La Ley de IA de la UE de 2030 representa la culminación de la implementación por fases de la Ley de Inteligencia Artificial por parte de la Unión Europea, un reglamento histórico que establece un marco legal común para la IA en todos los estados miembros. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones diseñadas para volverse operativas gradualmente en un período de 6 a 36 meses, alcanzando su plena aplicación para 2030. Esta fase final completa la transición desde la adopción de la Ley hasta su aplicación integral, afectando a proveedores y usuarios de IA en todas las categorías de riesgo.
La Ley, propuesta por la Comisión Europea el 21 de abril de 2021, fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. Fue revisada durante su redacción para abordar el rápido auge de los sistemas de IA generativa como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco original basado en riesgos. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Categorías de Riesgo
La Ley clasifica las aplicaciones de IA no exentas en cuatro niveles de riesgo, más una categoría separada para la IA de propósito general. Las aplicaciones de riesgo inaceptable están prohibidas por completo, incluidas aquellas que manipulan el comportamiento humano, utilizan identificación biométrica remota en tiempo real en espacios públicos o emplean puntuación social. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado enfrentan solo obligaciones de transparencia, mientras que las aplicaciones de riesgo mínimo permanecen sin regular.
Los sistemas de IA de alto riesgo incluyen aquellos utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia. Estos sistemas requieren una Evaluación de Impacto sobre los Derechos Fundamentales antes de su despliegue, que es una revisión ex ante para identificar y mitigar posibles impactos sobre los derechos fundamentales. Deben ser evaluados tanto antes de su comercialización como a lo largo de su ciclo de vida. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por sistemas de IA de alto riesgo que afecten sus derechos.
Obligaciones de la IA de Propósito General
La categoría de IA de propósito general, añadida en 2023, cubre modelos fundacionales que pueden realizar una amplia gama de tareas. Los modelos de código abierto deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor, mientras que los modelos de código cerrado enfrentan requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos, definidos como aquellos que requieren más de 1025 operaciones de coma flotante para entrenarse, deben someterse a una evaluación adicional.
Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección. La participación es voluntaria. Los proveedores de modelos de IA de propósito general deben publicar resúmenes de los datos de entrenamiento, adoptar políticas de cumplimiento de derechos de autor y proporcionar documentación técnica a proveedores posteriores y autoridades supervisoras. Los modelos de riesgo sistémico también deben realizar evaluaciones de modelos, pruebas adversarias, mitigación de riesgos para sesgos y fallos de seguridad, notificación de incidentes graves y mantener una ciberseguridad adecuada.
Exenciones y Alcance
Los artículos 2.3 y 2.6 eximen a los sistemas de IA utilizados exclusivamente para fines militares, de defensa o de seguridad nacional, así como a la investigación y el desarrollo científico puro. La Ley también excluye la IA utilizada para fines no profesionales. Como forma de regulación de productos, no crea derechos individuales, sino que impone deberes a los proveedores de IA y a las organizaciones que utilizan IA profesionalmente.
La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con estas exenciones limitadas. Este modelo de seguridad de productos asigna deberes regulatorios a proveedores y usuarios, siendo los deberes más exigentes a medida que aumenta el impacto potencial sobre la salud, la seguridad o los derechos fundamentales. Esta estructura garantiza que la supervisión se centre en sistemas que probablemente creen riesgos significativos, permitiendo enfoques más ligeros para usos menos sensibles.
Gobernanza y Cumplimiento
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Esta junta coordina a las autoridades supervisoras de los estados miembros, similar a la estructura de gobernanza establecida bajo el Reglamento General de Protección de Datos. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA, lo que permite la adaptación a riesgos emergentes.
Los estados miembros no pueden imponer regulaciones adicionales sobre los sistemas de riesgo mínimo debido a las reglas de armonización máxima, que anulan las leyes nacionales existentes respecto a dichos sistemas. Se sugiere un código de conducta voluntario para aplicaciones de riesgo mínimo. El alcance extraterritorial de la Ley significa que los proveedores de fuera de la UE, incluidos los de Estados Unidos y Asia, deben cumplir si sirven a usuarios de la UE.
Cronograma de Implementación
La implementación por fases comenzó con disposiciones que entraron en vigor el 1 de agosto de 2024. Las prohibiciones sobre aplicaciones de riesgo inaceptable entraron en vigor antes, mientras que las obligaciones para sistemas de alto riesgo se implementaron gradualmente en un período de 24 a 36 meses. Para 2030, todas las disposiciones son plenamente aplicables, incluidos los requisitos más estrictos para sistemas de IA de alto riesgo y de propósito general. Este cronograma dio a proveedores y usuarios tiempo para desarrollar mecanismos de cumplimiento, realizar evaluaciones de conformidad e implementar las medidas técnicas y organizativas necesarias.
El hito de 2030 también marca el punto en el que la supervisión de la Junta Europea de Inteligencia Artificial se vuelve completamente operativa, con los estados miembros habiendo establecido sus autoridades supervisoras y procedimientos de ejecución. Las empresas sujetas a la Ley deben demostrar cumplimiento continuo a través de documentación, pruebas y mecanismos de notificación de incidentes.
Impacto en el Desarrollo de la IA
La plena aplicación de la Ley de IA en 2030 afecta a todo el ecosistema de la IA, desde la investigación en inteligencia artificial hasta el despliegue comercial. Los desarrolladores de sistemas de aprendizaje automático y aprendizaje profundo deben integrar consideraciones de cumplimiento en sus procesos de diseño. Los requisitos de transparencia de la Ley para los proveedores de modelos de lenguaje grandes han influido en cómo se documentan y evalúan los modelos.
El marco regulatorio ha impulsado a las organizaciones a desarrollar estructuras de gobernanza interna para la supervisión de la IA, incluidos procedimientos de evaluación de riesgos y mecanismos de supervisión humana. El énfasis de la Ley en los derechos fundamentales ha llevado a una mayor atención a la mitigación de sesgos y la equidad en los sistemas de IA. El código de conducta voluntario para la IA de propósito general proporciona orientación práctica para el cumplimiento, permitiendo flexibilidad en la implementación.
Influencia Internacional
La Ley de IA de la UE se ha convertido en un punto de referencia para la regulación de la IA a nivel mundial, con varias jurisdicciones examinando su enfoque basado en riesgos. Sus disposiciones extraterritoriales significan que los principales desarrolladores de IA en Estados Unidos, incluidas empresas como Anthropic y Google DeepMind, deben cumplir al ofrecer servicios a usuarios de la UE. Esto ha llevado a que empresas globales adopten los estándares de la UE como prácticas de referencia.
El enfoque de la Ley hacia la IA de propósito general, desarrollado en respuesta a los sistemas de IA generativa, ha influido en los debates sobre la regulación de modelos fundacionales en otras regiones. La fase de plena aplicación en 2030 demuestra el compromiso de la UE con una gobernanza integral de la IA, equilibrando la innovación con la protección de los derechos fundamentales y la seguridad.