Efecto Bruselas 2.0: obligaciones que toda empresa, esté donde esté, debe cumplir con el RIA, y por qué no alinearse es un freno a la inversión y a la escalabilidad

1. Apertura de impacto

El 10 de agosto de 2026 no es una fecha cualquiera. Tampoco es, técnicamente, una nueva fecha de aplicación del Reglamento Europeo de Inteligencia Artificial (RIA). Es algo más incómodo: ocho días después del hito general del 2 de agosto, muchas compañías vuelven a trabajar con obligaciones que ya son derecho aplicable. El artículo 50 ha entrado en juego; los artículos 4 y 5 llevaban tiempo haciéndolo; y el capítulo XII ya contiene el marco sancionador europeo.

Y aquí aparece lo que denomino Efecto Bruselas 2.0. No basta con decir que Europa regula y el resto del mundo copia. En inteligencia artificial, Bruselas ha construido una segunda capa: alcance jurídico directo sobre determinados operadores situados fuera de la Unión y presión económica privada de clientes, inversores y compradores que exigen evidencia de cumplimiento antes de contratar, invertir o adquirir.

La pregunta para una LegalTech de Nueva York, Buenos Aires, Ciudad de México, Dubái o Singapur ya no es «¿tengo sede en Europa?». Es otra: ¿introduzco IA en el mercado europeo o genero resultados de salida que se utilizan en la Unión? Si la respuesta es sí, el RIA puede estar ya dentro de tu mapa de riesgos, de tu producto y de tu cap table.

Pablo Sáez Hurtado, autor del artículo, es Artificial Intelligence Senior Counsel en Delvy y Presidente de la Comisión Joven de ENATIC Abogacía Digital. Autor especializado en regulación europea de la IA, LegalTech y transformación de los servicios jurídicos.

2. Qué es realmente el Efecto Bruselas 2.0: artículo 2 RIA

El artículo 2 no dice que cualquier IA que «afecte a un ciudadano europeo» quede automáticamente sometida al RIA. Esa fórmula es demasiado imprecisa: el Reglamento trabaja con nexos concretos.

Primero, el artículo 2.1.a alcanza a los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA —o introduzcan modelos de IA de uso general— en la Unión, con independencia de que estén establecidos en la UE o en un tercer país. Una sociedad de Delaware que comercializa bajo su propia marca un asistente contractual para despachos españoles no se blinda por estar incorporada en Estados Unidos.

Segundo, el artículo 2.1.b alcanza a los responsables del despliegue establecidos o ubicados en la Unión. Es decir, la empresa europea que utiliza un sistema de IA bajo su propia autoridad también entra en el perímetro aunque el proveedor tecnológico esté fuera.

Tercero, y aquí está el núcleo del Efecto Bruselas 2.0, el artículo 2.1.c alcanza a proveedores y responsables del despliegue establecidos o ubicados en terceros países «cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión». El test no es el pasaporte del usuario. El test es el uso del output en la Unión. Un score, una recomendación, una predicción o un informe generado fuera de Europa puede activar el Reglamento si su resultado se utiliza aquí.

El artículo 2.1.g añade a las personas afectadas ubicadas en la Unión. De nuevo: ubicación, no nacionalidad. Un estadounidense en Madrid puede quedar dentro del radio de protección; un español en Canadá no activa por su pasaporte, por sí solo, el artículo 2.

Esta precisión evita dos errores: pensar que sin filial europea no hay RIA y pensar que una web accesible desde Europa convierte todos sus usos en europeos. El análisis serio documenta, sistema por sistema, rol, comercialización, lugar de uso del output y personas afectadas.

Por eso hablo de Efecto Bruselas 2.0: extraterritorialidad jurídica más presión económica. Un fondo, Procurement o un comprador puede exigir evidencias de AI Act readiness como condición de entrada.

3. Obligaciones que ya están en vigor o resultan efectivamente exigibles a 10 de agosto de 2026

Primera precisión: el 10 de agosto no activa por sí mismo una obligación nueva. Tras el Ómnibus Digital sobre IA, la fecha general de aplicación sigue siendo el 2 de agosto de 2026; los capítulos I y II se aplican desde el 2 de febrero de 2025 y el capítulo XII desde el 2 de agosto de 2025. La pregunta correcta hoy es qué debe estar ya funcionando.

Bloque	Qué exige a 10-08-2026	Fecha relevante
Art. 4	Medidas para apoyar la alfabetización en IA del personal y demás personas que operan sistemas por cuenta del proveedor o responsable del despliegue.	2 febrero 2025
Art. 5	Prácticas prohibidas ya aplicables; las nuevas letras b bis) y b ter) y apartados asociados entran después.	2 febrero 2025; novedades: 2 diciembre 2026
Art. 50.1, 50.3, 50.4 y 50.5	Interacción con IA, emoción/categorización biométrica, deepfakes, determinados textos de interés público y requisitos de información.	2 agosto 2026
Art. 50.2	Marcado y detectabilidad de contenido sintético; transición solo para sistemas introducidos antes del 2 agosto 2026.	Regla general: 2 agosto 2026; legacy: 2 diciembre 2026
Art. 99	Marco de sanciones y medidas de garantía del cumplimiento.	Capítulo XII: 2 agosto 2025

Artículo 4: Alfabetización en materia de IA.

El Ómnibus de 2026 sustituyó su redacción. Ya no exige «garantizar» un nivel específico de alfabetización de cada persona. Exige que proveedores y responsables del despliegue adopten medidas para apoyar la promoción de la alfabetización en IA de su personal y de quienes se ocupen en su nombre del funcionamiento y utilización de los sistemas, atendiendo a conocimientos técnicos, experiencia, educación, formación, contexto de uso y personas o colectivos sobre los que se utilizarán.

Traducido a empresa: no basta con comprar un curso. Hay que demostrar qué perfiles usan IA, qué riesgos deben comprender, qué formación o instrucciones reciben y qué evidencia existe. Tampoco debe fingirse que el artículo 4 exige certificar un nivel uniforme persona por persona: la nueva redacción dice expresamente que no.

Artículo 5: Prácticas prohibidas.

El núcleo original se aplica desde el 2 de febrero de 2025. Si un caso de uso cae en una prohibición aplicable, hay que detenerlo, rediseñarlo o excluirlo. El screening debe cubrir, conforme a los elementos exactos del precepto, manipulación dañina, explotación de vulnerabilidades, determinadas formas de social scoring, ciertas predicciones de riesgo delictivo, scraping indiscriminado de imágenes faciales, inferencias emocionales, categorización biométrica sensible y ciertos usos de identificación biométrica remota en tiempo real.

El Ómnibus añadió nuevas prohibiciones vinculadas a determinado material íntimo no consentido y material de abusos sexuales de menores. Esas nuevas letras y sus apartados asociados no comienzan a aplicarse hasta el 2 de diciembre de 2026. Deben estar en el radar, pero no deben presentarse como si ya fueran exigibles el 10 de agosto.

Artículo 50: Transparencia.

Los apartados 50.1, 50.3, 50.4 y 50.5 son aplicables desde el 2 de agosto de 2026. El 50.1 exige informar de la interacción con IA salvo que resulte evidente; el 50.3, informar a personas expuestas a determinados sistemas de reconocimiento de emociones o categorización biométrica; el 50.4, disclosure para deepfakes y ciertos textos de interés público, con excepciones; y el 50.5, claridad, accesibilidad y comunicación, como máximo, en la primera interacción o exposición.

Y el 50.2 no está universalmente aplazado al 2 de diciembre. La regla general también corre desde el 2 de agosto de 2026: los proveedores de sistemas que generen contenido sintético deben asegurar marcado legible por máquina y detectabilidad en los términos del precepto. El Ómnibus concede hasta el 2 de diciembre únicamente a los sistemas generadores ya introducidos en el mercado antes del 2 de agosto de 2026. Es una transición para legacy systems, no una moratoria general.

Artículo 99: Sanciones.

El capítulo XII se aplica desde el 2 de agosto de 2025 y fija el marco europeo de sanciones y medidas de garantía del cumplimiento. Conviene, sin embargo, separar dos planos: el Reglamento fija techos y reglas; los Estados miembros articulan su régimen nacional de sanciones y ejecución. En España, a 10 de agosto de 2026, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial continúa en tramitación parlamentaria. No debe presentarse como ley vigente.

4. Sanciones aplicables: artículos 99.3, 99.4 y 99.5

Los números son suficientemente grandes para formar parte de cualquier modelo financiero serio, pero hay que explicarlos sin sensacionalismo jurídico. «Hasta» significa máximo, no multa automática. El artículo 99.7 obliga a ponderar naturaleza, gravedad y duración, consecuencias, personas afectadas, tamaño y facturación, cooperación, medidas técnicas y organizativas, intencionalidad y mitigación, entre otros factores.

Infracción	Base	Techo general para empresa	Regla especial
Prácticas prohibidas	Art. 99.3	Hasta 35 M€ o 7 % del volumen mundial anual anterior, el mayor.	Pymes: menor entre fijo y porcentaje.
Obligaciones enumeradas en 99.4, incluido art. 50	Art. 99.4	Hasta 15 M€ o 3 %, el mayor.	Pymes y pequeñas empresas de mediana capitalización: menor, en los términos del RIA.
Información inexacta, incompleta o engañosa a autoridad u organismo notificado	Art. 99.5	Hasta 7,5 M€ o 1 %, el mayor.	Pymes y pequeñas empresas de mediana capitalización: menor, en los términos del RIA.

Dos matices cambian por completo la conversación con un CFO. Primero, para pymes —incluidas startups— el artículo 99.6 permite aplicar, para los apartados 3, 4 y 5, el porcentaje o el importe fijo que resulte menor. Por eso una LegalTech que sea realmente PYME y facture cuatro millones no tiene un techo automático de quince millones por una infracción del 99.4: el 3 % serían 120.000 euros. La condición de pyme debe verificarse conforme a la definición aplicable.

Segundo, el Ómnibus introduce una regla específica para pequeñas empresas de mediana capitalización: en los apartados 4 y 5 también opera el menor entre porcentaje e importe. No extiende esa ventaja al apartado 3. Este matiz importa cuando una scale-up deja atrás la definición de pyme pero todavía no es una gran corporación.

Y otro punto que debe quedar limpio: el artículo 4 no figura en la enumeración del artículo 99.4. Por tanto, no es jurídicamente correcto afirmar que una deficiencia de AI literacy activa automáticamente el techo de 15 millones o el 3 %. El artículo 99.1 exige a los Estados miembros establecer sanciones y otras medidas para las infracciones del Reglamento, pero la correspondencia automática artículo 4 = 99.4 es falsa.

El impacto empresarial no termina en la multa: remediación, reingeniería de producto, revisión contractual, ventas retrasadas, procurement y contingencias de due diligence convierten el cumplimiento en una cuestión de margen, runway y crecimiento.

5. Por qué el no-alineamiento es un impedimento estructural para la inversión y la escalabilidad

Un inversor no necesita creer que mañana llegará una sanción para descontar riesgo. Le basta con preguntarse si puede confiar en el forecast europeo. Si una compañía promete crecimiento en la Unión pero no sabe justificar su rol, su nexo del artículo 2, sus exclusiones del artículo 5, sus controles del artículo 50 o sus evidencias de alfabetización, parte de ese crecimiento es jurídicamente incierto.

La due diligence convierte esa incertidumbre en mecánica transaccional. Un gap material puede acabar en condición previa, remediación, warranty específica sobre IA, indemnidad, escrow o ajuste de precio. El comprador necesita protegerse frente a deuda regulatoria no cuantificada.

En market access ocurre lo mismo. Una corporación europea no quiere una caja negra que luego deba justificar ante Legal, Security, Compliance y Procurement. Un memo de artículo 2, inventario, role mapping, screening de prohibiciones, evidencias y roadmap reduce fricción. «Nuestros abogados lo están revisando» vende incertidumbre.

Corporate venture y M&A añaden la integración: una herramienta construida sin transparencia, trazabilidad, roles contractuales o controles de release puede exigir cambios de UX, pipelines, logs y contratos justo cuando la empresa debería acelerar. Cuanto más tarde se descubre el RIA, más compliance se convierte en deuda técnica.

Ese es el núcleo económico del Efecto Bruselas 2.0. El estándar europeo puede empujar a una empresa global a diseñar un baseline común más exigente porque mantener productos, contratos y controles distintos por geografía puede ser más costoso que construir una arquitectura compatible desde el principio. El RIA deja de ser una tarea de Legal y se convierte en infraestructura de investment readiness.

6. Cómo elaborar un Informe de Diagnóstico de Cumplimiento RIA con ChatGPT 5.6 Sol + Claude + Grok 4.5 con Expert

La regla de oro: no delegues criterio jurídico en un LLM. Úsalo para inventario, contraste, documentación y control de calidad. A 10 de agosto de 2026, OpenAI ofrece GPT-5.6 Sol; Anthropic, Claude Sonnet 5 y Opus 4.8; y xAI, Grok 4.5 con «Expert». La arquitectura es redactor, contradictor y auditor.

ChatGPT 5.6 Sol — redactor jurídico-operativo.

Entrégale el texto consolidado del RIA, el Ómnibus, las directrices oficiales relevantes, el inventario de sistemas, países, clientes, diagramas de flujo, términos contractuales y evidencias internas. Prompt base:

• Actúa como equipo de AI Governance. Fecha de corte: 10-08-2026. Usa solo fuentes adjuntas y cita artículo y apartado. Para cada sistema identifica: entidad, país, rol, nexo del artículo 2, obligación aplicable, evidencia, gap, riesgo, acción, owner y plazo. Separa HECHO / INFERENCIA / RECOMENDACIÓN / PENDIENTE. No inventes hechos ni obligaciones.

El valor del prompt está en forzar trazabilidad. Si el modelo no puede anclar una conclusión en una norma vigente y en un hecho acreditado, debe convertirla en pendiente, no rellenar el hueco.

Claude — contradictor jurídico.

Sonnet 5 sirve para revisión intensiva; Opus 4.8, si priorizas máxima capacidad, como segunda lectura. No le pidas «mejora el informe». Pídele que intente romperlo:

• Eres counsel adversarial. Revisa el diagnóstico contra las fuentes. Busca falsos positivos de extraterritorialidad, errores de rol, fechas, artículo 50.2 y sanciones. Devuelve: hallazgo, gravedad, fundamento, corrección propuesta y evidencia necesaria. Si discrepas, explica por qué.

Grok 4.5 con Expert — auditor independiente.

Haz la revisión en una sesión separada para reducir sesgo de anclaje. No le muestres primero las conclusiones finales:

• Audita el expediente desde cero. Construye tu propia matriz de artículos 2, 4, 5, 50 y 99 y compárala con el informe. Marca contradicciones, afirmaciones sin fuente, lagunas probatorias y supuestos no acreditados. Convierte toda duda fáctica en una pregunta de evidencia.

Después viene la reconciliación humana. Ninguna conclusión pasa porque dos de tres modelos coincidan. Pasa porque un abogado puede enlazarla con una fuente vigente y un responsable técnico confirma que el hecho descrito es real. Derecho valida la norma; Tecnología valida el sistema.

El informe final debe parecer un documento de inversión: portada con entidad, versión, fecha de corte, confidencialidad y responsables; executive summary con semáforo y riesgos materiales; alcance y metodología; mapa de entidades, países, sistemas, outputs y roles; análisis del artículo 2; matrices de artículos 4, 5 y 50; riesgo sancionador; roadmap 30/60/90 con owner y criterio de cierre; y anexos con fuentes, prompts, UX, políticas, logs y versiones.

La matriz de gaps debe incluir, como mínimo: ID del sistema; entidad; país; rol; trigger del artículo 2; requisito; estado «cumple/parcial/no cumple/no aplica»; evidencia; gap; severidad; remediación; owner; fecha; y enlace probatorio. Regla operativa: sin evidencia no hay verde.

El roadmap se prioriza por ilegalidad > exposición sancionadora > bloqueo comercial > esfuerzo. En 30 días cierra perímetro, prohibiciones, transparencia y literacy; en 60 industrializa controles, contratos y evidencias; en 90 conecta cumplimiento con release management y vendor management.

Checklist final del informe:

1. ¿Cada sistema tiene rol y nexo territorial documentados?
2. ¿Cada «aplica/no aplica» tiene fundamento?
3. ¿Se ha separado el 50.2 general del régimen transitorio?
4. ¿Se han excluido las prohibiciones de 2026 aún no aplicables?
5. ¿Las cifras del artículo 99 distinguen pyme, pequeña empresa de mediana capitalización y resto?
6. ¿Cada gap tiene owner, fecha y criterio de cierre?
7. ¿Las evidencias existen realmente?
8. ¿Se ha minimizado la información confidencial cargada en los modelos?
9. ¿Un abogado y un responsable técnico han firmado la versión final?

7. Conclusión + plan de 30 días accionable

El Efecto Bruselas 2.0 no significa que Europa mande sobre cualquier sistema de IA del planeta. Significa algo más concreto y más importante: la introducción de IA en el mercado de la Unión, el uso en la Unión de outputs generados desde terceros países y la ubicación en la Unión de personas afectadas pueden colocar dentro del perímetro del RIA a compañías que no tienen sede europea.

Plan de 30 días.

• Días 1-5: inventario completo de sistemas, entidades, países, clientes, outputs y roles.
• Días 6-10: memo de artículo 2 por sistema y screening del artículo 5.
• Días 11-15: auditoría del artículo 4 con medidas y evidencias por perfil.
• Días 16-20: test de artículo 50 sobre UX, reconocimiento de emociones, categorización biométrica, deepfakes, texto de interés público y marcado técnico, separando el régimen transitorio exacto del 50.2.
• Días 21-25: matriz de gaps, responsables y exposición.
• Días 26-30: cierre jurídico-técnico, board memo y carpeta «AI Act Readiness» para inversores, clientes enterprise y corporate venture.

No esperes a que un fondo lo pregunte en la data room. No esperes a que Procurement bloquee el onboarding. Y no esperes a que el producto acumule tanta deuda técnica que cumplir sea más caro que haber diseñado bien desde el principio.

En 2026, cumplir el RIA no es poner un sello en la web. Es demostrar que tu compañía puede crecer sin multiplicar al mismo tiempo el riesgo regulatorio. Ese es el verdadero Efecto Bruselas 2.0: convertir cumplimiento, producto y capital en una misma conversación. Quien lo entienda ahora llegará a Europa con menos fricción. Quien lo trate como una tarea administrativa llegará tarde.