¿Qué es la regulación de la IA en Finlandia?
Regulación de la IA: países y regiones
La regulación de la IA en Finlandia es principalmente el EU AI Act, aplicado a través de estructuras finlandesas de supervisión y aplicación, en lugar de un código finlandés independiente. La primera fase de implementación nacional de Finlandia ha estado en vigor desde el 1 de enero de 2026, asignando autoridades, poderes de supervisión y sanciones. En la práctica, las organizaciones en Finlandia deben cumplir el propio EU AI Act, la supervisión sectorial finlandesa y, cuando se traten datos personales, el GDPR y las normas finlandesas de protección de datos.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Finlandia no regula la IA principalmente a través de un código doméstico separado. Las principales normas vinculantes provienen del EU AI Act. Finlandia añade la maquinaria nacional que la ley necesita: quién supervisa qué sistemas, quién puede investigar, quién puede designar o actuar como organismo notificado en determinados casos, y cómo se imponen las multas administrativas.
Esto significa que la pregunta práctica para la mayoría de las organizaciones no es si Finlandia tiene "su propio AI Act", sino qué combinación de normas de la UE, supervisión sectorial y normas de protección de datos se aplica a un sistema concreto. Un chatbot público, una herramienta de contratación, un modelo de puntuación crediticia, un dispositivo médico y un sistema biométrico policial no siguen la misma ruta de supervisión.
Finlandia también entró en la era del AI Act con un legado de políticas más amplio que muchos países. Su Programa de IA de 2017 y trabajos posteriores en servicios públicos como AuroraAI contribuyeron a configurar un énfasis nacional en la adopción, la confianza y las competencias. Esos programas son relevantes como contexto, pero son arquitectura de políticas, no la fuente principal de obligaciones vinculantes.
Por qué es importante
En junio de 2026, Finlandia ha pasado del debate político a reguladores designados, poderes formales y una vía de sanción nacional. Si se desarrolla, adquiere, importa o despliega IA en Finlandia, es necesario saber qué autoridad se sienta al otro lado de la mesa, qué registros se requieren, cuándo son obligatorios los avisos de transparencia y cuándo es el regulador sectorial, y no el regulador digital general, el que importa.
Esto es especialmente relevante para las organizaciones que operan en empleo, finanzas, salud, educación, biometría, infraestructuras críticas y administración pública. En esos ámbitos, la legislación sobre IA en Finlandia rara vez es solo una cuestión abstracta de cumplimiento de la UE. Afecta a la contratación pública, el diseño de productos, la gobernanza de datos, la gestión de incidentes, la asignación de responsabilidades a proveedores y las decisiones de riesgo a nivel de consejo de administración.
Cómo funciona
El modelo jurídico es la UE en primer lugar
El régimen de IA de Finlandia parte del EU AI Act, que es derecho de la UE directamente aplicable. Finlandia no reescribió ese reglamento en un código nacional separado. En su lugar, aprobó legislación nacional complementaria, principalmente la Ley de Supervisión de Determinados Sistemas de IA, para asignar autoridades competentes, poderes de vigilancia del mercado, funciones de notificación, recursos y sanciones. La primera fase de ese marco finlandés entró en vigor el 1 de enero de 2026.
Para las organizaciones, esto significa que las obligaciones principales siguen derivando del propio EU AI Act. La capa finlandesa indica quién supervisa, cómo se organiza la aplicación y cómo se administran las normas dentro de Finlandia. También debe distinguirse de los regímenes adyacentes, en especial el GDPR y otras normas finlandesas que pueden aplicarse a las decisiones automatizadas o a productos específicos de un sector.
Finlandia utiliza un modelo de supervisión con múltiples autoridades
Finlandia no ha concentrado toda la supervisión de la IA en un único organismo nuevo. El Defensor de la Protección de Datos supervisa las prácticas de IA prohibidas en virtud del artículo 5 y es también la autoridad de vigilancia del mercado para muchos sistemas de alto riesgo del Anexo III, incluidos varios casos de uso biométrico, educativo, de empleo, de servicios esenciales, de aplicación de la ley, de migración y de justicia. Traficom supervisa los deberes de transparencia del artículo 50 del AI Act, salvo cuando esos deberes de transparencia afectan a proveedores o usuarios de sistemas de alto riesgo, en cuyo caso la autoridad sectorial competente asume el control. Traficom es también el punto de contacto único de Finlandia en virtud del AI Act.
Otras autoridades asumen funciones sectoriales específicas. Finanssivalvonta cubre los usos de alto riesgo pertinentes en el sector financiero. La Agencia Finlandesa de Medicamentos, Fimea, cubre el ámbito de los dispositivos médicos en la regulación de productos. Tukes, Aduanas, la Autoridad de Energía y la autoridad de seguridad y salud en el trabajo también figuran en el mapa de supervisión para determinadas categorías de productos e infraestructuras. Por separado, Finlandia ha publicado su lista de autoridades que protegen los derechos fundamentales en virtud del artículo 77, entre las que se incluyen el Defensor de la Protección de Datos, el Defensor de la No Discriminación, el Defensor de la Igualdad, el Tribunal Nacional de Discriminación e Igualdad, el Canciller de Justicia, el Defensor del Pueblo Parlamentario, las autoridades de seguridad y salud en el trabajo y el Defensor del Consumidor.
La aplicación se organiza a través de la vigilancia del mercado y un consejo de sanciones
La ley complementaria de Finlandia integra la supervisión de la IA en su sistema más amplio de vigilancia del mercado. Las autoridades competentes utilizan los poderes de vigilancia del mercado y, cuando procede, la legislación sectorial. Las multas administrativas no las fija cada regulador por separado. En su lugar, la ley creó un consejo de sanciones de supervisión de la IA independiente, adscrito a Traficom. La autoridad competente de vigilancia del mercado propone la multa y el consejo decide si imponerla, modificar su cuantía o rechazarla.
Los límites máximos de las multas siguen la estructura del EU AI Act: hasta 35 millones de euros o el 7 por ciento del volumen de negocio anual mundial por prácticas prohibidas, hasta 15 millones de euros o el 3 por ciento por muchas otras infracciones, y hasta 7,5 millones de euros o el 1 por ciento por suministrar información incorrecta o engañosa. Para las pymes, el límite es el menor entre la cuantía fija y la cuantía porcentual. Un detalle llamativo específico de Finlandia es que esta vía de multa administrativa no se aplica a las autoridades estatales, los municipios, los condados de servicios de bienestar y determinados otros organismos de derecho público, aunque esos organismos sigan estando dentro del régimen jurídico más amplio.
La protección de datos y la transparencia funcionan en paralelo
En Finlandia, el cumplimiento en materia de IA suele comenzar con una pregunta más sencilla: ¿trata el sistema datos personales y interactúa directamente con personas o condiciona decisiones significativas sobre ellas? Las orientaciones del Defensor de la Protección de Datos subrayan que se necesita una base jurídica desde la fase de desarrollo y entrenamiento en adelante, siempre que se utilicen datos personales. También se hace hincapié en la limitación de la finalidad, la minimización de datos, los avisos claros a los interesados y, en muchos proyectos de IA, una evaluación de impacto relativa a la protección de datos (DPIA) antes de que comience el tratamiento.
Esto es relevante porque muchos proyectos de IA cumplen indicadores comunes de alto riesgo en virtud de la legislación de protección de datos, como la evaluación o puntuación de personas, la toma de decisiones automatizada con efectos jurídicos o igualmente significativos, el tratamiento extensivo, la combinación de conjuntos de datos o el uso de datos de categorías especiales. Al mismo tiempo, el AI Act impone obligaciones de transparencia separadas. En términos prácticos, una organización finlandesa que gestione un chatbot orientado al usuario o publique determinados contenidos generados por IA puede necesitar proporcionar avisos claros en virtud del artículo 50, aunque el sistema no sea de alto riesgo. El GDPR y el AI Act se solapan, pero no se reducen a una única lista de verificación.
La evaluación de la conformidad sigue rutas sectoriales
Para algunos sistemas, la cuestión operativa real no es solo la supervisión tras el despliegue, sino la ruta de conformidad antes de que el sistema llegue al mercado o entre en servicio. Finlandia ha asignado autoridades de notificación para los organismos notificados por sector: el Ministerio de Asuntos Económicos y Empleo, Traficom, la Agencia Finlandesa de Medicamentos y el Ministerio de Asuntos Sociales y Salud. La acreditación se gestiona a través del servicio de acreditación de Tukes.
Finlandia también realizó una asignación especial destacable. Cuando una autoridad policial, de migración o de asilo tiene previsto poner en servicio un sistema de IA de alto riesgo del tipo del punto 1 del Anexo III, el Defensor de la Protección de Datos actúa como organismo notificado. La ruta de conformidad detallada corresponde a una página separada, pero el punto principal para Finlandia es sencillo: la ruta de supervisión depende en gran medida del sector y el uso del sistema, no solo de la palabra "IA".
El legado estratégico importa, pero la segunda fase sigue avanzando
Finlandia entró en esta fase regulatoria con un legado de políticas de IA inusualmente sólido. El Programa Nacional de IA lanzado en 2017 posicionó a Finlandia como adoptante temprana, y el posterior programa AuroraAI mostró cómo la administración pública finlandesa intentaba combinar IA, diseño de servicios y ética. Ese legado ayuda a explicar por qué la postura actual de Finlandia no es solo restrictiva. También trata de apoyar la adopción, la seguridad jurídica y la confianza pública.
Pero el marco nacional no está terminado. A 6 de junio de 2026, la segunda fase de implementación de Finlandia sigue en preparación. El material oficial del proyecto indica que esta fase tiene como objetivo crear al menos un entorno de pruebas regulatorio de IA nacional y un registro nacional para determinada IA de alto riesgo vinculada a componentes de seguridad de infraestructuras críticas. Al mismo tiempo, ese mismo material del proyecto muestra un calendario legislativo actualizado que se extiende hasta la semana 35 de 2026, lo que significa que el calendario nacional todavía no está completamente definido. La dirección es clara, pero algunos detalles de implementación siguen pendientes. Traficom también ha comenzado ya los trabajos de preparación del piloto para el entorno de pruebas, lo que demuestra que la preparación operativa avanza aunque el marco jurídico completo esté aún en proceso de finalización.
Ejemplos
Una empresa finlandesa añade un chatbot de atención al cliente a su sitio web. En virtud de las normas de transparencia del AI Act, los usuarios generalmente deben ser informados de que están interactuando con IA. En Finlandia, Traficom supervisa esas obligaciones del artículo 50, salvo que el mismo sistema forme parte de las obligaciones del proveedor o usuario de un sistema de alto riesgo. Si el chatbot registra conversaciones que contienen datos personales, la empresa también necesita una base jurídica, información a los interesados y, según el riesgo, una DPIA.
Un banco, aseguradora o institución de pensiones en Finlandia despliega un sistema de IA de alto riesgo en un caso de uso financiero cubierto, como funciones relevantes de evaluación de solvencia o de riesgos. La ruta de supervisión no pasa por un regulador digital genérico. En virtud de la ley complementaria de Finlandia, la ruta del sector financiero corresponde a Finanssivalvonta. Eso cambia quién recibe los avisos, quién puede investigar y quién propondría una multa administrativa.
Una autoridad policial, de migración o de asilo tiene previsto poner en servicio un sistema de IA de alto riesgo del punto 1 del Anexo III. En Finlandia, el Defensor de la Protección de Datos tiene una doble importancia en este caso: es tanto una autoridad de vigilancia del mercado para las prácticas prohibidas y muchos usos de alto riesgo, como el organismo notificado para esta ruta de conformidad previa al despliegue en particular. Para las organizaciones que venden a este segmento del sector público, esto es una cuestión material de contratación y garantía.
Malentendidos frecuentes
Finlandia tiene un AI Act nacional independiente que sustituye a las normas de la UE. No. El EU AI Act es el reglamento principal, y Finlandia principalmente añade autoridades, procedimientos y sanciones.
Traficom es el único regulador de IA en Finlandia. No. Finlandia utiliza un modelo distribuido que incluye a Traficom, el Defensor de la Protección de Datos, Finanssivalvonta, Fimea, Tukes, la Autoridad de Energía, Aduanas y otros organismos sectoriales.
El cumplimiento del GDPR implica el cumplimiento del AI Act. No. Las obligaciones de protección de datos y del AI Act se solapan, pero cubren aspectos diferentes.
Solo el desarrollador necesita preocuparse. No. Los proveedores, importadores, distribuidores y usuarios pueden tener todos obligaciones en virtud del AI Act y de la estructura de aplicación de Finlandia.
Los programas anteriores de IA de Finlandia eran legislación vinculante. No. Configuraron la orientación política y la cultura de gobernanza, pero el régimen vinculante proviene del EU AI Act y de la legislación complementaria de Finlandia.
Riesgos y límites
Esta página trata sobre la capa nacional de Finlandia. No pretende reproducir el EU AI Act completo, determinar si un sistema es de alto riesgo en cada caso, ni recorrer todas las rutas de evaluación de la conformidad. Esas cuestiones suelen requerir un análisis específico del sistema.
El límite práctico más importante en Finlandia es la superposición regulatoria. Un mismo sistema puede activar simultáneamente obligaciones del AI Act, obligaciones del GDPR, preocupaciones de no discriminación, legislación de consumo, legislación laboral, normas sobre dispositivos médicos o legislación sectorial específica de productos. Los organismos públicos también pueden enfrentarse a restricciones separadas de derecho administrativo cuando se trata de toma de decisiones automatizada.
El otro límite es el temporal. La primera fase de implementación de Finlandia está en vigor, pero la segunda fase, especialmente el entorno de pruebas y el registro de infraestructuras críticas, sigue en proceso de finalización a 6 de junio de 2026. El calendario a nivel de la UE para las obligaciones posteriores del AI Act también se ha visto afectado por el paquete de simplificación de 2025-2026, y las páginas oficiales de la UE no siempre han estado completamente sincronizadas. Por tanto, el mapa institucional es claro, pero algunas fechas posteriores y disposiciones prácticas pueden seguir cambiando.
Dado que el marco es todavía nuevo, existe menos práctica finlandesa de la que muchas organizaciones desearían en casos límite. Cabe esperar mayor claridad a partir de las orientaciones, la cooperación entre autoridades y la práctica supervisora posterior antes de que todas las cuestiones fronterizas queden resueltas.
Qué hacer a continuación
En primer lugar, elaborar un inventario de los usos de IA y clasificar cada uno según el rol jurídico (proveedor, usuario, importador o distribuidor) y por sector. En Finlandia, ese mapeo determina el regulador probable.
En segundo lugar, identificar si algún sistema afecta al empleo, las finanzas, la salud, la biometría, las infraestructuras críticas, la administración pública o los contenidos sintéticos de cara al público. Esos son los ámbitos donde el mapa de autoridades de Finlandia cobra mayor importancia.
En tercer lugar, reunir el expediente de evidencias antes de que lo solicite un regulador, un cliente o un equipo de contratación: finalidad del sistema, responsable, mapa de datos, registros de entrenamiento y pruebas, diseño de supervisión humana, instrucciones de usuario, registro de actividad, escalado de incidentes y asignación de responsabilidades a proveedores.
En cuarto lugar, tratar la protección de datos y la transparencia como cuestiones a abordar en las primeras fases del desarrollo, no como notas jurídicas tardías. Si se utilizan datos personales, verificar la base jurídica y la cuestión de la DPIA desde el principio. Si las personas interactúan con el sistema o reciben contenido sintético, diseñar también el aviso al usuario desde el principio.
Por último, seguir de cerca la legislación de la fase II de Finlandia y los ajustes pendientes en el calendario de la UE. El objetivo de cumplimiento en Finlandia ya no es abstracto. Es un programa de gobernanza operativa.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Finlandia su propio AI Act?
Finlandia cuenta con legislación nacional complementaria, pero el reglamento vinculante principal es el EU AI Act.
¿Qué autoridad finlandesa supervisará mi sistema de IA?
Depende del sector y el uso del sistema. Traficom, el Defensor de la Protección de Datos, Finanssivalvonta, Fimea, Tukes y otros organismos sectoriales tienen todos funciones asignadas.
¿Están regulados en Finlandia los chatbots y las herramientas de IA generativa?
Sí. Si un sistema interactúa directamente con personas o crea determinados contenidos sintéticos, pueden aplicarse obligaciones de transparencia. Si además trata datos personales, también se aplican las normas de protección de datos.
¿Es suficiente el GDPR si mi sistema utiliza datos personales?
No. El GDPR y el AI Act se solapan, pero plantean preguntas diferentes. Es posible cumplir uno y seguir incumpliendo obligaciones del otro.
¿Está ya plenamente operativo el entorno de pruebas regulatorio de IA de Finlandia?
Todavía no en su forma jurídica completa. La segunda fase de implementación de Finlandia sigue en preparación a 6 de junio de 2026, aunque Traficom ya ha comenzado los trabajos de preparación del piloto.
¿Puede una autoridad pública finlandesa ser multada en virtud del régimen nacional de sanciones de IA?
La ley complementaria de Finlandia excluye a las autoridades estatales, los municipios, los condados de servicios de bienestar y determinados otros organismos de derecho público de esa vía de multa administrativa. Eso no elimina sus obligaciones jurídicas más amplias.
¿Necesito un organismo notificado en Finlandia?
Solo algunos sistemas lo requieren. La respuesta depende de la ruta de conformidad, el sector y el caso de uso. Los ejemplos más claros son la IA regulada como producto y determinadas rutas de biometría en el sector público.
¿Siguen siendo jurídicamente vinculantes los antiguos documentos de estrategia de IA de Finlandia?
No. Siguen siendo un contexto útil para comprender la orientación política de Finlandia, pero las obligaciones vinculantes provienen del EU AI Act y de las normas complementarias de Finlandia.