Cuando las reglas cambian más rápido que tu ciclo de entrega
La normativa sobre IA y privacidad cambia más rápido que la mayoría de los ciclos de producto. La pregunta no es si cumples hoy. Es si puedes absorber el próximo cambio, o si te retiras de ese mercado. Así abordamos la decisión, y qué decidimos no construir.
Tres funciones, tres relojes
Hay una conversación que aparece cada vez que valoramos un mercado nuevo, y nunca se resuelve del todo.
Producto pregunta si el mercado merece la pena. Legal pregunta de qué responderíamos. Ingeniería pregunta qué habría que construir. Cada función da una respuesta correcta por separado e incompleta junto a las otras dos. Producto puede querer un mercado que legal no ha delimitado. Legal puede describir una obligación que ingeniería tardaría un año en satisfacer. Ingeniería puede construir para un régimen que nunca llega.
Lo habitual es dejar que una perspectiva mande. Eso funciona cuando el terreno es estable. Ahora mismo no lo es.
Qué cambió este verano
Dos cosas ocurrieron con pocas semanas de diferencia, en direcciones opuestas.
La Unión Europea adoptó un paquete de simplificación que entró en vigor el 27 de julio de 2026. Aplazó las obligaciones de alto riesgo del anexo III del Reglamento de IA del 2 de agosto de 2026 al 2 de diciembre de 2027, y los sistemas integrados en productos del anexo I al 2 de agosto de 2028. Ese es el bloque caro: sistemas de gestión de riesgos, evaluación de la conformidad, marcado CE, sistema de gestión de la calidad, registro, vigilancia poscomercialización. El motivo declarado fue que los organismos europeos de normalización no habían terminado las normas armonizadas. No se puede certificar frente a una norma que no se ha publicado.
Al mismo tiempo, el artículo 50 pasó a ser exigible el 2 de agosto de 2026. No se aplazó. Alcanza a cualquier sistema que interactúe directamente con una persona, sea cual sea su nivel de riesgo, y exige que esa persona sepa que está tratando con IA. El contenido generado debe marcarse. El techo son 15 millones de euros o el 3 % de la facturación mundial.
Canadá fue en la otra dirección. La AIDA decayó con el proyecto de ley C-27 en la prórroga del Parlamento de enero de 2025 y no se ha vuelto a presentar. El ministro responsable ha dicho que no volverá tal como estaba redactada, y que cualquier marco futuro debería ser ligero. Los vehículos federales vivos son la privacidad y la seguridad digital, no una ley general de IA. No hay ninguna ley canadiense de IA en vigor.
Eso no significa que no haya nada que cumplir. La Ley 25 de Quebec está plenamente en vigor desde septiembre de 2024, con sanciones de hasta 25 millones de dólares, y sus disposiciones sobre decisiones automatizadas se parecen mucho a las europeas: informar a la persona, explicar la lógica y los criterios, permitirle presentar observaciones, ofrecer intervención humana si la pide. En Canadá las obligaciones vinculantes llegan por la vía del derecho provincial de privacidad, y se parecen más al modelo europeo que a la postura federal que tienen por encima.
«¿Cumplimos?» tiene fecha de caducidad
Puestas una al lado de la otra, la lección útil no va de ninguna de las dos jurisdicciones.
Una organización que montó todo el aparato de alto riesgo para agosto de 2026 gastó dieciséis meses antes de tiempo, frente a normas que no estaban publicadas. Una organización que no montó nada se saltó una obligación de transparencia ya exigible y con sanción real. Ninguna de las dos es una falta de diligencia. Las dos cometen el mismo error. Cada una trató un requisito en movimiento como si fuera fijo y se comprometió pronto en la dirección equivocada.
Así que «¿cumplimos?» no es una pregunta con respuesta duradera. Su vigencia se mide en meses.
La pregunta que sí dura
La pregunta que sobrevive al vaivén es una pregunta de entrega:
Cuando llegue el próximo cambio sustancial, ¿estamos en condiciones de asumirlo, o dejamos ese mercado?
Las dos respuestas son legítimas. Decidir que un mercado no compensa el mantenimiento que exige es una decisión estratégica real, y es mejor tomarla a propósito que descubrirla a mitad de una licitación. Lo que no es legítimo es enterarse de que no puedes asumir un cambio por una decisión tomada años atrás por motivos que nada tenían que ver con la regulación.
Responder a esa pregunta no consiste en predecir la norma. Consiste en saber dónde recae la carga cuando cambia, y mantener sueltos esos puntos concretos.
Dónde recae la carga
Para una función de IA dentro de un sistema operativo, vigilamos una lista corta. Cada punto es un sitio donde un cambio normativo pondría peso.
El proveedor del modelo. Si un proveedor aparece nombrado en algún sitio que no sea un único archivo de configuración, cambiarlo implica tocar código. El nuestro es un ajuste que elige un administrador. Se guarda en la base de datos, y ninguna otra parte del pipeline presupone un proveedor.
Dónde están los datos, y qué ley los rige. Son dos preguntas distintas. Una instancia y una base de datos por cliente, en el país que el cliente elija, permite responderlas por separado.
Si hay una persona en el circuito. El asistente propone y una persona aplica o descarta. No escribe nada por su cuenta. La supervisión humana es casi universal en los regímenes que revisamos, y es muy difícil de injertar después en un sistema diseñado para actuar de forma autónoma.
Qué sale de la instancia. Los nombres, correos y teléfonos se sustituyen por tokens deterministas antes de que salga ninguna petición. La tabla de correspondencia se queda en la base de datos del cliente.
Qué puedes demostrar después. Un registro de auditoría de solo adición guarda quién hizo qué y cuándo. Todos los regímenes que leímos quieren registros. Difieren en conservación y formato, y eso se cambia más fácilmente que la decisión de llevar registros.
El aviso al usuario. Es la obligación exigible hoy en Europa, y también la más barata de satisfacer. Es una cadena de texto en cada idioma admitido y un marcado en el contenido generado. No vendemos en la Unión Europea, así que el artículo 50 no nos vincula ahora mismo, y nuestro portal público no lleva hoy un aviso de IA. Está pendiente de añadir antes de que eso cambie, y sinceramente debería estar ahí vendamos donde vendamos.
La documentación de conformidad. Expedientes técnicos, fichas de modelo, evaluaciones de impacto formales. No las hemos hecho. Es una decisión deliberada y no un descuido, porque lo que las dispara es una entrada en un mercado que no hemos hecho. Lo que importa es que nada de lo construido dificulte producirlas más adelante.
La mitad que no es el producto
La lista anterior es una lista de arquitectura, y la arquitectura es la mitad fácil. El equivalente organizativo es donde los equipos suelen estar más atados de lo que creen.
¿Algún contrato con cliente nombra a un proveedor de modelo concreto? ¿Algún acuerdo de tratamiento de datos firmado fija un país del que luego habría que renegociar la salida? Si un regulador pidiera documentación, ¿la generarías a partir del registro, o sería un proyecto que habría que dotar de personal? ¿Quién vigila el próximo artículo 50, y por qué canal se enteraría? Y cuando la respuesta sea que un mercado ya no compensa, ¿de quién es esa decisión?
Esta es la parte de verdad difícil, y no es un problema técnico.
Los artefactos que demuestran que te tomas en serio la gobernanza suelen ser los mismos que reducen tu capacidad de cambiar. Una certificación tiene un alcance. Un compromiso contractual tiene un plazo. Una garantía de residencia nombra un lugar. Cada uno parecía rigor el día que se firmó, y cada uno estrecha lo que podrás hacer el año que viene. Esa tensión no se resuelve dentro de la función jurídica ni dentro de ingeniería. Solo se resuelve en una conversación donde alguien sostiene los dos extremos.
El último interruptor es del cliente
Vendemos software operativo. La IA es una forma de hacer más fácil parte de ese trabajo, y no es el producto.
Eso tiene una consecuencia de diseño que nos parece acertada al margen de cualquier regulación. El asistente llega desactivado en una instancia nueva y sigue así hasta que un administrador lo enciende. Ese interruptor lo tiene el cliente, no nosotros. Si cambian sus propias obligaciones, si su pleno toma una postura, o si prefiere prescindir de él, no necesita una versión nuestra ni tiene que pedírnosla.
Nada de esto es exótico. La mayoría de los equipos que construyen en este espacio están tomando decisiones parecidas, y muchos van más adelantados que nosotros en algunas partes. Lo que suele saltarse es nombrar los puntos de presión en voz alta, y ser honesto sobre cuáles se han dejado sin construir a propósito.
Qué significa aquí «ágil»
La agilidad suele discutirse como una propiedad de cómo un equipo planifica su trabajo. En un entorno como este se parece más a comparar dos velocidades: la del terreno y la tuya para responder.
Si la segunda es menor que la primera, no será tu proceso lo que te salve. Y retirarse de un mercado es un resultado legítimo de esa comparación, no una confesión de fracaso. El fracaso es llegar a esa decisión sin haber notado que se estaba tomando.