El EU AI Act ya se aplica: multas de 3% y qué hacer si tu chatbot toca Europa

Qué cambió el 2 de agosto

El EU AI Act dejó de ser "regulación por venir". Desde el 2 de agosto de 2026, la AI Office —el órgano supervisor de la Comisión Europea— tiene poderes plenos de enforcement sobre los proveedores de modelos de propósito general (GPAI): puede solicitar documentación técnica, evaluar modelos directamente, exigir medidas de mitigación de riesgo y emitir multas de hasta €15 millones o 3% del revenue global anual, lo que sea mayor.

El estilo de apertura es diplomático: la AI Office prefiere "diálogos técnicos de cumplimiento" —conversaciones estructuradas con proveedores y deployers para aclarar zonas grises— antes de abrir procedimientos formales. Pero la capacidad sancionadora ya está activa.

Lo que aplica a quien despliega, no solo a quien entrena

El error común es asumir que esto es problema de Anthropic, OpenAI y Google. Hay obligaciones que caen directo sobre quien despliega:

• Transparencia en la interacción: cualquier chatbot, agente de voz o sistema interactivo desplegado en la UE debe informar al usuario, al inicio, que está hablando con una IA. Un widget de ventas en tu sitio que atiende visitantes europeos entra en esta categoría.
• Contenido marcado: el Artículo 50(2) exige que el contenido generado por IA sea identificable por máquina.
• Ventana legacy: modelos publicados antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir por completo — un runway administrado, no una exención.

La respuesta de Anthropic: watermarks invisibles

Anthropic anunció que todos los productos Claude publicados desde el 2 de agosto de 2026 incluyen marcado legible por máquina en el contenido generado. El watermark es invisible y no afecta la calidad ni la legibilidad del output. Es la primera implementación a escala del Artículo 50(2) por un laboratorio frontera, y marca el estándar que el resto va a seguir.

Para quien construye sobre la API esto tiene una implicación sutil: el contenido que generes con Claude ya trae trazabilidad incorporada. Si tu flujo republicaba output de IA como contenido "humano", ese supuesto acaba de romperse.

Checklist práctico si operas desde LatAm

La jurisdicción no depende de dónde está tu servidor, sino de dónde están tus usuarios. Si tu producto puede ser usado desde la UE:

• Declara la IA al inicio de la conversación en chatbots y agentes de voz — un disclosure de una línea resuelve la obligación más visible.
• Inventaría tus sistemas de IA: cuáles modelos usas, de qué proveedor, con qué datos, y quién responde por cada uno.
• Documenta el flujo de contenido generado: dónde nace, dónde se publica y si conserva el marcado del proveedor.
• Revisa contratos con proveedores: los términos de Anthropic, OpenAI y Google ya incorporan cláusulas de compliance del AI Act — lo que firmes debe reflejar quién asume qué obligación.

Conclusión

La era del "deploy primero, regulación después" terminó para la IA de propósito general. La buena noticia: las obligaciones de un deployer típico —transparencia, inventario, trazabilidad— son alcanzables en semanas, no en años. El costo de ignorarlas ya no es reputacional: es 3% del revenue.