La Ley de Inteligencia Artificial es un Reglamento que fue aprobado por el Parlamento Europeo el 13 de marzo de 2024 y entró en vigor el 1 de agosto de 2024. Fue propuesto el 21 de abril de 2021 por la Comisión Europea en el marco de la estrategia Década Digital 2030, con el objetivo de introducir un marco normativo y jurídico único para los sistemas de inteligencia artificial que operen en la Unión Europea. Se trata de la primera ley en el mundo sobre inteligencia artificial, que pretende mitigar los riesgos que supone para la seguridad europea, y los derechos fundamentales de los ciudadanos de la Unión. Su ámbito de aplicación abarca todos los sectores, excepto el militar, y todos los tipos de inteligencia artificial.
Como Reglamento de productos, la propuesta no confiere derechos a los particulares, sino que regula y supervisa a los proveedores de sistemas de inteligencia artificial y a las entidades que hacen uso de ellos a título profesional.
La ley clasifica las aplicaciones de inteligencia artificial en función de su riesgo y las regula en consecuencia. Las aplicaciones de bajo riesgo no se regulan en absoluto, ya que los Estados miembros, gracias a la armonización máxima, no pueden regularlas en mayor medida y no se aplican las leyes nacionales vigentes relativas a la regulación del diseño o el uso de tales sistemas. Se prevé un código de conducta voluntario para estos sistemas de bajo riesgo, aunque no estará presente desde el principio. Los sistemas de riesgo medio y alto requerirán una evaluación obligatoria de la conformidad, realizada como autoevaluación por el proveedor, antes de su comercialización. En el caso de algunas aplicaciones especialmente críticas que ya requieren una evaluación de la conformidad supervisada en virtud de la legislación comunitaria vigente, por ejemplo en el caso de los productos sanitarios, la autoevaluación del proveedor con arreglo a los requisitos de la Ley IA sería examinada por el organismo notificado que realice la evaluación en virtud de esa normativa, como el Reglamento sobre los productos sanitarios.
La ley también impone prohibiciones a determinados tipos de aplicaciones, a saber, el reconocimiento biométrico a distancia, las aplicaciones que manipulan subliminalmente a las personas, las aplicaciones que explotan vulnerabilidades de determinados grupos de forma perjudicial y la evaluación social. Para las tres primeras se propone un régimen de autorización en el contexto de la aplicación de la ley, pero la evaluación social se prohibiría por completo.
La ley también propone la introducción de una Junta Europea de Inteligencia Artificial que fomentará la cooperación interestatal y garantizará que se respete la regulación.
Al igual que el Reglamento General de Protección de Datos (RGPD), la Ley de IA podría convertirse en una referencia mundial para otros países que quieran legislar sobre la inteligencia artificial. Ya está teniendo impacto más allá de Europa; en septiembre de 2021, el Congreso de Brasil aprobó un proyecto de ley que crea un marco legal para la inteligencia artificial.
El Consejo adoptó su orientación general sobre la Ley de IA el 6 de diciembre de 2022. Alemania apoya la posición del Consejo, pero sigue considerando que es necesario introducir algunas mejoras, tal como se formula en una declaración adjunta del Estado miembro.
Disposiciones Categorías de riesgo Existen diferentes categorías de riesgo según el tipo de aplicación, con una categoría específica dedicada a la inteligencia artificial generativa de propósito general:
La Ley de IA (AI Act) establece un marco regulatorio basado en la clasificación de los sistemas de inteligencia artificial según su nivel de riesgo potencial para los derechos fundamentales, la salud y la seguridad de las personas. Este enfoque de riesgo escalonado es central en la legislación, imponiendo obligaciones más estrictas a medida que el riesgo aumenta.
Riesgo Inaceptable Se prohíbe el desarrollo, la comercialización y el uso de sistemas de IA que se consideren de riesgo inaceptable, ya que contravienen los valores de la Unión Europea. Entre ellos se incluyen sistemas de social scoring (puntuación social) implementados por autoridades públicas, la manipulación de técnicas subliminales que puedan causar daño físico o psicológico, y la explotación de vulnerabilidades de grupos específicos (como la edad o la discapacidad) para distorsionar su comportamiento.
Alto Riesgo Los sistemas de IA clasificados como de alto riesgo son aquellos utilizados en áreas críticas, como:
Infraestructuras críticas (suministro de agua, electricidad, etc.). Educación y formación profesional (evaluación de exámenes, admisión). Recursos humanos (contratación, evaluación del desempeño). Aplicación de la ley (evaluación de la fiabilidad de pruebas). Gestión de la migración, asilo y control fronterizo. Administración de justicia y procesos democráticos. Dispositivos médicos y sistemas de seguridad de productos.
Para ser comercializados o utilizados, los desarrolladores de sistemas de alto riesgo deben cumplir con una serie de requisitos obligatorios que garantizan su fiabilidad, transparencia y supervisión humana. Estos requisitos incluyen la implementación de un sistema de gestión de riesgos, la garantía de la calidad de los datos utilizados para el entrenamiento, el mantenimiento de registros detallados de la actividad, la provisión de información clara y completa a los usuarios, y la necesidad de una rigurosa evaluación de la conformidad antes de su puesta en el mercado.Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial). Diario Oficial de la Unión Europea, L, 2024/2847, 24 de septiembre de 2024.
Riesgo Limitado y Mínimo Los sistemas de riesgo limitado deben cumplir con requisitos de transparencia específicos. Esto se aplica a sistemas que interactúan con personas, como chatbots, que deben informar a los usuarios de que están tratando con una máquina. También incluye los sistemas que generan deepfakes o contenido manipulado, que deben ser etiquetados como artificiales.European Commission. (2021). Proposal for a Regulation of the European Parliament and of the Council laying down harmonised rules on artificial intelligence (Artificial Intelligence Act) and amending certain Union legislative acts. COM(2021) 206 final. Bruselas: Comisión Europea. La gran mayoría de los sistemas de IA caen en la categoría de riesgo mínimo, a los cuales se les permite un uso libre sin regulaciones estrictas, aunque se promueve la adopción de códigos de conducta voluntarios. Riesgo inaceptable – Las aplicaciones de IA en esta categoría están prohibidas, excepto por excepciones específicas. Cuando no se aplica ninguna exención, esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como reconocimiento facial) en espacios públicos y aquellas utilizadas para el puntaje social (clasificación de individuos en función de sus características personales, estatus socioeconómico o comportamiento). Alto riesgo – Aplicaciones de IA que se espera que representen amenazas significativas para la salud, seguridad o los derechos fundamentales de las personas. Notablemente, los sistemas de IA utilizados en salud, educación, reclutamiento, gestión de infraestructuras críticas, aplicación de la ley o justicia. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una "Evaluación del Impacto sobre los Derechos Fundamentales" antes de su implementación. Deben ser evaluados tanto antes de ser comercializados como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo, sin necesidad de modificar la propia Ley de IA. IA de propósito general – Añadida en 2023, esta categoría incluye, en particular, modelos base como ChatGPT. A menos que los pesos y la arquitectura del modelo se liberen bajo una licencia de código abierto, en cuyo caso solo se requiere un resumen de los datos de entrenamiento y una política de cumplimiento de derechos de autor, están sujetos a requisitos de transparencia. Los sistemas de IA de propósito general de alto impacto, incluidos los de código abierto, que podrían representar riesgos sistémicos (notablemente aquellos entrenados usando una capacidad computacional superior a 1025 FLOPS) también deben someterse a un proceso de evaluación exhaustivo. Riesgo limitado – Los sistemas de IA en esta categoría tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye, por ejemplo, aplicaciones de IA que permiten generar o manipular imágenes, sonidos o videos (como los deepfakes). Riesgo mínimo – Esta categoría incluye, por ejemplo, sistemas de IA utilizados en videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a las normas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de dichos sistemas se reemplazan. Sin embargo, se sugiere un código de conducta voluntario.
Exenciones Los artículos 2.3 y 2.6 eximen de la ley a los sistemas de IA utilizados con fines militares o de seguridad nacional o para investigación y desarrollo puramente científicos.
El artículo 5.2 prohíbe la videovigilancia algorítmica únicamente si se realiza en tiempo real. Las excepciones que permiten la videovigilancia algorítmica en tiempo real incluyen objetivos policiales que incluyen "una amenaza real y presente o real y previsible de ataque terrorista".
El considerando 31 de la ley establece que su objetivo es prohibir "los sistemas de inteligencia artificial que proporcionen puntuación social a personas físicas por parte de actores públicos o privados", pero permite "prácticas legales de evaluación de personas físicas que se lleven a cabo para un propósito específico de conformidad con las normas de la Unión y ley Nacional." La Quadrature du Net interpreta que esta exención permite sistemas de puntuación social específicos del sector, como la puntuación de sospecha utilizada por la agencia francesa de pagos familiares.
Gobernanza La ley establece diversos órganos nuevos en el artículo 64 y siguientes. Estos órganos tienen la tarea de implementar y hacer cumplir la ley. El enfoque combina la coordinación a nivel comunitario con la implementación nacional, involucrando tanto a las autoridades públicas como a la participación del sector privado.
Se crearán los siguientes nuevos órganos:
Oficina Europea de Inteligencia Artificial: adscrita a alguna Dirección General de la Comisión Europea, esta autoridad coordinará la implementación de la ley en todos los Estados miembros y supervisará el cumplimiento de los proveedores de IA de propósito general y que operen en más de un Estado. Junta Europea de Inteligencia Atrificial: compuesta por un representante de cada Estado miembro, la Junta asesorará y ayudará a la Comisión y a los Estados miembros para facilitar la aplicación coherente y eficaz de la ley. Sus tareas incluyen recopilar e intercambiar experiencia técnica y regulatoria, brindar recomendaciones, opiniones escritas y otros consejos.