La nueva normativa de Inteligencia Artificial aprobada por la Unión Europea, conocida oficialmente como AI Act, busca establecer un marco común para el desarrollo y uso de la inteligencia artificial en los países miembros.
Se trata de la primera regulación integral en este ámbito a nivel mundial y busca impulsar la innovación tecnológica garantizando la seguridad, la ética y el respeto a los derechos fundamentales.
Para las empresas que trabajan con esta tecnología, conocer sus implicaciones es clave, ya que influirá en cómo diseñan, implementan y utilizan los sistemas de IA.
¿Qué regula la Ley de Inteligencia Artificial (IA) en la Unión Europea?
El objetivo central de la Ley de IA es establecer un marco que asegure un uso seguro, ético y transparente de la inteligencia artificial en todos los Estados miembros de la Unión Europea.
Busca proteger a los ciudadanos de los riesgos asociados al uso indebido de la IA, al mismo tiempo que apoya la innovación responsable y consolida a Europa como líder en el desarrollo de tecnologías confiables y respetuosas con los derechos humanos.
Para ello, establece normas sobre cómo se debe diseñar, desarrollar y usar la IA, poniendo el foco en la seguridad, la transparencia, la no discriminación y la supervisión humana.
Clasificación de riesgos en sistemas de IA
La Ley de IA de la UE adopta un enfoque piramidal basado en el riesgo, clasificando los sistemas de IA en cuatro niveles.
- Riesgo mínimo: No presentan riesgos relevantes para la seguridad ni para los derechos fundamentales. Por tanto, no están sujetos a requisitos específicos en la normativa. Ejemplos comunes incluyen videojuegos habilitados para IA o filtros de spam.
- Riesgo limitado: No implican riesgos significativos, pero requieren obligaciones de transparencia específicas para garantizar que los usuarios sean conscientes de que interactúan con una IA. En estos casos, es necesario informar al usuario de que está interactuando con una inteligencia artificial, como ocurre con los chatbots.
- Alto riesgo: Abarca los casos de uso de IA que pueden plantear riesgos graves para la salud, la seguridad o los derechos fundamentales de las personas. Están sujetos a estrictas condiciones de control y evaluación antes de su comercialización. Un ejemplo serían los sistemas de seguridad de IA aplicados a infraestructuras críticas, como redes de transporte o suministros de agua y energía.
- Riesgo inaceptable: Su uso se considera una amenaza para la seguridad, los medios de vida y los derechos de las personas, por lo que su uso está completamente prohibido en la UE. Esto incluye, entre otros, los sistemas destinados a manipular el comportamiento humano de forma perjudicial
Obligaciones para empresas según el nivel de riesgo
Las responsabilidades de las organizaciones dependen directamente del nivel de riesgo del sistema de IA que manejan.
En primer lugar, los sistemas de riesgo inaceptable no pueden ser desarrollados ni utilizados en la UE.
Por su parte, los sistemas de alto riesgo exigen a los desarrolladores y proveedores cumplir con una serie de requisitos rigurosos antes de ser comercializados. Entre las obligaciones específicas se incluyen:
- Evaluación y mitigación de riesgos: Es obligatorio implementar un sistema continuo de gestión de riesgos que monitoree la IA a lo largo de todo su ciclo de vida.
- Calidad de los conjuntos de datos: Se debe asegurar una alta calidad de los conjuntos de datos utilizados para entrenar, validar y probar el sistema.
- Registro de la actividad (logging): Implica mantener registros detallados de la actividad para garantizar la trazabilidad de los resultados y facilitar auditorías.
- Documentación detallada: Las empresas deben proporcionar documentación técnica completa.
- Información clara al usuario o implementador: Se debe ofrecer información clara y adecuada al usuario sobre el propósito y funcionamiento del sistema.
- Supervisión humana y monitoreo continuo: Para asegurar el control y la intervención cuando sea necesario.
- Evaluación de conformidad de la UE y colocar el marcado CE en sus sistemas. Los sistemas de IA clasificados como de alto riesgo deben superar una evaluación de conformidad para verificar que cumplen con los requisitos establecidos. Una vez superada, deben incorporar el marcado CE, que indica que el sistema puede comercializarse en el mercado europeo.
En el caso de los sistemas de riesgo limitado, las obligaciones se centran principalmente en la transparencia para el usuario. Además, los proveedores de IA generativa tienen la obligación de asegurar que el contenido generado por IA sea identificable como tal.
Para los sistemas de riesgo mínimo, la Ley de IA no introduce reglas específicas, lo que permite una mayor flexibilidad para el desarrollo y uso de estas aplicaciones.
Sectores más afectados por la Ley de IA
La Ley de Inteligencia Artificial en Europa tendrá un impacto considerable en varios sectores económicos debido a la naturaleza de los sistemas de IA que emplean. Algunos de los más afectados serán:
- Sanidad: Sistemas de diagnóstico, cirugía asistida por IA y desarrollo de fármacos.
- Banca y finanzas: Evaluación de créditos, detección de fraudes y gestión de inversiones.
- Transporte: Vehículos autónomos y sistemas de gestión del tráfico.
- Educación: Herramientas de evaluación y sistemas de tutoría personalizada.
- Recursos humanos: Herramientas de selección de personal y sistemas de evaluación de rendimiento.
- Aplicación de la ley: Sistemas de reconocimiento facial y análisis predictivo de crímenes.
Estos sectores, entre otros, deberán revisar sus sistemas de IA para asegurar que cumplen con las nuevas exigencias, especialmente si sus aplicaciones se clasifican como de alto riesgo.
Sanciones por incumplimiento de la normativa
El incumplimiento de la Ley de Inteligencia Artificial de la UE conlleva consecuencias legales y económicas significativas. Las multas previstas están entre las más altas dentro del marco regulador europeo. Su cuantía depende de varios factores, como la gravedad de la infracción, el tamaño de la empresa, si hay antecedentes y las acciones que se hayan tomado para corregir o reducir el impacto.
Por ejemplo, utilizar un sistema de IA prohibido o no cumplir con los requisitos de calidad de datos para sistemas de alto riesgo puede conllevar multas de hasta los 35 millones de euros o el 7% del volumen de negocio global anual de la empresa, lo que sea mayor. Las multas por proporcionar información incorrecta pueden ser de hasta 7,5 millones de euros o el 1,5% del volumen de negocio global anual. Estas cifras subrayan la importancia de cumplir rigurosamente con la normativa.
Cómo prepararse para la nueva regulación
Para que las empresas se adapten a la Ley de IA de la UE, es crucial tomar medidas proactivas:
- Realizar auditorías de sus sistemas de IA: Identificar qué sistemas se utilizan, cómo funcionan y a qué categoría de riesgo pertenecen.
- Fomentar la transparencia algorítmica: Documentar los procesos de desarrollo y decisión de los algoritmos para poder explicar su funcionamiento.
- Establecer marcos de gobernanza de la IA: Definir roles y responsabilidades dentro de la organización para la gestión y supervisión de los sistemas de IA.
- Evaluar y mitigar riesgos: Implementar procesos para identificar, analizar y reducir los riesgos asociados a los sistemas de IA, especialmente los de alto riesgo.
- Invertir en formación y capacitación: Asegurar que el personal relevante comprende los requisitos de la Ley y las mejores prácticas en IA ética y responsable.
Calendario de aplicación y próximos pasos
La Ley de Inteligencia Artificial de la Unión Europea entró en vigor el 1 de agosto de 2024 de forma gradual, y será plenamente aplicable dos años después, el 2 de agosto de 2026, con algunas excepciones:
- 2 de febrero de 2025: Seis meses después de la entrada en vigor, las sanciones por el uso de sistemas de IA prohibidos pueden aplicarse.
- 2 de agosto de 2025: Nueve meses después de la entrada en vigor, se aplican las Normas de Gobernanza y las Obligaciones para Modelos de IA de Propósito General (GPAI).
- 2 de agosto de 2026: Comienza a aplicarse el resto de la Ley AI, excepto las normas de clasificación de los sistemas de IA de alto riesgo.
- 2 de agosto de 2027: Las normas aplicables a los sistemas de IA de alto riesgo, integrados en productos regulados.
Las empresas deben estar atentas a estas fechas para asegurar una transición fluida y cumplir con todas las obligaciones a tiempo. El éxito de esta normativa dependerá de la colaboración efectiva entre los organismos reguladores y la industria.
