El Código de Prácticas de GPAI de la Ley de IA de la UE es un marco de gobernanza voluntario desarrollado bajo la Ley de Inteligencia Artificial de la Unión Europea (Ley de IA). Proporciona orientación detallada para los proveedores de modelos de IA de propósito general (GPAI), incluidos los grandes modelos de lenguaje y otros modelos fundacionales, sobre cómo cumplir con las obligaciones regulatorias establecidas en la Ley de IA. El código se finalizó en 2025 tras un proceso de redacción con múltiples partes interesadas, con el objetivo de traducir los requisitos legales de alto nivel en prácticas concretas y accionables para la transparencia, el cumplimiento de derechos de autor y la gestión de riesgos sistémicos.
El código no es legalmente vinculante en sí mismo, pero se presume que su cumplimiento demuestra conformidad con los requisitos de la Ley de IA para los modelos GPAI. Fue desarrollado por la Oficina de IA, el organismo de la UE responsable de supervisar la regulación de GPAI, en colaboración con expertos independientes, representantes de la industria y la sociedad civil. La versión final se publicó en julio de 2025, tras una consulta pública que recibió más de 430 contribuciones de empresas, investigadores y grupos de defensa.
Antecedentes y Contexto Legal
La Ley de IA de la UE, adoptada en agosto de 2024, entró en vigor el 1 de agosto de 2024, con la mayoría de las disposiciones aplicándose de manera progresiva. Los modelos GPAI, definidos como modelos de IA entrenados con datos a gran escala y capaces de realizar una amplia gama de tareas, están sujetos a obligaciones específicas bajo el Capítulo V de la Ley. Estas obligaciones incluyen proporcionar documentación técnica, publicar un resumen del contenido de entrenamiento e implementar políticas para respetar la ley de derechos de autor de la UE.
Para los modelos GPAI con riesgo sistémico - definidos como aquellos con potencia computacional acumulada que supera los 10^25 operaciones de punto flotante (FLOPs) - se aplican requisitos adicionales, como realizar evaluaciones de modelos y pruebas adversarias. La Ley de IA ordena que la Oficina de IA facilite la creación de códigos de prácticas para detallar cómo se pueden cumplir estas obligaciones. El Código de Prácticas de GPAI es el instrumento principal para este propósito.
Proceso de Redacción y Cronología
El proceso de redacción comenzó en septiembre de 2024, cuando la Oficina de IA lanzó una consulta para recopilar aportes sobre el alcance y el contenido del código. En noviembre de 2024, la Oficina de IA nombró a cuatro presidentes independientes: Yoshua Bengio, ganador del Premio Turing y pionero en aprendizaje profundo; Marietje Schaake, exmiembro del Parlamento Europeo; Alexander Peukert, profesor de derecho de autor; y Anja Feldner, experta en políticas digitales. Estos presidentes lideraron grupos de trabajo centrados en transparencia, derechos de autor y riesgo sistémico.
Se establecieron cuatro grupos de trabajo, cada uno abordando un área específica: disposiciones de transparencia y derechos de autor, identificación y evaluación de riesgos sistémicos, mitigación técnica de riesgos, y gobernanza y revisión. Cada grupo incluyó representantes de los principales desarrolladores de IA como OpenAI, Anthropic, Google DeepMind y Microsoft (AI), así como startups europeas, comunidades de código abierto y organizaciones de la sociedad civil. Los grupos se reunieron regularmente de enero a abril de 2025, produciendo borradores sucesivos.
Un primer borrador se publicó en febrero de 2025, seguido de un segundo borrador en abril de 2025. La Oficina de IA realizó una consulta pública sobre el segundo borrador, recibiendo comentarios de más de 430 partes interesadas. La versión final, que incorpora revisiones sobre temas como las exclusiones de derechos de autor y los umbrales de riesgo sistémico, se adoptó el 10 de julio de 2025.
Disposiciones Clave: Transparencia y Derechos de Autor
El capítulo de transparencia del código requiere que los proveedores de modelos GPAI mantengan documentación técnica detallada, incluida la arquitectura del modelo, las fuentes de datos de entrenamiento y los recursos computacionales utilizados. Los proveedores también deben publicar un resumen suficientemente detallado del contenido de entrenamiento, según lo exige la Ley de IA. El código especifica que este resumen debe estructurarse para permitir que los titulares de derechos identifiquen si sus obras fueron utilizadas, sin revelar secretos comerciales propietarios.
En cuanto a los derechos de autor, el código exige que los proveedores implementen una política para cumplir con la Directiva de la UE sobre Derechos de Autor en el Mercado Único Digital (2019/790), incluida la excepción de minería de texto y datos y el mecanismo de exclusión voluntaria. Los proveedores deben hacer esfuerzos razonables para garantizar que los datos de entrenamiento no incluyan obras donde los titulares de derechos hayan reservado explícitamente sus derechos mediante medios legibles por máquina. El código también fomenta el uso de herramientas técnicas, como robots.txt y registros de contenido, para facilitar las exclusiones.
Para los proveedores que utilizan datos extraídos de la web, el código requiere que mantengan un registro de las fuentes y respondan rápidamente a las solicitudes de los titulares de derechos. También sugiere adoptar un estándar de 'mejor esfuerzo' para filtrar contenido excluido, reconociendo que el cumplimiento perfecto es técnicamente desafiante. La versión final suavizó las propuestas anteriores de filtrado obligatorio, reflejando las preocupaciones de la industria sobre la viabilidad.
Gestión de Riesgos Sistémicos
El capítulo de riesgo sistémico se aplica a los modelos GPAI con cómputo de entrenamiento acumulado que supera los 10^25 FLOPs, un umbral establecido por la Ley de IA. A partir de 2025, esto incluye modelos como GPT-4 y GPT-5 de OpenAI, Claude 3 de Anthropic y Gemini Ultra de Google. El código requiere que estos proveedores realicen evaluaciones rigurosas de modelos, incluido el red-teaming y las pruebas adversarias, para identificar posibles daños como capacidades ofensivas cibernéticas, creación de amenazas biológicas y pérdida de control.
Los proveedores deben implementar un sistema de gestión de riesgos que incluya un marco de evaluación de riesgos, medidas de mitigación y protocolos de notificación de incidentes. El código especifica que las evaluaciones deben ser realizadas por terceros independientes cuando sea factible, y que los resultados deben compartirse con la Oficina de IA. También requiere que los proveedores monitoreen capacidades emergentes que podrían escalar el riesgo después del despliegue.
Una disposición notable es el requisito de que los proveedores establezcan un 'plan de mitigación de riesgos sistémicos' que se actualice al menos anualmente. Este plan debe abordar riesgos relacionados con amenazas químicas, biológicas, radiológicas y nucleares (CBRN), así como ciberataques y manipulación. El código fomenta la colaboración con BAIR (Berkeley AI Research) y otras instituciones académicas para desarrollar puntos de referencia de evaluación.
Gobernanza y Mecanismos de Cumplimiento
El código establece una estructura de gobernanza bajo la Oficina de IA, que monitoreará la adherencia mediante una combinación de autoevaluación y auditorías. Se espera que los proveedores presenten informes anuales de cumplimiento, y la Oficina de IA puede realizar revisiones específicas en respuesta a quejas o riesgos emergentes. El código también crea un 'Panel del Código de Prácticas de GPAI' compuesto por expertos independientes para asesorar sobre interpretación y actualizaciones.
Para los modelos de código abierto, el código incluye una sección especial que relaja algunos requisitos de documentación, reconociendo los diferentes perfiles de riesgo de los pesos liberados abiertamente. Sin embargo, los proveedores de código abierto aún deben cumplir con las obligaciones de derechos de autor y las disposiciones de riesgo sistémico si sus modelos superan el umbral de cómputo. El código fomenta el uso de tarjetas de modelo y hojas de datos, una práctica popularizada por MIT CSAIL y otros grupos de investigación.
El incumplimiento del código no desencadena automáticamente sanciones, pero cambia la carga de la prueba al proveedor para demostrar medios alternativos de conformidad. La Ley de IA prevé multas de hasta el 3% de la facturación anual global por violaciones de las obligaciones de GPAI, que podrían aplicarse si un proveedor no cumple con los requisitos legales subyacentes.
Reacciones de la Industria y Adopción
Las principales empresas de IA han expresado un apoyo cauteloso al código, aunque algunas plantearon preocupaciones sobre la carga administrativa y la viabilidad de ciertas medidas de derechos de autor. OpenAI y Anthropic emitieron declaraciones dando la bienvenida a la claridad proporcionada por el código, mientras señalaban que algunas disposiciones requieren un mayor desarrollo técnico. Google DeepMind destacó la importancia de la alineación internacional, ya que el código podría influir en las regulaciones de otras jurisdicciones.
Las startups europeas, como Mistral AI y Aleph Alpha, han sido más críticas, argumentando que los requisitos de documentación del código podrían desventajar a los actores más pequeños. La comunidad de código abierto, representada por grupos como Hugging Face, dio la bienvenida a las disposiciones relajadas para modelos abiertos, pero pidió una orientación más explícita sobre qué constituye un resumen de datos de entrenamiento 'suficientemente detallado'.
Las organizaciones de la sociedad civil, incluidas Access Now y European Digital Rights (EDRi), elogiaron el énfasis del código en la transparencia, pero instaron a mecanismos de aplicación más sólidos. Señalaron que la naturaleza voluntaria del código significa que los proveedores podrían optar por ignorarlo, y pidieron que la Oficina de IA realice auditorías proactivas en lugar de depender de la autoevaluación.
Relación con Otras Regulaciones y Estándares
El Código de Prácticas de GPAI está diseñado para complementar otros instrumentos de la UE, incluida la Ley de Servicios Digitales y el Reglamento General de Protección de Datos (GDPR). También se alinea con iniciativas internacionales como los Principios de IA de la OCDE y el Convenio Marco sobre IA del Consejo de Europa. El código hace referencia a estándares técnicos que están siendo desarrollados por CEN-CENELEC, los organismos europeos de estandarización, que proporcionarán especificaciones más granulares.
El enfoque del código sobre el riesgo sistémico se basa en metodologías de la investigación en Deep learning, incluidas las prácticas de red-teaming utilizadas en las evaluaciones de seguridad de Neural network. También incorpora lecciones de la literatura sobre Reinforcement Learning from AI Feedback (RLAIF) (aprendizaje por refuerzo a partir de retroalimentación de IA), que ha informado cómo los proveedores pueden alinear los modelos con las pautas de seguridad. El código anima a los proveedores a compartir los resultados de evaluación con la comunidad investigadora, fomentando una cultura de transparencia.
Revisiones Futuras e Impacto
El código está diseñado para ser un documento vivo, con un ciclo de revisión cada dos años. La primera revisión está programada para 2027, momento en el cual la Oficina de IA evaluará si el código ha reducido efectivamente los riesgos y si los umbrales necesitan ajustes. Las disposiciones del código sobre derechos de autor y riesgo sistémico probablemente evolucionarán a medida que se desarrollen las capacidades técnicas y las interpretaciones legales.
A finales de 2025, el código ya ha influido en las prácticas corporativas. Varios proveedores, incluidos OpenAI y Anthropic, han publicado informes iniciales de cumplimiento y actualizado su documentación de modelos para alinearse con las plantillas del código. El código también ha servido como referencia para otras jurisdicciones, incluidos Canadá y Japón, que están desarrollando marcos similares para modelos fundacionales.
El impacto a largo plazo del código dependerá del enfoque de aplicación de la Oficina de IA y de la disposición de los proveedores a participar de manera constructiva. Aunque el código es voluntario, sus especificaciones detalladas crean un fuerte incentivo para el cumplimiento, ya que la desviación requeriría que un proveedor justifique medidas alternativas. Esta dinámica ha llevado a algunos observadores a describir el código como 'ley blanda con bordes duros', reflejando su potencial para moldear el comportamiento de la industria de la IA a pesar de su naturaleza no vinculante.