecha de la UE; no hay una fecha estadounidense aparte |
| Nuevas prohibiciones del artículo 5(1)(ba) y (bb) (deepfakes íntimos no consentidos, material de abuso sexual infantil) | 2 de diciembre de 2026 | Añadidas por el Ómnibus Digital; afectan de lleno a los proveedores estadounidenses de IA generativa que operan en la UE |
| Alto riesgo autónomo (artículo 6(2), anexo III) | 2 de diciembre de 2027 | Fecha fijada por el Ómnibus Digital (antes, 2 de agosto de 2026) |
| Alto riesgo integrado en productos (artículo 6(1), anexo I) | 2 de agosto de 2028 | Fecha fijada por el Ómnibus Digital (antes, 2 de agosto de 2027) |
El aplazamiento de alto riesgo del Ómnibus Digital, ya en vigor
El Ómnibus Digital es ya Derecho de la UE: el pleno del Parlamento Europeo lo votó el 16 de junio de 2026, el Consejo lo adoptó formalmente el 29 de junio de 2026 y se publicó en el Diario Oficial el 24 de julio de 2026 como Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Las obligaciones de alto riesgo autónomo del anexo III se aplazaron del 2 de agosto de 2026 al 2 de diciembre de 2027, y las obligaciones de alto riesgo integrado en productos del anexo I del 2 de agosto de 2027 al 2 de agosto de 2028; ambas fechas ya están asentadas.
Lo que no se movió
La propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de reserva; los colegisladores adoptaron en cambio fechas fijas. Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI de los artículos 51 a 55, desde el 2 de agosto de 2025. Para los proveedores estadounidenses de modelos fundacionales y de GPAI que introducen modelos en el mercado de la UE, los deberes de GPAI están vigentes ahora, y los modelos que estaban en el mercado de la UE antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir conforme a la disposición transitoria.
Lo que las empresas estadounidenses incluidas en el ámbito tienen que hacer en realidad
Las obligaciones son las obligaciones de la UE
Como el Reglamento vincula a través del artículo 2 y no de una transposición estadounidense, un proveedor o responsable del despliegue estadounidense incluido en el ámbito se enfrenta a los mismos deberes por rol que una empresa de la UE. No existe una versión estadounidense descafeinada. Los roles se corresponden de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor, con los deberes del importador en el artículo 23 y los del distribuidor en el artículo 24.
El cambio de rol del artículo 25
Un responsable del despliegue, distribuidor o importador se convierte en proveedor conforme al artículo 25 en el momento en que pone su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Una empresa estadounidense que afina un modelo base para una nueva finalidad de alto riesgo, o que renombra una herramienta de alto riesgo de la UE, puede heredar toda la carga del proveedor sin darse cuenta.
Deberes de alto riesgo y sanciones
Para un sistema de alto riesgo autónomo del anexo III, la carga del proveedor se aplica por completo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y solidez (artículos 9 a 15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones del proveedor del artículo 16. Las sanciones son los tramos del artículo 99 —cifras idénticas, calculadas sobre el volumen de negocios mundial, no sobre los ingresos de la UE o de EE. UU.—: hasta 35 M€ o el 7 % por infracciones del artículo 5 (artículo 99(3)); hasta 15 M€ o el 3 % por la mayoría de las demás obligaciones, incluidos los deberes del proveedor de alto riesgo (artículo 99(4)); hasta 7,5 M€ o el 1 % por facilitar información incorrecta o engañosa (artículo 99(5)). Para las pymes, el artículo 99(6) limita la multa al menor de los dos importes, el fijo o el porcentaje. Aparte, a los proveedores de modelos de GPAI los multa la Comisión conforme al artículo 101 (hasta 15 M€ o el 3 %), no conforme al artículo 99.
Ejemplo práctico: una empresa SaaS de San Francisco que vende software de contratación con IA en la UE
BrightHire Inc es una empresa SaaS de San Francisco de unos 140 empleados, con cerca de 22 millones de dólares de ingresos anuales. Vende una herramienta de IA para cribar y clasificar candidatos, y varios de sus clientes son empleadores en Alemania y los Países Bajos.
Por qué BrightHire está dentro del ámbito ahora
Como proveedor que introduce el sistema en el mercado de la UE, BrightHire está dentro del ámbito conforme al artículo 2(1)(a) hoy: no se exige oficina en la UE, y la falta de entidad europea es irrelevante. Su herramienta es de alto riesgo conforme al anexo III, punto 4(a) (contratación y selección de personas físicas), lo que activa toda la carga del proveedor conforme a los artículos 9 a 15 desde el 2 de diciembre de 2027. Aun cuando BrightHire no tenga un contrato directo en la UE, el artículo 2(1)(c) puede atraparla cuando el resultado de la herramienta se usa para evaluar candidatos en la Unión.
La barrera de la práctica prohibida llega primero
Antes de cualquier trabajo de alto riesgo, BrightHire debe superar la barrera dura del artículo 5(1)(f): el reconocimiento de emociones en el contexto laboral es una práctica prohibida, salvo por motivos médicos o de seguridad. Si el flujo de cribado infiere emociones de las entrevistas en vídeo —leyendo "confianza" o "entusiasmo" a partir de la expresión facial o el tono—, esa función debe eliminarse para el mercado de la UE, con independencia de su condición de alto riesgo. Una práctica prohibida no se cura con documentación; sencillamente está prohibida.
Lista de comprobación previa al mercado de BrightHire
- Designar un representante autorizado del artículo 22 establecido en la Unión antes de introducir el sistema en el mercado de la UE.
- Elaborar la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V.
- Ejecutar la evaluación de la conformidad y registrar el sistema conforme al artículo 49.
- Tener presente la exposición: una infracción de un proveedor de alto riesgo se sitúa en el tramo del artículo 99(4). Como pyme, BrightHire se beneficia del límite del artículo 99(6) al menor de los dos importes, el fijo o el porcentaje, de modo que el 3 % de sus aproximadamente 22 millones de dólares de ingresos es el techo operativo, no la cifra de 15 M€.
- Mantener en paralelo las obligaciones estadounidenses —directrices federales y leyes estatales de IA aplicables—; el expediente de la UE no las salda, ni a la inversa.
Qué deberían hacer ahora las empresas estadounidenses
Cartografía tu exposición a la UE, no tu situación en EE. UU.
No empieces por "¿estamos cubiertos por el Derecho estadounidense?". Empieza por "¿tocamos el mercado de la UE?". Si introduces IA en el mercado de la UE o tu resultado se usa en la Unión, el calendario de la UE te vincula a través del artículo 2, con independencia de lo que EE. UU. legisle o deje de legislar.
Una lista de comprobación inicial de cinco pasos
- Cartografía tus sistemas de IA frente al artículo 2 para confirmar dónde introduces sistemas en el mercado de la UE o tu resultado llega a la Unión.
- Clasifica cada sistema: supera primero la barrera de práctica prohibida del artículo 5 y luego evalúa el artículo 6 / anexo III para la condición de alto riesgo.
- Asigna roles —proveedor, responsable del despliegue, importador, distribuidor— y aplica la comprobación de conversión del artículo 25 a todo lo que renombres, afines o reutilices.
- Para los sistemas de alto riesgo, designa un representante autorizado del artículo 22 en la Unión antes de la introducción en el mercado.
- Elabora el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y la declaración de conformidad del anexo V, y mantén en paralelo tus obligaciones estadounidenses.
Dos desarrollos que vigilar
Sigue dos piezas en movimiento para revisión jurídica: la guía de la UE que concreta las obligaciones de alto riesgo —las directrices de clasificación del artículo 6 de la Comisión siguen en borrador (mayo de 2026) y aún no se ha citado ninguna norma armonizada en el Diario Oficial—, y el panorama estadounidense en evolución —acción federal y el mosaico creciente de leyes estatales de IA—, que puede añadir obligaciones estadounidenses pero no desplazará el alcance extraterritorial del Reglamento de IA.
Cómo ayuda Confir a las empresas estadounidenses
Confir deriva tu rol de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una recogida de datos en lenguaje claro. El motor es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que la misma recogida de datos siempre arroja la misma conclusión defendible ante una auditoría, con una explicación legible de qué regla se activó.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando procede. El objetivo es dar a una empresa estadounidense un expediente de cumplimiento del mercado de la UE que se sostenga por sí mismo, separado de las obligaciones federales o estatales estadounidenses que apliquen. El flujo de GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- Alcance extraterritorial del Reglamento de IA para empresas de fuera de la UE
- El Reglamento de IA en Suiza: alcance extraterritorial
- El Reglamento de IA en el Reino Unido: alcance tras el Brexit
- El ámbito del Reglamento de IA explicado (artículo 2)
- Plazos y fechas de aplicación del Reglamento de IA
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →