La UE le movió los postes a su Ley de IA: 2027 y 2028 son los nuevos deadlines (y México tiene tarea pendiente)

La Unión Europea llegó al límite y tuvo que echar para atrás. El Parlamento Europeo votó el mes pasado con 569 votos a favor y solo 45 en contra para darle más tiempo al cumplimiento de su Ley de IA. Los plazos originales para sistemas de IA de alto riesgo eran agosto de 2026 y ya era obvio que no iba a pasar: solo 8 de los 27 países miembros tenían sus autoridades de supervisión designadas, que era un requisito que tenía deadline desde agosto de 2025. Un año de retraso y contando.

Y lo más interesante de todo esto no es lo que pasa en Bruselas. Es lo que le cambia a cualquier empresa mexicana que venda software, servicios o productos con IA integrada a clientes europeos.

Qué se pospuso exactamente

La Ley de IA de la UE no se cayó ni se anuló. Solo extendió sus plazos clave:

Tipo de sistema	Deadline original	Nuevo deadline
IA de alto riesgo standalone (software)	Agosto 2026	Diciembre 2027
IA embebida en productos físicos	Agosto 2026	Agosto 2028
Marcas de agua en contenido generativo	Noviembre 2026	Sin cambio

Los sistemas “standalone” del Artículo 6(2) son los que más van a sentir las empresas tech: sistemas de identificación biométrica, scoring crediticio, filtrado de empleo, vigilancia pública, gestión de fronteras. Los sistemas embebidos del Artículo 6(1) son IA dentro de dispositivos médicos, maquinaria o juguetes certificados bajo normativas europeas de seguridad de productos.

El motivo oficial del retraso es que la Comisión Europea no publicó los estándares técnicos ni las guías de evaluación de conformidad que había prometido para febrero de 2026. Sin esos documentos, exigir cumplimiento es legalmente frágil. No puedes auditar algo cuando ni tú mismo tienes claro cómo se audita.

La Vicepresidenta Ejecutiva de la Comisión, Henna Virkkunen, confirmó que el aplazamiento es “esencial para garantizar que la aplicación sea efectiva y proporcional.” O sea: incluso los que redactaron la ley reconocieron que no estaban listos para hacerla cumplir.

El trilogue que todavía no termina

Ojo con esto porque es el detalle que muchos medios omiten: hasta que no concluya el proceso de trilogue entre Consejo, Parlamento y Comisión Europea, la fecha legal vigente sigue siendo agosto 2, 2026. Los nuevos plazos son un acuerdo político, no ley en vigor todavía.

Las negociaciones empezaron el 26 de marzo de 2026. La meta es cerrar el acuerdo el 28 de abril. Si se logra, la claridad jurídica real no llega antes de finales de julio. Para las empresas que ya están en medio de procesos de certificación, esa incertidumbre es un dolor de cabeza real.

Por qué esto le importa a México

Aquí va el punto que más se ignora en la cobertura en español: la Ley de IA de la UE no aplica solo a empresas europeas. Aplica a cualquier proveedor de IA cuyos sistemas se usen dentro del mercado europeo, sin importar dónde esté registrada la empresa.

Una startup mexicana con un sistema de scoring crediticio que vende a bancos en España tiene exactamente las mismas obligaciones que una fintech alemana. Y las multas no son chiste:

• Hasta 35 millones de euros o 7% del facturado global por prácticas de IA prohibidas
• Hasta 15 millones o 3% por incumplimiento de obligaciones generales
• Hasta 7.5 millones o 1% por información falsa a las autoridades

Los sectores más expuestos para empresas mexicanas que exportan a Europa son turismo, agroindustria y manufactura especializada, especialmente si tienen IA integrada en procesos de selección de personal, optimización de crédito o análisis de imagen. Con el TLCUEM modernizado por activarse en mayo de 2026, hay más empresas en ese perfil de lo que la mayoría cree.

México no tiene ley propia, y eso es el problema real

La Ley Federal en Materia de Inteligencia Artificial fue presentada en el Congreso mexicano en abril de 2024. Sigue en comisión. La nueva Agencia de Transformación Digital y Telecomunicaciones (ATDT) tiene mandato digital pero no tiene un rol de supervisión de IA definido.

Esto no es necesariamente malo a corto plazo: las empresas mexicanas que operan solo en México no tienen regulación que cumplir. Pero como platicamos cuando analizamos el escándalo de Krafton y ChatGPT, el vacío regulatorio puede ser un arma de doble filo. Sin estándares claros, las malas prácticas quedan impunes pero también las buenas prácticas quedan sin reconocimiento.

El aplazamiento europeo le da a México, literalmente, hasta finales de 2027 para empezar a alinearse con los estándares de certificación de la UE antes de que se vuelvan obligatorios en su principal destino de exportación tecnológica. Eso es un regalo que pocas veces da el calendario regulatorio.

Qué deberían hacer las empresas mexicanas ahora

Si tienes una empresa que vende software, APIs o productos con componentes de IA a clientes en Europa, o que usa plataformas europeas como proveedores, el checklist básico es este:

1. Mapea tus sistemas de IA. ¿Alguno hace decisiones automatizadas sobre personas? Scoring, selección, clasificación. Ese es el territorio de alto riesgo.

2. Identifica si caes en Annex III. La lista incluye identificación biométrica, empleo, crédito, educación, migración y administración de justicia. Si tu sistema toca alguno de esos dominios y tiene usuarios en la UE, ya estás en alcance.

3. Empieza documentación de datos de entrenamiento. Uno de los requisitos centrales de la ley es trazabilidad: de dónde vienen los datos, cómo se usaron, qué sesgos se evaluaron. Esa documentación lleva tiempo construir.

4. Pon ojo en el trilogue de abril. Si el acuerdo se cierra el 28 de abril, los deadlines se confirman. Si se rompen las negociaciones, regresa el agosto 2026 como fecha oficial.

Para los devs que ya están construyendo con modelos de lenguaje y quieren entender cómo esto aplica en práctica, nuestra guía para correr IA local con Ollama y LM Studio es un buen punto de partida para pensar en arquitecturas que te den control sobre los datos que procesas.

La lectura honesta

La UE pospuso sus plazos porque no estaba lista, no porque se haya arrepentido de regular. La ley sigue en pie, los requisitos son los mismos y las multas existen. Lo único que cambió es que ahora hay entre 18 meses y dos años más para prepararse.

Para México, ese tiempo es una chimba si se usa bien. Si se desperdicia en esperar a que alguien más defina los estándares, en 2028 habrá empresas mexicanas pagando multas millonarias en euros por sistemas que construyeron sin considerar que iban a necesitar certificación.

La regulación de IA ya no es un tema de geopolítica europea. Es un requisito de negocio para cualquiera que quiera vender tech en el mercado más grande del mundo.

¿Tu empresa ya tiene algún proceso de cumplimiento para la EU AI Act? Cuéntame en los comentarios si ya están trabajando en esto o si apenas les cayó el veinte.

Fuentes

• IAPP: A view from Brussels - time is of the high-risk essence
• PPC Land: EU Parliament committee backs AI Act delay with fixed 2027 deadline
• IDTechWire: European Parliament votes to delay EU AI Act high-risk deadlines to December 2027
• World Reporter: EU AI Act August 2026 Deadline - Only 8 of 27 EU States Ready
• IAPP: European Commission misses deadline for AI Act guidance
• European Law Firm: EU Postpones High-Risk AI Rules to 2027
• Garrigues: Mapa regulatorio de la inteligencia artificial en México
• NotiMx: Cómo la regulación europea en IA se convierte en ventaja competitiva