La Ley de IA de la UE 2028 se refiere al año clave en el que la Ley de Inteligencia Artificial de la Unión Europea (Ley de IA) alcanza su plena aplicación operativa, completando la implementación gradual que comenzó tras la entrada en vigor del reglamento el 1 de agosto de 2024. La Ley de IA es un reglamento integral que establece un marco regulatorio y legal común para la inteligencia artificial dentro de la UE, cubriendo la mayoría de los sistemas de IA en una amplia gama de sectores. Clasifica las aplicaciones de IA no exentas según su riesgo de causar daño en cuatro niveles - inaceptable, alto, limitado y mínimo - más una categoría adicional para la IA de propósito general. Como forma de regulación de productos, no crea derechos individuales, sino que impone obligaciones a los proveedores de IA y a las organizaciones que utilizan IA en un contexto profesional.
La Ley fue propuesta por la Comisión Europea el 21 de abril de 2021, aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador fue revisado para abordar el auge de los sistemas de IA generativa como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. Para 2028, todas las disposiciones, incluidas las relativas a aplicaciones de alto riesgo y modelos de IA de propósito general, están programadas para ser plenamente aplicables, con la Junta Europea de Inteligencia Artificial supervisando la cooperación nacional y el cumplimiento.
Categorías de Riesgo y Obligaciones
El esquema basado en el riesgo de la Ley de IA sigue un modelo de seguridad de productos. Las aplicaciones con riesgos inaceptables están prohibidas, excepto por exenciones específicas, incluida la IA que manipula el comportamiento humano, la identificación biométrica remota en tiempo real en espacios públicos y la puntuación social. Las aplicaciones de alto riesgo - aquellas que representan amenazas significativas para la salud, la seguridad o los derechos fundamentales, como en salud, educación, contratación, infraestructura crítica, aplicación de la ley o justicia - deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Algunas requieren una Evaluación de Impacto sobre Derechos Fundamentales antes del despliegue, una revisión ex ante para identificar y mitigar posibles impactos en los derechos fundamentales. Estos sistemas deben ser evaluados antes de su colocación en el mercado y a lo largo de su ciclo de vida, y los ciudadanos tienen derecho a presentar quejas y recibir explicaciones sobre las decisiones tomadas por la IA de alto riesgo que afecten sus derechos.
Los sistemas de riesgo limitado, como los generadores de deepfakes, tienen obligaciones de transparencia que garantizan que los usuarios sepan que interactúan con IA. Las aplicaciones de riesgo mínimo, como videojuegos o filtros de spam, no están reguladas, y los estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la Ley en sí.
IA de Propósito General y Modelos Fundacionales
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales como los grandes modelos de lenguaje que realizan una amplia variedad de tareas. Si los pesos y el diseño de un modelo son de código abierto, los desarrolladores deben publicar un resumen de datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado enfrentan requisitos de transparencia más amplios. Los modelos de alto impacto que presentan riesgos sistémicos - que requieren más de 10^25 operaciones de punto flotante para entrenarse - deben someterse a una evaluación adicional. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe capítulos sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento, con participación voluntaria. Los proveedores de modelos de IA de propósito general deben publicar resúmenes de datos de entrenamiento, adoptar políticas de derechos de autor y proporcionar documentación técnica a proveedores posteriores y autoridades. Los modelos designados como de riesgo sistémico deben realizar evaluaciones de modelos, pruebas adversarias, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar una ciberseguridad adecuada.
Exenciones y Extraterritorialidad
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados exclusivamente para fines militares, de defensa o de seguridad nacional, así como a la investigación y desarrollo científico puro. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE. Esto significa que las empresas con sede en Estados Unidos, Asia u otros lugares deben cumplir al ofrecer servicios de IA a residentes de la UE, independientemente de dónde se desarrollen los sistemas.
Cronología de Aplicación y Hitos de 2028
El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones que comenzaron a operar gradualmente en un período de 6 a 36 meses. Para 2028, el último tramo de obligaciones se vuelve efectivo, particularmente para sistemas de IA de alto riesgo en sectores como salud, educación y aplicación de la ley. La Junta Europea de Inteligencia Artificial, creada por la Ley, desempeña un papel central en la promoción de la cooperación nacional y la garantía de un cumplimiento uniforme en todos los estados miembros. Se espera que las autoridades supervisoras nacionales hayan establecido procedimientos de evaluación de conformidad, y los proveedores deben haber completado certificaciones para sus sistemas de alto riesgo. El hito de 2028 también marca el punto donde la maquinaria de aplicación completa de la Ley, incluidas las sanciones por incumplimiento, está operativa en todas las categorías.
Impacto en el Desarrollo y Despliegue de IA
La aplicación completa en 2028 afecta a un amplio ecosistema de desarrolladores y desplegadores de IA. Empresas como OpenAI, Anthropic y Google DeepMind que producen modelos de propósito general deben cumplir con requisitos de transparencia y evaluación si sus modelos se utilizan en la UE. Proveedores de hardware como NVIDIA (aunque no listados, implícitos por el ecosistema) y AMD pueden ver efectos indirectos ya que sus chips alimentan modelos sujetos a evaluaciones de riesgo sistémico. Proveedores de servicios en la nube como Amazon Web Services, Microsoft Azure y Google Cloud deben garantizar que sus ofertas de IA cumplan con los estándares de la Ley. Instituciones de investigación, incluidas MIT CSAIL, Stanford AI Lab y BAIR (Berkeley AI Research), se ven afectadas cuando sus modelos se despliegan comercialmente en la UE, aunque la investigación pura está exenta. El énfasis de la Ley en la transparencia y la mitigación de riesgos se alinea con prácticas técnicas como poda de modelos, aumento de datos y aprendizaje por refuerzo con retroalimentación de IA, que pueden ayudar a demostrar cumplimiento.
Desafíos de Cumplimiento y Respuesta de la Industria
A partir de 2028, muchas organizaciones enfrentan desafíos significativos de cumplimiento. Los sistemas de IA de alto riesgo requieren documentación rigurosa, mecanismos de supervisión humana y monitoreo continuo. El proceso de Evaluación de Impacto sobre Derechos Fundamentales, informado por trabajos anteriores sobre evaluaciones de impacto algorítmico, requiere identificar comunidades afectadas, describir posibles daños y proporcionar una base para el escrutinio público. Para los modelos de propósito general, el umbral de 10^25 operaciones de punto flotante para la designación de riesgo sistémico captura los modelos más grandes, como los entrenados por los principales laboratorios. El código de prácticas voluntario, aunque no obligatorio, proporciona un enfoque estructurado para que los proveedores demuestren cumplimiento, cubriendo transparencia, derechos de autor y seguridad. Las respuestas de la industria han incluido el desarrollo de marcos de gobernanza interna, la inversión en herramientas de evaluación y la participación con la Junta Europea de Inteligencia Artificial. Algunos proveedores más pequeños, particularmente aquellos que ofrecen modelos de código abierto, se benefician de requisitos reducidos, pero aún deben publicar resúmenes de datos de entrenamiento y políticas de derechos de autor.
Implicaciones Más Amplias para la Gobernanza Global de la IA
La Ley de IA de la UE 2028 sirve como punto de referencia para la regulación de la IA en todo el mundo. Su enfoque basado en el riesgo y su aplicación extraterritorial influyen en los debates políticos en otras jurisdicciones, incluidos Estados Unidos y Asia. La distinción de la Ley entre modelos de código abierto y código cerrado ha provocado debates sobre innovación versus seguridad, con algunos argumentando que los requisitos de transparencia para el código abierto son insuficientes mientras que otros los ven como un enfoque equilibrado. La aplicación en 2028 también coincide con avances en aprendizaje automático y aprendizaje profundo, incluidos desarrollos en arquitecturas transformador y mecanismos de atención de múltiples cabezas, que pueden introducir nuevas capacidades no completamente anticipadas por el marco regulatorio. Las disposiciones de la Ley para actualizar la lista de alto riesgo y adaptarse al cambio tecnológico están diseñadas para abordar tales evoluciones, pero su efectividad dependerá de la capacidad de respuesta de la Junta Europea de Inteligencia Artificial. A partir de 2028, el impacto completo de la Ley en la innovación de IA, la competencia del mercado y la protección de derechos fundamentales sigue siendo un tema de análisis continuo entre académicos legales, tecnólogos y formuladores de políticas.
Perspectivas Futuras
Más allá de 2028, se espera que la Ley de IA evolucione a medida que avancen las tecnologías de IA. La Comisión Europea puede proponer enmiendas para abordar áreas emergentes como la interpretabilidad de redes neuronales, la alineación de grandes modelos de lenguaje o la IA en sistemas autónomos como vehículos autónomos. Las disposiciones de armonización máxima de la Ley impiden que los estados miembros impongan regulaciones adicionales a los sistemas de riesgo mínimo, pero permiten la expansión de la lista de alto riesgo. El Código de Prácticas de IA de Propósito General puede actualizarse para reflejar nuevos estándares técnicos y mejores prácticas. El hito de 2028 representa así no un punto final, sino una base para la adaptación regulatoria continua, con la UE posicionándose como líder global en gobernanza de IA. La interacción entre la Ley y otros reglamentos de la UE, como la protección de datos y los servicios digitales, continuará moldeando el panorama de cumplimiento para proveedores y desplegadores de IA dentro y fuera de la UE.