Vender IA a clientes europeos: ¿cuánto tiempo le da realmente el Digital Omnibus?
Tres cosas para recordar
Los contratos enterprise duran de 3 a 5 años, hasta 2030
Los compradores en industrias reguladas integran las obligaciones del AI Act en sus RFP 2026. No quieren renegociar a mitad de contrato cuando las obligaciones de alto riesgo entren en vigor.
La UX gana las demos. El compliance gana las shortlists.
La mayoría de los proveedores de IA compiten en experiencia de usuario y velocidad de producto. En industrias reguladas, el compliance decide la operación.
Tome la pluma en sus contratos B2B
Cuando el cliente redacta las cláusulas, se vuelven bloqueantes para el proveedor.
El Reglamento (UE) 2026/1744, conocido como Digital Omnibus sobre IA, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, fija el calendario final del AI Act. La aplicación de las obligaciones para los sistemas de IA de alto riesgo enumerados en el anexo III del AI Act, originalmente prevista para el 2 de agosto de 2026, queda pospuesta al 2 de diciembre de 2027, una prórroga de 16 meses. Para los sistemas de IA de alto riesgo integrados en productos regidos por otra legislación europea de armonización (maquinaria, juguetes, ascensores), la fecha de aplicación se fija al 2 de agosto de 2028.
Para muchos CEOs que venden o se disponen a vender IA o productos de datos a clientes europeos, esto parece un respiro regulatorio de 16 meses. Es una lectura errónea del calendario comercial.
El régimen de prácticas prohibidas del Artículo 5 está en vigor desde el 2 de febrero de 2025 y no se ve afectado por el Digital Omnibus. Más allá de este régimen, el marco europeo existente que regula el uso de la IA sigue produciendo decisiones de varios millones de euros cada trimestre, con consecuencias tanto regulatorias como comerciales. Y los equipos de procurement europeos en industrias reguladas operan en ciclos contractuales que ignoran los periodos de gracia regulatorios.
¿Por qué los clientes europeos no esperan al plazo de diciembre 2027?
Es la dinámica más subestimada por los CEOs de scale-ups de IA que entran o se expanden en el mercado europeo.
Los compradores europeos en industrias reguladas (defensa, farmacéutica, banca, seguros, sanidad, energía, infraestructuras críticas, educación, sector público, grandes funciones de RRHH) y los clientes enterprise lideran las expectativas del mercado sobre compliance IA. Los proveedores y suministradores de IA que venden a estas cuentas enfrentan presión de procurement directa, independientemente de si su sistema de IA califica realmente como de alto riesgo, e independientemente del periodo de gracia regulatorio.
Un equipo de procurement que negocia un contrato SaaS con IA embebida típicamente solicita, entre otras cosas, al proveedor potencial:
- Documentación de los modelos IA utilizados y su clasificación de riesgo AI Act
- Evidencia de gobernanza de datos y controles de calidad de datos de entrenamiento
- Compromisos contractuales sobre transparencia, supervisión humana y derechos de auditoría
En un mercado donde los proveedores compiten principalmente en experiencia de usuario y velocidad de producto, la preparación regulatoria se convierte en un verdadero diferenciador comercial. Para un proveedor de IA no preparado, la exposición inmediata es comercial más que regulatoria. Las brechas de compliance que surgen durante la due diligence llevan a despriorización en procurement, exclusión de shortlists, o renegociación en términos desfavorables durante la ejecución del contrato.
La prórroga de diciembre 2027 no cambia esta dinámica. Los equipos legales y de procurement europeos trabajan en ciclos contractuales de 2 a 4 años. Un acuerdo SaaS firmado en junio 2026 por un plazo de tres años se ejecutará bajo las obligaciones del AI Act. Los RFP de 2026 se redactan en consecuencia.
Las brechas de compliance se revelan durante la due diligence de procurement.
¿Qué cambia realmente el Digital Omnibus, y qué no?
El AI Act (Reglamento UE 2024/1689) entró en vigor el 1 de agosto de 2024 y se aplica por etapas. El Digital Omnibus sobre IA fue adoptado el 8 de julio de 2026 y publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 como Reglamento (UE) 2026/1744. Está en vigor desde el 27 de julio de 2026. El aplazamiento de las obligaciones de alto riesgo del anexo III al 2 de diciembre de 2027, y de las obligaciones para los sistemas integrados en productos del anexo I al 2 de agosto de 2028, queda fijado sin condiciones. También introduce medidas de simplificación, especialmente la extensión de los privilegios para PYMES a las small mid-cap, un acceso más amplio a regulatory sandboxes, y un refuerzo de las competencias de enforcement de la AI Office.
El Reglamento añade una nueva prohibición en el artículo 5, dirigida a los sistemas de IA que generan o manipulan contenidos íntimos no consentidos o material de abuso sexual infantil, aplicable a partir del 2 de diciembre de 2026. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026 según lo previsto; únicamente el marcado legible por máquina del artículo 50, apartado 2, se beneficia de una transición hasta el 2 de diciembre de 2026 para los sistemas de IA generativa ya presentes en el mercado de la UE antes del 2 de agosto de 2026, lectura confirmada por las directrices de la Comisión del 20 de julio de 2026. Un código de buenas prácticas sobre la transparencia de los contenidos generados por IA, considerado adecuado en julio de 2026, completa el dispositivo: adherirse constituye una prueba documentada de cumplimiento, exactamente lo que piden los equipos de compras. Las multas del artículo 101 para los proveedores de modelos de IA de uso general son aplicables desde el 2 de agosto de 2026.
Tres pilares del marco europeo permanecen sin cambios. El RGPD sigue aplicándose plenamente, incluidos los Artículos 22, 9, 6 y 27. La DSA y la DMA producen sus efectos en las plataformas. Las regulaciones nacionales sobre no discriminación, derecho laboral y protección al consumidor siguen aplicándose, y las autoridades europeas las utilizan activamente para encuadrar el uso de la IA.
¿El marco europeo existente ya está sancionando el uso de la IA?
Sí. Las decisiones recientes de enforcement en Francia y España lo ilustran. Ninguna se basa en el AI Act. Todas conciernen a sistemas biométricos o algorítmicos cuyos operadores podrían, en teoría, haber esperado hasta el 2 de diciembre de 2027 si el AI Act hubiera sido el único marco relevante.
En España, la Agencia Española de Protección de Datos (AEPD) impuso una multa de 10,04 millones de euros a AENA, el operador de los aeropuertos españoles, por desplegar sistemas de reconocimiento facial en varios aeropuertos sin una evaluación de impacto en protección de datos (EIPD) válida según exige el Artículo 35 del RGPD para el tratamiento de datos biométricos. Otras decisiones de 2025 en España apuntaron al reconocimiento biométrico sin EIPD, al tratamiento automatizado más allá del propósito original, y a fallos de integridad en seguridad de datos. El sector sanitario vio un aumento interanual del 278 por ciento en sanciones (fuente: Memoria de actuación 2025 de la AEPD, publicada el 6 de mayo de 2026).
En Francia, la CNIL emitió en enero de 2026 sanciones por un total de 42 millones de euros contra dos grandes operadores de telecomunicaciones por fallos de seguridad bajo los Artículos 5, 32 y 34 del RGPD (deliberación SAN-2026-001). Su revisión de enforcement de 2025 registra 16 organizaciones sancionadas por videovigilancia ilegítima de empleados, una práctica cada vez más combinada con herramientas de análisis algorítmico del comportamiento.
Los casos Clearview AI ilustran la exposición específica de los proveedores no europeos. Esta empresa estadounidense de reconocimiento facial ha recibido una multa de 20 millones de euros de la CNIL francesa en 2022 (decisión CNIL) por tratamiento ilícito bajo los Artículos 6 y 31 del RGPD, con una multa adicional de 5,2 millones de euros en 2023 por incumplimiento. El Garante italiano impuso una multa separada de 20 millones de euros el 10 de febrero de 2022 (nota de prensa EDPB) que cubre múltiples infracciones del RGPD, incluyendo la falta de designación de un representante UE bajo el Artículo 27.
El mensaje es claro. Un proveedor de IA que procesa datos personales europeos ya está expuesto a múltiples textos aplicables. El AI Act añadirá obligaciones específicas a partir de finales de 2027 para los sistemas de alto riesgo. No reemplaza el marco existente, que sigue produciendo decisiones concretas.
¿Cuánto tiempo lleva realmente construir el compliance IA europeo?
Con 16 meses adicionales, la suposición natural es un margen cómodo. En la práctica, construir una gobernanza europea defendible para un proveedor de IA que no ha estructurado previamente su compliance UE requiere típicamente de tres a seis meses de trabajo efectivo.
La restricción no es el plazo del AI Act. Es el cuestionario de procurement que aterriza en el escritorio del equipo comercial el próximo trimestre.
Cartografía de datos y sistemas IA, designación de representantes, revisión de contratos con proveedores (incluidos los contratos con proveedores de LLM), evaluaciones de impacto, documentación técnica, formación: estos flujos de trabajo se entrelazan y se alimentan mutuamente.
Comenzar en octubre 2027 para estar listo el 2 de diciembre de 2027 significa llegar tarde a los RFP de 2026 y 2027, y llegar tarde al propio plazo regulatorio.
¿Se pregunta si su postura de compliance europeo sobreviviría a una auditoría de procurement enterprise en 2026? Conversación confidencial de 30 minutos.
Solicitar una primera llamada¿Qué tres obligaciones deben priorizar hoy los proveedores de IA?
1. Designar representantes UE (Artículo 27 RGPD y Artículo 22 AI Act)
Dos regímenes distintos se aplican cumulativamente a muchos proveedores de IA que venden a clientes europeos.
El Artículo 27 RGPD exige que los responsables y encargados del tratamiento no UE que manejen datos de residentes europeos designen por escrito un representante establecido en la Unión Europea. La obligación se aplica siempre que la empresa ofrezca bienes o servicios a personas en Europa o supervise su comportamiento. Está vigente desde el 25 de mayo de 2018.
El Artículo 22 AI Act introduce una obligación distinta para los proveedores no UE de sistemas de IA de alto riesgo: debe designarse un representante autorizado antes de toda puesta en el mercado europeo de un sistema del Anexo III a partir del 2 de diciembre de 2027. La designación formal se exige en el momento de la puesta en el mercado, pero la selección, la due diligence y la negociación del mandato suelen requerir de 2 a 4 meses y deben iniciarse con bastante antelación para estar operativas el día D.
Artículo 27 RGPD
Representante UE
Artículo 22 AI Act
Representante autorizado
Estas obligaciones son independientes. Confundirlas, o designar solo una, deja un hueco estructural que el equipo legal de un cliente detectará durante la due diligence.
2. Preparar documentación AI Act anticipada
Si el sistema IA está dentro del Anexo III, las obligaciones de proveedores y deployers entran en vigor el 2 de diciembre de 2027. Las categorías del Anexo III incluyen reclutamiento y selección de personal, evaluación de empleados, acceso a servicios esenciales, educación y formación profesional, y gestión de infraestructuras críticas.
La exposición inmediata no es la sanción pública en 2028 o 2029. Es la incapacidad de responder a los requisitos de los clientes europeos durante las fases de procurement en 2026 y 2027. Documentación técnica, gestión de riesgos, controles de calidad de datos de entrenamiento, registro, transparencia, supervisión humana, y (para ciertos deployers públicos) Evaluación de Impacto en Derechos Fundamentales: estos trabajos requieren de 6 a 12 meses de implementación.
3. Construir un marco contractual B2B defendible
Los acuerdos B2B con clientes europeos deben integrar cláusulas que demuestren, en caso de auditoría o due diligence del cliente, alineación con el marco europeo. Un Data Processing Agreement RGPD robusto, cláusulas de transferencias internacionales, compromisos de transparencia, y cláusulas AI Act listas para activar el 2 de diciembre de 2027.
Cuando los clientes europeos toman la pluma en estas cláusulas, tienden a redactarlas muy protectoras para el comprador, a veces hasta el punto de bloquear el deal para el proveedor. Las indemnizaciones son amplias, los derechos de auditoría son intrusivos, las causales de terminación son expansivas. Iniciar la conversación con el propio set de cláusulas limpias posiciona a la empresa como contraparte creíble, fija la plantilla de referencia para la negociación, y preserva el apalancamiento comercial. Permitir que el cliente introduzca estos requisitos unilateralmente, o abordarlos solo en la tercera renegociación, introduce riesgos retroactivos en el contrato en curso y complica la relación cliente.
¿Cambia la prórroga algo para los proveedores de IA?
Tres meses de inacción hoy equivalen a seis meses de retraso contractual en 2027. Los proveedores de IA que ganarán los RFP europeos en industrias reguladas en 2026 y 2027 no son los que esperan hasta diciembre 2027 para estructurar su compliance. Son los que pueden responder hoy a un cuestionario de due diligence con compromisos documentados y defendibles.
El Digital Omnibus es una buena noticia para la seguridad jurídica y la calidad de los estándares técnicos europeos.
Tratarlo como una autorización para esperar es una apuesta arriesgada.
FAQ
¿El AI Act se aplica a una empresa estadounidense, británica, canadiense, australiana o israelí que vende IA a clientes europeos?
Sí. El Artículo 2(1)(c) del AI Act extiende su ámbito a proveedores y deployers de sistemas de IA situados fuera de la UE cuando la salida producida por el sistema se utiliza en la UE. Vender un producto de IA o un SaaS con IA embebida a un cliente europeo activa el AI Act independientemente de dónde esté establecido el proveedor.
¿Cuándo se aplican ahora las obligaciones del AI Act de alto riesgo?
El Reglamento (UE) 2026/1744 (Digital Omnibus sobre IA), publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, fija la aplicación de las obligaciones para los sistemas de IA de alto riesgo enumerados en el anexo III el 2 de diciembre de 2027, y el 2 de agosto de 2028 para los sistemas integrados en productos regidos por otras legislaciones europeas de armonización.
¿El Digital Omnibus retrasa las obligaciones RGPD?
No. El Digital Omnibus AI solo afecta al calendario del AI Act. El RGPD sigue aplicándose plenamente, incluido el Artículo 22 sobre decisiones automatizadas, el Artículo 9 sobre datos sensibles, y el Artículo 27 sobre la designación de un representante UE para responsables y encargados del tratamiento no UE.
¿Una empresa de IA no UE necesita un representante Artículo 27 RGPD?
En la mayoría de los casos, sí. El Artículo 27 RGPD se aplica a cualquier responsable o encargado del tratamiento no UE que ofrezca bienes o servicios a personas en la UE o supervise su comportamiento. La obligación está vigente desde el 25 de mayo de 2018, independientemente del AI Act.
¿Cuánto se tarda en construir el compliance IA europeo?
De tres a seis meses de trabajo efectivo para un proveedor de IA que no ha estructurado previamente su marco europeo. Los flujos de trabajo se entrelazan: cartografía de datos y sistemas IA, designación de representantes, revisión de contratos con proveedores, documentación técnica, avisos de transparencia, formación.