La conversación suele empezar con una afirmación tranquilizadora: no tenemos filial en Europa, no vendemos allá, el reglamento europeo de inteligencia artificial no nos aplica. A veces es exacto. Pero muchas veces la afirmación se desarma con una sola pregunta de seguimiento: ¿alguno de tus clientes usa en Europa lo que produce tu sistema?
El AI Act no se ancla en dónde está tu empresa sino en dónde ocurren sus efectos. Ese desplazamiento del criterio es lo que sorprende a compañías chilenas que desarrollan software, prestan servicios de análisis o procesan información para clientes internacionales y que, sin haber pisado nunca la Unión Europea, quedan dentro del alcance. Este artículo es orientación técnica para decidir si te toca y qué preparar; no es asesoría legal, y el encuadre concreto de tu caso —incluido el calendario de aplicación escalonada, que conviene verificar en su versión vigente— debe revisarlo un abogado con competencia en derecho europeo.
Cuándo te alcanza
El reglamento define su ámbito por vías distintas, y basta con caer en una. Las tres que importan para una empresa chilena son:
- Introduces el sistema en el mercado de la Unión. Vendes, licencias o pones a disposición tu producto de IA allí, directamente o a través de un distribuidor. El lugar de tu domicilio es irrelevante.
- El resultado producido por el sistema se usa en la Unión. Este es el supuesto que más veces pasa desapercibido. Tu sistema corre en Santiago, sobre infraestructura chilena, y aun así el reglamento puede alcanzarte si la salida que genera —una puntuación, una clasificación, una recomendación, un texto— se emplea dentro de la UE.
- Actúas como usuario profesional de un sistema ajeno con efectos en la Unión. No solo se regula a quien construye. Quien despliega un sistema de terceros bajo su propia autoridad tiene obligaciones propias, distintas y generalmente más livianas, pero obligaciones al fin.
Proveedor o responsable del despliegue: no da lo mismo
Antes de mirar categorías de riesgo, determina qué rol tienes. El régimen distingue, en lo esencial, entre quien desarrolla y pone en el mercado un sistema bajo su nombre o marca y quien lo utiliza en su actividad profesional; alrededor de esos dos aparecen las figuras del importador, el distribuidor y el representante autorizado. La carga de cumplimiento recae con mucha más fuerza sobre el primero.
Un detalle que conviene tener presente: modificar sustancialmente un sistema de terceros, o comercializarlo bajo tu propia marca, puede convertirte en proveedor aunque te consideres un simple integrador. Si tu producto envuelve un modelo ajeno y lo vendes como tuyo, revisa esa calificación antes de asumir que las obligaciones son del otro.
La lógica de las categorías
El reglamento no clasifica tecnologías, clasifica usos, y de esa clasificación depende absolutamente todo lo demás. En orden decreciente de exigencia:
- Prácticas prohibidas. Un conjunto acotado de usos considerados incompatibles con derechos fundamentales, que no se corrigen con controles: simplemente no se pueden ofrecer ni operar en la Unión.
- Alto riesgo. El corazón de la norma. Comprende sistemas que operan como componente de seguridad de productos ya regulados y, por otra vía, usos en ámbitos sensibles definidos en un anexo: empleo y selección de personal, educación, acceso a servicios esenciales y crédito, entre otros. Si exportas software de reclutamiento, scoring, evaluación educativa o triage, este es tu escenario probable.
- Obligaciones de transparencia. Sistemas que interactúan con personas o generan contenido sintético deben permitir que quien está al otro lado sepa que trata con una máquina o que el contenido fue generado artificialmente.
- Modelos de propósito general. Régimen separado, dirigido a quien desarrolla y ofrece los modelos base. Si tu empresa consume modelos de terceros, esta categoría te afecta sobre todo por lo que debes poder exigirle a tu proveedor, no por deberes propios.
Qué preparar si exportas
Para el escenario de alto riesgo, las obligaciones del proveedor forman un paquete reconocible para cualquiera que haya trabajado con normas de gestión: gestión continua de riesgos a lo largo del ciclo de vida; gobernanza de los datos de entrenamiento, validación y prueba, con atención expresa a su representatividad y a los sesgos que contengan; documentación técnica que permita a un tercero entender qué hace el sistema y cómo fue construido; registro automático de eventos; instrucciones de uso suficientes para que el cliente cumpla sus propias obligaciones; supervisión humana diseñada en el producto y no improvisada por el usuario; niveles adecuados de precisión, robustez y ciberseguridad; y un sistema de gestión de la calidad que sostenga lo anterior. A eso se suman la evaluación de conformidad previa y la vigilancia poscomercialización.
Dos consecuencias prácticas para una empresa chilena. La primera es que un proveedor establecido fuera de la Unión normalmente necesita designar un representante autorizado allí, que es el interlocutor formal frente a las autoridades; eso es una decisión contractual y de costo que conviene evaluar temprano. La segunda es que buena parte de este paquete se solapa con un sistema de gestión bajo ISO/IEC 42001: no equivale al cumplimiento del reglamento, pero produce gran parte de la evidencia que este exige, y es el camino más eficiente si ya ibas a construir gobernanza de todos modos. Lo desarrollamos en nuestro artículo sobre ISO 42001 en la práctica.
Antes de invertir en cualquiera de esas piezas, haz el ejercicio barato: lista tus productos y servicios, identifica cuáles tienen usuarios o resultados en la Unión, determina tu rol en cada uno y clasifica el uso. La mayoría de las empresas descubre que uno o dos productos están alcanzados y el resto no, y esa diferencia cambia por completo el tamaño del problema. Si además operas en Chile, haz ese inventario una sola vez y aprovéchalo para ambos frentes: la lógica de niveles de riesgo del proyecto chileno es suficientemente parecida, según revisamos en nuestra página sobre la Ley IA en Chile. El régimen sancionatorio europeo se expresa como un porcentaje de la facturación mundial o un monto fijo, el mayor de los dos: omitir el análisis de alcance es la opción más cara disponible.