Durante un año, la EU AI Act fue una ley con dientes en el papel pero sin morder a nadie. Eso cambió el 2 de agosto de 2026 — y según los primeros reportes, no tardó ni una semana en dejar la primera marca.
El régimen de sanciones de la EU AI Act no es un número único: son tres niveles según la gravedad de la infracción. El nivel más alto — hasta 35 millones de euros o el 7% de la facturación global anual, lo que sea mayor — aplica a prácticas de IA directamente prohibidas por el Artículo 5 (por ejemplo, sistemas de puntuación social o manipulación subliminal). El nivel intermedio — hasta 15 millones de euros o 3% de facturación — cubre el incumplimiento de las obligaciones para sistemas de alto riesgo y para modelos GPAI. El nivel más bajo — hasta 7.5 millones de euros o 1.5% de facturación — aplica a infracciones más administrativas, como entregar información incorrecta o incompleta a una autoridad durante una investigación.
Para modelos de propósito general (GPAI), la autoridad es la Oficina de IA de la Comisión Europea (AI Office) de forma centralizada — la misma que puede pedir documentación técnica, acceso al modelo para evaluación, o exigir medidas correctivas bajo el Artículo 55. Para sistemas de IA de alto riesgo desplegados en un sector específico (contratación, crédito, salud, etc.), la supervisión recae en las autoridades nacionales de vigilancia de mercado de cada estado miembro — el mismo modelo descentralizado que ya existe para regulación de productos en la UE.
Según reportes de la primera semana tras la activación del régimen el 2 de agosto de 2026, tres empresas recibieron sanciones combinadas por 47 millones de euros por violaciones de sistemas de alto riesgo: una plataforma de tecnología de contratación (la multa individual más alta, por desplegar IA de selección de personal sin la documentación de evaluación de conformidad requerida y sin los controles de supervisión humana obligatorios — la investigación se originó por denuncias de decisiones de contratación opacas y presuntamente discriminatorias), una empresa de scoring crediticio, y una cadena minorista por vigilancia con IA. Vale la pena tratar estos primeros casos reportados con cautela hasta que haya confirmación oficial adicional — pero la dirección es clara: contratación, crédito y vigilancia son, previsiblemente, las primeras categorías donde la aplicación se vuelve real.
El patrón de los primeros casos no es casualidad: sistemas de contratación y scoring crediticio son exactamente los casos de uso de "alto riesgo" que el Anexo III de la ley identifica explícitamente, y son también los que generan denuncias ciudadanas más fácilmente — alguien a quien no contrataron o le negaron un crédito tiene un incentivo directo para preguntar por qué. Es razonable esperar que los próximos focos de aplicación sigan ese mismo patrón: chatbots que no revelan que son IA, y contenido sintético sin etiquetar a escala, ambos con obligaciones de transparencia relativamente fáciles de verificar desde afuera.
La lección operativa de estos primeros casos es concreta: la documentación de evaluación de conformidad y los controles de supervisión humana no son casillas de compliance que se completan una vez y se archivan — son la primera línea de defensa ante una investigación real, y su ausencia fue, en al menos uno de los casos reportados, la causa directa de la multa más alta. Para cualquier empresa que use IA en decisiones que afectan personas (contratación, crédito, acceso a servicios), vale la pena auditar hoy si esa documentación existe y está actualizada, en vez de esperar a que llegue la primera denuncia.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel