Una hoja de ruta sobre la regulación de la IA es un plan con fechas que determina qué normas de IA se aplican a sus sistemas, cuándo entra en vigor cada una y qué evidencias necesita para demostrar su cumplimiento. Para una empresa que utiliza agentes de IA en sus interacciones con clientes, la hoja de ruta tiene dos vertientes. El EU AI Act establece plazos fijos que llegan hasta 2028. En Estados Unidos no existe una única ley federal de IA, por lo que las obligaciones proceden de leyes estatales y normas existentes. La respuesta práctica consiste en inventariar sus agentes, secuenciar el trabajo según las fechas de la UE y recopilar evidencias independientes sobre cómo se comportan esos agentes en conversaciones reales.
Resumen
- El EU AI Act se aplica a los proveedores que introducen sistemas de IA en el mercado de la UE, con independencia de dónde estén establecidos, por lo que las empresas estadounidenses que venden en Europa están incluidas en su ámbito de aplicación.
- Las obligaciones de transparencia para la IA que conversa con personas se aplican desde el 2 de agosto de 2026. Los requisitos de alto riesgo se trasladan al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (anexo I).
- En Estados Unidos, las normas proceden de leyes estatales y municipales, junto con el Marco de Gestión de Riesgos de IA del NIST, de carácter voluntario, y no de una única ley federal.
- Una hoja de ruta funciona cuando culmina en evidencias: inventario, clase de riesgo, controles y registros de pruebas de cada agente.
- Lexic Compass audita agentes de IA conversacional de cualquier proveedor interactuando con ellos como lo harían usuarios reales.
Índice
- Qué contiene una hoja de ruta sobre la regulación de la IA
- Hitos del EU AI Act hasta 2028
- Qué implica el EU AI Act para los agentes de IA de atención al cliente
- Qué deben saber las empresas estadounidenses que venden en Europa
- Cómo elaborar la hoja de ruta paso a paso
- Dónde fallan los agentes de IA en la práctica
- Perspectiva
- Cómo decidir por dónde empezar
- Una plantilla de hoja de ruta de una página
- Preguntas frecuentes
- Fuentes
Qué contiene una hoja de ruta sobre la regulación de la IA
Una hoja de ruta no es una lista de leyes. Es una secuencia de proyectos vinculados a fechas. Un profesional recomienda empezar por inventariar qué requisitos de gobernanza de la IA cumple, cumple parcialmente, prevé cumplir o no cumple y, después, secuenciar el trabajo relativo a personas, procesos y tecnología para subsanar esas carencias. La misma fuente propone un plazo general de 18 a 24 meses como periodo razonable para implantar un sistema de gestión de riesgos y sus controles asociados.
Para la mayoría de los equipos que interactúan con clientes, la hoja de ruta consta de cinco partes:
- Inventario. Todos los agentes de IA, chatbots, bots de voz y copilotos que interactúan con clientes, con su proveedor, finalidad y mercados a los que prestan servicio.
- Clasificación. El nivel de riesgo de cada sistema según las normas aplicables.
- Obligaciones por fecha. Qué obligaciones se aplican y cuándo, en cada jurisdicción.
- Controles. Información sobre el uso de IA, derivación a una persona, documentación, seguimiento y gestión de incidentes.
- Evidencias. Registros que demuestren que los controles funcionan en producción, no solo en los documentos de políticas.
El resto de este artículo sigue ese orden, empezando por las fechas.
Hitos del EU AI Act hasta 2028
El EU AI Act (Reglamento (UE) 2024/1689) es la legislación sobre IA más detallada en vigor y la columna vertebral de la mayoría de las hojas de ruta. El calendario de aplicación de la Comisión Europea establece las siguientes fases.
| Fecha | Qué se aplica |
|---|---|
| 1 de agosto de 2024 | Entrada en vigor del Reglamento |
| 2 de febrero de 2025 | Prácticas prohibidas y obligaciones de alfabetización en IA |
| 2 de agosto de 2025 | Normas sobre modelos de IA de uso general y gobernanza |
| 2 de agosto de 2026 | La mayoría de las normas y su ejecución, incluidas las obligaciones de transparencia |
| 2 de diciembre de 2026 | Nuevas prohibiciones sobre imágenes íntimas no consentidas y material de abuso sexual infantil, y fin del plazo transitorio para la obligación de marcado del artículo 50(2) |
| 2 de agosto de 2027 | Fecha límite para disponer de espacios controlados de pruebas nacionales en cada Estado miembro |
| 2 de diciembre de 2027 | Normas de alto riesgo para los sistemas del anexo III |
| 2 de agosto de 2028 | Normas de alto riesgo para los sistemas del anexo I integrados en productos regulados |
Hay dos aspectos importantes para la planificación. En primer lugar, las fechas relativas al alto riesgo han cambiado. La Comisión indica que el denominado acuerdo Ómnibus sobre IA amplió los plazos hasta el 2 de diciembre de 2027 para los casos de uso del anexo III y hasta el 2 de agosto de 2028 para los sistemas integrados del anexo I. El anexo III abarca usos independientes como la selección de personal, la evaluación de la solvencia crediticia y la determinación del derecho a prestaciones. El anexo I abarca la IA incorporada en productos como dispositivos médicos y maquinaria, según un análisis del aplazamiento.
En segundo lugar, un plazo más lejano no es motivo para esperar. Ese mismo análisis advierte de que las organizaciones que esperen a las orientaciones definitivas de la Oficina de IA de la UE podrían disponer de solo tres a seis meses efectivos para la implantación, en lugar de los dieciséis que parece ofrecer el aplazamiento. Implantar la gestión de la calidad, la gestión de riesgos y el seguimiento poscomercialización lleva más tiempo que leer sobre ellos.
Las autoridades públicas disponen de un margen mayor: la guía del Ministerio de Economía belga señala que los sistemas de alto riesgo utilizados por autoridades públicas y ya comercializados antes de la entrada en vigor deben cumplir plenamente los requisitos a más tardar el 2 de agosto de 2030. Esto rara vez afecta al equipo de atención al cliente de una empresa.
Qué implica el EU AI Act para los agentes de IA de atención al cliente
El Reglamento no incluye ninguna categoría denominada «agente de IA». El Servicio de Asistencia del EU AI Act de la Comisión explica que los agentes están comprendidos en las definiciones de sistema de IA y modelo de IA de uso general del Reglamento. Las obligaciones aplicables dependen de lo que haga el agente:
- Transparencia (artículo 50). Se aplica desde el 2 de agosto de 2026 a los agentes destinados a interactuar con personas físicas o a generar contenido.
- Requisitos de alto riesgo (capítulo III). Se aplican desde el 2 de diciembre de 2027 o el 2 de agosto de 2028 únicamente si el agente se clasifica como de alto riesgo, por ejemplo, porque apoya decisiones sobre créditos o contratación de personal.
Información y etiquetado
Según el artículo 50 del Reglamento, los proveedores deben diseñar los sistemas que interactúan directamente con personas de modo que se informe a estas de que están tratando con una IA, salvo que resulte evidente. Los proveedores de sistemas que generan audio, imágenes, vídeo o texto sintéticos deben marcar los resultados en un formato legible por máquina para indicar que se han generado artificialmente. Los responsables del despliegue de sistemas de reconocimiento de emociones o de categorización biométrica deben informar a las personas expuestas a ellos. Los responsables del despliegue de sistemas que producen ultrasuplantaciones deben comunicar que el contenido se ha generado artificialmente. La información debe facilitarse con claridad, a más tardar en la primera interacción.
En la práctica, un agente de voz que nunca indica que es una IA, o un widget de chat que presenta un bot con un nombre humano, ejemplifica el fallo que aborda este artículo. Una página publicada que describa cómo y cuándo se informa del uso de IA, como una declaración de transparencia sobre IA, ofrece a los clientes una referencia estable, pero la obligación se cumple en la propia conversación. Esa es la parte que comprobarán los reguladores y los clientes.
Gestión de la calidad y seguimiento de agentes de alto riesgo
Si un agente es de alto riesgo, el artículo 17 exige un sistema de gestión de la calidad documentado. Este abarca una estrategia de cumplimiento, controles de diseño y desarrollo, pruebas y validación, gestión de datos, el sistema de gestión de riesgos del artículo 9, el seguimiento poscomercialización del artículo 72, la notificación de incidentes graves del artículo 73 y la conservación de registros. Cada uno de estos elementos genera evidencias, por lo que la hoja de ruta debe estructurarse en torno a ellas y no a declaraciones de políticas.
Qué deben saber las empresas estadounidenses que venden en Europa
El Reglamento abarca a los proveedores que introducen sistemas de IA en el mercado de la UE, con independencia de dónde estén establecidos. Una empresa estadounidense que despliegue un agente de asistencia para clientes de la UE, o venda un producto de IA a empresas de la UE, debe asumir que está incluida en su ámbito de aplicación y planificar a partir de las fechas europeas.
La situación en Estados Unidos es distinta por naturaleza. Una actualización jurídica centrada en ese país señala que, a fecha de 11 de octubre de 2026, ninguna ley federal regula la IA de forma general. Las obligaciones vigentes proceden de leyes estatales y municipales, incluidas las de Illinois, Texas, California y la ciudad de Nueva York, y la ley sustitutiva de Colorado SB 26-189 entra en vigor el 1 de enero de 2027. Un análisis de un despacho de abogados de julio de 2026 describe 48 leyes estatales que crean un mosaico normativo pese a los esfuerzos federales por desplazarlas, y señala el Marco de Gestión de Riesgos de IA del NIST como el principal estándar voluntario de gobernanza en Estados Unidos.
La respuesta más clara a un mosaico normativo es un estándar único. White & Case señala que, dado que varias propuestas de normas sobre IA tienen efectos extraterritoriales, las empresas internacionales pueden necesitar un enfoque de «máximo común denominador». Para los agentes que interactúan con clientes, las obligaciones de transparencia y supervisión de la UE constituyen una base razonable para todos los mercados. Esto también abarca un ámbito más amplio: el mismo observatorio señala que las leyes no específicas de IA sobre protección de datos, regulación financiera y consumo se aplican a la IA por conexión con esas materias, por lo que las normas sectoriales se suman a las específicas de IA.
Otras jurisdicciones en la hoja de ruta
Si presta servicio a clientes de Asia-Pacífico, conviene añadir algunas fechas. Un boletín regulatorio mundial de abril de 2026 informa de que la ley de IA de Vietnam entró en vigor el 1 de marzo de 2026 con una clasificación de riesgo alto, medio y bajo; de que la Ley Básica de IA de Corea del Sur entró en vigor el 22 de enero de 2026; y de que la IMDA de Singapur publicó un marco de gobernanza de IA agéntica el 22 de enero de 2026. El Reino Unido siguió otro camino y encargó a los reguladores existentes la aplicación de cinco principios de IA en lugar de aprobar una nueva ley, según el mismo observatorio de White & Case.
Cómo elaborar la hoja de ruta paso a paso
Un equipo de cumplimiento puede ejecutar esta secuencia a lo largo de 12 a 24 meses. Cada paso identifica dónde suele fallar el trabajo.
Paso 1: Inventariar todos los agentes que interactúan con clientes
Enumere cada agente, su proveedor, los canales en los que opera (chat, voz, correo electrónico, solicitudes de asistencia), los mercados a los que presta servicio y quién es su responsable. El fallo habitual es una lista incompleta: los agentes integrados en el producto de asistencia de un proveedor o incorporados por una unidad de negocio rara vez aparecen en un registro central. Lexic Compass audita agentes de IA conversacional de cualquier proveedor, lo que lo convierte en una forma práctica de probar agentes que no ha desarrollado su organización.
Paso 2: Clasificar el riesgo
Asigne a cada agente un nivel de riesgo conforme al EU AI Act y anote cualquier circunstancia que active obligaciones en virtud de leyes estatales. Un bot de preguntas frecuentes que responde a consultas sobre envíos ocupa una posición distinta a la de un agente que influye en decisiones sobre créditos, contratación o seguros. Registre el razonamiento, no solo la etiqueta, porque la clasificación es lo primero que una autoridad le pedirá que justifique.
Paso 3: Definir controles por nivel
Una propuesta académica para conciliar ISO/IEC 42001, el NIST AI RMF y el EU AI Act plantea conjuntos de controles reutilizables por nivel de riesgo y un único registro de controles que sirva para auditorías independientes, contrapartes alineadas con el NIST y autoridades de vigilancia del mercado de la UE. Para los agentes de atención al cliente, el conjunto de controles suele incluir información sobre el uso de IA, una vía operativa de derivación a una persona, normas de tratamiento de datos, pruebas de seguridad y gestión de incidentes.
Paso 4: Especificar las evidencias
El mismo artículo enumera los documentos y registros que respaldan simultáneamente la auditoría independiente, la gobernanza interna y el cumplimiento: políticas, evaluaciones de riesgos e impacto, informes de pruebas, registros de actividad y registros de incidentes. Las políticas son fáciles de redactar. Los informes de pruebas y los registros que muestran el comportamiento real son el punto débil de la mayoría de los programas.
En este paso, las pruebas independientes demuestran su valor. Lexic Compass interactúa con los agentes como lo harían usuarios reales y evalúa la experiencia del cliente, la seguridad, la fiabilidad técnica y el cumplimiento normativo. Utiliza funciones hash criptográficas de terceros para verificar la integridad de las evidencias y respaldar su trazabilidad, de modo que los hallazgos puedan sostenerse como registros y no como meras capturas de pantalla.
Paso 5: Ejecutarlo como un ciclo
El cuarto elemento del artículo es un ciclo continuo de planificar, hacer, verificar y actuar. Los agentes cambian cuando los proveedores actualizan modelos, instrucciones o bases de conocimiento, por lo que una revisión puntual queda obsoleta rápidamente. El seguimiento poscomercialización de los sistemas de alto riesgo previsto en el artículo 72 presupone precisamente este tipo de observación continua.
Dónde fallan los agentes de IA en la práctica
La revisión de políticas detecta lo que está escrito. No detecta lo que dice el agente por teléfono a las 2 de la madrugada. Nuestras auditorías revelaron que el 85% de los agentes evaluados no deriva adecuadamente los problemas a un representante humano. La derivación importa en una hoja de ruta regulatoria por tres motivos: los clientes en situaciones de angustia o con reclamaciones necesitan a una persona, los despliegues de alto riesgo dependen de una supervisión humana efectiva, y una derivación fallida es a la vez un problema de experiencia del cliente y un hallazgo de cumplimiento.
Las demás áreas recurrentes de auditoría se corresponden directamente con las obligaciones anteriores:
- Información: ¿se identifica el agente como IA en la primera interacción, en todos los canales?
- Derivación: ¿transfiere la interacción cuando corresponde, con contexto y sin atrapar al cliente en un bucle?
- Seguridad: ¿puede manipularse para que revele datos o actúe fuera de sus funciones?
- Fiabilidad: ¿ofrece respuestas coherentes y precisas en condiciones reales de conversación?
Las herramientas habituales de seguimiento suelen centrarse en métricas del sistema y paneles de los proveedores. Las pruebas independientes realizadas desde el lado del cliente muestran lo que este experimentó, que es lo que describirá un regulador o un cliente que presente una reclamación.
Perspectiva
Una hoja de ruta que termina en una carpeta de políticas es un plan para llevarse sorpresas. La fecha en que se aplica una norma importa menos que la capacidad de demostrar, en esa fecha, cómo se comportó cada agente en conversaciones reales.
Desarrollamos Lexic Compass para cubrir esa carencia. Los proveedores informan sobre sus propios agentes con sus propias herramientas. Nosotros evaluamos de forma independiente agentes de cualquier proveedor, tal como los encontraría un cliente, en las áreas de experiencia del cliente, seguridad, fiabilidad técnica y cumplimiento normativo, y aplicamos funciones hash a las evidencias a través de un tercero para que pueda verificarse su integridad.
El hallazgo de que el 85% de los agentes que evaluamos no deriva adecuadamente a una persona es la razón por la que recomendamos la supervisión independiente antes de que los reguladores o los clientes obliguen a abordar la cuestión. La gobernanza solo puede escalar si las evidencias también lo hacen.
Sergio Llorens
Cómo decidir por dónde empezar
Lexic Compass se ofrece en distintas modalidades de servicio: Flash Preview, Audit Sprint y Enterprise Continuous Trust, que abarcan desde una primera evaluación hasta la supervisión continua. Los equipos que cuentan con un inventario, pero no con evidencias de pruebas, pueden empezar por auditar los agentes que atienden a más clientes o cubren los casos de uso más regulados, y pasar después al seguimiento continuo a medida que madura la hoja de ruta. La página de Lexic Compass describe la auditoría en detalle. Los equipos que también quieran aprender de las propias conversaciones pueden consultar Lexic Pulse, que analiza las interacciones con clientes para extraer información sobre sentimiento, abandono y oportunidades.
Una plantilla de hoja de ruta de una página
Utilice esta estructura y complétela con sus propias fechas.
| Trimestre | Línea de trabajo | Resultado |
|---|---|---|
| T1 | Inventario y asignación de responsabilidades | Registro central de agentes que interactúan con clientes |
| T1 | Clasificación del riesgo | Nivel y justificación por agente, circunstancias que activan obligaciones en la UE y en los estados de EE. UU. |
| T2 | Controles de información y derivación | Controles y responsables documentados |
| T2 | Auditoría independiente de agentes prioritarios | Evidencias de pruebas y registro de hallazgos |
| T3 | Corrección de deficiencias con los proveedores | Correcciones verificadas mediante nuevas pruebas |
| T4 | Seguimiento continuo | Evidencias periódicas, procedimiento de gestión de incidentes |
| 2027 a 2028 | Preparación para los requisitos de alto riesgo | Sistema de gestión de la calidad, seguimiento poscomercialización |
Si sus agentes no son de alto riesgo, la última fila se reduce a mantener lo que ya tiene. Si alguno lo es, las fechas del 2 de diciembre de 2027 y del 2 de agosto de 2028 deben figurar de forma destacada al principio del plan.
Preguntas frecuentes
¿Se aplica el EU AI Act a una empresa estadounidense?
Sí, si introduce sistemas de IA en el mercado de la UE o si su sistema se utiliza en la UE, con independencia de dónde esté establecida su empresa. Una empresa estadounidense que utilice un agente de asistencia para clientes de la UE debe determinar primero las obligaciones de transparencia del Reglamento que le corresponden y comprobar si algún uso es de alto riesgo. Un asesor jurídico debe confirmar cómo se aplica el Reglamento a sus productos concretos.
¿Cuándo se aplican las normas sobre IA de alto riesgo?
La Comisión indica el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y el 2 de agosto de 2028 para los sistemas del anexo I integrados en productos regulados. Estas fechas sustituyeron a las anteriores tras el acuerdo Ómnibus sobre IA. Consulte el calendario de aplicación de la Comisión para comprobar si se producen cambios posteriores.
¿Existe una ley federal de IA en Estados Unidos?
No existe ninguna que regule la IA de forma general, según una actualización jurídica de octubre de 2026. Las obligaciones proceden de leyes estatales y municipales, y el Marco de Gestión de Riesgos de IA del NIST es el principal estándar voluntario. Haga un seguimiento de los estados donde tenga clientes o empleados, ya que la lista cambia continuamente.
¿Se regulan los agentes de IA de forma distinta a los chatbots?
El EU AI Act no incluye una categoría separada para los agentes. Estos se encuadran en las definiciones de sistema de IA o modelo de IA de uso general, y las obligaciones dependen del uso. Si un agente conversa con personas, se aplican las obligaciones de transparencia del artículo 50. Si es de alto riesgo, también se aplican los requisitos del capítulo III.
Fuentes
- Calendario de aplicación del EU AI Act, Servicio de Asistencia del EU AI Act
- EU AI Act, Configurar el futuro digital de Europa
- Preguntas frecuentes, Servicio de Asistencia del EU AI Act
- Reglamento (UE) 2024/1689, EUR-Lex
- ¿Se me aplica? Guía para emprendedores, FOD Economie
- AI Watch: observatorio regulatorio mundial, White & Case
- Cumplimiento y ejecución en la regulación mundial de la IA, Foley & Lardner
- Actualización regulatoria mundial sobre IA, abril de 2026, Eversheds Sutherland
- Elabore su hoja de ruta para una gobernanza de la IA eficaz, Reworked
- La UE aplazó el EU AI Act 16 meses, AcadeResearch
- Regulación de la IA para asesores jurídicos internos en 2026, Vaquill
- Conexión entre marcos de riesgos de IA, arXiv
- Declaración de transparencia sobre IA