La Ley de Inteligencia Artificial (AI Act) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial (IA) dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones implementadas gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada solo con fines militares, de seguridad nacional, de investigación o de uso no profesional. Como forma de regulación de productos, no crea derechos individuales, sino que impone obligaciones a los proveedores de IA ya las organizaciones que utilizan IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado y mínimo - además de una categoría adicional para la IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas, mientras que las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado tienen obligaciones de transparencia, y las aplicaciones de riesgo mínimo no están reguladas. Para la IA de propósito general, se imponen requisitos de transparencia, con requisitos reducidos para modelos de código abierto y evaluaciones adicionales para modelos de alta capacidad.
Historia Legislativa
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El borrador fue revisado para abordar el aumento en la popularidad de los sistemas de IA generativa, como los desarrollados por OpenAI y Anthropic, cuyas capacidades de propósito general no encajaban en el marco principal. El Parlamento Europeo aprobó la Ley el 13 de marzo de 2024, y el Consejo de la UE la aprobó por unanimidad el 21 de mayo de 2024. El reglamento entró en vigor el 1 de agosto de 2024.
La Ley también crea un Consejo Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores de fuera de la UE si tienen usuarios dentro de la UE.
Categorías de Riesgo
El esquema basado en riesgo sigue un modelo de seguridad de productos donde las obligaciones regulatorias se asignan a proveedores y despliegadores de sistemas de IA, volviéndose más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Esta estructura garantiza que la supervisión se centre en sistemas que probablemente creen riesgos significativos, mientras que permite enfoques más ligeros para usos menos sensibles. Las aplicaciones de riesgo inaceptable están prohibidas, excepto por exenciones específicas. Esto incluye IA que manipula el comportamiento humano, identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y puntuación social que clasifica individuos según características personales o comportamiento. Las aplicaciones de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales. Esto incluye IA utilizada en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia. Estos sistemas deben cumplir con obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto en Derechos Fundamentales antes del despliegue. Los ciudadanos tienen derecho a presentar quejas sobre sistemas de IA y recibir explicaciones de las decisiones tomadas por sistemas de IA de alto riesgo que afecten sus derechos. Los sistemas de riesgo limitado tienen obligaciones de transparencia, garantizando que los usuarios sepan que están interactuando con IA y puedan tomar decisiones informadas. Esto incluye aplicaciones que generan o manipulan imágenes, sonido o videos, como los deepfakes. Los sistemas de riesgo mínimo, incluidos los videojuegos o los filtros de spam, no están regulados, y los estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima.
##IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales que pueden realizar una amplia gama de tareas, como modelos de lenguaje grandes. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de datos de entrenamiento y una política de derechos de autor. Los modelos de código cerrado deben cumplir con requisitos de transparencia más amplios. Los modelos de alto impacto que representen riesgos sistémicos, que requieran más de 10^25 operaciones de punto flotante para entrenarse, deben someterse a evaluaciones adicionales.
Un Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación en el código es voluntaria. Los proveedores de modelos de IA de propósito general deben publicar un resumen de los datos de entrenamiento, adoptar una política de cumplimiento de derechos de autor y proporcionar documentación técnica a proveedores posteriores y autoridades supervisoras. Los modelos designados como que representen riesgo sistémico también deben llevar a cabo evaluaciones de modelos, pruebas adversarias, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar una ciberseguridad adecuada.
##Exenciones y Cumplimiento
Los artículos 2.3 y 2.6 eximen los sistemas de IA utilizados para fines militares o de seguridad nacional o investigación y desarrollo científico puro de la Ley de IA. El reglamento no se aplica donde los sistemas de IA se utilizan exclusivamente para fines militares, de defensa o de seguridad nacional, o a sistemas desarrollados y puestos en servicio únicamente por esas razones. El alcance extraterritorial de la Ley significa que los proveedores de fuera de la UE, incluidas las principales empresas tecnológicas como Google DeepMind y Amazon Web Services, deben cumplir si tienen usuarios dentro de la UE. El Consejo Europeo de Inteligencia Artificial facilita la cooperación nacional y garantiza una aplicación consistente en todos los estados miembros. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la Ley de IA en sí misma, permitiendo que el marco se adapte a las capacidades y aplicaciones emergentes de IA.