El mapa regulatorio de la IA

Tres palabras se confunden a menudo. Una ley o reglamento obliga a quien cae en su ámbito y suele traer sanciones. Un tratado obliga a los Estados que lo ratifican, y de ahí pasa a las personas solo cuando cada Estado lo lleva a su derecho interno. Un marco o una norma voluntaria no obliga por sí misma: se adopta por decisión propia, porque un cliente lo pide o porque un contrato la cita.

El marco de gestión de riesgos de IA del NIST es voluntario; ISO/IEC 42001 es una norma certificable, también voluntaria. Eso no los hace irrelevantes: una auditoría de cliente puede exigirlos, y una ley puede remitirse a ellos como referencia. Pero decir «el NIST nos obliga» es un error de lectura que, en un informe, se paga.

Un proyecto de ley es un texto en discusión. Puede aprobarse, cambiarse o hundirse, y mientras tanto no crea obligaciones. Los titulares lo mezclan a veces con las leyes vigentes («Brasil regula la IA»), y quien redacta un informe de cumplimiento tiene que separarlos.

Abre el registro de instrumentos. Cada fila lleva su naturaleza, si es vinculante y su estado a la fecha de verificación. Busca el que sigue siendo un texto en trámite.

Un tratado internacional se firma, y solo vincula a un Estado cuando lo ratifica. En el registro hay uno, y su columna «vinculante» no dice «si» ni «no» sino otra cosa: eso no es un descuido, describe su situación real.

Ten presente que una organización puede ser parte de un tratado sin que las empresas sepan nada: la obligación llega a ellas por las leyes internas, no por el tratado directamente.

La columna «vinculante» resume el efecto jurídico directo. Contarla sirve para dimensionar un informe: de siete instrumentos, ¿en cuántos no se puede apoyar una exigencia sin otro eslabón (un contrato, una ley que lo cite o una votación pendiente)?

Usa la consulta que filtra solo los que no obligan por sí mismos, y cuenta las filas. No cuentes los que figuran como «pendiente», que tienen su propia situación.

El reglamento europeo de IA entró en vigor antes de aplicarse por completo: sus reglas empiezan a regir en fases, y esas fechas han cambiado por una modificación posterior. Por eso, en cumplimiento no se cita una fecha de memoria: se lee en la fuente oficial vigente el día de redactar y se anota la fecha de consulta, como hace el registro de esta sala.

Una confusión frecuente es creer que todo el reglamento obliga desde el mismo día. No es así: las prohibiciones, los modelos de propósito general y los sistemas de alto riesgo tienen fechas distintas, y los de alto riesgo se dividen a su vez según el anexo en que estén.

Antes de afirmar «nos obliga» hay tres comprobaciones: la naturaleza del documento, su estado en la fecha de consulta y el ámbito (quién y dónde). Y una regla de oficio: toda cifra normativa lleva su fuente y su fecha de verificación.