Reglamento de IA de la UE: Visión general completa de la regulación europea de IA

El Reglamento de IA de la UE (Reglamento 2024/1689) es el primer marco jurídico integral del mundo para la inteligencia artificial. Adoptado por el Parlamento Europeo el 13 de marzo de 2024 y publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024, establece normas armonizadas para el desarrollo, la implantación y el uso de sistemas de IA en toda la Unión Europea.

Este reglamento marca un cambio de paradigma en la forma en que los gobiernos abordan la inteligencia artificial. En lugar de depender de directrices voluntarias o normas sectoriales, la UE ha creado un marco horizontal basado en riesgos que se aplica a todos los sectores y casos de uso.

Por qué es importante el Reglamento de IA de la UE

El Reglamento de IA de la UE tiene importancia mucho más allá de las fronteras europeas. Al igual que el Reglamento General de Protección de Datos (RGPD) antes que él, se espera que el Reglamento de IA establezca un estándar mundial para la gobernanza de la IA. Existen varias razones por las que esta regulación exige la atención de cualquier organización que trabaje con IA.

Alcance global mediante aplicación extraterritorial

El Artículo 2 del Reglamento de IA establece un amplio ámbito territorial. La regulación se aplica no solo a los proveedores y operadores establecidos en la UE, sino también a los proveedores y operadores de terceros países cuando la salida de su sistema de IA se utiliza dentro de la Unión. Esto significa que una empresa con sede en Estados Unidos, Japón o cualquier otro lugar debe cumplir si su sistema de IA produce resultados que afectan a personas en la UE.

Establecimiento del estándar global

La UE tiene un historial bien documentado de exportación de sus estándares regulatorios. El denominado "efecto Bruselas" significa que las empresas multinacionales a menudo adoptan los estándares de la UE a nivel global en lugar de mantener regímenes de cumplimiento separados. Se espera que el Reglamento de IA siga este patrón, convirtiéndose efectivamente en la referencia para la gobernanza de la IA a nivel mundial.

Protección de los derechos fundamentales

A diferencia de los enfoques que se centran principalmente en la innovación o en consideraciones económicas, el Reglamento de IA de la UE sitúa los derechos fundamentales en su núcleo. El Considerando 1 establece explícitamente que el propósito del reglamento es mejorar el funcionamiento del mercado interior, promoviendo al mismo tiempo la adopción de una IA centrada en el ser humano y fiable, y garantizando un alto nivel de protección de la salud, la seguridad y los derechos fundamentales.

¿A quién se aplica el Reglamento de IA de la UE?

El Reglamento de IA define varias categorías de actores dentro de la cadena de valor de la IA. Comprender qué papel desempeña su organización es el primer paso hacia el cumplimiento.

Proveedores

Un proveedor es toda persona física o jurídica que desarrolla un sistema de IA o un modelo de IA de uso general y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca (Artículo 3(3)). Los proveedores soportan la mayor carga de cumplimiento, especialmente para los sistemas de IA de alto riesgo.

Operadores

Un operador es toda persona física o jurídica que utiliza un sistema de IA bajo su autoridad, excepto cuando el sistema de IA se utiliza en el curso de una actividad personal no profesional (Artículo 3(4)). Los operadores tienen su propio conjunto de obligaciones, incluida la realización de evaluaciones de impacto en los derechos fundamentales para determinados sistemas de alto riesgo.

Importadores y distribuidores

Los importadores introducen sistemas de IA de terceros países en el mercado de la UE, mientras que los distribuidores ponen a disposición en el mercado sistemas de IA sin modificarlos. Ambos tienen obligaciones de verificación y documentación en virtud de los Artículos 26 y 27.

Representantes autorizados

Los proveedores establecidos fuera de la UE deben designar un representante autorizado dentro de la Unión antes de poner a disposición sus sistemas de IA de alto riesgo en el mercado de la UE (Artículo 22).

El enfoque basado en riesgos

El elemento central del Reglamento de IA de la UE es su sistema de clasificación basado en riesgos. En lugar de imponer requisitos uniformes a todos los sistemas de IA, el reglamento establece cuatro niveles de riesgo, cada uno con obligaciones proporcionadas.

Riesgo inaceptable (prácticas prohibidas)

El Artículo 5 del Reglamento de IA enumera las prácticas de IA que están completamente prohibidas. Estas incluyen sistemas de IA que utilizan técnicas subliminales, manipuladoras o engañosas para distorsionar el comportamiento, sistemas que explotan vulnerabilidades relacionadas con la edad, la discapacidad o la situación socioeconómica, la puntuación social por parte de las autoridades públicas, la identificación biométrica remota en tiempo real en espacios de acceso público por parte de las fuerzas del orden (con excepciones limitadas), y el reconocimiento de emociones en el lugar de trabajo y en instituciones educativas.

Alto riesgo

Los Artículos 6 y 7, junto con los Anexos I y III, definen los sistemas de IA de alto riesgo. Estos se dividen en dos categorías: sistemas de IA que son componentes de seguridad de productos ya sujetos a la legislación de armonización de la UE (como dispositivos médicos, maquinaria y vehículos), y sistemas de IA independientes utilizados en áreas sensibles enumeradas en el Anexo III, incluidas la identificación biométrica, las infraestructuras críticas, la educación, el empleo, los servicios esenciales, la aplicación de la ley, la migración y la administración de justicia.

Los sistemas de IA de alto riesgo se enfrentan a los requisitos de cumplimiento más extensos, detallados en los Artículos 8 a 15.

Riesgo limitado

Los sistemas de IA que presentan un riesgo limitado están sujetos a obligaciones de transparencia específicas en virtud del Artículo 50. Esto incluye chatbots (que deben revelar que el usuario está interactuando con una IA), deepfakes (que deben estar etiquetados) y contenido generado por IA (que debe estar marcado como tal).

Riesgo mínimo

Los sistemas de IA que presentan un riesgo mínimo o nulo — la gran mayoría de las aplicaciones de IA — pueden desarrollarse y utilizarse sin obligaciones adicionales más allá de la legislación existente. El reglamento fomenta, pero no exige, el desarrollo de códigos de conducta voluntarios para estos sistemas.

Disposiciones y requisitos clave

Más allá de la clasificación de riesgos, el Reglamento de IA introduce varios mecanismos y requisitos importantes.

Modelos de IA de uso general (GPAI)

El Capítulo V del Reglamento de IA aborda los modelos de IA de uso general, incluidos los grandes modelos de lenguaje. Todos los proveedores de modelos GPAI deben mantener documentación técnica, proporcionar información a los proveedores posteriores, cumplir con la legislación de derechos de autor y publicar un resumen suficientemente detallado del contenido de entrenamiento.

Los modelos GPAI con riesgo sistémico — generalmente aquellos entrenados con más de 10^25 FLOP de computación — enfrentan obligaciones adicionales que incluyen evaluaciones del modelo, pruebas adversariales, notificación de incidentes y medidas de ciberseguridad.

Estructura de gobernanza de la IA

El Reglamento de IA establece una estructura de gobernanza multinivel:

• Oficina de IA (Artículo 64): Un organismo dentro de la Comisión Europea responsable de supervisar los modelos GPAI y apoyar la aplicación uniforme del reglamento.
• Comité Europeo de Inteligencia Artificial (Artículo 65): Compuesto por representantes de cada Estado miembro, el Comité asesora a la Comisión y facilita la aplicación coherente en toda la UE.
• Autoridades nacionales competentes (Artículo 70): Cada Estado miembro debe designar al menos una autoridad notificadora y una autoridad de vigilancia del mercado.
• Foro consultivo (Artículo 67): Un órgano de partes interesadas que proporciona experiencia técnica al Comité y a la Comisión.

Espacios controlados de pruebas regulatorias

El Artículo 57 exige que cada Estado miembro establezca al menos un espacio controlado de pruebas regulatorias de IA antes del 2 de agosto de 2026. Estos entornos controlados permiten que los sistemas de IA innovadores se desarrollen y prueben bajo supervisión regulatoria, con seguridad jurídica y vigilancia estructurada.

Evaluación de impacto en los derechos fundamentales

El Artículo 27 exige que los operadores de sistemas de IA de alto riesgo que sean organismos de derecho público, o entidades privadas que prestan servicios públicos, realicen una evaluación de impacto en los derechos fundamentales antes de poner en uso un sistema de IA de alto riesgo. Esta evaluación debe identificar los riesgos para los derechos fundamentales y describir las medidas adoptadas para mitigarlos.

Sanciones y aplicación

El Reglamento de IA de la UE establece una estructura de sanciones escalonada que refleja la gravedad de las infracciones.

Multas

En virtud del Artículo 99, las multas administrativas máximas son:

• Prácticas de IA prohibidas (Artículo 5): Hasta 35 millones de EUR o el 7 % del volumen de negocios total anual mundial, lo que sea mayor.
• Incumplimiento de los requisitos de alto riesgo: Hasta 15 millones de EUR o el 3 % del volumen de negocios total anual mundial.
• Suministro de información incorrecta a las autoridades: Hasta 7,5 millones de EUR o el 1 % del volumen de negocios total anual mundial.

Para las pymes y las empresas emergentes, se aplica la menor de las dos cantidades, proporcionando cierta proporcionalidad para las organizaciones más pequeñas.

Vigilancia del mercado

Las autoridades nacionales de vigilancia del mercado tienen la potestad de realizar inspecciones, exigir medidas correctoras y retirar del mercado los sistemas de IA no conformes. El reglamento también faculta a las personas para presentar reclamaciones ante las autoridades de vigilancia del mercado.

Calendario de aplicación

El Reglamento de IA sigue un calendario de aplicación escalonado:

• 1 de agosto de 2024: Entrada en vigor.
• 2 de febrero de 2025: Se aplican las prohibiciones sobre prácticas de IA de riesgo inaceptable.
• 2 de agosto de 2025: Se aplican las obligaciones para los modelos GPAI. Entran en vigor las disposiciones sobre la estructura de gobernanza.
• 2 de agosto de 2026: Se aplican la mayoría de las disposiciones, incluidos los requisitos para los sistemas de IA de alto riesgo enumerados en el Anexo III.
• 2 de agosto de 2027: Aplicación completa, incluidos los sistemas de IA de alto riesgo que son componentes de seguridad de productos cubiertos por la legislación de armonización de la UE existente (Anexo I).

Cómo prepararse para el cumplimiento

Prepararse para el Reglamento de IA de la UE no es algo que pueda hacerse de la noche a la mañana. Las organizaciones deberían comenzar ahora con un enfoque estructurado.

Paso 1: Inventario de sistemas de IA

Comience catalogando todos los sistemas de IA que su organización desarrolla, despliega o utiliza. Para cada sistema, identifique su propósito, los datos que procesa, a quién afecta y qué papel desempeña su organización (proveedor, operador, importador o distribuidor).

Paso 2: Clasificación de riesgos

Mapee cada sistema de IA frente a las categorías de riesgo definidas en los Artículos 5, 6 y el Anexo III. Determine si alguno de sus sistemas entra en las categorías de alto riesgo o prohibidas.

Paso 3: Análisis de brechas

Para los sistemas de alto riesgo, evalúe sus prácticas actuales frente a los requisitos de los Artículos 8 a 15. Identifique las brechas en la gestión de riesgos, la gobernanza de datos, la documentación técnica, el mantenimiento de registros, la transparencia, la supervisión humana, la precisión y la ciberseguridad.

Paso 4: Hoja de ruta de cumplimiento

Desarrolle una hoja de ruta priorizada para abordar las brechas identificadas. Concéntrese primero en cualquier práctica prohibida que deba eliminarse antes de febrero de 2025, luego en las obligaciones de GPAI (agosto de 2025) y después en los requisitos para sistemas de alto riesgo (agosto de 2026).

Paso 5: Supervisión continua

El cumplimiento del Reglamento de IA no es un ejercicio puntual. El Artículo 9 exige una gestión de riesgos continua, y el Artículo 72 establece la vigilancia poscomercialización para los sistemas de IA de alto riesgo. Establezca procesos para la supervisión continua del cumplimiento y la documentación.

Conclusión

El Reglamento de IA de la UE representa un cambio fundamental en la forma en que se regula la inteligencia artificial. Su enfoque basado en riesgos proporciona un marco proporcionado que equilibra la innovación con la protección de los derechos fundamentales. Con la aplicación ya en marcha y plazos importantes a lo largo de 2025 y 2026, el momento de actuar es ahora.

Ya sea usted un proveedor que desarrolla sistemas de IA, un operador que los integra en sus operaciones o una organización que intenta comprender sus obligaciones, un enfoque sistemático del cumplimiento es esencial. Comprender el reglamento, clasificar sus sistemas de IA y construir procesos de gobernanza sólidos posicionará a su organización no solo para el cumplimiento, sino para un desarrollo de IA sostenible y fiable.