"Somos suizos, el AI Act no nos aplica." Es la frase que más me preocuparía escuchar en la mesa de un fondo evaluando una startup con clientes en la UE. Es cierta a medias, y la mitad falsa es la que sale cara.
Empecemos por lo que sí es verdad. Suiza no es miembro de la UE y no ha adoptado el Reglamento (UE) 2024/1689. A día de hoy no existe en Suiza una ley específica de IA — el marco aplicable sigue siendo el genérico: protección de datos, responsabilidad por producto, propiedad intelectual, derecho laboral. El Consejo Federal decidió el 12 de febrero de 2025 el rumbo que quiere seguir, y es deliberadamente ligero: reforzar Suiza como polo de innovación, proteger derechos fundamentales y confianza pública, priorizando regulación sectorial y medidas no vinculantes (autodeclaración, soluciones lideradas por la industria) sobre una ley horizontal al estilo europeo.
El 27 de marzo de 2025, en Estrasburgo, Suiza firmó el Convenio Marco del Consejo de Europa sobre Inteligencia Artificial, Derechos Humanos, Democracia y Estado de Derecho. Firmó, no ratificó. La ratificación necesita aprobación parlamentaria y puede acabar en referéndum si se solicita. El encargo actual es que el Departamento Federal de Justicia y Policía, con otros departamentos, prepare antes de que acabe 2026 un anteproyecto de ley que implemente el Convenio — centrado en transparencia, protección de datos, no discriminación y supervisión — y lo someta a consulta pública. Es decir: en el mejor de los casos, Suiza tendrá un anteproyecto a finales de este año. No una ley en vigor.
Contrasta esto con cómo la propia UE trata el mismo Convenio: lo suscribió mediante la Decisión (UE) 2026/1080 del Consejo, del 21 de abril de 2026, y lo aplica dentro de la Unión exclusivamente a través del Reglamento 2024/1689 y el resto del acervo ya existente. La UE no necesita legislar de nuevo — ya tiene el vehículo. Suiza sí lo necesita, y ese vehículo todavía no existe.
Lo único con dientes hoy en Suiza es la ley de protección de datos. La LPD revisada, en vigor desde el 1 de septiembre de 2023, no menciona la IA por su nombre, pero su artículo 21 es, en la práctica, el principal freno legal a una decisión automatizada que afecte a una persona: quien trate los datos debe informar de toda decisión tomada exclusivamente por procesamiento automatizado con efectos jurídicos o significativos, y la persona afectada tiene derecho a que un ser humano revise esa decisión. Es un enfoque de transparencia y revisión, no de prohibición — más cercano en espíritu al deber de informar que a la lógica del artículo 22 del RGPD, que parte de una prohibición con excepciones.
Por qué esto cambia la due diligence técnica de una startup suiza con clientes en la UE. El error no es asumir que Suiza regula poco — eso es cierto y va a seguir siéndolo un tiempo. El error es asumir que "poco regulado en Suiza" equivale a "poco expuesto". El AI Act tiene un criterio territorial más amplio que el del RGPD: el artículo 2 lo activa no solo cuando el proveedor está en la UE, sino cuando el output del sistema se usa dentro de la Unión, sin importar dónde esté la empresa. Una startup con sede en Zúrich que vende una herramienta de screening de candidatos a un cliente con operaciones en Alemania no queda fuera del Reglamento por tener pasaporte suizo. Queda dentro, aunque en Suiza esa misma herramienta no tuviera ninguna obligación equivalente.
Lo que esto significa en una mesa de evaluación
La pregunta que hay que hacer no es "¿está la empresa en un país que regula la IA?". Es "¿dónde se usa el output de su sistema?". Si la respuesta incluye la UE, la exposición regulatoria de una startup suiza puede ser, en la práctica, idéntica a la de una startup con sede en Fráncfort — con la diferencia de que el equipo suizo lleva más probabilidades de no haberlo anticipado, precisamente porque en casa nadie se lo ha exigido todavía.
Segundo punto: el calendario europeo también se ha movido, y conviene tenerlo presente al planificar el roadmap de cumplimiento de cualquier participada. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, aplazó las obligaciones completas para sistemas de alto riesgo hasta el 2 de diciembre de 2027. Eso da margen — pero solo a las startups que ya han empezado a clasificar sus sistemas. Las que no lo han hecho llegarán igual de tarde en 2027 que en 2026.
Tercero: no todo lo demorado en la UE está demorado en el resto del análisis. Las obligaciones de transparencia del artículo 50 —que un usuario sepa que habla con una IA, que el contenido sintético lleve marca detectable— llevan en vigor desde el 2 de agosto de 2026. Cualquier startup suiza cuyo producto incluya un chatbot o genere contenido de cara al público en la UE ya tiene esa obligación activa, con independencia de si algún día tiene una ley suiza equivalente.
Esto es, en el fondo, el mismo tipo de pregunta que planteo en mis propios informes de due diligence técnica: no basta con preguntar qué dice la empresa sobre sí misma. Hay que preguntar qué riesgo regulatorio no está diciendo, porque asume que no le toca, y comprobarlo contra dónde vive de verdad su usuario final — no contra dónde vive su sede social.
¿Cómo estáis contrastando la exposición regulatoria real de una startup cuando su sede y su mercado están en jurisdicciones distintas?