La Ley de Inteligencia Artificial de la Unión Europea (Ley de IA de la UE) establece un marco basado en el riesgo para regular los sistemas de inteligencia artificial dentro del mercado de la UE. Adoptada en 2024, la regulación clasifica las aplicaciones de IA en cuatro niveles - riesgo inaceptable, alto, limitado y mínimo - con obligaciones correspondientes que escalan según el daño potencial a la salud, la seguridad y los derechos fundamentales. Este enfoque escalonado tiene como objetivo fomentar la innovación mientras se garantiza un despliegue fiable de las tecnologías de inteligencia artificial.
La Ley se aplica a proveedores, implementadores, importadores y distribuidores de sistemas de IA que operan en la UE, independientemente de dónde tengan su sede, si sus resultados se utilizan dentro de la Unión. También cubre los modelos de IA de propósito general, incluidos los modelos de lenguaje grande, que están sujetos a requisitos de transparencia y derechos de autor.
Nivel de Riesgo Inaceptable
El nivel más alto prohíbe las prácticas de IA que plantean un riesgo inaceptable para los valores y derechos fundamentales de la UE. Estas incluyen la puntuación social por parte de autoridades públicas, la identificación biométrica remota en tiempo real en espacios de acceso público (con excepciones limitadas para la aplicación de la ley), técnicas manipulativas que explotan vulnerabilidades (por ejemplo, edad o discapacidad) y la vigilancia predictiva basada únicamente en perfiles. Los sistemas en esta categoría están prohibidos por completo, con derogaciones limitadas para la seguridad nacional y ciertos escenarios de aplicación de la ley, sujetos a autorización judicial.
Nivel de Alto Riesgo
Los sistemas de IA de alto riesgo enfrentan las obligaciones más extensas. Estos incluyen la IA utilizada en infraestructuras críticas (por ejemplo, transporte, energía), educación y formación profesional, empleo y gestión de trabajadores, servicios públicos y privados esenciales (por ejemplo, calificación crediticia, atención médica), aplicación de la ley, migración y asilo, y procesos democráticos. Los proveedores deben implementar un sistema de gestión de riesgos, utilizar datos de entrenamiento de alta calidad, mantener documentación técnica, permitir la supervisión humana y garantizar robustez y ciberseguridad. También deben registrarse en una base de datos de la UE y someterse a una evaluación de conformidad, que a menudo implica una evaluación de terceros para ciertas aplicaciones.
Los implementadores de sistemas de alto riesgo deben usarlos según las instrucciones, monitorear incidentes y realizar evaluaciones de impacto en derechos fundamentales cuando se utilicen en sectores públicos. Los sistemas de alto riesgo también deben diseñarse para funcionar con supervisión humana, permitiendo a los operadores intervenir o anular los resultados.
Nivel de Riesgo Limitado
El riesgo limitado se aplica a los sistemas de IA que interactúan con humanos, como chatbots, deepfakes y sistemas de reconocimiento de emociones. Estos están sujetos a obligaciones de transparencia: los usuarios deben ser informados de que están interactuando con una IA, y los deepfakes deben etiquetarse como generados artificialmente. Este nivel tiene como objetivo prevenir el engaño y garantizar el consentimiento informado, sin requisitos sustantivos adicionales.
Nivel de Riesgo Mínimo
La mayoría de las aplicaciones de IA, como filtros de spam, IA de videojuegos o gestión de inventario, se encuentran en el nivel de riesgo mínimo. No están sujetas a obligaciones específicas bajo la Ley, aunque se fomentan códigos de conducta voluntarios. Este nivel refleja la intención de la UE de evitar la sobrerregulación de usos de bajo impacto, permitiendo que la innovación avance con una carga burocrática mínima.
Modelos de IA de Propósito General
La Ley introduce un régimen separado para los modelos de IA de propósito general (GPAI), que incluyen modelos fundacionales como los de OpenAI, Anthropic y Google DeepMind. Todos los modelos GPAI deben proporcionar documentación técnica y cumplir con la ley de derechos de autor. Los modelos con riesgo sistémico (entrenados con más de 10^25 FLOPs) enfrentan obligaciones adicionales, incluidos pruebas adversarias, informes de incidentes y medidas de ciberseguridad. La Comisión Europea, en consulta con una Oficina de IA, designa los modelos de riesgo sistémico.
Gobernanza y Cumplimiento
La Ley establece un Consejo Europeo de Inteligencia Artificial, compuesto por autoridades nacionales de supervisión, para garantizar una aplicación consistente. Cada estado miembro de la UE designa una autoridad nacional para la vigilancia del mercado. Las multas por incumplimiento están escalonadas: hasta 35 millones de euros o el 7% de la facturación global para prácticas prohibidas, 15 millones de euros o el 3% para la mayoría de otras violaciones, y 7,5 millones de euros o el 1,5% por proporcionar información incorrecta. Las pequeñas y medianas empresas reciben multas reducidas y documentación simplificada.
Cronograma e Implementación
La Ley entró en vigor el 1 de agosto de 2024, con un despliegue gradual. Las prohibiciones sobre riesgo inaceptable se aplican desde el 2 de febrero de 2025. Las obligaciones de GPAI entran en vigor desde el 2 de agosto de 2025. Los requisitos de alto riesgo para productos ya cubiertos por la legislación de seguridad de productos de la UE se aplican desde el 2 de agosto de 2026, y para otros sistemas de alto riesgo desde el 2 de agosto de 2027. Los estados miembros deben establecer autoridades nacionales antes del 2 de agosto de 2025.
Impacto y Críticas
La Ley de IA de la UE es la primera regulación integral de IA en el mundo, influyendo en los estándares globales. Los partidarios argumentan que protege a los ciudadanos y genera confianza, mientras que los críticos sostienen que las obligaciones de alto riesgo pueden sofocar la innovación, particularmente para startups y desarrolladores de código abierto. El alcance extraterritorial de la Ley significa que las empresas no pertenecientes a la UE, incluidas las principales firmas tecnológicas como Google Cloud y Amazon Web Services, deben cumplir si sirven a clientes de la UE. A partir de 2025, la guía de implementación aún se está desarrollando, y el impacto práctico en tecnologías emergentes como IA generativa queda por verse.