Reglamento de IA de la UE para startups: lo que los fundadores necesitan saber

El Reglamento europeo de IA es el primer marco jurídico integral del mundo sobre inteligencia artificial. Crea obligaciones basadas en el nivel de riesgo de un sistema de IA, no en el tamaño de la empresa que lo construye. Una startup de cinco personas que distribuye una herramienta de IA para la selección de personal tiene la misma clasificación que una gran empresa que distribuye el mismo tipo de sistema. La escala de las cargas administrativas difiere, pero los requisitos sustantivos no.

Vale la pena decirlo claramente porque una idea errónea común entre los fundadores en etapa temprana es que la regulación es un problema de las grandes empresas. No es así. Lo que sí es cierto es que el Reglamento incluye disposiciones específicas para reducir la carga administrativa sobre las pymes, incluyendo acceso a zonas de prueba regulatorias (sandboxes) y tarifas reducidas. Pero esas disposiciones existen dentro del mismo marco que se aplica a todos.

La buena noticia es que el marco es basado en riesgo y proporcional. La mayoría de los productos de IA construidos por startups hoy no entran en las categorías que activan las obligaciones más pesadas. Entender la estructura es la mayor parte del trabajo.

Los cuatro niveles de riesgo

El Reglamento organiza los sistemas de IA en cuatro categorías. Dónde encaje tu producto determina todo lo demás.

La pregunta que determina tus obligaciones: ¿proveedor u operador?

Antes de la clasificación, hay una pregunta preliminar. ¿Eres un proveedor o un operador?

Un proveedor es una organización que desarrolla un sistema de IA y lo pone en el mercado o lo pone en servicio, ya sea en venta o de forma gratuita. Eres un proveedor si construyes y distribuyes un sistema de IA que otras empresas o consumidores usan directamente.

Un operador es una organización que usa un sistema de IA desarrollado por terceros dentro de sus propios productos u operaciones. Si construyes un producto sobre las APIs de OpenAI, Claude de Anthropic, Gemini de Google o cualquier otro modelo fundacional sin modificar sustancialmente el modelo subyacente, eres un operador para ese modelo y un proveedor para tu capa de aplicación.

Esta distinción importa enormemente. Los proveedores cargan con las obligaciones más pesadas para los sistemas de alto riesgo: evaluaciones de conformidad antes del despliegue, registro en la base de datos de la UE de sistemas de IA de alto riesgo, documentación técnica, notificación de incidentes y seguimiento post-mercado continuo. Los operadores tienen un conjunto más ligero de obligaciones, centradas en el uso apropiado y en garantizar la supervisión humana.

El alto riesgo en la práctica: la lista que los fundadores deben verificar

El Anexo III del Reglamento lista los casos de uso de alto riesgo. El patrón a reconocer para los fundadores es este: si tu producto de IA toma decisiones o influye significativamente en decisiones sobre personas individuales en alguno de los siguientes ámbitos, asume alto riesgo hasta que tengas una razón legal específica en contrario.

• Contratación y trabajo: filtrado de CVs, ranking de candidatos, análisis de entrevistas, evaluación del rendimiento, decisiones de ascenso, asignación de tareas, supervisión de trabajadores. Esta es el área donde la mayoría de las startups de HR-tech con IA necesitan un análisis cuidadoso.
• Educación: evaluación automatizada de estudiantes, calificación de exámenes, sistemas de supervisión que toman o influyen en decisiones de admisión.
• Crédito y servicios financieros: evaluación de solvencia crediticia, calificación de crédito, clasificación de riesgo de seguros.
• Acceso a servicios esenciales: IA usada por autoridades públicas o entidades privadas que proporcionan servicios esenciales para determinar la elegibilidad o la prioridad.
• Salud: IA usada como dispositivo médico o en apoyo a la toma de decisiones clínicas que influyen en diagnósticos o elecciones de tratamiento.
• Identificación biométrica: sistemas que categorizan personas en base a datos biométricos, sistemas de identificación biométrica remota.

Nota que esta lista está definida por caso de uso, no por tecnología. Un LLM usado para resumir documentos internos no es de alto riesgo. El mismo LLM usado como herramienta de selección que clasifica candidatos y alimenta decisiones de contratación es de alto riesgo. La tecnología es idéntica. El contexto de aplicación es lo que importa.

El calendario: qué se aplica ahora

El Reglamento tiene un calendario de implementación gradual.

La fecha límite de agosto de 2027 para los sistemas del Anexo III es la más relevante para la mayoría de las startups de software. Esto no significa esperar hasta 2027. Los productos actualmente en desarrollo que estarán en el mercado antes de 2027 deben ser diseñados para el cumplimiento desde la fase de arquitectura. Integrar los requisitos de cumplimiento después de que el producto está construido es significativamente más costoso que diseñarlo desde el principio.

Qué revisan ya los evaluadores de convocatorias europeas

Esta es la sección que más importa si estás preparando una propuesta para el EIC Accelerator o Horizon Europe relacionada con la IA.

Desde 2025, los evaluadores de ambos programas han sido formados para verificar si las propuestas relacionadas con IA demuestran que el equipo ha entendido el entorno regulatorio en el que operaría su producto. Una propuesta que presenta una herramienta de IA para contratación o un producto de apoyo a decisiones clínicas sin ninguna referencia a la conformidad con el Reglamento de IA es vista cada vez más como una señal de análisis incompleto de la preparación para el mercado, independientemente de la calidad técnica de la tecnología subyacente.

Lo que los evaluadores quieren ver no es un documento de conformidad legal. Quieren ver que el equipo fundador ha hecho el trabajo básico de clasificación, sabe en qué nivel encaja su producto, entiende qué obligaciones se aplican en la fecha prevista de lanzamiento al mercado, y tiene un plan creíble para abordarlas. Dos párrafos que demuestren esto claramente valen más que un extenso anexo.

Qué hacer en los próximos 90 días

El punto de partida práctico es un ejercicio de clasificación, no una consultoría legal. Antes de involucrar a un asesor externo, el equipo fundador debería ser capaz de responder claramente a tres preguntas: en qué nivel encaja nuestro producto, somos proveedores u operadores para cada componente de nuestro sistema, y cuál es la base factual para nuestra clasificación de nivel.

Para la mayoría de las startups, este trabajo requiere uno o dos días y produce un documento de una o dos páginas que se convierte en la base de todo lo demás. Si la clasificación es riesgo limitado o riesgo mínimo, las acciones siguientes son sencillas: implementar las divulgaciones de transparencia, documentar la justificación de la clasificación, y revisar el documento anualmente a medida que el producto evoluciona.

Si la clasificación es de alto riesgo, las acciones siguientes son más sustanciales pero completamente manejables si se inician durante el desarrollo en lugar de después del lanzamiento. Las decisiones arquitectónicas clave a tomar temprano son: cómo funciona el sistema de registro, dónde está la supervisión humana en el flujo del producto, qué cubre la documentación técnica, y cómo se gestionará la evaluación de conformidad. Ninguna de estas requiere que el producto esté construido antes de decidirse. Son decisiones de diseño que deben ocurrir en paralelo a las decisiones de producto.