Radar Regulatorio
Novedades de regulación de IA y protección de datos, región por región: UE, EEUU, Asia, Latinoamérica y otros países, con las medidas de cada uno. Sin ruido: solo los cambios relevantes.
Resumen orientativo, no asesoramiento legal. Las leyes en trámite pueden cambiar: comprueba el estado actual en las fuentes enlazadas y, cuando sean secundarias, el texto oficial o con un asesor antes de decidir.
Unión Europea 21
Instituciones de la UE
Data Act: datos de productos conectados y cambio de proveedor cloud
El Data Act se aplica desde el 12 de septiembre de 2025, con disposiciones y transiciones específicas que deben revisarse. Regula acceso e intercambio de datos de productos conectados, cláusulas abusivas y cambio de servicios de tratamiento de datos. No sustituye al RGPD ni permite usar datos personales sin restricciones. Identifica el capítulo aplicable antes de modificar un contrato.
Fuentes oficiales: Comisión Europea · Data Act. Alcance contrastado el 4 de noviembre de 2026.
Nuevas prohibiciones y transición del marcado de contenido sintético
El calendario de la Comisión sitúa el 2 de diciembre de 2026 la aplicación de las nuevas prohibiciones sobre ultrafalsificaciones sexuales no consentidas y material de abuso sexual infantil. Ese día termina también la transición del artículo 50.2 para determinados sistemas generativos ya comercializados antes del 2 de agosto de 2026. No es una prórroga general de todas las obligaciones de transparencia.
Fuentes oficiales: Comisión Europea · AI Act Service Desk. Alcance contrastado el 4 de noviembre de 2026.
Directrices conjuntas RGPD y AI Act del CEPD y la Comisión
El Comité Europeo de Protección de Datos y la Comisión preparan unas directrices sobre cómo encajan el RGPD y el AI Act, previstas para finales de 2026. La CNIL francesa ya ha pedido que incluyan recomendaciones específicas para quien desarrolla y quien despliega IA agéntica. Hasta entonces, la referencia son las guías nacionales (AEPD, CNIL).
Fuente: Covington. Comprobado el 1 nov. 2026.
Ómnibus digital de datos (RGPD, cookies, Data Act): el Consejo fija su posición
Es la otra mitad del Digital Omnibus, distinta de la que modificó el AI Act. Propone cambios en el RGPD (notificación de brechas, solicitudes de acceso, datos para entrenar IA), en las reglas de cookies y en el Data Act. El Consejo acordó su posición negociadora el 21 de octubre de 2026; el Parlamento Europeo aún no ha votado la suya, así que no hay texto final. Hoy siguen aplicándose el RGPD y las reglas de cookies actuales.
Fuente: Consejo de la UE. Comprobado el 31 oct. 2026.
EN 18286: presunción limitada a los requisitos que cubre
La publicación de EN 18286:2026 mediante la Decisión 2026/2274 da presunción de conformidad con los requisitos de gestión de calidad del artículo 17 cubiertos por la norma. No acredita el cumplimiento de todo el AI Act ni sustituye a ISO/IEC 42001. Comprueba su alcance para el sistema que vas a evaluar.
Fuentes oficiales: Comisión Europea · EN 18286. Alcance contrastado el 4 de noviembre de 2026.
Artículo 50: transparencia según tu papel y el uso
Las reglas de transparencia se aplican desde el 2 de agosto de 2026. Identifica si tu papel exige informar de la interacción con IA, marcar contenido generado o revelar determinados contenidos sintéticos. Revisa alcance y excepciones en las guías oficiales; la transición al 2 de diciembre afecta a determinadas obligaciones del artículo 50.2, no a todo el artículo.
Fuentes oficiales: Comisión Europea · AI Act Service Desk · Comisión Europea · AI Act. Alcance contrastado el 4 de noviembre de 2026.
Supervisión de proveedores GPAI por la Comisión
La Oficina de IA de la Comisión dispone de facultades de supervisión sobre modelos GPAI, incluidas solicitudes de documentación, evaluaciones y medidas correctoras. Distingue las obligaciones del proveedor del modelo de las de quien utiliza un sistema de terceros. Revisa las disposiciones transitorias antes de asumir una misma fecha para todos los modelos.
Fuentes oficiales: Comisión Europea · AI Act · Comisión Europea · AI Act Service Desk. Alcance contrastado el 4 de noviembre de 2026.
El aplazamiento del alto riesgo no suspende las demás obligaciones
El calendario oficial fija el 2 de diciembre de 2027 para sistemas de alto riesgo del Anexo III y el 2 de agosto de 2028 para los integrados en productos regulados del Anexo I. Agosto de 2026 incluye transparencia, medidas de innovación y supervisión de las disposiciones aplicables. Prohibiciones, alfabetización y GPAI tienen hitos anteriores propios: el aplazamiento no es una exención general.
Fuentes oficiales: Comisión Europea · AI Act Service Desk. Alcance contrastado el 4 de noviembre de 2026.
Directrices de alto riesgo: los sistemas agénticos se evalúan como un todo
La Comisión publicó el borrador de directrices para clasificar sistemas de alto riesgo (art. 6). Aclara que, si varios componentes o agentes coordinan acciones que juntas sirven a un uso de alto riesgo del Anexo III, se evalúa el conjunto como un único sistema: repartir la tarea entre agentes no saca al sistema del alto riesgo. La versión final se espera para finales de 2026.
Fuentes: Comisión Europea · Arthur Cox. Comprobado el 1 nov. 2026.
Transposición de NIS2 sigue desigual entre estados miembros
No todos los países de la UE han completado la transposición nacional de la Directiva NIS2 al mismo ritmo, si operas en varios países europeos, conviene revisar el estado concreto en cada jurisdicción, no asumir una fecha única para toda la UE.
España
El proyecto de ley orgánica de gobernanza de la IA caducó con la disolución de las Cortes
El proyecto de ley orgánica para el buen uso y la gobernanza de la IA (aprobado por el Consejo de Ministros el 26 de mayo de 2026) caducó el 6 de octubre de 2026, al disolverse las Cortes por el Real Decreto 806/2026 y convocarse elecciones generales para el 29 de noviembre. España sigue sin ley propia que fije autoridades y sanciones nacionales del AI Act; el nuevo Gobierno tendrá que volver a presentarla. El AI Act se sigue aplicando igual, porque es un reglamento europeo, y la AESIA sigue existiendo.
Fuente: BOE (Real Decreto 806/2026) y regulacionia.com. Comprobado el 31 oct. 2026. Más contexto en nuestro artículo.
NIS2: España, ante el Tribunal de Justicia de la UE, sigue sin ley de transposición
La Ley de Coordinación y Gobernanza de la Ciberseguridad, que debe transponer NIS2, no se ha publicado en el BOE. La Comisión Europea llevó a España ante el TJUE en julio de 2026 y pide una multa a tanto alzado y otra diaria. Con la disolución de las Cortes, la ley no avanzará hasta la nueva legislatura. Mientras, sigue aplicándose el Real Decreto-ley 12/2018.
Fuente: DSI. Comprobado el 31 oct. 2026. Qué empresas están obligadas.
16 guías oficiales para cumplir el AI Act, más 12 checklists
El Ministerio para la Transformación Digital publicó 16 guías (primera versión en diciembre de 2025, actualizadas en junio y julio de 2026 por el Digital Omnibus) y 12 checklists de autodiagnóstico, una por requisito. No son vinculantes y llevan licencia Creative Commons. Las explicamos y las ordenamos en un artículo.
Fuentes: AESIA. Comprobado el 13 oct. 2026 en los propios PDF.
La AEPD publica sus orientaciones sobre IA agéntica
Documento de 81 páginas sobre el uso de agentes de IA en tratamientos de datos personales. Considera la gobernanza específica de los sistemas agénticos, durante todo su ciclo de vida, la medida más importante. Pide analizar el riesgo de cada tratamiento con agentes, implicar al delegado de protección de datos, controlar la memoria del agente y diseñar pensando en que habrá errores.
Fuentes: AEPD · Guía (PDF). Comprobado el 1 nov. 2026.
Alemania
Proyecto de ley que designa a la Bundesnetzagentur como autoridad central
El gobierno alemán aprobó en febrero de 2026 el proyecto de ley que aplica el AI Act (KI-MIG). La agencia federal de redes (Bundesnetzagentur) sería la autoridad de vigilancia y el punto de contacto único; BaFin y otras autoridades supervisarían sus sectores. Aún debe pasar por el Bundesrat y el Bundestag: comprueba si ya es ley.
Fuentes: AI Regulation · Artificial Intelligence Act: national implementation plans. Comprobado el 13 oct. 2026.
Francia
La CNIL publica una nota sobre IA agéntica y protección de datos
La CNIL, junto al consejo francés de IA y digital, plantea pistas, no exigencias: poder reconstruir cada flujo de decisión (datos, agentes y servicios usados), separar y caducar la memoria por agente, pedir aprobación humana para las acciones de más riesgo, ejecutar en entornos aislados y ofrecer un botón de parada al usuario.
Fuente: Covington. Comprobado el 1 nov. 2026.
Modelo descentralizado, con la DGCCRF como coordinadora
Francia plantea repartir la supervisión entre las autoridades que ya existen en cada sector, con la DGCCRF (competencia, consumo y fraude) como coordinadora y punto de contacto único. Se basa en una propuesta legislativa; la Comisión lo lista con la decisión final pendiente (septiembre de 2026).
Fuentes: Artificial Intelligence Act, national implementation plans · Comisión Europea, autoridades de vigilancia. Comprobado el 13 oct. 2026.
Italia
Ley 132/2025: la agencia de ciberseguridad (ACN) supervisa la IA
Italia cerró su diseño con la Ley 132/2025, en vigor desde el 10 de octubre de 2025. La Agencia Nacional de Ciberseguridad (ACN) es la autoridad de vigilancia y el punto de contacto único, y la Agencia para la Italia Digital (AgID) es la autoridad notificante.
Fuentes: Artificial Intelligence Act, national implementation plans · Comisión Europea, autoridades de vigilancia. Comprobado el 13 oct. 2026.
Países Bajos
Reparto entre 10 autoridades sectoriales; coordina la inspección digital (RDI)
Los Países Bajos reparten la supervisión entre diez autoridades sectoriales. La Autoridad de Protección de Datos y la Inspección de Infraestructura Digital (RDI) coordinan, y la RDI es el punto de contacto único. Hay un proyecto de ley publicado en abril de 2026.
Fuentes: Artificial Intelligence Act, national implementation plans · Comisión Europea, autoridades de vigilancia. Comprobado el 13 oct. 2026.
Irlanda
15 organismos existentes supervisan la IA; oficina nacional de IA en camino
Irlanda designó quince organismos ya existentes como autoridades de vigilancia (Instrumento Estatutario 366/2025, en vigor). Prevé una Oficina Nacional de IA como punto de contacto único; la Comisión ya la lista como autoridad en septiembre de 2026.
Fuentes: Artificial Intelligence Act, national implementation plans · Comisión Europea, autoridades de vigilancia. Comprobado el 13 oct. 2026.
Dinamarca
Ley 467: la Agencia de Gobierno Digital coordina la supervisión
Dinamarca fue de los primeros en hacerlo: su Ley 467 está en vigor desde el 2 de agosto de 2025. La Agencia Danesa de Gobierno Digital es la autoridad notificante, la coordinadora y el punto de contacto único; la Autoridad de Protección de Datos y la Administración de Tribunales también supervisan.
Fuentes: Artificial Intelligence Act, national implementation plans · Comisión Europea, autoridades de vigilancia. Comprobado el 13 oct. 2026.
Estados Unidos 1
Estados Unidos
Sin ley federal de IA: Colorado rebaja y aplaza su ley, y las leyes estatales siguen en vigor
EEUU sigue sin ley federal de IA y el Congreso no ha anulado las leyes estatales. Colorado sustituyó en mayo de 2026 su ley de 2024 por un marco más estrecho centrado en avisos (SB 26-189), que entra en vigor el 1 de enero de 2027 junto con una ley de chatbots (HB 26-1263); el plazo de comentarios a sus reglamentos cerró el 26 de octubre de 2026 y las reglas finales deben estar antes de esa fecha; la FTC propuso en julio una declaración que cuestiona si esa ley puede chocar con la normativa federal. California SB 53 (en vigor desde enero de 2026) y las leyes de Texas e Illinois siguen aplicándose. El NIST AI RMF sigue siendo el vocabulario de referencia. Fuentes: Morrison Foerster · Arnold & Porter. Comprobado el 1 nov. 2026.
Asia 7
Corea del Sur
Ley Básica de IA: avisos, etiquetado y reglas para IA de alto impacto
Corea del Sur aplica su Ley Básica de IA desde el 22 de enero de 2026, también a empresas extranjeras. Hay que avisar de que se usa IA, etiquetar el contenido generado que pueda confundirse con real y, en sectores como salud, empleo o transporte, evaluar el impacto, mantener supervisión humana y documentar. Las empresas extranjeras grandes deben nombrar un representante local. Multas de hasta 30 millones de wones (unos 21.000 US$); el Ministerio ha indicado un año de gracia antes de multar.
Fuentes: Cooley. Comprobado el 13 oct. 2026.
Japón
Ley de promoción de la IA, Plan Básico y guías no vinculantes
Japón no impone obligaciones generales ni sanciones con su Ley de promoción de la IA (en vigor desde junio de 2025): fija principios y crea un órgano estratégico. El Gobierno aprobó el nuevo Plan Básico de IA el 14 de julio de 2026, y las Guías de IA para empresas v1.2 (31 de marzo de 2026) son una referencia voluntaria.
Fuentes: Vorp Labs. Comprobado el 13 oct. 2026.
China
Etiquetado obligatorio del contenido generado por IA y registro de algoritmos
China exige desde el 1 de septiembre de 2025 etiquetas visibles y marcas en los metadatos en el contenido generado por IA. Se suman las medidas de 2023 para la IA generativa de cara al público, el registro de algoritmos y una referencia a la IA en la reforma de 2025 de la Ley de Ciberseguridad. No hay todavía una ley integral de IA: el plan legislativo del Consejo de Estado de 2026 habla de acelerarla.
Fuentes: Legal 500. Comprobado el 13 oct. 2026.
India
Reglas de TI: etiquetado de contenido sintético y retirada en 3 horas
India modificó sus Reglas de Tecnología de la Información (notificadas el 10 de febrero, en vigor desde el 20 de febrero de 2026). El contenido sintético permitido debe llevar etiqueta visible y marcas permanentes de origen, y las plataformas no deben permitir quitarlas. Las órdenes de retirada del Gobierno o de un tribunal se cumplen en 3 horas, antes eran 36.
Fuentes: Hogan Lovells. Comprobado el 13 oct. 2026.
Singapur
Marco de gobernanza para IA agéntica (voluntario)
Singapur presentó el 22 de enero de 2026 su marco para IA agéntica, de la autoridad IMDA. No es ley. Se apoya en cuatro ideas: limitar los riesgos desde el principio, mantener responsables humanos con puntos de aprobación, aplicar controles técnicos y dar transparencia y capacidad de apagar al usuario. Singapur sigue apoyándose sobre todo en guías voluntarias.
Fuentes: Mondaq · Linklaters. Comprobado el 13 oct. 2026.
Vietnam
Ley de IA por niveles de riesgo, con un año de gracia
Vietnam aprobó una Ley de IA en vigor desde el 1 de marzo de 2026, con un año de gracia. Clasifica los sistemas en riesgo alto, medio y bajo. Los de alto riesgo necesitan una evaluación de conformidad antes de usarse y avisar al Ministerio de Ciencia y Tecnología; los de riesgo medio tienen sobre todo deberes de transparencia.
Fuentes: Linklaters. Comprobado el 13 oct. 2026.
Taiwán
Ley Básica de IA: siete principios y pocas obligaciones por ahora
Taiwán tiene su Ley Básica de IA en vigor desde el 14 de enero de 2026. Fija siete principios (transparencia, explicabilidad, responsabilidad…). Para las empresas, la única obligación por ahora es avisar en los productos de IA que el Gobierno considere de alto riesgo; el Ministerio de Asuntos Digitales debe definir esa clasificación, y se esperan más obligaciones después.
Fuentes: Linklaters. Comprobado el 13 oct. 2026.
Latinoamérica 8
Brasil
PL 2338/2023: sigue siendo un proyecto
La ficha de la Cámara sitúa el proyecto en la comisión especial, pendiente del parecer del relator. No es una ley de IA vigente. Para planificar controles, diferencia las propuestas del proyecto de las obligaciones aplicables de protección de datos; no uses una previsión de votación como fecha de cumplimiento.
Fuentes oficiales: Câmara dos Deputados · PL 2338/2023. Alcance contrastado el 4 de noviembre de 2026.
México
IA con datos personales: revisar la ley de 2025
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó el 20 de marzo de 2025. Los proyectos de IA no sustituyen este régimen. Antes de usar datos personales con un proveedor, revisa finalidad, información al titular, seguridad y transferencias conforme al texto aplicable. Esta entrada verifica la referencia de privacidad del sector privado; no certifica el estado de todas las iniciativas de IA.
Fuentes oficiales: Cámara de Diputados · LFPDPPP. Alcance contrastado el 4 de noviembre de 2026.
Chile
Ley 21.719: entrada en vigor el 1 de diciembre de 2026
La reforma de protección de datos y la creación de la Agencia tienen entrada en vigor prevista para el 1 de diciembre de 2026. Es un hito distinto del proyecto de IA de los boletines 16821-19 y 15869-19, que la Cámara registra en segundo trámite constitucional. Prioriza inventario de tratamientos, bases de uso, derechos, contratos y responsables; no presentes el proyecto de IA como ley vigente.
Fuentes oficiales: Biblioteca del Congreso Nacional · Ley 21.719 · Cámara de Diputadas y Diputados · Boletín 16821-19. Alcance contrastado el 4 de noviembre de 2026.
Perú
Ley 31814: reglamento y aplicación por alcance
El Decreto Supremo 115-2025-PCM, publicado el 9 de septiembre de 2025, aprueba el reglamento de la Ley 31814. Su disposición final fija la vigencia a los 90 días hábiles siguientes a la publicación. El marco distingue usos según riesgo; revisa qué disposiciones alcanzan a tu organización y los plazos específicos antes de tratar todos los controles como obligaciones inmediatas e idénticas.
Fuentes oficiales: PCM · Decreto Supremo 115-2025-PCM. Alcance contrastado el 4 de noviembre de 2026.
Uruguay
Convenio de IA: firma no equivale a ratificación
El Consejo de Europa confirma que Uruguay firmó el Convenio Marco sobre IA el 2 de septiembre de 2025. La noticia acredita la firma, no la ratificación ni una fecha de aplicación nacional. Si necesitas determinar obligaciones derivadas del tratado, comprueba por separado ratificación, entrada en vigor y medidas internas.
Fuentes oficiales: Consejo de Europa · firma de Uruguay. Alcance contrastado el 4 de noviembre de 2026.
Argentina
Ley 25.326: datos personales también en proyectos de IA
El texto actualizado de la Ley 25.326 sigue siendo una referencia para evaluar el tratamiento de datos personales. Antes de reutilizar una base en una solución de IA, revisa finalidad, calidad, información, seguridad y derechos de las personas. Esta entrada se limita a esa referencia de privacidad y no pretende descartar regulaciones sectoriales o cambios en proyectos de IA.
Fuentes oficiales: Argentina · Ley 25.326, texto actualizado. Alcance contrastado el 4 de noviembre de 2026.
Colombia
Circular 002 de 2024: datos personales en sistemas de IA
La SIC publicó el 21 de agosto de 2024 instrucciones sobre tratamiento de datos personales en sistemas de IA. Es una referencia específica que debe leerse junto al régimen de protección de datos aplicable; no basta con indicar que no hay una ley general de IA. Revisa el papel de responsable o encargado, las medidas de seguridad y la responsabilidad demostrada para tu tratamiento concreto.
Fuentes oficiales: SIC · Circular Externa 002 de 2024. Alcance contrastado el 4 de noviembre de 2026.
Paraguay
Ley 7593/2025: preparar la transición en protección de datos
La Biblioteca del Congreso publica la Ley 7593/2025 de protección de datos personales. Su artículo 57 establece la entrada en vigor 24 meses después de su publicación oficial; no debe etiquetarse como plenamente aplicable por la fecha de actualización de la página. El artículo 60 prevé reglamentación en ese período. Prepara inventario y responsables y contrasta publicación oficial, reglamentos y plazos antes de calcular una fecha concreta.
Fuentes oficiales: Biblioteca del Congreso Nacional · Ley 7593/2025. Alcance contrastado el 4 de noviembre de 2026.
Otros países 4
Reino Unido
Sin ley de IA: principios y reguladores existentes, y una ley de sandboxes anunciada
El Reino Unido no tiene una ley específica de IA ni ha publicado ningún borrador. Aplica cinco principios generales a través de los reguladores de cada sector (ICO, CMA, FCA y Ofcom). La ley de 2025 sobre datos cambió las reglas de decisiones automatizadas, y el ICO anunció un código sobre IA y decisiones automatizadas. En mayo de 2026 el Gobierno anunció una "Regulating for Growth Bill" con poderes de sandbox para probar productos relajando temporalmente algunas normas.
Fuentes: RPC. Fuente con fecha 1 jun. 2026.
Suiza
Incorporará el convenio del Consejo de Europa y regulará por sectores
El Consejo Federal decidió el 12 de febrero de 2025 llevar a la ley suiza el Convenio del Consejo de Europa sobre IA. Los cambios serán por sectores siempre que sea posible, y solo habrá normas generales en derechos fundamentales como la protección de datos. Se añadirán medidas no vinculantes, como acuerdos del sector. Se espera un borrador para consulta a finales de 2026.
Fuentes: BAKOM (Suiza). Comprobado el 13 oct. 2026.
Canadá
Sin ley federal de IA: la AIDA caducó y se aplica la privacidad
La ley federal de IA propuesta (AIDA) murió al disolverse el Parlamento el 6 de enero de 2025, y el ministro ha dicho que no volverá tal cual. En febrero de 2026 el Gobierno publicó un resumen de consulta, que no es un proyecto de ley. Mientras tanto se aplican la ley federal de privacidad (PIPEDA), la ley 25 de Quebec (decisiones automatizadas; multas de hasta 10 M de dólares canadienses o el 2 % de la facturación) y un código voluntario para IA generativa.
Fuentes: Compliance Hub. Fuente con estado a agosto de 2026.
Australia
Plan Nacional de IA: sin normas obligatorias específicas, se usan las leyes actuales
El Plan Nacional de IA, presentado el 2 de diciembre de 2025, define tres objetivos: desarrollar la capacidad de IA, extender sus beneficios y proteger a la población. Describe la dirección del Gobierno y su enfoque regulatorio; para determinar obligaciones concretas hay que consultar la legislación aplicable y las guías oficiales de cada sector.
Fuentes: Gobierno de Australia: National AI Plan. Enlace revisado el 3 nov. 2026.