La regulación europea de inteligencia artificial dejó atrás una parte de su período de preparación. Desde el 2 de agosto de 2026, la Comisión Europea y las autoridades nacionales comenzaron a aplicar y supervisar nuevos bloques del AI Act, con obligaciones que pueden alcanzar a hoteles, agencias, aerolíneas, plataformas y proveedores tecnológicos.
Uno de los cambios más visibles afecta a los sistemas que interactúan directamente con personas. Cuando un viajero conversa con un chatbot o asistente de inteligencia artificial, debe ser informado de que no está tratando con un ser humano, salvo que esa circunstancia resulte evidente por el contexto.
La norma también establece obligaciones para identificar determinados contenidos generados o manipulados con IA. Entre ellos se encuentran los deepfakes y ciertos textos sintéticos publicados para informar sobre asuntos de interés público sin una revisión humana o responsabilidad editorial efectiva.
Qué usos turísticos requieren atención
Para el turismo, las obligaciones no dependen solamente de la herramienta contratada. También importan la finalidad, los datos utilizados, las personas afectadas y el grado de autonomía del sistema. Un asistente empleado para resumir documentos no plantea el mismo escenario que una herramienta que analiza candidatos, clasifica huéspedes o toma decisiones comerciales.
Las empresas necesitan comenzar por un inventario: qué sistemas utilizan, quién los provee, qué información procesan, qué decisiones apoyan y quién revisa sus resultados. Este registro permite distinguir usos de bajo impacto de otros que exigen mayores controles legales, de privacidad o ciberseguridad.
La alfabetización en IA es otra obligación ya aplicable. Proveedores y empresas que despliegan estos sistemas deben adoptar medidas para que el personal cuente con conocimientos adecuados al contexto de uso. La norma no exige que todos los trabajadores alcancen el mismo nivel, pero una capacitación genérica y desconectada de las tareas difícilmente resuelva los riesgos concretos.
En una agencia, por ejemplo, el equipo que utiliza IA para preparar itinerarios necesita reconocer información desactualizada, tarifas inexistentes y requisitos migratorios incorrectos. En un hotel, recepción, marketing, recursos humanos y revenue management enfrentan riesgos diferentes y requieren pautas específicas.
El régimen de alto riesgo fue aplazado, no eliminado
Parte de las reglas más exigentes para sistemas considerados de alto riesgo comenzará a aplicarse más adelante. Los casos incluidos en el anexo III fueron desplazados a diciembre de 2027, mientras que los sistemas incorporados a determinados productos regulados tendrán plazo hasta agosto de 2028.
El aplazamiento no constituye una moratoria general. Continúan vigentes las prácticas prohibidas, las obligaciones aplicables a modelos de uso general y las nuevas reglas de transparencia. También permanecen plenamente operativas las normas de protección de datos, derechos del consumidor, propiedad intelectual y legislación laboral.
Las infracciones de determinadas obligaciones de transparencia pueden recibir sanciones de hasta 15 millones de euros o 3% del volumen de negocios mundial, según el caso. Las prácticas prohibidas contemplan límites superiores, aunque la sanción concreta debe atender al tamaño de la empresa y a las circunstancias de la infracción.
El alcance para empresas latinoamericanas
El AI Act no se aplica automáticamente a toda empresa turística de América Latina por el solo hecho de utilizar inteligencia artificial. Sin embargo, puede resultar relevante cuando una compañía ofrece o despliega sistemas en la Unión Europea, trabaja con proveedores europeos o genera resultados destinados a utilizarse dentro de ese mercado.
Una agencia receptiva, una plataforma regional o una cadena con establecimientos europeos necesita determinar su papel dentro de la cadena tecnológica. No es igual desarrollar un sistema propio, integrar un modelo de un tercero o limitarse a utilizar una herramienta comercial.
Para las empresas turísticas, el paso inmediato no consiste en etiquetar cualquier contenido como generado por IA. Consiste en identificar cada caso de uso, documentar responsabilidades, revisar contratos y datos, formar al personal y establecer mecanismos de supervisión.
La regulación europea avanza de manera gradual, pero la gestión cotidiana del riesgo ya comenzó. Las compañías que todavía desconocen qué herramientas utiliza su personal enfrentan un problema anterior al cumplimiento: no pueden controlar una tecnología cuya presencia dentro de la organización no tienen registrada.
