Lo esencial
- La consulta «ai regulatory» agrupa dos realidades distintas: la regulación pública de la inteligencia artificial, por un lado, y la IA aplicada a las funciones de cumplimiento, por otro. Esta guía aborda la primera, que estructura casi la totalidad de los resultados de búsqueda en 2026.
- Cuatro regímenes de anclaje determinan la mayor parte de las obligaciones operativas: el Reglamento europeo sobre IA (Reglamento 2024/1689), el ecosistema estadounidense (orientaciones federales y leyes estatales), el enfoque británico pro-innovación y sectorial, y el marco chino dirigido por la Cyberspace Administration of China.
- Sobre los regímenes nacionales se ha añadido una capa convencional: el Convenio Marco del Consejo de Europa sobre IA, primer tratado internacional jurídicamente vinculante en materia de IA, ratificado por la Unión Europea el 15 de mayo de 2026.
- Dos estándares operativos hacen gobernable el panorama: ISO/IEC 42001 como columna vertebral del sistema de gestión de IA, y el NIST AI Risk Management Framework como biblioteca de controles. Un mismo sistema puede satisfacer varias autoridades simultáneamente cuando se mapea correctamente.
- El trabajo se organiza por tipo de obligación: transparencia, gestión del riesgo, evaluación de conformidad, vigilancia poscomercialización, notificación de incidentes, gobernanza de datos. El país cambia plazos y topes sancionadores, no la naturaleza del trabajo.
Qué significa realmente «ai regulatory» en 2026
La expresión «ai regulatory» agrupa dos relatos disociados. El primero, que aborda esta guía, se refiere a las normas públicas y los compromisos internacionales vinculantes que enmarcan el diseño, la introducción en el mercado, la utilización y la supervisión de la inteligencia artificial. El segundo apunta a la IA puesta al servicio de la función de cumplimiento, frecuentemente bajo la etiqueta RegTech. La cima de los resultados de búsqueda refleja, salvo contadas excepciones, la primera lectura: rastreadores globales, comparativas por países y revistas jurídicas.
El inventario se ha vuelto vertiginoso. Las síntesis públicas mencionan ya más de 900 normativas de IA activas en 80 jurisdicciones. La cifra intimida porque suma directivas, reglamentos sectoriales, decretos, circulares y directrices. Sin embargo, los equipos de cumplimiento no viven 900 normas como 900 obras distintas. Se enfrentan a unos pocos regímenes de anclaje, a una breve familia de obligaciones recurrentes y a estándares transversales que permiten que un mismo conjunto de controles sirva a varias autoridades a la vez.
Este desplazamiento de la mirada es el objeto de la guía. La presentación por países, que sigue la mayoría de las páginas bien posicionadas, resulta útil como referencia, pero ineficaz como modelo operativo. Lo que sigue adopta la lectura del operador: primero los regímenes de anclaje, luego la capa convencional, después los tipos de obligación, los roles jurídicos y, por último, el zoclo operativo convergente.
Los cuatro regímenes de anclaje
El Reglamento europeo sobre IA, Reglamento 2024/1689
El Reglamento europeo sobre IA entró en vigor el 1 de agosto de 2024 y será plenamente aplicable el 2 de agosto de 2026. Las disposiciones se activan por oleadas sucesivas. Las prácticas prohibidas y las obligaciones de alfabetización en IA se aplican desde el 2 de febrero de 2025. Las normas de gobernanza y las obligaciones sobre modelos de IA de finalidad general se aplican desde el 2 de agosto de 2025. El régimen de los sistemas de alto riesgo, con sistema de gestión de la calidad, evaluación de conformidad y vigilancia poscomercialización, será plenamente exigible a partir del 2 de agosto de 2026.
La arquitectura es basada en el riesgo, con cuatro niveles. Las prácticas prohibidas incluyen la puntuación social por parte de autoridades públicas, la captura no selectiva de imágenes faciales o el reconocimiento de emociones en entornos laborales y educativos, con excepciones estrechas. Los sistemas de alto riesgo, enumerados en el Anexo III para usos como el empleo, la calificación crediticia, la identificación biométrica, las infraestructuras críticas y la aplicación de la ley, deben cumplir obligaciones estructuradas en materia de gobernanza de datos, documentación técnica, supervisión humana, exactitud, robustez y ciberseguridad. Los sistemas de riesgo limitado, sobre todo los que interactúan con personas físicas o generan contenido sintético, están sujetos a obligaciones de transparencia. Los sistemas de riesgo mínimo, mayoría de la IA empresarial, solo responden a códigos de conducta voluntarios.
Las sanciones llegan a 35 millones de euros o al 7 % del volumen de negocio mundial anual, aplicándose la cantidad superior, por incumplimiento de las prácticas prohibidas. Otras infracciones bajan a 15 millones de euros o 3 %, y el suministro de información incorrecta a las autoridades a 7,5 millones o 1 %. La supervisión se reparte entre las autoridades nacionales competentes y la nueva Oficina de IA establecida en la Comisión Europea.
Estados Unidos: edificio federal fragmentado y leyes estatales
Estados Unidos opera con otra lógica. No existe ninguna ley federal única sobre IA. Las autoridades sectoriales aplican los textos vigentes (protección del consumidor, empleo, finanzas, salud) a los usos de la IA, mientras cada estado aprueba textos específicos. La actividad legislativa se ha acelerado en 2025 y 2026, como muestran el rastreador White & Case y el seguimiento NCSL, que documentan decenas de leyes sobre sistemas de decisión automatizada, transparencia de la IA generativa, deepfakes en periodo electoral y uso público de la IA.
La capa federal sigue siendo mayoritariamente ejecutiva. Las órdenes presidenciales sucesivas estructuran los estándares de contratación pública, las evaluaciones de riesgo de las agencias y ciertos deberes de divulgación. Las autoridades independientes, entre ellas la Federal Trade Commission, la Equal Employment Opportunity Commission, el Consumer Financial Protection Bureau, la Food and Drug Administration para dispositivos médicos o la National Highway Traffic Safety Administration para vehículos autónomos, aplican sus herramientas existentes a los casos de IA. El trabajo de cumplimiento en Estados Unidos habita, más que en otros lugares, en los manuales operativos de los reguladores sectoriales y no en un texto horizontal único.
Reino Unido: enfoque pro-innovación sectorial
El Reino Unido decidió no legislar horizontalmente. El enfoque pro-innovación confia la regulación de la IA a las autoridades existentes (Information Commissioner’s Office, Competition and Markets Authority, Financial Conduct Authority, Ofcom y otras), guiado por cinco principios transversales: seguridad, transparencia, equidad, responsabilidad y posibilidad de impugnación. El AI Safety Institute británico realiza evaluaciones de modelos y publica sus conclusiones.
El 21 de octubre de 2025 se abrió la consulta sobre el UK AI Growth Lab, un programa de areneros regulatorios transeconomómicos que permite probar productos de IA bajo adaptaciones normativas selectivas, con la posibilidad de convertir los pilotos exitosos en reformas permanentes. La dirección se aleja de una ley única y avanza hacia un dispositivo iterativo, sectorial y adaptable.
China: reglas generativas bajo la dirección de la CAC
El marco chino lo configura la Cyberspace Administration of China (CAC) y se aplica mediante instrumentos sucesivos. Las Medidas provisionales para la gestión de los servicios de IA generativa, en vigor desde agosto de 2023, fijan las obligaciones de los proveedores sobre legalidad de los datos de entrenamiento, etiquetado de contenidos, consentimiento del usuario y alineamiento con los valores sociales. Las Disposiciones sobre recomendaciones algorítmicas (2022) y las relativas a la síntesis profunda (2023) añaden deberes de etiquetado y registro para motores de recomendación y medios sintéticos. Todo contenido generado destinado al mercado chino debe llevar marca de agua visible y marcado en metadatos. Los proveedores deben registrar sus algoritmos en el registro de la CAC y presentar una evaluación de seguridad antes de su despliegue.
El régimen chino es el más prescriptivo de los cuatro en obligaciones de moderación de contenidos. Afecta sobre todo a organizaciones que introducen directamente productos de IA en el mercado chino y constituye, para el resto, un punto de atención contractual en la cadena de suministro.
La capa convencional: el Convenio Marco del Consejo de Europa sobre IA
Una nueva capa se ha sumado a los regímenes nacionales. El Convenio Marco del Consejo de Europa sobre Inteligencia Artificial y Derechos Humanos, Democracia y Estado de Derecho (STCE n.º 225) es el primer tratado internacional dedicado específicamente a la gobernanza de la IA y jurídicamente vinculante para sus partes. Compromete a los signatarios a garantizar que las actividades relativas a la IA sean compatibles con los derechos humanos, la democracia y el Estado de derecho a lo largo de todo el ciclo de vida de los sistemas.
La Unión Europea ratificó el Convenio el 15 de mayo de 2026, durante la 135.ª sesión del Comité de Ministros en Chișinău, República de Moldavia. Entre los demás firmantes figuran el Reino Unido, Estados Unidos, Canadá, Japón, Suiza, Noruega, Israel, Ucrania, Andorra, Georgia, Islandia, Liechtenstein, Montenegro, San Marino y Uruguay. El Convenio entrará en vigor el primer día del mes siguiente al vencimiento de un plazo de tres meses tras la quinta ratificación, de las cuales al menos tres deben corresponder a Estados miembros del Consejo de Europa.
El Convenio no duplica el Reglamento europeo. Fija un suelo convencional en protección de derechos, no discriminación, transparencia, supervisión, responsabilidad y vías de recurso, que las partes deben trasponer a su Derecho interno. Para una organización presente en varias jurisdicciones signatarias, este suelo reduce el riesgo de divergencias sustanciales sobre obligaciones vinculadas a derechos fundamentales y fija el umbral de protección humana que cualquier programa de gobernanza de IA debe respetar.
El manual del operador: obligaciones por tipo
La mayoría de los análisis publicados se detienen en la lectura por país. Ahí empieza precisamente el trabajo del operador. A través de los cuatro regímenes de anclaje y los Principios OCDE sobre IA, con 49 adherentes en abril de 2026, vuelven las mismas familias de obligaciones con variaciones locales.
Obligaciones de transparencia
Las obligaciones de divulgación recorren cada régimen. Bajo el Reglamento europeo, los proveedores de sistemas que interactúan con personas físicas deben informar de la naturaleza artificial del interlocutor, salvo que sea evidente. Los responsables del despliegue de sistemas de reconocimiento de emociones o de categorización biométrica deben notificar a las personas afectadas. Proveedores y responsables del despliegue de IA generativa deben etiquetar los contenidos sintéticos o manipulados con medios técnicos detectables. China impone un doble marcaje, visible y en metadatos. Estados Unidos añade leyes estatales sobre divulgación para sistemas de decisión automatizada en empleo o relaciones con el consumidor. El conjunto de controles es el mismo: inventario de superficies de IA visibles para el usuario, plantillas de divulgación por superficie, cadenas de marca de agua para contenidos generativos y procedimiento de actualización ante cada cambio sustancial del sistema.
Gestión del riesgo y evaluación de conformidad
El artículo 9 del Reglamento europeo exige, para los sistemas de alto riesgo, un sistema documentado de gestión del riesgo, establecido, implantado, documentado y mantenido a lo largo de todo el ciclo de vida. La evaluación de conformidad, con o sin intervención de un organismo notificado según el caso de uso, gobierna la introducción en el mercado. La estructura recuerda a la regulación de seguridad de producto: identificar los riesgos previsibles, evaluarlos, adoptar medidas, comprobar el riesgo residual y reevaluar tras cualquier modificación sustancial. El NIST AI Risk Management Framework, publicado en enero de 2023, y su Perfil de IA generativa (NIST AI 600-1) de julio de 2024 aportan la gramática operativa: cuatro funciones centrales (Govern, Map, Measure, Manage) y doce categorías de riesgo propias de la generación. Un equipo de cumplimiento que adopte el RMF como biblioteca de controles cubre buena parte del camino hacia un sistema creíble en términos del artículo 9.
Vigilancia poscomercialización y notificación de incidentes
Las obligaciones no terminan con el lanzamiento. El artículo 72 del Reglamento europeo exige a los proveedores un sistema de vigilancia poscomercialización proporcionado a la naturaleza y a los riesgos del sistema, con recogida de datos, análisis y bucles de acción correctiva documentados. El artículo 73 obliga a notificar los incidentes graves a las autoridades de vigilancia del mercado de los Estados miembros afectados. Otros regímenes adoptan un enfoque menos formalizado, pero esperan mecanismos equivalentes: la guía británica pide a las entidades reguladas evidenciar una supervisión continua; los reguladores sectoriales estadounidenses aplican sus propios canales (FDA por eventos adversos en dispositivos, reguladores bancarios por incidentes operativos). El control operativo es compartido: un bucle de retorno desde la producción al diseño, una matriz de gravedad de incidentes y un calendario de notificación cartografiado sobre las autoridades pertinentes.
Gobernanza de datos y modelos
Los conjuntos de entrenamiento, validación y prueba de los sistemas de alto riesgo deben ser pertinentes, representativos, exentos de errores y completos. El artículo 10 del Reglamento europeo fija obligaciones específicas de gobernanza de datos, incluido el examen y la mitigación de sesgos. China exige origen lícito de los datos de entrenamiento. El Derecho laboral estadounidense exige una lógica de selección vinculada al puesto y justificada por necesidad de negocio cuando se utiliza IA en contratación. ISO/IEC 42001 trata las mismas cuestiones en sus cláusulas de evaluación de impacto, calidad de datos y supervisión de proveedores. El punto de convergencia es claro: un ciclo de vida de los datos documentado, una trazabilidad de la fuente al modelo, un examen periódico de sesgos y una diligencia debida sobre broker de datos y proveedores de modelos.
Quién hace qué: un árbol de roles
El Reglamento europeo distingue cinco roles operativos: proveedor, responsable del despliegue, importador, distribuidor y fabricante del producto. Los deberes varían según el rol que asuma la organización respecto de un sistema determinado. Una misma organización puede ser proveedor de un sistema, responsable del despliegue de otro y distribuidor de un tercero. Cartografiar los roles por sistema, y no por entidad jurídica, es el primer paso.
Un proveedor introduce un sistema de IA en el mercado de la Unión bajo su propio nombre. Los proveedores soportan el paquete de obligaciones más exigente para los sistemas de alto riesgo: controles de diseño, sistema de gestión de calidad, documentación técnica, evaluación de conformidad, declaración de conformidad, marcado CE, vigilancia poscomercialización, notificación de incidentes y acciones correctivas.
Un responsable del despliegue utiliza un sistema de IA bajo su autoridad, normalmente en el marco de una actividad económica o de servicio público. Sus obligaciones incluyen el uso conforme a las instrucciones del proveedor, el mantenimiento de la supervisión humana, la vigilancia de las salidas, la conservación de registros, la realización, cuando proceda, de la evaluación de impacto en derechos fundamentales (artículo 27) y la información a las personas afectadas por una decisión automatizada.
Un importador o un distribuidor asume deberes de verificación: antes de la introducción en el mercado debe constatar que el proveedor cumplió sus obligaciones, que la declaración de conformidad está presente, que el marcado CE está colocado y que las instrucciones de uso son completas.
Un proveedor de modelo de IA de finalidad general, regido por los artículos 53 y 55, debe publicar un resumen suficientemente detallado del contenido de entrenamiento, documentar la tarjeta del modelo, respetar el derecho de autor de la Unión y, cuando el modelo presente riesgo sistémico en el sentido del umbral del artículo 51, realizar pruebas adversarias, notificar los incidentes graves a la Oficina de IA y garantizar la ciberseguridad a nivel de modelo y de infraestructura.
Las capas sectoriales no desaparecen. Un banco que despliegue un sistema de calificación crediticia de alto riesgo acumula las obligaciones de responsable del despliegue del Reglamento europeo y todo el Derecho prudencial y de protección del consumidor. Un fabricante de dispositivos médicos con componentes de IA acumula las obligaciones de proveedor y el Reglamento europeo sobre productos sanitarios.
El modelo operativo convergente: ISO/IEC 42001 y NIST AI RMF
Si el manual anterior parece ordenado pero pesado, lo es por diseño. El rendimiento llega cuando un mismo programa satisface a varios reguladores al tiempo. Dos estándares voluntarios hacen posible esa convergencia.
ISO/IEC 42001:2023 es el primer referente internacional de sistema de gestión de la IA (AIMS). Despliega una estructura Plan-Do-Check-Act familiar para quien trabaja con ISO 9001 o ISO 27001, pero adaptada a la IA: política de IA, compromiso de dirección, planificación (con evaluación de impacto de los sistemas de IA), soporte, operación, evaluación del desempeño, mejora continua. Su versión europea, EN ISO/IEC 42001:2026, entra en el paisaje armonizado europeo, lo cual cuenta: la conformidad con un estándar armonizado genera presunción de conformidad frente a numerosos requisitos del Reglamento europeo.
El NIST AI Risk Management Framework ejerce de capa de controles. Cuatro funciones (Govern, Map, Measure, Manage), declinadas en categorías y subcategorías, ofrecen una biblioteca granular que se alinea sobre las obligaciones del Reglamento europeo, las reglas chinas de contenido, los reguladores sectoriales estadounidenses y los Principios OCDE. El Perfil de IA generativa (NIST AI 600-1) añade doce categorías de riesgo propias de la generación (información CBRN, confabulación, contenidos peligrosos o violentos, privacidad, impacto ambiental, sesgos perjudiciales, configuración humano-IA, integridad informativa, seguridad de la información, propiedad intelectual, contenidos obscenos, cadena de valor), cada una asociada a acciones concretas del RMF. NIST también trabaja en un perfil de Infraestructuras Críticas (nota de encuadre de abril de 2026) y en un perfil de Interoperabilidad de Agentes anunciado para finales de 2026.
Un modelo operativo viable apoya ISO 42001 como columna vertebral y NIST AI RMF como biblioteca de controles. Las evidencias recolectadas una vez (registros de linaje de datos, evaluaciones de impacto, registros de vigilancia, notificaciones de incidente, registros de formación) se proyectan después sobre la documentación técnica del Anexo IV del Reglamento europeo, sobre la Guía OCDE de diligencia debida para la IA responsable publicada el 19 de febrero de 2026, sobre los compromisos de transparencia y rendición de cuentas del Convenio Marco del Consejo de Europa y sobre los futuros estándares europeos armonizados de CEN-CENELEC, entre ellos los proyectos prEN 18228 y prEN 18282 sobre gestión de riesgos de IA y terminología de ciberseguridad.
Este modelo convergente responde también al paso a escala. Las 900 normas censadas en 80 jurisdicciones no son 900 arquitecturas distintas. Son, en lo esencial, variaciones sobre las mismas familias de obligaciones, con plazos, topes y reglas procesales distintos. Un AIMS bien construido convierte cada nueva norma en una cuestión de configuración, no en una obra de refundición. En España, la AEPD para datos personales y la AESIA para inteligencia artificial proporcionan, además, marcos de lectura útiles para articular RGPD, Reglamento europeo sobre IA y obligaciones sectoriales, que un AIMS bien mantenido integra de forma natural.
Preguntas frecuentes
¿Quién regula la IA en Estados Unidos? Ningún regulador único. Las agencias sectoriales aplican el Derecho vigente: Federal Trade Commission en protección del consumidor, Equal Employment Opportunity Commission en empleo, Consumer Financial Protection Bureau en crédito, Food and Drug Administration en IA médica, National Highway Traffic Safety Administration en vehículos autónomos, y así sucesivamente. Los legisladores estatales aprueban textos más acotados sobre sistemas de decisión automatizada, divulgación sobre IA generativa o uso público de la IA. La Casa Blanca orienta la política mediante órdenes ejecutivas que vinculan a las agencias federales y a la contratación pública. El resultado es estratificado, no centralizado.
¿Se va a regular la IA? Ya lo está. El Reglamento europeo, el Convenio Marco del Consejo de Europa, el marco chino, decenas de leyes estatales estadounidenses y la aplicación sectorial del Derecho vigente conforman un entorno regulatorio efectivo. La pregunta ya no es si la IA será regulada, sino cómo operacionalizar las obligaciones vigentes.
¿Qué es un regulador de la IA? En el sentido del Reglamento europeo, las autoridades nacionales competentes designadas por los Estados miembros para supervisar los sistemas de IA en su mercado, junto con la Oficina de IA de la Comisión Europea, que coordina la supervisión de los modelos de finalidad general. En España participan la AEPD, la AESIA y los reguladores sectoriales según su ámbito. En otros lugares, «regulador de IA» suele designar a la agencia sectorial que aplica su instrumental a casos de IA. El Convenio del Consejo de Europa no crea un supervisor único y deja la aplicación en manos de las partes.
¿Hay reglas sobre IA hoy? Sí. Las prácticas prohibidas y las obligaciones de alfabetización del Reglamento europeo se aplican desde el 2 de febrero de 2025, las obligaciones sobre modelos de finalidad general desde el 2 de agosto de 2025. Las Medidas provisionales chinas sobre IA generativa se aplican desde agosto de 2023. Diversas leyes estatales estadounidenses sobre decisiones automatizadas en empleo, finanzas y seguros son exigibles. Las reglas sectoriales en salud, finanzas y consumo se aplican a la IA al amparo de las competencias existentes.
¿Qué ley sobre IA prevé las mayores sanciones? El Reglamento europeo, con un máximo de 35 millones de euros o el 7 % del volumen de negocio mundial anual, el importe más alto, por incumplimiento de las prácticas prohibidas. Otras infracciones se limitan a 15 millones o 3 %. Las leyes estatales estadounidenses y la aplicación sectorial siguen estructuras distintas, a menudo por infracción o porcentaje de ingresos, pero en niveles absolutos inferiores.
¿Deben las startups cumplir el Reglamento europeo? Sí, con medidas proporcionadas. El Reglamento prevé expresamente vías simplificadas para pymes y startups: itinerarios de evaluación de conformidad aligerados, acceso dedicado a areneros regulatorios y tasas administrativas reducidas para los servicios de organismos notificados. Las obligaciones materiales subsisten: prácticas prohibidas, transparencia, diseño de sistemas de alto riesgo cuando proceda, y reglas sobre modelos de finalidad general para quienes desarrollen modelos fundacionales.
¿ISO/IEC 42001 sustituye al Reglamento europeo sobre IA? No. ISO/IEC 42001 es un estándar de gestión voluntario. El Reglamento europeo es Derecho vinculante. El estándar es útil sobre todo como marco de implantación que vuelve operativamente abordable el cumplimiento del Reglamento y las obligaciones equivalentes en otros regímenes. La certificación puede ser una señal de madurez de gobierno, nunca un sustituto de las obligaciones legales.
Conclusión: del rastreador al modelo operativo
El rastreador por países tuvo su momento. Sirvió mientras la regulación de la IA era nueva, dispersa y desigualmente repartida. En 2026 ya no es el marco correcto. Con más de 900 reglas activas en 80 jurisdicciones, un tratado internacional vinculante y estándares armonizados que aparecen con cadencia trimestral, ningún equipo de cumplimiento dispone del ancho de banda para abordar cada nuevo texto como un proyecto inédito.
El modelo operativo gana. Anclarse en los cuatro regímenes que cubren la mayor parte de la actividad de IA regulada. Tratar otros países como sobreimposiciones. Organizar el trabajo por tipo de obligación. Adoptar ISO/IEC 42001 como columna vertebral y NIST AI RMF como biblioteca de controles. Recoger la evidencia una sola vez y mapearla varias veces.
AI Sigil proporciona precisamente esa columna vertebral a los sectores regulados: evaluación de conformidad con el Reglamento europeo, sistema de gestión ISO/IEC 42001, controles NIST AI RMF, en una única plataforma GRC diseñada para absorber cada nueva regla sin replantear el edificio.