Somos una firma jurídica de Estonia que ha experimentado en la práctica la regulación de las criptomonedas: licencias, supervisión, endurecimiento de requisitos y la salida de parte del mercado de la jurisdicción. Paralelamente, trabajamos a diario con herramientas de IA y acompañamos proyectos de IA. Por ello, nos permitimos hablar no desde la teoría, sino desde la experiencia.
Regular por regular es ralentizar
La regulación solo tiene sentido cuando aborda un riesgo objetivo y medible. Existen ámbitos así, pero son pocos: la IA en la gestión del transporte, en dispositivos médicos, en infraestructuras críticas y en sistemas que pueden perjudicar física o jurídicamente a una persona: tomar decisiones sobre la libertad, el acceso al empleo o al crédito.
Son muy pocos ámbitos. Todo lo demás —un modelo que escribe código, analiza documentos, genera textos e imágenes, ayuda a investigadores— no conlleva un riesgo que requiera un régimen de autorización independiente. Más aún cuando los modelos líderes ya se lanzan hoy con mecanismos de seguridad integrados, y los desarrolladores también compiten en este aspecto.
Cuando el regulador quiere «restringir algo» sin comprender todavía qué exactamente ni frente a qué daño, eso no es protección de la sociedad. Es miedo a lo que no se entiende, formalizado en un acto normativo. El precio de ese miedo son empresas perdidas, empleos perdidos y liderazgo perdido.
Qué está realmente vigente hoy en la UE
Para que la conversación sea concreta, establezcamos qué está efectivamente en vigor en septiembre de 2026.
Reglamento de IA (AI Act, Reglamento (UE) 2024/1689). La primera ley horizontal integral sobre IA del mundo entró en vigor el 1 de agosto de 2024 y se aplica gradualmente según cuatro niveles de riesgo: cuanto mayor sea el daño potencial, más estrictos serán los requisitos.
Lo que ya se aplica:
- Prácticas prohibidas (artículo 5), desde febrero de 2025. Puntuación social, sistemas manipulativos y determinados tipos de identificación biométrica. Desde el 2 de diciembre de 2026 se añade la prohibición de sistemas para crear imágenes íntimas sin consentimiento y material de abuso sexual infantil.
- Obligaciones de los proveedores de modelos de propósito general (GPAI), artículos 51–55, vigentes desde agosto de 2025. Incluyen documentación, cumplimiento de derechos de autor y, para modelos con riesgo sistémico, evaluación y mitigación de riesgos.
- Obligaciones de transparencia (artículo 50), desde el 2 de agosto de 2026. Información al usuario sobre la interacción con IA y etiquetado de contenido generado y deepfakes. Para los sistemas que ya estaban en el mercado, el etiquetado de contenido sintético se aplazó hasta el 2 de diciembre de 2026.
Lo que se ha aplazado, y es revelador. El 27 de julio de 2026 entró en vigor el Digital Omnibus on AI (Reglamento (UE) 2026/1744), que trasladó las obligaciones más gravosas:
- para sistemas autónomos de alto riesgo (Anexo III: HR, crédito, educación, autoridades policiales, etc.), del 2 de agosto de 2026 al 2 de diciembre de 2027;
- para IA integrada en productos sujetos a regulación sectorial (Anexo I: dispositivos médicos, maquinaria, transporte), del 2 de agosto de 2027 al 2 de agosto de 2028;
- los entornos de pruebas regulatorios nacionales deben comenzar a funcionar antes del 2 de agosto de 2027.
El motivo del aplazamiento señalado por la propia Comisión Europea fue que ni las empresas, ni los organismos de normalización (CEN/CENELEC), ni la infraestructura de evaluación de la conformidad estaban preparados. En otras palabras, redactaron la ley antes de comprender cómo aplicarla. Es la mejor ilustración de nuestra tesis: una regulación que se adelanta a la comprensión no funciona ni siquiera para el propio regulador.
Nivel nacional. Para agosto de 2025, los Estados miembros debían designar autoridades supervisoras y establecer sanciones. A fecha de primavera de 2026, solo unos pocos países lo habían hecho. En Estonia aún no se ha aprobado una ley de aplicación específica; el trabajo lo realiza el Ministerio de Justicia y Tecnologías Digitales, mientras que la Inspección de Protección de Datos (AKI) mantiene su reputación de regulador pragmático y proporcionado.
Nuestra postura
-
Apoyamos los proyectos de IA. En Estonia, Europa y fuera de ellas. Creemos que el desarrollo de la IA es el desarrollo de la humanidad, y queremos que las empresas que la crean trabajen aquí, en lugar de trasladarse a jurisdicciones con normas más claras.
-
Defendemos la regulación de riesgos objetivos, y solo de estos. Transporte, medicina, infraestructuras críticas y decisiones que afectan a los derechos humanos. Aquí los requisitos están justificados y ayudamos a cumplirlos.
-
Nos oponemos a regulaciones draconianas. Nos oponemos a prohibiciones «por si acaso», a regímenes de autorización para aquello que no causa daño y a normas redactadas sin comprender la tecnología.
-
Si existe regulación, le ayudaremos a cumplirla. Clasificación del sistema según el nivel de riesgo, obligaciones del proveedor y del desplegador, documentación, transparencia, interacción con autoridades supervisoras, preparación para los plazos de 2027–2028 y entornos de pruebas regulatorios. Nuestra experiencia con la regulación de criptomonedas nos ha enseñado lo principal: el cumplimiento normativo no es un obstáculo para la empresa, sino una forma de seguir operando cuando cambian las reglas.
La regulación debe proteger a las personas, no proteger al regulador de la necesidad de comprender lo nuevo. Trabajaremos del lado de quienes construyen.
