EU AI Act vs Ley 31814 Perú: comparativa práctica 2026

La conclusión primero: no son dos versiones de la misma norma. El EU AI Act, formalmente el Reglamento (UE) 2024/1689, es regulación dura. Clasifica los sistemas de IA por nivel de riesgo, prohíbe algunos usos, impone obligaciones técnicas detalladas a los sistemas de alto riesgo y respalda todo con un régimen sancionador propio. Es directamente aplicable en los 27 Estados miembros, sin transposición nacional.

La Ley 31814 de Perú nace con otra intención. Su propio título lo dice: promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país. Es una ley de principios, no de prohibiciones. Durante dos años fue esencialmente declarativa, hasta que el Decreto Supremo 115-2025-PCM, publicado el 9 de septiembre de 2025 y vigente desde el 22 de enero de 2026, convirtió esos principios en obligaciones verificables: políticas institucionales de IA, adopción de estándares internacionales, auditorías de seguridad y supervisión humana en sistemas de alto riesgo.

La diferencia de filosofía importa porque define el tono de la supervisión. En la UE, el incumplimiento se mide contra requisitos técnicos explícitos y se sanciona con multas calculadas sobre la facturación global. En Perú, la supervisión la ejerce la Secretaría de Gobierno y Transformación Digital (SGTD) de la PCM en coordinación con reguladores sectoriales, con un enfoque más gradual y un régimen de exigencia que cada sector puede endurecer.

El punto de contacto real entre ambas normas es la categoría de alto riesgo. Las dos concentran la exigencia en sistemas cuyo fallo o sesgo afecta derechos o servicios esenciales: crédito y scoring, empleo y selección de personal, salud, educación, justicia e infraestructura crítica. Y las dos exigen, para esos sistemas, lo mismo en esencia: gestión de riesgos, supervisión humana, trazabilidad y documentación que permita reconstruir cómo decide el sistema.

Divergen en la profundidad. El AI Act detalla requisitos técnicos para proveedores de alto riesgo: sistema de gestión de riesgos durante todo el ciclo de vida, gobernanza de datos de entrenamiento, documentación técnica conforme a anexos, registro de eventos, transparencia hacia el deployer, robustez y ciberseguridad, además de evaluación de conformidad antes de la puesta en el mercado. El reglamento peruano fija la dirección, políticas, estándares internacionales, auditorías, supervisión humana, pero deja el detalle técnico a los lineamientos de la SGTD y a estándares como ISO/IEC 42001.

• Coinciden: enfoque por riesgo, foco en alto riesgo, supervisión humana, trazabilidad y responsabilidad del deployer aunque el modelo sea de un tercero.
• Diverge la prescripción: el AI Act dicta el cómo técnico; la norma peruana dicta el qué y remite a estándares internacionales para el cómo.
• Diverge la conformidad: la UE exige evaluación de conformidad formal y marcado CE en ciertos casos; Perú exige auditorías y evidencia, sin organismos notificados.
• Diverge el calendario: la UE concentra el alto riesgo en agosto de 2026; Perú escalona la transparencia algorítmica por sector entre 2026 y 2029.

Sí, si su sistema o el output de su sistema se usa en la Unión Europea. El AI Act no exige sede europea: aplica a proveedores que comercializan sistemas de IA en la UE y a proveedores y deployers de terceros países cuando el resultado del sistema se utiliza dentro de la Unión. Una fintech peruana cuyo scoring evalúa a clientes en España, o un proveedor SaaS mexicano con módulo de IA vendido a un banco neerlandés, están dentro del alcance.

Las consecuencias prácticas son tres. Primero, esos proveedores deben designar un representante autorizado en la UE si suministran sistemas de alto riesgo. Segundo, las obligaciones técnicas del AI Act aplican completas, no una versión reducida para no europeos. Tercero, las multas se calculan sobre la facturación global de la empresa, no sobre su negocio europeo.

Cumplir la Ley 31814 no cubre el AI Act. Una empresa peruana que vende IA hacia la UE responde ante ambas normas a la vez. La conformidad local no se reconoce como equivalente: el AI Act exige su propia evaluación, documentación y, en su caso, representante autorizado en la Unión.

El AI Act trae el régimen sancionador más severo de la regulación de IA actual: hasta 35 millones de euros o el 7% de la facturación global anual, lo que sea mayor, por usos prohibidos, con tramos inferiores para incumplir obligaciones de alto riesgo o suministrar información incorrecta a las autoridades. La lógica es la del RGPD: la multa se dimensiona para que ignorar la norma no salga a cuenta a ninguna multinacional.

Perú no tiene hoy un equivalente. El reglamento de la Ley 31814 se apoya en la supervisión de la SGTD y en los regímenes sancionadores sectoriales ya existentes, como el de la SBS en el sistema financiero o el de la autoridad de protección de datos. El riesgo en Perú es menos la multa porcentual y más la observación del regulador sectorial, con el costo reputacional y de remediación que implica en sectores regulados. Subestimar ese riesgo porque la multa es menor sería un error de lectura: en banca o salud, una observación regulatoria pesa.

La buena noticia: la disciplina de fondo es una sola. Las dos normas premian lo mismo, saber qué sistemas de IA tiene, cuáles son de alto riesgo, qué controles los gobiernan y qué evidencia lo demuestra. Lo que cambia por jurisdicción es la autoridad, el plazo y el formato del entregable. El orden de trabajo razonable es este.

1. 1.Inventario único de sistemas de IA, propios y de terceros, con caso de uso, datos, proveedor, mercados donde se usa el sistema o su output, y responsable interno.
2. 2.Clasificación de riesgo con doble mapeo: contra el Anexo III del AI Act y contra las categorías de alto riesgo del reglamento peruano. La mayoría de los casos de uso caen igual en ambos.
3. 3.Cierre primero del plazo más duro: si vende hacia la UE, agosto de 2026 manda; si solo opera en Perú en finanzas o salud, el 10 de septiembre de 2026 es su fecha.
4. 4.Un sistema de gestión común, con ISO/IEC 42001 como columna vertebral: cubre la obligación peruana de adoptar estándares internacionales y produce gran parte de la documentación técnica y de gobernanza que el AI Act exige.
5. 5.Entregables por jurisdicción: documentación de conformidad y, en su caso, representante autorizado para la UE; políticas, auditorías y evidencia ante la SGTD y el regulador sectorial en Perú.
6. 6.Evaluación independiente de la brecha antes de que la revise el regulador: una autoevaluación tiende a sobrevalorar la gobernanza propia, igual que ocurre con la madurez de un SOC.

En Primedefence evaluamos esa brecha de forma independiente: inventario y clasificación de sistemas, análisis contra ISO/IEC 42001 y las obligaciones de cada norma, y un roadmap priorizado por riesgo y por plazo que su comité y el regulador pueden leer. No operamos su IA ni vendemos la herramienta que después auditamos.