Mejor IA de código abierto

El AI Act y los modelos de código abierto: qué debe hacer una empresa que ajusta uno

El Reglamento de IA concede a los modelos de código abierto una exención parcial, y la mayoría de las empresas que ajustan uno nunca se convierten en proveedoras de un modelo nuevo. Una lectura de los artículos, de las orientaciones de la Comisión y del Ómnibus de 2026, con una lista de comprobación final.

Por La redacción · Actualizado el · 8 min de lectura

Una responsable de cumplimiento y un ingeniero revisan un reglamento impreso con pestañas en un escritorio junto a una ventana alta de una oficina europea.
Para la mayoría de las empresas, lo que el AI Act pide en torno a los modelos abiertos es documentación, no prohibición.
Contenido
  1. La pregunta detrás de la búsqueda
  2. Cómo trata el Reglamento a la IA de código abierto
  3. Qué cambia cuando una empresa ajusta un modelo
  4. Las fechas
  5. La protección de datos
  6. Lista de comprobación para una empresa que ajusta un modelo abierto
  7. Preguntas frecuentes
  8. Fuentes

La pregunta detrás de la búsqueda

Una empresa europea que traslada su trabajo con IA a un modelo de pesos abiertos y después lo entrena con sus propios datos tiene una duda razonable: si eso la convierte en proveedora de un modelo de IA, con las obligaciones que conlleva. El Reglamento de IA es extenso, ya se ha modificado una vez y buena parte de lo que se escribe sobre él trata de los grandes laboratorios, no de las empresas que adaptan sus modelos. Esta guía lee los artículos pertinentes y las orientaciones de la Comisión para ese caso concreto. Es un resumen orientativo, no asesoramiento jurídico.

Cómo trata el Reglamento a la IA de código abierto

El Reglamento distingue entre sistemas de IA, las aplicaciones que usan las personas, y modelos de IA de uso general, los modelos sobre los que se construyen esos sistemas⁠1.

Sistemas de código abierto. El artículo 2, apartado 12, establece que el Reglamento no se aplica a los sistemas de IA publicados con licencias libres y de código abierto, salvo que se comercialicen como sistemas de alto riesgo o entren en las prácticas prohibidas del artículo 5 o en las obligaciones de transparencia del artículo 50⁠1.

Modelos de código abierto. Para los modelos de uso general, el artículo 53, apartado 2, exime a los proveedores de modelos publicados con licencia libre y de código abierto de las obligaciones de documentación técnica del artículo 53, apartado 1, letras a) y b). El artículo 54, apartado 6, suprime la obligación de los proveedores de fuera de la UE de designar un representante autorizado. Ninguna de las dos exenciones se aplica a los modelos con riesgo sistémico⁠1.

Lo que sigue aplicándose. Todo proveedor de un modelo de uso general, abierto o no, debe establecer una política para cumplir el derecho de autor de la UE y publicar un resumen suficientemente detallado del contenido usado en el entrenamiento, conforme al artículo 53, apartado 1, letras c) y d). El considerando 104 confirma que la exención para el código abierto no cubre estas dos obligaciones⁠1.

Qué cuenta como abierto. El considerando 102 vincula la apertura a que los parámetros, los pesos, la arquitectura y la información de uso sean públicos. El considerando 103 excluye los componentes que se ofrecen a cambio de un precio o se monetizan de otro modo, y aclara que publicarlos en repositorios abiertos no constituye por sí mismo una monetización⁠1. Las orientaciones de la Comisión recogen las condiciones: una licencia que permita el acceso, el uso, la modificación y la distribución sin monetización; pesos, arquitectura e información de uso públicos, y ausencia de riesgo sistémico⁠2.

Riesgo sistémico. Se presume que un modelo tiene riesgo sistémico cuando su entrenamiento empleó más de 10^25 operaciones de coma flotante, según el artículo 51, apartado 2⁠1. La prueba orientativa de la Comisión para saber si un modelo es siquiera de uso general es un cómputo de entrenamiento superior a 10^23 operaciones, unido a la capacidad de generar lenguaje, imágenes o vídeo⁠2.

Qué cambia cuando una empresa ajusta un modelo

Es el punto que más preocupa a las empresas, y las orientaciones de la Comisión son tranquilizadoras. Una empresa que modifica un modelo de uso general solo pasa a ser la proveedora del modelo modificado si la modificación emplea más de un tercio del cómputo usado para entrenar el modelo original. Por debajo de ese umbral, las modificaciones menores no generan obligaciones de proveedor⁠23.

Una empresa que supere el umbral se considera proveedora del modelo modificado, pero sus obligaciones de documentación abarcan solo la modificación: qué se cambió y qué datos nuevos se usaron, no el modelo entero⁠2. El ajuste fino eficiente en parámetros, como LoRA, entrena un número reducido de parámetros añadidos⁠4, lo que probablemente mantenga un ajuste empresarial típico muy por debajo de un tercio del cómputo de entrenamiento del modelo original; aun así, conviene estimar la cifra y dejarla registrada.

Los sistemas de alto riesgo siguen otra regla. Según el artículo 25, apartado 1, un responsable del despliegue se considera proveedor de un sistema de IA de alto riesgo si, entre otros casos, pone su nombre o marca en él o lo modifica sustancialmente⁠1. Una empresa que integre un modelo en un caso de uso de selección de personal, de crédito u otro de alto riesgo debería leer primero ese artículo.

Las fechas

FechaQué se aplica
2 de febrero de 2025Obligación de alfabetización en IA del artículo 4 para proveedores y responsables del despliegue⁠5
2 de agosto de 2025Obligaciones de los proveedores de modelos de IA de uso general⁠3
2 de agosto de 2026Facultades de supervisión de la Comisión sobre modelos de uso general, incluidas las multas; supervisión nacional de la alfabetización en IA⁠35
27 de julio de 2026Entra en vigor el Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA⁠6
2 de agosto de 2027Plazo para los modelos de uso general comercializados antes del 2 de agosto de 2025⁠3
2 de diciembre de 2027Obligaciones de alto riesgo para los sistemas del anexo III, tras el aplazamiento del Ómnibus⁠6
2 de agosto de 2028Obligaciones de alto riesgo para los sistemas del anexo I, tras el aplazamiento del Ómnibus⁠6

El Ómnibus, propuesto por la Comisión en noviembre de 2025 y adoptado en julio de 2026, también suavizó el artículo 4, simplificó la documentación para las pymes y las empresas medianas pequeñas y añadió nuevas prohibiciones sobre la IA que genera deepfakes íntimos o material de abuso sexual infantil⁠76. Tras el cambio, el artículo 4 ya no fija un nivel suficiente de alfabetización en IA, pero la Comisión indica que limitarse a las instrucciones de uso suele ser insuficiente⁠5.

El Código de Buenas Prácticas para la IA de uso general, voluntario y publicado en julio de 2025, explica cómo pueden los proveedores cumplir las obligaciones de transparencia y de derechos de autor, con un capítulo aparte de seguridad y protección para los modelos con riesgo sistémico. Mistral AI y Aleph Alpha figuran entre sus firmantes⁠8.

La protección de datos

Entrenar un modelo con datos de la empresa que incluyen datos personales es un tratamiento sujeto al RGPD, diga lo que diga el Reglamento de IA. La referencia es el Dictamen 28/2024 del Comité Europeo de Protección de Datos: un modelo entrenado con datos personales no siempre puede considerarse anónimo, y solo lo es si tanto la extracción de datos personales como su revelación mediante consultas son insignificantemente probables. El interés legítimo puede ser una base jurídica para desarrollar y desplegar un modelo, sujeta a una prueba en tres pasos, y una empresa que despliega un modelo de terceros debe comprobar que se desarrolló de forma lícita⁠9. En Francia, la CNIL ha publicado fichas prácticas sobre la base jurídica y sobre el estatus de un modelo con respecto al RGPD⁠10.

Lista de comprobación para una empresa que ajusta un modelo abierto

  1. Registrar cada modelo en uso, su versión y su licencia, y confirmar si la licencia cumple las condiciones de código abierto de la Comisión.
  2. Comprobar si el modelo de base tiene riesgo sistémico. Si supera las 10^25 operaciones, las obligaciones adicionales recaen en su proveedor; quien lo ajusta por debajo del umbral de un tercio no las hereda.
  3. Estimar el cómputo de cada ajuste y conservar la cifra. Por debajo de un tercio del cómputo de entrenamiento original, la empresa no es proveedora de un nuevo modelo de uso general.
  4. Documentar la modificación en cualquier caso: qué datos se usaron, qué cambió y cómo se evaluó. Es obligatorio por encima del umbral y una buena práctica por debajo.
  5. Contrastar el caso de uso con la lista de alto riesgo y con el artículo 25, apartado 1, antes del despliegue.
  6. Hacer una evaluación del RGPD para los datos de entrenamiento, minimizar los datos personales y documentar la prueba de interés legítimo cuando esa sea la base.
  7. Poner en marcha un programa de alfabetización en IA para el personal que usa o supervisa el sistema.
  8. Anotar las fechas en la agenda, en especial el 2 de diciembre de 2027 para los sistemas de alto riesgo.

Una empresa que haya hecho estas ocho cosas puede responder a las preguntas que probablemente le planteen un regulador, un cliente o la representación de los trabajadores, y la mayoría comprobará que ajustar un modelo abierto la deja como responsable del despliegue con obligaciones de documentación, no como proveedora de un modelo.

Preguntas frecuentes

¿Se aplica el AI Act a la IA de código abierto?

En parte. Los sistemas de IA publicados con licencias libres y de código abierto quedan fuera del Reglamento salvo que sean de alto riesgo, estén prohibidos o les afecten las normas de transparencia. Los modelos de uso general de código abierto están exentos de algunas obligaciones de documentación, pero deben tener una política de derechos de autor y publicar un resumen de su contenido de entrenamiento, y los modelos con riesgo sistémico no tienen exención.

Si ajustamos un modelo de código abierto, ¿somos proveedores según el AI Act?

Normalmente no. Según las orientaciones de la Comisión, una empresa que modifica un modelo de uso general solo pasa a ser su proveedora si la modificación usa más de un tercio del cómputo empleado para entrenar el modelo original. Incluso entonces, sus obligaciones abarcan solo la modificación, como los cambios realizados y los nuevos datos de entrenamiento.

¿Desde cuándo se aplican las normas del AI Act para modelos de uso general?

Las obligaciones de los proveedores de modelos de IA de uso general se aplican desde el 2 de agosto de 2025. Las facultades de supervisión de la Comisión, incluidas las multas, se aplican desde el 2 de agosto de 2026. Los modelos comercializados antes del 2 de agosto de 2025 deben cumplir a más tardar el 2 de agosto de 2027.

¿Ha retrasado el Ómnibus Digital el AI Act?

Ha retrasado las normas de alto riesgo. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, traslada las obligaciones de alto riesgo al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los del anexo I. También suaviza la obligación de alfabetización en IA. No parece cambiar las obligaciones de los modelos de uso general.

¿Qué es un modelo de IA de uso general con riesgo sistémico?

El Reglamento presume un riesgo sistémico cuando un modelo se entrenó con más de 10^25 operaciones de coma flotante de cómputo. Esos modelos tienen obligaciones adicionales de seguridad y protección, y la exención para el código abierto no se les aplica.

¿Obliga el AI Act a formar a los empleados en IA?

El artículo 4 obliga a proveedores y responsables del despliegue a adoptar medidas de alfabetización en IA para su personal, y se aplica desde el 2 de febrero de 2025. Tras el Ómnibus de 2026 ya no fija un nivel suficiente, pero la Comisión indica que limitarse a las instrucciones de uso suele ser insuficiente.

Fuentes

  1. Regulation (EU) 2024/1689 (Artificial Intelligence Act). EUR-Lex, 12 jul. 2024. Consultado el 9 nov. 2026.
  2. Questions and answers on the guidelines for general-purpose AI providers. European Commission. Consultado el 9 nov. 2026.
  3. Guidelines for providers of general-purpose AI models. European Commission. Consultado el 9 nov. 2026.
  4. PEFT. Hugging Face. Consultado el 9 nov. 2026.
  5. AI literacy: questions and answers. European Commission. Consultado el 9 nov. 2026.
  6. Regulation (EU) 2026/1744 (Digital Omnibus on AI). EUR-Lex, 24 jul. 2026. Consultado el 9 nov. 2026.
  7. Digital Omnibus on AI: regulation proposal. European Commission, 19 nov. 2025. Consultado el 9 nov. 2026.
  8. The General-Purpose AI Code of Practice. European Commission, 10 jul. 2025. Consultado el 9 nov. 2026.
  9. Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. European Data Protection Board, 18 dic. 2024. Consultado el 9 nov. 2026.
  10. Les fiches pratiques IA. CNIL. Consultado el 9 nov. 2026.

Actualizado el 9 nov. 2026: Primera publicación, con el Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA) ya incorporado.

Más lecturas

También en: English · Deutsch · Français · Italiano · Nederlands · Polski