Ley de Inteligencia Artificial de la Unión Europea: qué regula y cómo puede afectar a Perú
El EU AI Act ya forma parte del marco jurídico europeo y utiliza un enfoque basado en riesgos. Su relevancia no termina necesariamente en las fronteras de la Unión Europea: determinadas empresas y operadores establecidos en terceros países pueden quedar dentro de su ámbito de aplicación.
Según el Dr. Alberto Miranda, abogado peruano colegiado (CAL N.º 39450) especializado en derecho internacional privado, la Ley de IA de la Unión Europea establece reglas distintas según el riesgo y el rol de cada operador. Una empresa peruana no queda sometida automáticamente, pero sí debe evaluar el Reglamento cuando coloca sistemas o modelos en el mercado europeo o cuando la salida de un sistema utilizado desde un tercer país produce efectos jurídicamente relevantes dentro de la Unión.
¿Qué es la Ley de Inteligencia Artificial de la Unión Europea?
La denominada Ley de IA de la Unión Europea es el Reglamento (UE) 2024/1689. Crea un marco armonizado para el desarrollo, comercialización, puesta en servicio y utilización de sistemas de inteligencia artificial dentro del mercado europeo, con reglas diferenciadas según el nivel de riesgo, el tipo de sistema y el papel que ocupa cada operador.
El Reglamento persigue dos objetivos que deben leerse conjuntamente: favorecer el desarrollo y uso de una inteligencia artificial centrada en las personas y confiable, y proteger la salud, la seguridad y los derechos fundamentales. No es, por tanto, una prohibición general de la inteligencia artificial ni una norma que trate a todas las aplicaciones de la misma manera.
Su arquitectura regulatoria distingue entre prácticas prohibidas, sistemas de alto riesgo, obligaciones específicas de transparencia, reglas para modelos de inteligencia artificial de propósito general y usos que, por su menor nivel de riesgo, soportan una carga regulatoria significativamente menor.
¿Cómo se aplica actualmente y qué cambió con el AI Omnibus?
El EU AI Act tiene una aplicación escalonada. Varias obligaciones ya son exigibles, mientras que determinados requisitos para sistemas de alto riesgo mantienen periodos de transición. El AI Omnibus modificó el calendario y simplificó aspectos de implementación sin eliminar el modelo de protección basado en riesgos ni las obligaciones centrales del Reglamento.
La aplicación del Reglamento no comenzó de una sola vez. Las prácticas prohibidas y la alfabetización en IA fueron de las primeras reglas en desplegar efectos; posteriormente comenzaron a operar la gobernanza europea y las obligaciones aplicables a modelos de propósito general. Las reglas de transparencia también forman parte del bloque actualmente aplicable.
El AI Omnibus introdujo ajustes orientados a simplificar la implementación y amplió el periodo de preparación para determinados sistemas de alto riesgo. La consecuencia práctica es que una empresa no debe limitarse a leer la versión original del Reglamento: debe trabajar con la versión consolidada vigente y verificar las reglas transitorias correspondientes a su categoría.
¿Cómo clasifica la UE los sistemas de IA según su riesgo?
El enfoque europeo no impone el mismo nivel de obligación a toda inteligencia artificial. La intensidad regulatoria aumenta cuando el sistema puede comprometer derechos fundamentales, seguridad, salud o decisiones sensibles. También existen reglas específicas para determinados contenidos generados por IA y para modelos de propósito general.
Prácticas prohibidas
Determinados usos se prohíben por su incompatibilidad con los derechos y valores protegidos por el ordenamiento europeo. La prohibición depende de la práctica concreta y de las condiciones previstas por el Reglamento.
Sistemas sometidos a controles reforzados
Incluyen determinadas aplicaciones vinculadas con biometría, infraestructuras críticas, educación, empleo, servicios esenciales, migración, justicia y otros ámbitos sensibles definidos por la norma.
Interacción y contenido generado por IA
Algunos sistemas deben informar al usuario de que interactúa con IA o cumplir reglas de identificación, marcado o divulgación cuando generan o manipulan determinados contenidos.
Uso con menor carga regulatoria
Muchas aplicaciones habituales no se encuentran dentro de las categorías de alto riesgo y pueden operar con obligaciones más limitadas, sin perjuicio de otras normas europeas aplicables.
¿Qué prácticas de inteligencia artificial están prohibidas?
El artículo 5 del Reglamento prohíbe determinados usos de IA considerados incompatibles con la protección de las personas. Entre ellos figuran ciertas técnicas manipulativas o engañosas, determinados sistemas de puntuación social, algunos usos biométricos y determinadas formas de inferencia o evaluación de personas.
- Técnicas manipulativas o engañosas. La prohibición alcanza determinados sistemas capaces de distorsionar materialmente el comportamiento de una persona o grupo de forma que pueda causar un daño significativo.
- Explotación de vulnerabilidades. Se restringen determinados usos que explotan vulnerabilidades vinculadas con edad, discapacidad o situaciones sociales o económicas.
- Social scoring. El Reglamento prohíbe determinados sistemas de evaluación o clasificación social que conduzcan a tratamientos perjudiciales injustificados o desproporcionados.
- Scraping indiscriminado para reconocimiento facial. Se prohíbe crear o ampliar bases de datos de reconocimiento facial mediante extracción no selectiva de imágenes desde Internet o CCTV.
- Determinada inferencia de emociones. Existen prohibiciones específicas en ámbitos como el trabajo y la educación, con excepciones limitadas previstas por la propia norma.
Estas prohibiciones deben interpretarse de manera estricta conforme al texto normativo. No toda utilización de biometría, análisis de comportamiento o automatización está prohibida: la finalidad, el contexto y las excepciones legales son determinantes.
¿Qué exige la ley a los sistemas de alto riesgo?
Los sistemas de alto riesgo están sometidos a un régimen de cumplimiento reforzado que puede incluir gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, instrucciones de uso, supervisión humana, precisión, robustez, ciberseguridad y procedimientos de conformidad, según el tipo de sistema y operador.
La clasificación como alto riesgo no depende de que una herramienta sea sofisticada o popular. Depende de los criterios legales del Reglamento, la función del sistema y el ámbito en el que se utiliza.
Un aspecto central es la supervisión humana. La norma exige, para los sistemas de alto riesgo, medidas que permitan a personas con competencia y autoridad adecuadas comprender las capacidades y limitaciones del sistema, vigilar su funcionamiento e intervenir cuando corresponda.
Para proveedores establecidos fuera de la Unión que pretendan colocar determinados sistemas de alto riesgo en el mercado europeo, el Reglamento puede exigir además la designación de un representante autorizado establecido en la Unión Europea.
¿Qué obligaciones de transparencia y GPAI existen?
El Reglamento contiene reglas específicas tanto para determinados sistemas que interactúan directamente con personas como para contenido generado o manipulado mediante IA. Asimismo, los modelos de propósito general —GPAI— tienen un régimen propio de obligaciones que puede intensificarse cuando presentan riesgos sistémicos.
Las obligaciones de transparencia buscan que las personas puedan identificar determinadas interacciones o contenidos cuando esa información sea jurídicamente relevante. La regulación contempla, entre otros supuestos, información al usuario cuando interactúa directamente con ciertos sistemas de IA y requisitos vinculados con contenido sintético o manipulado.
Los modelos de propósito general constituyen otra capa regulatoria. Su régimen no debe confundirse con el de cualquier aplicación empresarial que simplemente utilice un modelo de terceros. La posición jurídica de cada participante en la cadena —proveedor, integrador, desplegador, importador o distribuidor— debe analizarse separadamente.
¿Puede la Ley de IA de la UE alcanzar a una empresa peruana?
Sí, en determinados escenarios. El artículo 2 del Reglamento establece criterios que alcanzan a proveedores ubicados en terceros países cuando colocan sistemas de IA o modelos de propósito general en el mercado de la Unión, y también a proveedores o desplegadores establecidos fuera de la UE cuando la salida producida por el sistema se utiliza dentro de la Unión.
La ubicación en Perú no excluye automáticamente el Reglamento europeo
Una empresa peruana debe analizar el EU AI Act si desarrolla, comercializa, integra o utiliza sistemas de IA dentro de una operación conectada con el mercado europeo. La mera nacionalidad peruana de la empresa no determina por sí sola la respuesta: importa el rol contractual y tecnológico, el mercado de destino, el lugar de utilización y el destino de los outputs.
Por ejemplo, un proveedor peruano que ofrece un sistema a clientes europeos puede quedar en una posición distinta a la de una empresa peruana que únicamente utiliza internamente una herramienta sin relación con el mercado de la UE. También puede ser relevante el supuesto en que un operador europeo contrata servicios a una empresa establecida en Perú y el resultado generado por el sistema se utiliza dentro de la Unión.
Por eso, afirmar que “el EU AI Act solo se aplica a empresas europeas” es jurídicamente incorrecto. El Reglamento contiene expresamente elementos de alcance extraterritorial.
¿Qué debería revisar una empresa peruana con conexión europea?
La revisión debe comenzar por el mapa de la operación, no por una lista genérica de obligaciones. Antes de hablar de conformidad es necesario determinar el rol de la empresa, el sistema concreto, la finalidad prevista, el mercado de destino, la ubicación de los usuarios y el destino de los resultados generados por la IA.
¿El EU AI Act sustituye las reglas de protección de datos, consumidores o contratos?
No. La Ley de IA europea forma parte de un ecosistema regulatorio más amplio. El propio Reglamento deja a salvo la aplicación de otras normas de la Unión sobre protección de datos, privacidad, consumidores, seguridad de productos y otras materias. Una operación internacional también puede quedar sujeta simultáneamente a obligaciones del país desde el cual se presta el servicio.
Para una empresa peruana, esto significa que cumplir con el EU AI Act no equivale automáticamente a cumplir con todas las obligaciones legales relevantes. Debe analizarse también el tratamiento de datos, la relación contractual, la protección del consumidor, la propiedad intelectual, los deberes de información y cualquier otra materia aplicable según el modelo de negocio.
La revisión transfronteriza es, por definición, una evaluación de capas regulatorias. El error habitual es estudiar cada norma de manera aislada sin identificar cómo interactúa con las demás.
¿Qué significa esta regulación para Legal Tech y la práctica jurídica?
La regulación europea confirma una tendencia central: el uso profesional de IA exige identificar responsabilidades, documentar procesos, preservar supervisión humana y distinguir entre una herramienta de apoyo y una decisión jurídica. Para los abogados, la tecnología puede mejorar el flujo de trabajo, pero no sustituye la verificación de fuentes ni el juicio profesional.
En la práctica jurídica, la adopción responsable de IA exige separar claramente tres niveles: asistencia tecnológica, fuente jurídica verificable y decisión profesional. Un sistema puede ayudar a organizar documentos, construir una cronología o detectar inconsistencias; la conclusión jurídica sigue requiriendo interpretación humana de fuentes vigentes y hechos concretos.
Esta metodología se desarrolla con mayor detalle en el análisis de Alberto Miranda Abogados sobre Legal Tech and AI in Peruvian Legal Practice, donde se explica el papel de la revisión humana, la confidencialidad y la verificación de fuentes dentro de asuntos jurídicos conectados con Perú.
¿Qué fuentes oficiales deben consultarse sobre el EU AI Act?
Para cuestiones de cumplimiento no debe confiarse únicamente en artículos divulgativos. La referencia principal es la versión consolidada del Reglamento en EUR-Lex, complementada por la información oficial de la Comisión Europea, las guías de implementación y las publicaciones de la AI Office.
Fuentes oficiales utilizadas para esta actualización
Preguntas frecuentes sobre la Ley de IA de la Unión Europea y Perú
El punto decisivo es evitar respuestas automáticas: no toda empresa peruana queda sujeta al EU AI Act y no todo sistema de IA es de alto riesgo. La evaluación depende del rol de la empresa, la finalidad del sistema, el mercado al que se dirige y el lugar donde se utilizan sus resultados.
¿La Ley de IA de la UE se aplica automáticamente a todas las empresas peruanas?
No. La nacionalidad o domicilio en Perú no genera por sí solos sometimiento al Reglamento. Debe analizarse si la empresa coloca sistemas o modelos en el mercado europeo, opera dentro de la Unión o si los outputs producidos desde un tercer país son utilizados en la UE, entre otros criterios del artículo 2.
¿Una empresa peruana que vende software con IA en Europa debe revisar el EU AI Act?
Sí. Si una empresa establecida en Perú coloca un sistema de IA o un modelo de propósito general en el mercado de la Unión, el artículo 2 prevé expresamente la posible aplicación del Reglamento aunque el proveedor se encuentre en un tercer país.
¿Toda inteligencia artificial utilizada por una empresa es de alto riesgo?
No. La clasificación depende de los criterios del Reglamento, la finalidad prevista y el contexto de uso. Muchas aplicaciones no pertenecen a las categorías de alto riesgo; otras quedan sometidas a transparencia específica y algunas prácticas están prohibidas.
¿Qué es el AI Omnibus?
Es una modificación orientada a simplificar la implementación del marco europeo de IA. Entre sus efectos se encuentran ajustes al calendario de determinadas obligaciones de alto riesgo y medidas para facilitar el cumplimiento, sin eliminar la estructura fundamental del EU AI Act.
¿El EU AI Act reemplaza el GDPR o las leyes de protección de datos?
No. El Reglamento de IA coexiste con las reglas europeas de protección de datos, privacidad, consumidores y seguridad de productos. Una operación puede estar sometida simultáneamente a varias normas, dependiendo de los datos tratados, la actividad y el mercado.
¿Alberto Miranda Abogados asesora sobre derecho de la Unión Europea?
Alberto Miranda Abogados asesora sobre derecho peruano y asuntos transfronterizos conectados con Perú. Cuando un asunto requiere una opinión específica sobre derecho de la Unión Europea o la legislación de un Estado miembro, corresponde coordinar con counsel habilitado en la jurisdicción europea pertinente.
¿Su empresa o asunto jurídico conecta Perú con la Unión Europea?
Alberto Miranda Abogados evalúa la dimensión de derecho peruano y la coordinación transfronteriza de operaciones, contratos y asuntos jurídicos vinculados con Perú. Atención 100% remota desde Lima, Perú, sin necesidad de viajar a Perú.
Dr. Alberto Miranda · Peruvian attorney, Lima Bar CAL No. 39450 · 20+ years in private international law · Exequatur, divorce, inheritance and consular powers in Peru · Remote legal services from Lima for Peruvians abroad and foreign clients · Published author, Illinois State Bar Association · 200+ Google reviews.