La Propuesta de Ley de IA de la UE de 2021 es la propuesta legislativa inicial de la Comisión Europea para regular la inteligencia artificial (IA) dentro de la Unión Europea. Presentada el 21 de abril de 2021, estableció un marco basado en el riesgo para clasificar las aplicaciones de IA en cuatro niveles - inaceptable, alto, limitado y mínimo - con obligaciones correspondientes para proveedores y usuarios. La propuesta fue posteriormente revisada para abordar el auge de los sistemas de IA generativa, como ChatGPT, antes de ser adoptada como la Ley de IA final en 2024.
La propuesta surgió de una estrategia más amplia de la UE para posicionar al bloque como líder en IA confiable, equilibrando la innovación con la protección de los derechos fundamentales. Se basó en trabajos anteriores del Parlamento Europeo y del Grupo de Expertos de Alto Nivel de la Comisión sobre IA, que habían solicitado un marco regulatorio capaz de adaptarse al cambio tecnológico rápido. El texto original tenía como objetivo armonizar las normas nacionales, prevenir la fragmentación del mercado y garantizar que los sistemas de IA colocados en el mercado de la UE fueran seguros y respetaran las leyes existentes.
Antecedentes e Historia Legislativa
La Comisión Europea había estado desarrollando políticas de IA desde 2018, cuando publicó un plan coordinado sobre IA con los Estados miembros. En febrero de 2020, la Comisión publicó un Libro Blanco sobre IA, que esbozaba opciones políticas y lanzó una consulta pública. Los comentarios, combinados con evaluaciones de impacto, informaron el borrador de reglamento presentado el 21 de abril de 2021 por el Comisario de Mercado Interior Thierry Breton y la Vicepresidenta Margrethe Vestager.
La propuesta formaba parte de un paquete digital más amplio que también incluía la Ley de Servicios Digitales y la Ley de Mercados Digitales. A diferencia de esos reglamentos, que se centraban en plataformas en línea, la Ley de IA se dirigía a la tecnología en sí, utilizando un modelo de seguridad de productos similar a la legislación existente de la UE sobre maquinaria, juguetes y dispositivos médicos. Este enfoque asignaba deberes a los proveedores de IA (desarrolladores) y usuarios (implementadores) según el nivel de riesgo que representaban sus sistemas.
El proceso legislativo tomó más de tres años. El Parlamento Europeo y el Consejo de la UE negociaron enmiendas, con cambios significativos realizados en respuesta a la rápida adopción de herramientas de IA generativa. El texto final fue aprobado por el Parlamento el 13 de marzo de 2024 y aprobado por el Consejo el 21 de mayo de 2024, entrando en vigor el 1 de agosto de 2024. La propuesta de 2021, sin embargo, sigue siendo históricamente significativa como base para estas negociaciones.
Clasificación Basada en el Riesgo
El núcleo de la propuesta era una pirámide de riesgo de cuatro niveles, que se mantuvo en gran medida en la Ley final. Las categorías fueron diseñadas para reflejar el daño potencial que un sistema de IA podría causar a la salud, la seguridad o los derechos fundamentales.
Riesgo Inaceptable
Las aplicaciones consideradas de riesgo inaceptable debían prohibirse por completo. Esto incluía sistemas de IA que manipulan el comportamiento humano para eludir el libre albedrío, aquellos que explotan vulnerabilidades de grupos específicos (como niños o personas con discapacidades) y sistemas de puntuación social que clasificaban a individuos según características personales o comportamiento. La propuesta también prohibía la identificación biométrica remota en tiempo real en espacios públicos accesibles para fines de aplicación de la ley, con excepciones estrechas para delitos específicos y con autorización judicial.
Riesgo Alto
Los sistemas de IA de alto riesgo estaban sujetos a las obligaciones más extensas. La propuesta enumeraba ocho áreas específicas: identificación y categorización biométrica de personas naturales; gestión y operación de infraestructura crítica; educación y formación profesional; empleo y gestión de trabajadores; acceso a servicios esenciales privados y públicos; aplicación de la ley; migración, asilo y control de fronteras; y administración de justicia y procesos democráticos. Los proveedores de sistemas de alto riesgo debían implementar sistemas de gestión de riesgos, utilizar datos de entrenamiento de alta calidad, mantener documentación técnica, habilitar registro automático, garantizar transparencia y proporcionar supervisión humana. También debían someterse a evaluaciones de conformidad antes de la colocación en el mercado y durante todo el ciclo de vida del sistema.
Riesgo Limitado
Los sistemas de IA de riesgo limitado, como chatbots y generadores de deepfakes, estaban sujetos a obligaciones de transparencia. Los usuarios debían ser informados cuando interactuaban con un sistema de IA, y el contenido generado o manipulado por IA debía etiquetarse como tal. Esto tenía la intención de permitir que los individuos tomaran decisiones informadas y prevenir el engaño.
Riesgo Mínimo
La mayoría de las aplicaciones de IA, incluidos videojuegos y filtros de spam, se consideraban de riesgo mínimo y no estaban reguladas. La propuesta fomentaba códigos de conducta voluntarios para estos sistemas, pero no imponía requisitos vinculantes. También se impedía a los Estados miembros agregar normas nacionales adicionales para sistemas de riesgo mínimo, garantizando un mercado único para la IA.
IA de Propósito General y Modelos Generativos
La propuesta original de 2021 no abordaba explícitamente los sistemas de IA de propósito general (GPAI), que pueden realizar una amplia gama de tareas en diferentes dominios. Esta brecha se hizo evidente con el crecimiento explosivo de modelos de IA generativa como ChatGPT y otros modelos fundacionales a finales de 2022 y 2023. El borrador fue revisado para incluir una categoría dedicada para GPAI, con obligaciones escalonadas.
Bajo el marco revisado, todos los modelos GPAI debían proporcionar documentación técnica, publicar resúmenes de datos de entrenamiento y cumplir con la ley de derechos de autor. Los modelos de código abierto, donde los pesos y el diseño se hacían públicos, enfrentaban requisitos reducidos, como solo necesitar publicar un resumen de datos de entrenamiento y una política de derechos de autor. Los modelos de código cerrado debían cumplir con deberes de transparencia más amplios. Los modelos de alto impacto que requerían más de 10^25 operaciones de punto flotante para entrenar se consideraban que planteaban riesgos sistémicos y debían someterse a evaluaciones adicionales, pruebas adversariales y medidas de ciberseguridad.
Esta revisión fue una respuesta directa a los desafíos planteados por los sistemas de aprendizaje automático que podían ajustarse para numerosas aplicaciones, lo que dificultaba clasificarlos bajo las categorías de riesgo originales. El enfoque tenía como objetivo equilibrar la innovación con la supervisión, particularmente para los modelos más potentes desarrollados por empresas como Google DeepMind y Anthropic.
Cumplimiento y Gobernanza
La propuesta estableció una estructura de gobernanza para garantizar una aplicación consistente en toda la UE. Creó una Junta Europea de Inteligencia Artificial, compuesta por representantes de los Estados miembros y la Comisión, para facilitar la cooperación y proporcionar orientación. Las autoridades nacionales de supervisión eran responsables de hacer cumplir el reglamento en sus territorios, con el poder de realizar vigilancia del mercado e imponer sanciones.
Las sanciones por incumplimiento se fijaron en hasta el 6% del volumen de negocios anual global de una empresa para violaciones que involucran prácticas prohibidas, 4% para otras infracciones y 2% por proporcionar información incorrecta. Estas multas eran comparables a las del Reglamento General de Protección de Datos, reflejando el compromiso de la UE con un cumplimiento robusto.
La propuesta también incluía disposiciones para la aplicación extraterritorial, lo que significaba que los proveedores fuera de la UE estarían sujetos al reglamento si ofrecían sistemas de IA a usuarios dentro de la UE. Esto reflejaba el enfoque del RGPD y tenía como objetivo crear un campo de juego nivelado para los desarrolladores globales de IA.
Exenciones y Alcance
Ciertos sistemas de IA fueron excluidos del alcance de la propuesta. Estos incluían sistemas utilizados exclusivamente para fines militares, de defensa o seguridad nacional, así como aquellos desarrollados y puestos en servicio únicamente para investigación y desarrollo científico. El reglamento tampoco se aplicaba a la IA utilizada para actividades personales, no profesionales. Estas exenciones tenían la intención de respetar la soberanía de los Estados miembros en asuntos de seguridad y evitar obstaculizar la innovación en entornos de investigación.
Sin embargo, la propuesta no eximía los sistemas de IA utilizados en la aplicación de la ley o el control de migración, aunque a menudo son funciones estatales. En cambio, los sometía a la categoría de alto riesgo, con salvaguardas adicionales como supervisión humana y evaluaciones de impacto en derechos fundamentales.
Impacto y Legado
La propuesta de 2021 fue un hito en la regulación de la IA, siendo el primer marco legal integral para la IA propuesto por una jurisdicción importante. Influyó en esfuerzos regulatorios posteriores en todo el mundo, incluida la Convención de IA del Consejo de Europa y varias iniciativas nacionales. El enfoque basado en el riesgo fue ampliamente debatido, con algunos académicos elogiando su flexibilidad y otros criticando posibles brechas o sobre-regulación.
Durante el proceso legislativo, la propuesta fue enmendada para abordar preocupaciones de la industria y la sociedad civil. Por ejemplo, la lista de aplicaciones de alto riesgo fue refinada, y la definición de IA fue alineada con la de la OCDE. La Ley final, adoptada en 2024, mantuvo la estructura central de la propuesta de 2021 pero agregó la categoría GPAI y ajustó ciertos umbrales.
La propuesta también provocó discusiones académicas y políticas sobre la naturaleza de la regulación de la IA. Algunos argumentaron que el modelo de seguridad de productos era apropiado para la IA, mientras que otros pidieron un enfoque más centrado en los derechos humanos. La inclusión de evaluaciones de impacto en derechos fundamentales se consideró un paso progresivo, basándose en trabajos anteriores sobre evaluaciones de impacto algorítmico.
A partir de 2025, las disposiciones de la Ley de IA se están implementando gradualmente, con los primeros plazos para prácticas prohibidas y obligaciones GPAI ya en efecto. La propuesta de 2021 sigue siendo un punto de referencia clave para comprender la evolución de la gobernanza de la IA en la UE y a nivel global.