2026: la regulación de IA ya no es un asunto europeo. Durante años, «regulación de IA» fue sinónimo de una sola cosa — el EU AI Act. Eso terminó. Cualquier organización que desarrolle o despliegue IA debe razonar hoy sobre un mosaico de regímenes que la alcanzan desde varias direcciones a la vez.
España creó AESIA, la primera autoridad nacional de supervisión de IA de la Unión Europea. La AI Basic Act de Corea del Sur entró en vigor en enero de 2026 — una de las primeras leyes integrales de IA basadas en riesgo del mundo. Singapur convirtió su Model AI Governance Framework y el toolkit AI Verify en la referencia de facto de Asia. EAU y Qatar avanzan a toda velocidad en estrategia de IA mientras sus normas vinculantes viven todavía en la ley de datos. Y en Latinoamérica — Argentina, Brasil, Chile, Perú — las leyes de datos se modernizan hacia la adecuación europea mientras los primeros proyectos de IA avanzan en los congresos. El resultado no es un marco. Son muchos, con distintos niveles de madurez y en relojes distintos.
La trampa: tratar un problema técnico como un problema de papeles
Ante esto, la mayoría recurre al área legal. Se redactan políticas, se nombran roles, se responden cuestionarios. Trabajo necesario — pero que se detiene justo en la pregunta que hoy hacen reguladores, auditores y equipos de seguridad enterprise: «Demuéstrenme que realmente probaron este sistema frente a estos riesgos — y prueben que el resultado es reproducible.» Los papeles no responden eso. La evidencia, sí.
El mapa: un recorrido por cuatro regiones
Europa y España
Desde el 2 de agosto de 2026 aplican los deberes de transparencia del Art. 50 del EU AI Act, sus reglas de IA de propósito general y el régimen de sanciones. Las obligaciones de alto riesgo (Anexo III) — gestión de riesgos, registro, supervisión humana, resiliencia frente a envenenamiento de datos y de modelo — se difirieron a diciembre de 2027 por el Digital Omnibus, señal de lo rápido que se mueve este blanco. AESIA, creada por el Real Decreto 729/2023, es la primera autoridad nacional en aplicarlo, junto con la LOPDGDD y el Esquema Nacional de Seguridad (ENS).
Latinoamérica
La Ley 25.326 argentina se moderniza hacia una adecuación tipo-GDPR, y la autoridad de datos (AAIP) publicó un programa nacional y una guía para una IA responsable. Brasil combina la vinculante LGPD con el PL 2338 — un proyecto de ley de IA basado en riesgo, aprobado por el Senado en diciembre de 2024 y hoy en la Cámara de Diputados. La ley de datos ya es vinculante; la de IA está llegando rápido.
El Golfo
EAU (Estrategia de IA 2031, el blueprint de Dubái, un ministerio de IA) y Qatar están entre los Estados más AI-forward del mundo — y sin embargo sus obligaciones vinculantes siguen residiendo en la ley de datos: la PDPL emiratí, la DIFC Data Protection Law y la PDPPL catarí, la primera del Golfo. Las reglas específicas de IA siguen siendo, por ahora, basadas en principios.
Asia-Pacífico
La AI Basic Act de Corea es el titular: integral, basada en riesgo, con deberes de transparencia para IA generativa, en vigor desde enero de 2026. Singapur lidera en gobernanza operativa con su Model AI Governance Framework y AI Verify — un toolkit hecho para probar propiedades de gobernanza en sistemas de IA. Malasia publicó guías nacionales de gobernanza y ética y creó una Oficina Nacional de IA.
El hilo común: es un problema de evidencia
Al leerlas todas — ley dura y soft — las exigencias convergen: gestionar el riesgo del ciclo de vida, ser transparente, mantener un humano en el circuito, poder clasificar y reportar incidentes, y responder por la cadena de suministro. Y, sobre todo, poder demostrar que se hizo — de forma reproducible.
Dos estándares internacionales se volvieron el lenguaje compartido para esa demostración: ISO/IEC 42001 — el primer sistema de gestión de IA certificable — y el NIST AI Risk Management Framework. Auditores y compradores enterprise los aceptan de São Paulo a Seúl.
El vacío que queda no es falta de políticas. Es la falta de prueba técnica y reproducible de que esas políticas se corresponden con un sistema que efectivamente fue probado.
Dónde encaja AI-Egis: la capa técnica de evidencia
AI-Egis — la AI Exploitation & Governance Intelligence Suite — no es cumplimiento-en-una-caja, ni un producto legal. Es la capa técnica de evidencia debajo de estos regímenes. Ejecuta testing adversario sistemático y autónomo sobre 21 dominios de riesgo — inyección de prompts, fuga de datos, abuso de herramientas, sobrealcance de agentes, envenenamiento de memoria, exploits de cadena de suministro y del Model Context Protocol — y mapea cada hallazgo a los controles que cada región reconoce:
EU AI Act · ISO/IEC 42001 · NIST AI RMF · OWASP LLM Top 10 · OWASP Agentic Top 10 · CSA MAESTRO · Databricks DASF · MITRE D3FEND · NIS2 · DORA
Cada evaluación es reproducible: una cinta (tape) — una semilla y un hash criptográfico por cada llamada al modelo — más un reporte estandarizado SARIF hacen que el mismo test se reproduzca idéntico el próximo trimestre. Esa reproducibilidad es exactamente lo que exigen las obligaciones de registro y la pregunta «pruébenlo», y es algo que ni un documento de política ni una revisión humana puntual pueden ofrecer.
Como ISO/IEC 42001 y el NIST AI RMF se reconocen en los nueve mercados, AI-Egis produce evidencia creíble hoy — incluso donde la ley de IA es soft. Donde hay ley dura, el mapa se extiende naturalmente: la ley coreana refleja la lógica europea que AI-Egis ya codifica; AI Verify de Singapur es un aliado de testing de gobernanza que su evidencia complementa; y AESIA aplica el mismo Reglamento que AI-Egis mapea.
El límite es honesto. AI-Egis produce la evidencia. Definir el rol legal, ejecutar programas de alfabetización en IA y negociar cláusulas contractuales quedan en tus socios legales y de GRC. AI-Egis es la capa que vuelve su trabajo demostrable — y repetible.
La conclusión
En un mundo de muchos marcos, la estrategia perdedora es perseguir cada uno con más papeles. La ganadora es construir un único cuerpo de evidencia técnica reproducible que hable el idioma que todos ya aceptan. Para eso está AI-Egis.
¿Quién obliga? — fuentes oficiales
Los instrumentos listados establecen deberes vinculantes (Vinculante) o guías voluntarias influyentes (Soft). Estado a agosto de 2026 — los plazos regulatorios siguen evolucionando; conviene verificarlos antes de basarse en ellos.
Seguimos en contacto
- Empresa: i-314 Security Research
- Web: https://i-314.com
- Email: [email protected]
- LinkedIn: linkedin.com/company/i314
Publicado originalmente en LinkedIn.
Seguí leyendo
- Zero Trust para IA no es un muro — son dos planos y un auditor
- El bug silencioso de Hadamard: inicializar los qubits «como siempre» destruye tu modelo de riesgo
- Anatomía de un agente de investigación IA que no alucina
- Captura del OWASP FinBot CTF: Una Metodología Source-Aware para Red Teaming de IA Agéntica
AI red-teaming, seguridad de IA agéntica y criptografía post-cuántica. LinkedIn