El 2 de agosto de 2026 el brazo sancionador de la Unión Europea despertó. Y a diferencia de casi todo lo que sale de Bruselas, esta vez sí trae consecuencias reales: multas, auditorías y la capacidad de sacar un modelo del mercado europeo.

Si tu empresa vende, factura o entrena modelos con datos que tocan territorio europeo, la pregunta de si aplica el AI Act europeo a empresas mexicanas ya no es teórica.

Llevo semanas viendo cómo circula información incompleta sobre esta fecha. Algunos clientes me han escrito con verdadero pánico, creyendo que sus procesos de selección con IA quedaban ilegales de la noche a la mañana.

No es así. Aquí está el mapa completo.

¿Aplica el AI Act europeo a empresas mexicanas?

Sí, pero no como la mayoría cree. El reglamento europeo tiene alcance extraterritorial.

Si tu empresa mexicana usa un modelo de IA cuyos resultados se aplican a personas en la Unión Europea —piensa en filtrado de candidatos para una filial en Madrid, o scoring de clientes europeos—, entras en su radar. No importa dónde esté tu servidor ni dónde firmaste el contrato.

Esto vuelve más urgente la pregunta de si aplica el AI Act europeo a empresas mexicanas para cualquier director que tenga operación, clientes o proveedores del otro lado del Atlántico.

La respuesta corta: depende de a quién le pega el output de tu sistema, no de dónde está tu oficina.

Es el mismo principio del RGPD hace ocho años, cuando medio mundo corporativo mexicano descubrió de golpe que “no somos una empresa europea” no era una defensa válida si procesabas datos de ciudadanos de la UE.

La historia se repite. Solo que ahora el actor principal es un modelo de lenguaje en lugar de una base de datos de clientes.

Lo que sí entra en vigor el 2 de agosto (y lo que no)

Aquí es donde la mayoría del contenido en español se equivoca, así que vale la pena ser quirúrgico.

Lo que realmente se activa el 2 de agosto son dos cosas: las obligaciones de transparencia del Artículo 50 (etiquetado de contenido sintético, avisos de interacción con IA, marcado de deepfakes) y los poderes plenos de sanción del AI Office sobre los proveedores de modelos de propósito general —OpenAI, Anthropic, Google, entre otros—.

Lo que no entra en vigor ese día son las obligaciones de “alto riesgo”: scoring crediticio, filtrado automatizado de currículums, sistemas usados en educación o salud.

Esas se movieron hasta el 2 de diciembre de 2027, mediante el llamado “Digital Omnibus”, aprobado por el Consejo Europeo el 29 de junio de 2026.

La confusión entre estas dos fechas es, según el AI Act Service Desk de la Comisión Europea, uno de los focos de desinformación más comunes sobre el reglamento en este momento.

Y tiene sentido: son dos calendarios distintos dentro de la misma ley, algo que ningún comité de riesgos corporativo tiene tiempo de desenredar solo.

Las multas, por cierto, no son simbólicas. Según el texto del reglamento recopilado por artificialintelligenceact.eu, las infracciones de prácticas prohibidas llegan hasta 35 millones de euros o 7% de la facturación mundial. Las de obligaciones GPAI, hasta 15 millones o 3%.

Para poner en perspectiva el aparato de vigilancia: se reportó que el AI Office ya cuenta con un equipo dedicado de 36 personas para monitorear a los grandes laboratorios desde esta fecha.

Es un dato que no he podido verificar de forma independiente, así que lo tomo como referencia de una fuente especializada, no como cifra oficial confirmada por la Comisión.

¿Por qué se pospuso el “alto riesgo” hasta 2027?

La razón oficial es dar tiempo a las empresas para prepararse sin ahogarlas en burocracia antes de tiempo.

Algo así como cuando pospones el estreno de una película porque el edit no está listo, salvo que aquí el “edit” son 27 autoridades nacionales tratando de ponerse de acuerdo en cómo fiscalizar sistemas de RRHH y crédito.

El resultado práctico es que tienes una ventana de casi 16 meses antes de que esas reglas pesen de verdad.

Esa ventana es, ahora mismo, el activo más valioso que tiene cualquier director de RH o innovación con operación europea.

No es urgencia falsa: es tiempo real para hacer las cosas bien en lugar de correr en pánico en noviembre de 2027, como quien empieza a estudiar la noche antes del examen final después de haber visto MTV toda la carrera.

¿Qué debe revisar tu empresa antes de que termine 2026?

Tres cosas concretas, en orden de urgencia:

• Transparencia (Art. 50): si usas chatbots, avatares o contenido generado por IA en marketing o atención a clientes europeos, necesitas declararlo explícitamente. Esto ya es exigible, no es cosa de 2027.
• Política de derechos de autor de tus proveedores: los modelos GPAI deben publicar ahora un resumen público de sus datos de entrenamiento. Vale la pena que tu equipo legal revise qué modelos usa tu empresa y si esos proveedores ya cumplieron.
• Mapeo de exposición a “alto riesgo”: aunque la obligación formal llega en 2027, cualquier sistema de selección de personal o scoring que toque candidatos o clientes europeos debería empezar su auditoría interna ahora, no en 16 meses.

Este tercer punto es, en mi experiencia con clientes que ya operan bajo marcos regulatorios similares, el que más se subestima.

Nadie audita nada hasta que hay una multa de por medio. Y para entonces ya es tarde para negociar plazos. Saber si aplica el AI Act europeo a empresas mexicanas no debería resolverse apenas llegue la primera carta de una autoridad europea.

Si tu equipo todavía confunde qué obligaciones son de hoy y cuáles son de 2027, este es el momento de resolverlo con estructura, no con pánico de última hora.

Para eso existe el curso de IA para principiantes de iaaplicada.mx, pensado justo para directores que necesitan claridad antes que jerga técnica.

Cada vez que la pregunta vuelva a aparecer en juntas de dirección, mejor que la respuesta venga de ti y no de un consultor externo improvisando en tiempo real.

Si quieres profundizar en cómo blindar tu operación regulatoria sin frenar la adopción de IA en tu equipo, esto es justo el tipo de tema que trabajo como conferencista de inteligencia artificial con empresas que ya tienen operación transfronteriza.

Y si prefieres recibir este tipo de análisis apenas sale, sin esperar a que se vuelva tendencia en LinkedIn tres semanas tarde, puedes suscribirte al mail diario.

Supervisado por Santiago González y Musi.