Regulación de IA en el Reino Unido

Resumen ejecutivo

Por qué «el Reino Unido no ha regulado la IA» es la lectura equivocada

El encuadre más habitual de la regulación de IA del Reino Unido la describe como light-touch, lenta o ausente. «El Reino Unido no ha aprobado una Ley de IA» es el titular que viaja. La lectura es técnicamente correcta y estructuralmente equívoca. El Reino Unido no ha regulado la IA mediante un estatuto horizontal integral. Ha dedicado la misma ventana a hacer algo que la Unión Europea, con su enfoque estatuto-primero, no ha hecho con la misma profundidad: construir capacidad técnica estatal para evaluar la IA frontera antes de legislarla.

La narrativa dominante lee el enfoque del Reino Unido como procrastinación vestida de pragmatismo, o como deferencia ideológica a la industria. La lectura pierde la lógica institucional. El gobierno británico eligió, deliberadamente y sobre el registro público, invertir en el AI Safety Institute (ahora AI Security Institute) como capacidad estatal para la evaluación de modelos frontera antes de diseñar el estatuto que diría a esa capacidad qué hacer cumplir. La secuencia es inusual. La mayoría de las jurisdicciones legislan primero y construyen capacidad técnica después; el Reino Unido está haciendo lo contrario.

Lo que el enfoque del Reino Unido es en realidad, entonces, es regulación basada en evidencia en construcción. El estado actual no es el punto final. Los cinco principios del White Paper de 2023 son un placeholder mientras la infraestructura de evaluación técnica madura, mientras los reguladores sectoriales integran la IA en la supervisión existente y mientras el gobierno decide qué subset de actividad de IA frontera amerita intervención estatutaria. El gobierno laborista que tomó posesión en julio de 2024 heredó esta arquitectura y, tras dieciocho meses de deliberación pública, ha estrechado la pregunta de «si debe haber una Ley de IA» a «sobre qué capacidades específicas de IA frontera AISI debe tener poder estatutario».

La tensión política es real y vale la pena nombrarla honestamente. Los críticos argumentan que la ausencia de estatuto vinculante deja categorías significativas de riesgo de IA — selección de empleo, toma de decisiones automatizada en servicios públicos, daños de contenido generativo, discriminación algorítmica — sin protección exigible más allá de lo que la legislación existente de protección de datos e igualdad ya cubre. Los partidarios argumentan que las evaluaciones técnicas de AISI, la orientación de IA de los reguladores sectoriales y el ecosistema de estándares (ISO/IEC 42001, ISO/IEC 23894, ISO/IEC 24029) producen juntos un régimen regulatorio más receptivo que la legislación horizontal. Ambas lecturas tienen fuerza. El Reino Unido ha elegido la segunda; la elección está ahora visiblemente bajo presión a medida que la capacidad de IA frontera evoluciona más rápido de lo anticipado, y a medida que el Frontier AI Trends Report de AISI de diciembre de 2025 señaló que algunas capacidades requeridas para que los modelos de IA evadan el control humano están mejorando.

La realidad operativa es que el Reino Unido es, a mayo de 2026, una jurisdicción con una de las capacidades estatales de evaluación de IA técnicamente más creíbles del mundo, sin Ley de IA integral, con una Frontier AI Bill en diseño político avanzado y una arquitectura de reguladores sectoriales absorbiendo la IA en la legislación existente. Es el más distintivo de los grandes enfoques nacionales.

—

Qué está actualmente en vigor

El régimen regulatorio de IA del Reino Unido a mayo de 2026 tiene cuatro partes que se interconectan.

Los cinco principios cross-sector. Articulados en el White Paper de 2023 y confirmados en la respuesta del gobierno de febrero de 2024. No vinculantes. Se espera que los reguladores sectoriales los integren en la supervisión existente. Los principios son: safety, seguridad y robustez; transparencia y explicabilidad apropiadas; justicia; rendición de cuentas y gobernanza; impugnación y tutela. Cada principio es interpretado por reguladores individuales en su dominio en lugar de por una autoridad central de IA.

Acción de los reguladores sectoriales. La Information Commissioner’s Office (ICO) ha publicado su enfoque estratégico sobre IA bajo el UK GDPR y la Data Protection Act 2018, con atención a la toma de decisiones automatizada, IA en empleo y riesgo de privacidad de IA generativa. La Financial Conduct Authority (FCA) ha emitido orientación sobre IA en servicios financieros. La Competition and Markets Authority (CMA) realizó una revisión inicial de Modelos Fundacionales de IA con atención a la concentración de mercado. Ofcom integra la IA dentro del régimen de la Online Safety Act. La MHRA aborda los dispositivos médicos de IA. La Comisión de Igualdad y Derechos Humanos integra la IA en la legislación de igualdad existente. Nada de esto es estatuto específico de IA; es integración de la IA en la regulación sectorial preexistente.

El AI Security Institute (AISI). Una dirección del DSIT, establecida como AI Safety Institute en noviembre de 2023 y renombrada a AI Security Institute en febrero de 2025. Inversión inicial £100m. AISI realiza evaluación técnica de modelos de IA frontera, con áreas de foco que incluyen evaluación de capacidad (qué pueden hacer los modelos), investigación de alineamiento (si los modelos se comportan de forma fiable como se pretende), investigación de seguridad (si los modelos pueden ser usados para ciberataques, amenazas de bioseguridad o desarrollo de armas) e investigación de resiliencia social. AISI tiene relaciones formales con desarrolladores líderes de IA frontera y realiza evaluaciones de modelo pre-despliegue de forma voluntaria. Publicó su primer Frontier AI Trends Report el 18 de diciembre de 2025, que señaló que algunas capacidades requeridas para que los modelos de IA evadan el control humano están mejorando.

Instrumentos estatutarios adyacentes. La Data (Use and Access) Act 2025 trae cambios relevantes para IA, incluidos: un nuevo régimen para la toma de decisiones automatizada que pasa de prohibición con excepciones a permisión con salvaguardas (efectivo en 2026); requisitos para que el Secretary of State reporte sobre el uso de obras protegidas por copyright en el entrenamiento de IA y sobre el impacto económico de las opciones de política propuestas en el documento de consulta sobre copyright e IA (con plazo del 19 de marzo de 2026); reformas relacionadas de protección de datos relevantes para el procesamiento por IA. Los instrumentos preexistentes — UK GDPR, Data Protection Act 2018, Equality Act 2010, estatutos sectoriales — continúan aplicando a casos de uso de IA que caen dentro de su ámbito.

En paralelo, la Central AI Risk Function (CAIRF), establecida dentro del DSIT en otoño de 2023, coordina el trabajo cross-government de riesgo de IA junto con AISI.

—

Qué hay en el horizonte legislativo

Tres elementos conforman la trayectoria legislativa cercana.

El Artificial Intelligence (Regulation) Bill (Private Member’s Bill). Reintroducido en la Cámara de los Lores por Lord Holmes of Richmond el 4 de marzo de 2025 tras no progresar bajo el gobierno anterior. Si se promulgase, el proyecto crearía una «AI Authority» para coordinar reguladores sectoriales y emitir códigos de práctica vinculantes, e introduciría un rol de «AI Responsible Officer» a nivel organizativo. El proyecto no está respaldado por el gobierno y es improbable que se apruebe en su forma actual. Señala la dirección de la presión estatutaria más que la sustancia del eventual estatuto.

La ley de IA integral. En junio de 2025 The Guardian informó que el gobierno había pasado de un AI bill corto en la sesión 2024–26 a un proyecto más integral en la siguiente sesión. El 3 de diciembre de 2025, la Secretaria de Estado Liz Kendall declaró ante el Comité de Ciencia, Innovación y Tecnología de la Cámara de los Comunes que el gobierno estaba pensando en la legislación de IA «en términos de áreas específicas en las que podemos necesitar actuar en lugar de una gran ley que lo abarque todo». La IAPP y otras fuentes de seguimiento esperan cualquier ley de IA en la segunda mitad de 2026 como muy pronto. Alcance probable: copyright en el entrenamiento de IA, los modelos de IA más potentes y fundamento estatutario para AISI.

El Frontier AI Bill. Anunciado como el vehículo legislativo que dará a AISI poderes estatutarios. Las disposiciones esperadas incluyen autoridad potencial de pre-deployment model testing para los sistemas más capaces, poderes formales de obtención de información, fundamento estatutario para AISI como institución (sustituyendo su estatus actual como dirección del DSIT) y un deber para los desarrolladores frontera de comprometerse con AISI. Los detalles operativos siguen en diseño. La respuesta del gobierno de enero de 2025 al AI Opportunities Action Plan aceptó la recomendación de establecer AISI como cuerpo estatutario y se comprometió a consultar sobre la legislación propuesta.

El UK AI Growth Lab, abierto a consulta por el DSIT el 21 de octubre de 2025, se sitúa junto al trabajo legislativo. El Growth Lab propone sandboxes cross-economy para probar innovaciones de IA bajo modificaciones regulatorias dirigidas, con pilotos exitosos informando reformas permanentes. La propuesta contempla «líneas rojas» — protecciones de los consumidores, disposiciones de safety y derechos fundamentales — que no se modificarían a través de pilotos sandbox. El Growth Lab es un instrumento para la generación de evidencia que alimenta el trabajo estatutario.

—

El AI Security Institute en términos operativos

AISI es la pieza institucional central del enfoque del Reino Unido. Entender qué es y qué no es importa para cualquier organización que posicione trabajo de IA en el mercado del Reino Unido.

Qué es. Una capacidad de evaluación técnica gubernamental enfocada en safety y seguridad de IA frontera, con equipos de investigación cubriendo evaluación de capacidad, alineamiento, riesgos de seguridad (cyber, bioseguridad, desarrollo de armas) y resiliencia social. AISI realiza evaluaciones pre-despliegue de modelos frontera de forma voluntaria con desarrolladores líderes. Publica investigación, el Frontier AI Trends Report anual y contribuye a la red internacional de AI Safety Institutes que emergió de las Cumbres de Safety de Bletchley y Seúl.

Qué no es. Un regulador con poderes de aplicación. AISI no puede mandar la presentación de evaluaciones, multar el incumplimiento ni prohibir el despliegue. Su modelo operativo actual es la cooperación voluntaria con desarrolladores frontera, con el entendimiento explícito de que el Frontier AI Bill dará fundamento estatutario.

El rebrand de febrero de 2025. El cambio de AI Safety Institute a AI Security Institute señalizó un foco más agudo en riesgos de seguridad nacional y uso indebido (cyber, bioseguridad, desarrollo de armas) y argumentablemente estrechó la atención alejándola de las preocupaciones éticas, de sesgo y de derechos que algunos críticos argumentaban que el encuadre original de AI Safety había abarcado. El rebrand también alinea la terminología del Reino Unido más estrechamente con el encuadre estadounidense de seguridad nacional sobre el riesgo de IA, particularmente bajo las prioridades de la EO 14179 de enero de 2025 de la administración Trump.

La red internacional. La red internacional de AI Safety Institutes que emergió de las Cumbres de Safety de Bletchley (noviembre de 2023) y Seúl (mayo de 2024), y continúa a través de reuniones posteriores, conecta AISI con sus contrapartes en EE.UU., Japón, la EU AI Office y otros. La red es informal pero operativamente importante: produce la capacidad de evaluación cross-jurisdicción que ningún instituto nacional individual podría sostener solo.

—

Cómo los reguladores sectoriales integran la IA en la legislación existente

La elección del Reino Unido de delegar la supervisión de la IA a los reguladores sectoriales existentes es la característica más distintiva del régimen. Cinco reguladores soportan el grueso del trabajo operativo relevante para IA.

Information Commissioner’s Office (ICO). El regulador más relevante operativamente para la mayoría de los casos de uso de IA. Aplica el UK GDPR y la Data Protection Act 2018 a sistemas de IA que procesan datos personales, con orientación detallada sobre toma de decisiones automatizada, IA en empleo, riesgo de privacidad de IA generativa y justicia en IA. La ICO ha emitido un enfoque estratégico sobre IA e integra los cinco principios en la supervisión existente.

Financial Conduct Authority (FCA). Aplica la regulación de servicios financieros a casos de uso de IA en trading, decisiones de crédito, detección de fraude, atención al cliente y seguros. Ha emitido orientación sobre IA en servicios financieros e integra el riesgo de IA en los marcos prudenciales y de conducta existentes.

Competition and Markets Authority (CMA). Realizó una revisión inicial de Modelos Fundacionales de IA en 2024 examinando concentración de mercado, integración vertical e implicaciones para la política de competencia. Activa en la monitorización de M&A y partnerships relacionados con IA.

Office of Communications (Ofcom). Integra la IA dentro del régimen de la Online Safety Act, particularmente sobre contenido generado por IA, deepfakes y transparencia algorítmica de plataformas. Publicó su enfoque estratégico sobre IA 2024/25.

Medicines and Healthcare products Regulatory Agency (MHRA). Regula los dispositivos médicos de IA bajo los marcos existentes de dispositivos médicos, con atención a la IA como Software as Medical Device (SaMD).

Los reguladores adyacentes — Comisión de Igualdad y Derechos Humanos, Health and Safety Executive, reguladores sectoriales en transporte y energía — aplican la IA a sus dominios. El modelo produce orientación detallada de IA específica del sector pero ningún estatuto horizontal central.

—

Intersecciones con otros regímenes

Cinco intersecciones determinan cómo opera la regulación de IA del Reino Unido dentro de la arquitectura internacional más amplia.

Convenio Marco del Consejo de Europa sobre IA (CETS 225). El Reino Unido es signatario inicial y ratificador temprano; el Convenio entró en vigor el 1 de noviembre de 2025. El Reino Unido satisface sus obligaciones del Convenio mediante una combinación de regulación sectorial existente, la función de evaluación de AISI y la eventual ley de IA. El suelo basado en derechos del Convenio aplica directamente a la actividad de IA del sector público del Reino Unido y al sector privado a través de las medidas que el Reino Unido declare.

Proceso de Hiroshima del G7. El Reino Unido es miembro del G7 y participante activo. Los desarrolladores frontera de IA del Reino Unido son destinatarios directos del Código de Conducta de Hiroshima y se espera que se comprometan con el Marco de Reporte alojado por la OCDE. El trabajo de evaluación de AISI es complementario al Marco de Reporte de Hiroshima: AISI produce evaluaciones técnicas de capacidad; Hiroshima produce reportes públicos sobre práctica.

Reglamento de IA de la UE. El Reino Unido es tercer país para los efectos del Reglamento de IA. Los proveedores de IA basados en el Reino Unido que pongan sistemas en el mercado de la UE están sujetos al Reglamento de IA con independencia del estatus regulatorio del Reino Unido. Las organizaciones del Reino Unido que operan a través del territorio del Reino Unido y la UE deben satisfacer ambos regímenes. La asimetría — estatuto horizontal de la UE, principios sectoriales del Reino Unido — crea una carga de traducción de cumplimiento que las organizaciones activas en ambos mercados deben gestionar.

Principios de IA de la OCDE. El Reino Unido es adherente. El enfoque definitorio del Reino Unido es ampliamente consistente con la definición de la OCDE de sistema de IA. El trabajo regulatorio del Reino Unido se coordina con el Observatorio de Política de la OCDE y el ecosistema OECD.AI más amplio.

Red internacional de AI Safety Institutes. Bletchley (Reino Unido, noviembre de 2023), Seúl (mayo de 2024), Cumbre de Acción IA de París (febrero de 2025) y reuniones posteriores. AISI del Reino Unido es el ancla institucional de esta red. La Cumbre de París fue políticamente notable: el Reino Unido y EE.UU. declinaron firmar la declaración promoviendo IA «inclusiva y sostenible» respaldada por otros 60 países. La no firma reflejó la cautela del gobierno del Reino Unido sobre las declaraciones de IA cuyo contenido sustantivo pudiera restringir el trabajo de IA frontera, y alineó al Reino Unido con la posición de EE.UU. bajo el reencuadre de las prioridades de política de IA de la administración Trump.

—

## ⚖️ Cómo opera Zertia frente al régimen regulatorio de IA del Reino Unido

Pensado para el cumplimiento de la regulación de IA del Reino Unido desde el primer día

Acreditaciones y membresías: 🎖️ Acreditada por ANAB (EE.UU.) · 🎖️ Proceso UKAS (Reino Unido) · 🎖️ Proceso ENAC (UE) · 🏛️ Miembro IAPP · 🏛️ Miembro INCITS · 🏛️ Miembro UKAI · 📜 Firmante EU AI Pact

Zertia es una entidad de certificación de sistemas de gestión de IA acreditada por ANAB, con oficinas en Boston, Madrid y Londres, y un proceso de acreditación activo con UKAS (United Kingdom Accreditation Service). El enfoque del Reino Unido para la regulación de IA — basado en principios, conducido por reguladores sectoriales, con dependencia activa de estándares internacionales de IA — hace que la certificación acreditada y el aseguramiento basado en estándares sean operativamente centrales para cómo las organizaciones del Reino Unido demuestran rendición de cuentas de IA.

Certificación — ISO/IEC 42001, AIUC-1, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 22301. El White Paper del Reino Unido de 2023 y el trabajo gubernamental posterior recomiendan explícitamente los estándares internacionales de IA como herramientas prácticas para gobernanza y aseguramiento. La certificación ISO/IEC 42001 operacionaliza los cinco principios del Reino Unido — safety, transparencia, justicia, rendición de cuentas, impugnación — en una estructura de sistema de gestión que los reguladores sectoriales reconocen. AIUC-1 proporciona aseguramiento técnico a nivel de agente para organizaciones del Reino Unido adyacentes a la frontera que se comprometen con el trabajo de evaluación de AISI o despliegan agentes de IA en mercados regulados del Reino Unido. La presencia de Zertia en Londres sostiene a clientes del Reino Unido que buscan certificación acreditada anclada en el ecosistema europeo de certificación.

Marcos y Regulación — Evaluación de Conformidad EU AI Act, Atestación NIST AI RMF, Evaluación de Riesgos ISO/IEC 23894, Evaluación de Impacto Algorítmico, Evaluación Pre-Certificación. Las organizaciones del Reino Unido que operan a través de mercados del Reino Unido y la UE se benefician de un posicionamiento regulatorio coordinado que satisfaga tanto el Reglamento de IA como el marco de cinco principios del Reino Unido. Las Evaluaciones de Impacto Algorítmico se estructuran para sostener tanto los requisitos de protección de datos de la ICO como los principios más amplios de impugnación y rendición de cuentas del Reino Unido.

Auditoría — Auditoría de Sistema de Gestión de IA, Auditoría de Sistemas de IA de Alto Riesgo, Auditoría de Modelo de IA, Auditoría EU AI Act, Auditoría de Riesgo IA NIST. Auditorías independientes estructuradas para sostener el compromiso con reguladores sectoriales (ICO, FCA, CMA, Ofcom, MHRA), el compromiso de evaluación voluntaria de AISI para organizaciones adyacentes a la frontera y el eventual régimen estatutario de IA.

Formación — Gobernanza de IA, Gobernanza de Datos, Gobernanza de Privacidad a través de Zertia Academy. Los programas tratan explícitamente el régimen del Reino Unido, incluida la arquitectura de reguladores sectoriales, el papel técnico de AISI y la trayectoria hacia el Frontier AI Bill y la legislación integral de IA. Particularmente relevante para los equipos legales, de cumplimiento y de riesgo basados en el Reino Unido que posicionan el trabajo de gobernanza de IA para el entorno regulatorio a medida que evoluciona.

Zertia opera desde Boston, Madrid y Londres, con acreditación ANAB en Estados Unidos y procesos de acreditación activos con UKAS (Reino Unido) y ENAC (España/UE). Miembro de IAPP, INCITS y UKAI. Firmante del EU AI Pact.

🎯 Pasa a la acción

🔍 Diagnostica tu brecha	📊 Construye el esqueleto de aseguramiento
Evaluación Pre-Certificación →	Certificación ISO/IEC 42001 →
Diagnóstico independiente frente al marco pro-innovación del Reino Unido, el ICO AI Auditing Framework y las obligaciones de la DUAA 2025.	El estándar de sistema de gestión acreditado que operacionaliza la regulación basada en principios del Reino Unido a través de las expectativas de ICO, FCA, MHRA y CMA en un esqueleto auditable.

Discutir aseguramiento y certificación de IA en el Reino Unido →

—