EU AI Act + GDPR: doble exigencia para empresas LATAM que operan con Europa

El EU AI Act entró en vigencia escalonada desde agosto de 2024 y se aplica progresivamente hasta 2027. La norma tiene efecto extraterritorial: cualquier empresa LATAM que ofrezca sistemas de IA en la UE, o cuyo output se use en la UE, queda dentro de su ámbito de aplicación. Combinado con el GDPR, esto crea una doble exigencia para muchos exportadores de servicios digitales.

Las categorías de riesgo del AI Act

• Riesgo inaceptable (prohibido): social scoring, manipulación cognitiva, identificación biométrica en tiempo real con excepciones limitadas.
• Alto riesgo: sistemas que afecten salud, educación, empleo, justicia, infraestructura crítica. Requieren evaluación de conformidad antes del despliegue.
• Riesgo limitado: chatbots, deepfakes, sistemas de reconocimiento emocional. Obligación de transparencia.
• Riesgo mínimo: el resto. Códigos de conducta voluntarios.

El choque con el GDPR

El AI Act no reemplaza al GDPR — lo complementa. Esto significa que un sistema de IA que procesa datos personales de europeos debe cumplir ambas normas simultáneamente: transparencia algorítmica (AI Act) + base legal de tratamiento (GDPR); evaluación de conformidad (AI Act) + DPIA (GDPR); registro técnico (AI Act) + ROPA (GDPR).

Multas que pueden quebrar a una empresa

Hasta €35 millones o 7% de facturación global, lo que sea mayor, por infracciones a sistemas prohibidos. Para empresas LATAM medianas, una multa así es existencial.

Qué hacer

Si tu empresa exporta servicios digitales a la UE, necesitas un inventario unificado de tratamientos GDPR + sistemas de IA AI Act, con cruces explícitos entre ambos marcos. GOBERNANZA.IO incluye una vista combinada GDPR/AI Act diseñada para empresas LATAM con clientes europeos.