Tres funciones, tres relojes

Hay una conversación que surge cada vez que evaluamos un nuevo mercado, y rara vez se resuelve limpiamente.

Producto pregunta si vale la pena entrar en el mercado. Legal pregunta de qué seríamos responsables. Ingeniería pregunta qué haría falta construir. Cada función da una respuesta correcta por sí sola e incompleta junto a las otras dos. Producto puede querer un mercado que legal todavía está delimitando. Legal puede describir una obligación que a ingeniería le llevaría un año cumplir. Ingeniería puede construir para un régimen que nunca llega.

Una forma de resolverlo es elegir una perspectiva y dejar que lidere. Eso funciona cuando el terreno es estable. Ahora mismo, el terreno se mueve.

Qué cambió este verano

Ocurrieron dos cosas con pocas semanas de diferencia, en direcciones opuestas.

La UE adoptó un paquete de simplificación que entró en vigor el 27 de julio de 2026. Aplazó las obligaciones de alto riesgo del anexo III de la Ley de IA del 2 de agosto de 2026 al 2 de diciembre de 2027, y las de los sistemas integrados en productos del anexo I al 2 de agosto de 2028. Ese es el nivel costoso: sistemas de gestión de riesgos, evaluación de la conformidad, marcado CE, gestión de la calidad, registro, seguimiento posterior a la comercialización. El motivo declarado fue el calendario. Los organismos europeos de normalización todavía estaban redactando las normas armonizadas, y una certificación necesita una norma publicada.

Al mismo tiempo, el artículo 50 pasó a ser exigible el 2 de agosto de 2026, en su fecha original. Se aplica a cualquier sistema que interactúe directamente con una persona, sea cual sea su nivel de riesgo, y exige que se informe a la persona de que trata con una IA. El contenido generado debe marcarse. El tope es de 15 millones de euros o el tres por ciento de la facturación mundial.

Canadá fue en la dirección contraria. AIDA murió con el proyecto de ley C-27 cuando se prorrogó el Parlamento en enero de 2025. El ministro responsable ha dicho que cualquier marco futuro debería ser ligero. Los vehículos federales activos son la legislación de privacidad y de seguridad digital.

En Canadá, las obligaciones vinculantes llegan a través de la legislación provincial de privacidad. La Ley 25 de Quebec está plenamente en vigor desde septiembre de 2024, con sanciones de hasta 25 millones de dólares, y sus disposiciones sobre decisiones automatizadas se parecen mucho a las europeas: informar a la persona, explicar la lógica y los criterios, permitirle presentar observaciones, ofrecer revisión humana a petición.

«¿Cumplimos?» tiene fecha de caducidad

Si se ponen las dos juntas, la lección útil está por encima de cada jurisdicción.

Una organización que construyó todo el aparato de alto riesgo para agosto de 2026 lo pagó dieciséis meses antes, frente a normas todavía en borrador. Una organización que no construyó nada incumplió un deber de transparencia que pasó a ser exigible con una sanción real. Ambas cometieron el mismo error. Cada una trató un requisito cambiante como uno fijo y se comprometió pronto en una sola dirección.

«¿Cumplimos?» tiene una respuesta cuya vida útil se mide en meses.

La pregunta que sí dura

La pregunta que sobrevive a los vaivenes es una pregunta de entrega:

Cuando llegue el próximo cambio importante, ¿estamos en condiciones de cumplirlo, o nos retiramos de ese mercado?

Ambas respuestas son legítimas. Decidir retirarse de un mercado es una decisión estratégica real, y se toma mejor de forma deliberada, pronto y por escrito. El desenlace que hay que evitar es descubrir que un cambio está fuera de alcance por una decisión tomada años antes por razones que nada tenían que ver con la regulación.

Responder a esa pregunta exige saber dónde recae la carga cuando cambia la ley, y mantener flexibles esos puntos concretos.

Dónde recae la carga

Para una función de IA dentro de un sistema operativo, vigilamos una lista corta. Cada elemento es un lugar donde un cambio de norma añadiría peso.

El proveedor del modelo. En nuestro caso es un ajuste que elige un administrador. Se guarda en la base de datos, y el resto del proceso funciona con cualquier proveedor configurado.

Dónde están los datos y qué ley los rige. Son dos preguntas distintas. Una instancia y una base de datos por cliente, en la jurisdicción que el cliente elige, permiten responderlas por separado.

Si hay una persona en el circuito. El asistente propone, y una persona aplica o descarta. La supervisión humana aparece en casi todos los regímenes que revisamos, y es mucho más fácil incorporarla desde el diseño.

Qué sale de la instancia. Los nombres, correos y números de teléfono se sustituyen por tokens deterministas antes de enviar una solicitud. La tabla de correspondencia se queda en la base de datos del propio cliente.

Qué puedes demostrar después. Un registro de auditoría anota quién hizo qué y cuándo. Todos los regímenes que leímos exigen registros. Difieren en conservación y formato, y la conservación y el formato se cambian con facilidad una vez que los registros existen.

La divulgación. Es la obligación exigible hoy en Europa, y también la más barata de cumplir. Requiere una cadena de texto en cada idioma admitido y una marca en el contenido generado. Nuestro asistente etiqueta cada respuesta con el nombre del proveedor de IA que la produjo.

La mitad organizativa

La lista anterior es una lista de arquitectura, y la arquitectura es la mitad fácil. Su contraparte organizativa es donde los equipos suelen estar más atados de lo que creen.

¿Algún contrato con un cliente nombra un proveedor de modelo concreto? ¿Un acuerdo de tratamiento de datos firmado fija un país que habría que renegociar para salir? Si un regulador pidiera documentación, ¿la generarías a partir de los registros, o producirla sería un proyecto que habría que dotar de personal? ¿Quién vigila el próximo artículo 50, y cómo se enteraría? Y cuando un mercado ya no compensa, ¿quién toma esa decisión?

La parte difícil es organizativa.

Los documentos que demuestran que te tomas en serio la gobernanza suelen ser los mismos que reducen tu capacidad de cambiar. Una certificación tiene un alcance. Un compromiso contractual tiene un plazo. Una garantía de residencia nombra un lugar. Cada uno parecía rigor el día en que se firmó, y cada uno limita lo que podrás hacer el año que viene. Esa tensión se resuelve en una conversación donde legal e ingeniería tienen en cuenta ambos lados a la vez.

El último interruptor es del cliente

Vendemos software operativo. La IA facilita parte de ese trabajo.

Eso tiene una consecuencia de diseño que consideramos correcta en cualquier clima regulatorio. El asistente se entrega desactivado en una instancia nueva y sigue apagado hasta que un administrador lo activa. El cliente tiene ese interruptor. Si cambian sus propias obligaciones, si su concejo toma una postura o si prefieren prescindir de él, lo apagan ellos mismos, sin una versión nuestra y sin pedirlo.

Qué significa aquí «ágil»

La agilidad suele describirse como una propiedad de cómo un equipo planifica su trabajo. En un entorno como este se parece más a una comparación entre dos velocidades: lo rápido que se mueve el terreno y lo rápido que puedes responder.

Cuando el terreno se mueve más rápido, el proceso tiene que cambiar. Retirarse de un mercado es un resultado legítimo de esa comparación. El error es llegar a la decisión sin haber notado que se estaba tomando.