“Europa no debería tener que elegir entre regular e innovar; debe hacer ambas cosas”, Gabriel López Serrano, Microsoft

¿Cómo ha impactado la AI Act europea en el desarrollo de soluciones basadas en IA desde su entrada en vigor en agosto de 2024?

La Ley Europea de IA ha aportado un marco común para que las organizaciones avancen con mayor certidumbre en el desarrollo y despliegue de soluciones de inteligencia artificial. Su principal impacto ha sido situar la gestión del riesgo, la seguridad, la transparencia, la supervisión humana y la responsabilidad en el centro de los proyectos, desde la fase de diseño y durante todo el ciclo de vida de los sistemas.

Este marco llega, además, en un momento de maduración del mercado. Muchas organizaciones están dejando atrás los pilotos aislados y avanzan hacia despliegues reales en procesos de negocio, donde ya no basta con demostrar que una solución funciona: es necesario evaluar de forma continua su rendimiento, garantizar la trazabilidad, proteger los datos y establecer mecanismos claros de gobernanza y control.

La regulación puede contribuir así a generar la confianza necesaria para que la IA se adopte a escala, especialmente en entornos empresariales y sectores regulados. El reto ahora es aplicarla con claridad, coherencia y proporcionalidad, de modo que ofrezca seguridad jurídica sin introducir una complejidad innecesaria que dificulte la innovación y la competitividad. Europa no debería tener que elegir entre regular e innovar; debe ser capaz de hacer ambas cosas al mismo tiempo.

 

¿Cómo van a afectar a la industria las nuevas obligaciones impuestas por esta Ley desde agosto de 2026? ¿Cómo está afectando a los proyectos de inteligencia artificial que llevan años en marcha en España?

La entrada en aplicación del grueso del Reglamento el pasado 2 de agosto marca una nueva fase, aunque conviene precisar su alcance. Lo que ha entrado en vigor son, fundamentalmente, las obligaciones de transparencia (por ejemplo: informar cuando se interactúa con un sistema de IA, garantizar que el contenido generado sea identificable y etiquetar los deepfakes) y el marco de gobernanza y supervisión, con la Oficina Europea de IA y las autoridades nacionales ya plenamente operativas.

Las exigencias más intensas, las aplicables a los sistemas de alto riesgo (gestión de riesgos, documentación técnica, calidad y gobernanza de los datos, supervisión humana y seguimiento continuo) se aplicarán a partir del 2 de diciembre de 2027 para los sistemas autónomos del Anexo III y del 2 de agosto de 2028 para los integrados en productos regulados. Ese calendario, fijado por el Omnibus digital, no reduce las obligaciones: desplaza la fecha. Para las organizaciones afectadas, un ciclo de evaluación de conformidad no es mucho tiempo, y quien interprete el aplazamiento como una pausa llegará tarde.

En ese sentido, creemos que España parte de una posición favorable: según el último Microsoft AI Diffusion Report, publicado esta misma semana, es el sexto país en adopción de IA, con un 45,1 % de la población en edad de trabajar. Por contexto, España va por delante de Reino Unido (43,7%), Alemania (32,3%), Italia (31,4%) y Estados Unidos (33,0%). La adopción avanza con rapidez y numerosos proyectos ya han demostrado su valor. Sin embargo, la madurez sigue siendo desigual y todavía existe margen para ampliar su uso, especialmente entre las empresas y las pymes.

En este contexto, el ecosistema de partners de Microsoft desempeñará un papel fundamental para trasladar las exigencias regulatorias a la operativa real de las organizaciones. Nuestros socios tecnológicos llevan años acompañando a las compañías españolas en su transformación digital y en la adopción de soluciones de IA, ayudándolas a llevar la innovación a entornos reales de negocio. Su experiencia y especialización serán clave para traducir la regulación en capacidades operativas que permitan innovar, crecer y cumplir la normativa al mismo tiempo.

 

Ante el choque regulatorio entre la Cloud Act de EE. UU. y la AI Act de Europa en materia de soberanía del dato, ¿esperan que aumente la demanda de soluciones de IA basadas en nubes soberanas europeas?

Para  aportar contexto y matizar esta premisa, cabe señalar que la Ley Europea de IA lleva en vigor desde el 1 de agosto de 2024 y es plenamente aplicable desde el pasado 2 de agosto. En todo ese recorrido (y en las fases que aún quedan por delante, hasta diciembre de 2027 y agosto de 2028 para los sistemas de alto riesgo) no contiene una sola disposición sobre el acceso de las autoridades a los datos. Y no es una omisión: sencillamente no es su objeto. La Ley de IA regula el riesgo de los sistemas de inteligencia artificial, su seguridad y su impacto sobre los derechos fundamentales, con obligaciones graduadas según ese riesgo. Lo que ordena el acceso de las autoridades a los datos en Europa es otro marco distinto: el RGPD y, desde el 18 de agosto de este año, el Reglamento europeo de prueba electrónica.

Por eso, más que un choque entre la Cloud Act y la Ley de IA, lo que existe es un debate legítimo, y necesario, sobre cómo conviven los instrumentos de cooperación judicial. Son dos conversaciones distintas que a veces se superponen en el espacio público.

Y conviene situar esa segunda conversación en sus términos. La Cloud Act es una norma de cooperación judicial: articula el acceso a datos en investigaciones penales, bajo control judicial y con garantías procesales. No autoriza un acceso indiscriminado, masivo ni automático. Las autoridades estadounidenses deben obtener una orden judicial y acreditar ante un tribunal independiente que existen motivos para creer que hallarán pruebas de un delito en una cuenta concreta. Tampoco ignora el derecho extranjero: reconoce expresamente el derecho del proveedor a impugnar un requerimiento por conflicto con la legislación de otro país. Y, contra lo que suele asumirse, no se aplica solo a compañías estadounidenses, sino a cualquier empresa con vínculos mínimos con la economía de Estados Unidos, lo que incluye a proveedores europeos con presencia allí.

En su lógica no se aparta, además, de lo que contempla nuestro propio ordenamiento. Los artículos 588 sexies a) a c) de la Ley de Enjuiciamiento Criminal regulan el acceso judicialmente autorizado y motivado a dispositivos de almacenamiento masivo y repositorios telemáticos de datos, e incluso permiten ampliar ese registro a otro sistema informático cuando existen razones fundadas para creer que allí están los datos buscados. Y Europa ha recorrido ese mismo camino en clave transfronteriza: el Reglamento de prueba electrónica permite que un juez de un Estado miembro dirija una orden de entrega o conservación directamente a un prestador establecido en otro Estado, sin intervención previa de las autoridades de ese país, con un plazo de diez días u ocho horas en casos de urgencia. Lo menciono no para relativizar nada, sino porque demuestra que la necesidad de que los jueces accedan a prueba electrónica más allá de las fronteras es un problema compartido, no una anomalía estadounidense.

Dicho esto, entiendo perfectamente la preocupación de fondo, y nuestra posición es pública y verificable. Publicamos semestralmente todas las solicitudes de información que recibimos de autoridades de todo el mundo. Los datos están ahí para quien quiera comprobarlos: las divulgaciones transfronterizas de contenido de clientes empresariales representan el 0,008 % del total de requerimientos que recibimos (menos de uno de cada diez mil) y ninguna de ellas ha afectado jamás a un cliente del sector público. Escrutamos cada requerimiento, rechazamos los que no son válidos e impugnamos los que entran en conflicto con la normativa aplicable; lo hemos hecho incluso ante el Tribunal Supremo estadounidense. Y nuestro compromiso Defending Your Data nos obliga contractualmente a impugnar los requerimientos gubernamentales de datos de clientes europeos del sector público o empresariales, venga la orden de donde venga.

Añadiría algo en positivo, porque creo que ahí está la solución real: Microsoft espera que el Departamento de Justicia estadounidense y la Comisión Europea cierren el acuerdo UE-EE. UU. sobre prueba electrónica que negocian desde 2019. Daría a las autoridades europeas capacidad para solicitar datos directamente, sin depender de procedimientos de asistencia judicial mutua lentos, y añadiría protecciones frente a conflictos de leyes. Resolvería el problema de fondo mejor que cualquier declaración de intenciones por nuestra parte.

A partir de ahí, sí, esperamos que la demanda de soluciones soberanas siga creciendo, y trabajamos para que así sea.

 

¿Cómo creen en Microsoft que la obligación de aportar más explicabilidad y transparencia a la IA minará la competitividad de los fabricantes de software y proveedores de cloud europeos?

No compartimos ese planteamiento. La explicabilidad y la transparencia no deberían entenderse como un obstáculo para la competitividad, sino como elementos fundamentales para generar la confianza necesaria para que la adopción de la inteligencia artificial avance y se consolide a escala. En los próximos años, la capacidad de ofrecer soluciones seguras, fiables y comprensibles será un factor cada vez más relevante para que empresas y administraciones incorporen esta tecnología en sus procesos y operaciones.

Europa tiene la oportunidad de construir una economía de la IA que combine innovación, confianza y competitividad. Estos objetivos no tienen por qué ser contrapuestos. Un marco regulatorio claro, coherente y proporcionado puede aportar mayor certidumbre tanto a clientes como a desarrolladores y favorecer una adopción responsable de la tecnología.

La competitividad no dependerá únicamente de quién desarrolle las capacidades de IA más avanzadas, sino también de quién sea capaz de trasladarlas al mercado de forma segura, fiable y responsable. El reto es garantizar que la aplicación de la regulación proteja los derechos de las personas y refuerce la confianza, sin introducir una complejidad innecesaria que pueda frenar la innovación o dificultar el crecimiento del ecosistema tecnológico europeo.

 

A finales del año que viene entran en vigor restricciones adicionales para entornos de IA de alto riesgo. ¿Cómo creen en Microsoft que esto afectará a la demanda de soluciones on-premise frente a la IA basada en cloud?

No esperamos que las nuevas obligaciones aplicables a los sistemas de IA de alto riesgo provoquen una migración generalizada hacia modelos exclusivamente on-premise. Lo que sí observamos es una demanda creciente de flexibilidad para adaptar la infraestructura a los diferentes requisitos regulatorios, operativos y de negocio de cada organización.

En este contexto, las arquitecturas híbridas y los entornos soberanos desempeñarán un papel cada vez más relevante. Muchas organizaciones combinarán la escalabilidad, la capacidad de innovación y la seguridad de la nube con mayores niveles de control sobre determinados datos o cargas de trabajo cuando así lo requieran sus políticas internas, sus necesidades operativas o el marco regulatorio aplicable.

Las capacidades que ofrecen Azure, Azure Local y Microsoft Sovereign Cloud permiten responder a distintos niveles de exigencia regulatoria y mantener una experiencia coherente en entornos cloud, híbridos e incluso desconectados. Por ello, el debate no debería plantearse como una elección entre nube y on-premise, sino en torno a qué combinación de tecnologías permite a cada organización equilibrar mejor innovación, cumplimiento normativo, soberanía y control operativo.

 

¿Cómo abordan en Microsoft el cumplimiento con la Ley europea de IA?

Microsoft mantiene un firme compromiso con el cumplimiento de la Ley Europea de IA. El trabajo que llevamos desarrollando desde hace años para definir, evolucionar e implantar un sólido marco de gobernanza de la inteligencia artificial en toda la compañía nos sitúa en una posición sólida para responder a los requisitos del Reglamento y acompañar a clientes y partners en ese mismo proceso.

Este enfoque se sustenta en nuestro Estándar de IA Responsable y en seis principios fundamentales: equidad, fiabilidad y seguridad, privacidad y protección, inclusión, transparencia y responsabilidad. Además, ponemos a disposición de las organizaciones herramientas y capacidades para gestionar riesgos, proteger los datos, reforzar la seguridad y desplegar IA de forma responsable. El objetivo es que el cumplimiento no se perciba como un freno, sino como una base para innovar con garantías, escalar proyectos de IA y generar confianza en clientes, empleados y ciudadanos.