El EU AI Act te regaló 16 meses. El NAIC no te regaló nada.

Si tu plan de compliance dice "2 de agosto de 2026", bórralo.

Esa era la fecha en que las obligaciones para sistemas de IA de alto riesgo del EU AI Act se volvían exigibles. Medio internet la publicó. Nosotros mismos la teníamos anotada. Y se cayó tres semanas antes de llegar: el Digital Omnibus de la Unión Europea se publicó en el Diario Oficial el 24 de julio y entró en vigor el 27, aplazando las obligaciones del Anexo III —los sistemas autónomos, donde caen los de seguros— al 2 de diciembre de 2027. Las del Anexo I, IA embebida en productos, se van a agosto de 2028.

Dieciséis meses de aire. La reacción natural es guardar el expediente y volver en 2027.

Es la reacción equivocada, y no por una razón moral. Por una razón de calendario.

Bruselas movió la fecha. El NAIC no movió nada.

Mientras Europa se corría de plazo, la National Association of Insurance Commissioners aceleró.

Su AI Systems Evaluation Tool —una herramienta estandarizada para que los examinadores revisen programas de gobernanza de IA— está en piloto de marzo a septiembre de 2026 en doce estados: California, Colorado, Connecticut, Florida, Iowa, Luisiana, Maryland, Pensilvania, Rhode Island, Vermont, Virginia y Wisconsin. No es un ejercicio teórico: alimenta exámenes de conducta de mercado. La versión actualizada se buscará adoptar en la Fall National Meeting de este año.

Y el Model Bulletin de IA del NAIC —el documento que recuerda que las leyes de seguros existentes ya aplican a las decisiones tomadas con IA— lo adoptaron 25 estados más el Distrito de Columbia.

Cuenta las fechas. La europea está a dieciséis meses. La americana está corriendo ahora.

De paso: el alcance era más estrecho de lo que se repitió

Vale la pena corregir dos cosas que circularon junto con la fecha equivocada, porque el error inflaba el susto.

El Anexo III 5(c) cubre "evaluación de riesgos y fijación de precios en relación con personas físicas" en seguros de vida y salud. La gestión de siniestros no está listada en el Anexo III. El underwriting de P&C tampoco cae ahí automáticamente. Las sanciones —hasta 15 millones de euros o 3% de la facturación global anual— siguen intactas, pero aplican cuando las obligaciones apliquen.

Lo que sí está vigente hoy: el Artículo 50, sobre transparencia, y el Artículo 4, sobre alfabetización en IA de las personas que operan estos sistemas.

Traducido: la norma europea es más quirúrgica de lo que se dijo, y llega más tarde. Nada de eso cambia lo que un examinador estatal te va a pedir este año.

Un aplazamiento no es un indulto. Es un cambio de acreedor.

Ahí está el marco que importa.

La fecha desapareció. El requisito, no. Y el requisito de fondo es el mismo en Bruselas, en Sacramento y en Ciudad de México: para cada decisión asistida por IA tiene que existir un registro de qué modelo la produjo, con qué datos, en qué versión, y quién la revisó.

La palabra que hace toda la diferencia es cuándo. Ese registro tiene que existir en el momento del despliegue. No cuando el examinador lo pide.

La distinción parece burocrática y es la línea que separa dos tipos de operación. Una tiene trazabilidad porque su arquitectura la genera sola, como subproducto de funcionar. La otra va a pasar el primer trimestre de 2027 reconstruyendo a mano lo que su sistema nunca guardó, sobre decisiones que se tomaron dos años antes, con modelos que ya cambiaron de versión.

La segunda no es una operación con un problema de compliance. Es una operación con un problema de diseño que se manifestó como problema de compliance.

Qué cambia el lunes

Nada de esto exige un proyecto de doce meses. Exige cuatro cosas concretas, y ninguna necesita esperar a diciembre de 2027.

Un inventario. Lista de sistemas de IA en producción hoy, con propósito declarado por sistema. Incluye las herramientas que entraron por la puerta de atrás: el asistente que alguien del equipo usa para resumir submissions, el modelo que prioriza la bandeja de siniestros. Si no está en la lista, no existe para ti y sí existe para el examinador.

Una política escrita. Una página alcanza. Quién aprueba el uso en producción, qué datos pueden entrar, quién revisa la salida, qué se hace cuando el sistema se equivoca.

Un registro por decisión, activado desde el día uno. No un log de sistema. Un registro de decisión: entrada, versión del modelo, salida, revisor humano, marca de tiempo.

Una respuesta lista para el cuestionario de proveedores. Si trabajas con una matriz o un reasegurador europeo, el due diligence de proveedores va a llegar igual — solo un año después. La norma no te aplica; tu contraparte sí te la va a pedir.

Lo que viene

El aplazamiento europeo va a producir dos grupos.

Uno va a leer "diciembre de 2027" y guardar el tema. En 2027 va a contratar consultores para documentar retroactivamente sistemas que ya llevan dos años en producción, y va a descubrir el precio real de haber construido sin registro.

El otro va a usar los dieciséis meses para lo único que sirven: llegar a la fecha sin trabajo pendiente, porque su operación produce la evidencia sola.

Nosotros en Handle construimos agentes de IA para operaciones de seguros con esa segunda hipótesis como punto de partida. No porque anticipáramos el Digital Omnibus, sino porque un agente que no puede explicar qué hizo y por qué no es un agente confiable — antes de ser un problema regulatorio, es un problema operativo. Nadie escala lo que no puede auditar.

La regulación de IA no es un freno. Es la línea que separa a los serios de los improvisados. Esa línea acaba de moverse dieciséis meses hacia adelante en Europa, mientras en Estados Unidos se está dibujando ahora mismo.