AI Act, CRA, reforma CEMAC: convertir la acumulación normativa en un solo plan de acción

El calendario normativo de julio de 2026 parece un resumen de toda la década. El 2 de agosto entra en vigor una nueva etapa del reglamento europeo de inteligencia artificial: las obligaciones de transparencia del artículo 50 (aviso de contenidos generados, sistemas conversacionales, ultrafalsificaciones) y la potestad sancionadora de la Comisión sobre los modelos de uso general, con multas de hasta 15 millones de euros o el 3 % de la facturación mundial.

Tres semanas antes, el 13 de julio, ENISA publicaba un modelo de autoevaluación de la madurez de ciberresiliencia de las pymes, alineado con el Cyber Resilience Act: cinco ámbitos evaluados, desde la gobernanza hasta el ciclo de vida del producto, una herramienta descargable, una clasificación en madurez básica, intermedia o avanzada. Y en Libreville, la COBAC abría las ofertas de un concurso internacional para revisar sus textos orgánicos y elaborar una ley bancaria única para los seis países de la CEMAC, llamada a sustituir el marco surgido de los convenios de 1990 y 1992.

Tres reguladores, tres geografías, tres asuntos. Vistos desde una dirección general, tres proyectos nuevos que se suman a los que ya existen: NIS2, CSRD, EUDR, según el sector. Es lo que las direcciones de cumplimiento llaman, con un cansancio cada vez mayor, la acumulación normativa.

Ante cada nuevo texto, el reflejo institucional es siempre el mismo: un proyecto dedicado, un responsable dedicado, una consultora dedicada, una hoja de cálculo dedicada. Ese reflejo tiene su lógica, ya que cada texto tiene su propio regulador y sus propias sanciones. Pero tiene sobre todo un coste que pocas organizaciones llegan a medir.

El primer coste es la redundancia: los mismos equipos responden tres veces a las mismas preguntas, con matices en la redacción. ¿Quién es responsable de este sistema? ¿Dónde está el inventario? ¿Cómo gestionan los incidentes? Un responsable de seguridad de una pyme industrial puede pasar buena parte del año alimentando cuestionarios que se solapan en dos tercios.

El segundo coste es la incoherencia: tres proyectos separados producen tres diagnósticos separados, que enseguida divergen. La dirección general recibe tres niveles de gravedad, tres presupuestos, tres calendarios, sin forma de decidir entre ellos. Y el tercer coste es estratégico: de tanto correr detrás de cada plazo, la organización nunca llega a construir la base que le permitiría absorber el siguiente.

Volvamos a leer las tres señales de julio con ojo de profesional. El AI Act exige, ante todo, un inventario de los sistemas de IA y sus usos, una gobernanza clara, una documentación demostrable. El CRA, tal como lo desarrolla el modelo de ENISA, evalúa la gobernanza, la gestión de riesgos, el tratamiento de vulnerabilidades, el ciclo de vida de los productos, las competencias. Un futuro marco prudencial de la CEMAC exigirá, como todos los marcos basados en Basilea, una gobernanza de riesgos, dispositivos documentados, un control interno demostrable.

Dicho de otro modo: bajo vocabularios distintos, buena parte de los requisitos coincide. Saber qué se opera (inventario de sistemas, productos, procesos). Saber quién decide (gobernanza, responsabilidades). Saber qué puede salir mal (gestión de riesgos). Saber reaccionar (incidentes, vulnerabilidades, continuidad). Saber demostrarlo (documentación, trazabilidad). Cinco capacidades básicas que cada texto luego desarrolla en su propio ámbito.

Precisamente porque esta base es común, tratarla en silos es un despilfarro: cada proyecto separado reconstruye, a su costa, un inventario, un mapa de riesgos y una gobernanza que el proyecto vecino acaba de pagar.

La alternativa no es fundir los cumplimientos en un único expediente, los reguladores no lo permitirían. Consiste en separar dos cosas que el reflejo en silos confunde: la base, que se mide una sola vez, y las vistas normativas, que se elaboran por cada texto.

En la práctica: un diagnóstico de madurez único evalúa las capacidades básicas, inventario, gobernanza, riesgos, incidentes, documentación. Cada criterio evaluado se vincula a los textos a los que sirve: tal control de inventario alimenta a la vez al AI Act y al CRA; tal requisito de gobernanza de riesgos sirve al CRA y al futuro marco de la CEMAC. La medición revela entonces lo que los silos ocultan: las coincidencias, esas acciones únicas que hacen avanzar dos o tres cumplimientos a la vez.

Es el principio del cruce de auditorías: en lugar de acumular evaluaciones, se hace que dialoguen entre sí. Una organización que se mide sobre tres marcos de referencia con una base común descubre casi siempre que su verdadero retraso se concentra en un puñado de capacidades transversales, no en trescientos requisitos distintos.

Queda ordenar el plan de acción. Bastan dos criterios, siempre que se combinen. El plazo, primero: el 2 de agosto de 2026 ya ha pasado o está a punto de hacerlo según cómo se mire, las obligaciones principales del CRA llegan a finales de 2027, el futuro texto de la CEMAC seguirá su procedimiento de aprobación. El rendimiento, después: una acción que sirve a tres textos vale, con el mismo esfuerzo, tres veces más que una que solo sirve a uno.

Al combinarlos surge un orden natural. En primer lugar, las capacidades básicas de alto rendimiento: el inventario de sistemas de IA y productos de software, la gobernanza de riesgos, el dispositivo de gestión de incidentes. Después, los desajustes específicos según el plazo: el marcado de transparencia del artículo 50 para la IA, los requisitos de producto del CRA, los ajustes prudenciales cuando se publique el texto de la CEMAC. Al final, lo que puede esperar sin riesgo, documentado como tal.

Este orden tiene una virtud tan política como técnica: ofrece a la dirección general una sola decisión presupuestaria, una sola trayectoria, en lugar de tres peticiones enfrentadas que se presentan cada una como prioritaria.

Gestionada así, la acumulación normativa cambia de naturaleza. El diagnóstico de base se convierte en un activo reutilizable: cuando llegue el próximo texto, y llegará, la organización no partirá de cero, medirá el desfase. Los informes se elaboran por interlocutor a partir de los mismos datos: la vista AI Act para el regulador correspondiente, la vista CRA para los compradores que la pidan, la vista prudencial para el supervisor, la vista consolidada para el comité de dirección.

Y la medición repetida en el tiempo convierte el cumplimiento en una trayectoria: ya no se dice «cumplimos», afirmación imposible de verificar y perecedera, sino «esta es nuestra madurez, su evolución y su plan», demostración fechada y oponible.

La acumulación normativa es una realidad que no va a frenar; la fragmentación de las respuestas, en cambio, es una elección. Las organizaciones que optan por lo contrario, una base medida, vistas por texto, un solo plan priorizado, no afrontan menos textos que las demás. Simplemente los absorben mejor, y más barato.