Septiembre fue el mes en que la regulación de IA dejó de ser un borrador — y el problema es que está escrita pensando en OpenAI, no en tu equipo

Durante dos años el debate sobre regulación de IA fue exactamente eso: un debate. Borradores, consultas públicas, promesas de que "algo había que hacer" y posturas contradictorias según el país, el partido y el lobby que tuviera el micrófono. Septiembre 2026 cambió eso. La Unión Europea arrancó auditorías formales de sistemas de IA de alto riesgo bajo el AI Act. China amplió el alcance de sus inspecciones de IA generativa. Brasil votó en el Senado su propia ley de inteligencia artificial. La regulación pasó de borrador a factura.

Y ahí empieza el problema real.

De quién están hablando estas leyes

El AI Act europeo, la EO californiana, la ley brasileña —todas están escritas desde el mismo punto de partida: un modelo de lenguaje grande, entrenado con datos de millones de personas, desplegado a escala masiva por una empresa con recursos para contratar abogados especializados en cumplimiento. El regulador imaginó a OpenAI, a Google, a Anthropic. Imaginó la interfaz de chat que usa tu sobrino para hacer la tarea.

No imaginó al equipo de cinco personas de una clínica que bajó un modelo de código abierto para clasificar historias clínicas internamente. No imaginó la startup colombiana que corre Ollama en un VDS para darle búsqueda semántica a su propia base de datos. No imaginó la empresa de medios que tiene un modelo local para resumir artículos antes de que lleguen al editor.

Todos esos casos caen bajo el paraguas de "sistema de IA" en la redacción actual. Algunos, dependiendo de la aplicación, califican como "alto riesgo" bajo el AI Act —lo que activa requisitos de auditoría, documentación técnica, supervisión humana obligatoria y registro en bases de datos de la UE. No es un proceso trivial. Y la multa por incumplimiento puede llegar hasta el 3% de la facturación global de la empresa.

El efecto real en quien opera infraestructura propia

La ironía es que quien más riesgo tiene de quedar atrapado en estas reglas es exactamente quien hizo la apuesta correcta: el equipo que decidió no depender de los APIs de los grandes, que montó su propio servidor, que tiene control real sobre sus datos.

Correr tu propio modelo en tu propia infraestructura es la decisión que tiene más sentido desde la perspectiva de privacidad, costo a largo plazo y control operativo. Pero regulatoriamente, esa misma decisión te convierte en el "proveedor del sistema de IA" —con todas las obligaciones que eso implica— en vez de ser simplemente un usuario del API de un tercero que es el que carga con el cumplimiento.

Dicho de otra forma: si usás ChatGPT, OpenAI carga con el peso regulatorio. Si montás tu propio modelo, ese peso es tuyo.

Lo que no está resuelto todavía

Las leyes existen, pero su aplicación práctica todavía está llena de grises. ¿Un modelo que solo procesa datos internos de tu empresa califica como "sistema de IA de alto riesgo"? Depende de qué se entiende por "impacto en personas" —una pregunta que los abogados de compliance europeos están discutiendo activamente y sin consenso.

Lo que sí está claro es que la fase de "nadie va a venir a revisar esto" terminó. La Comisión Europea tiene ahora autoridades nacionales de supervisión activas con mandato de auditar. China ya está inspeccionando activamente. El Estado de California tiene su kill switch para modelos grandes en los libros.

Mi lectura: el primer año de enforcement va a concentrarse en los actores grandes y visibles, como pasa siempre con regulación nueva. Pero la precedencia que se siente en los primeros casos va a definir qué le aplica a quien viene después. Ignorar esto ahora es una apuesta que puede salir bien —o puede salir muy mal cuando llegue tu turno.

Para quien está evaluando montar infraestructura de IA propia hoy, la pregunta relevante no es solo "¿puedo costear el servidor?" sino "¿sé qué marco regulatorio aplica a lo que voy a correr ahí?" Son preguntas distintas, y en 2026 ambas necesitan respuesta antes de arrancar.

Si la parte técnica de correr tu propio modelo todavía no la tenés resuelta, acá tenemos una guía concreta sobre cómo montar Ollama con API propia y conectar tus apps a tu propio modelo sin pagar por token — que es exactamente el tipo de setup del que estamos hablando en este artículo.