La Ley de Inteligencia Artificial (Ley de IA) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en todos los sectores, excluyendo aquellos utilizados únicamente para fines militares, de seguridad nacional, de investigación o no profesionales. Como regulación de productos, no crea derechos individuales, sino que impone obligaciones a los proveedores de IA y a los usuarios profesionales.
El reglamento clasifica las aplicaciones de IA no exentas según su riesgo de daño en cuatro niveles - inaceptable, alto, limitado, mínimo - más una categoría separada para la IA de propósito general. Las aplicaciones de riesgo inaceptable están prohibidas; las de alto riesgo deben cumplir obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad; las de riesgo limitado solo enfrentan deberes de transparencia; las de riesgo mínimo no están reguladas. Para la IA de propósito general, se aplican requisitos de transparencia, con deberes reducidos para los modelos de código abierto y evaluaciones adicionales para los sistemas de alta capacidad. La Ley también establece una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y el cumplimiento. Como el Reglamento General de Protección de Datos de la UE, puede aplicarse extraterritorialmente a proveedores fuera de la UE con usuarios dentro de la UE.
La Comisión Europea propuso la Ley el 21 de abril de 2021. Fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador se revisó para abordar el auge de los sistemas de IA generativa como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal.
Entrada en Vigor y Aplicación por Fases
La Ley de IA entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la UE. Sus disposiciones se aplican por etapas, dando tiempo a las partes interesadas para adaptarse. La primera fecha clave fue el 2 de febrero de 2025, cuando se aplicaron las prohibiciones sobre sistemas de IA de riesgo inaceptable. Esto incluyó prohibiciones sobre IA que manipula el comportamiento humano, utiliza identificación biométrica remota en tiempo real en espacios públicos (con exenciones limitadas) o permite la puntuación social.
Para el 2 de agosto de 2025, entraron en vigor las obligaciones para los modelos de IA de propósito general, incluidos los requisitos de transparencia para los proveedores. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe capítulos sobre transparencia, derechos de autor y seguridad para ayudar a los proveedores a demostrar cumplimiento; la participación es voluntaria. La mayoría de las disposiciones restantes, incluidas las de sistemas de alto riesgo, se aplican el 2 de agosto de 2026. Los sistemas de IA de alto riesgo integrados en productos regulados ya sujetos a la legislación sectorial de la UE tienen un plazo extendido hasta el 2 de agosto de 2027. Estas fechas escalonadas reflejan el objetivo de la Ley de equilibrar la innovación con la supervisión, como se señala en la evaluación de impacto de la Comisión.
Categorías de Riesgo y Obligaciones
El esquema basado en el riesgo de la Ley sigue un modelo de seguridad de productos, asignando deberes regulatorios a proveedores y desplegadores que se intensifican con el impacto potencial en la salud, la seguridad o los derechos fundamentales. Esta estructura centra la supervisión en sistemas que probablemente creen riesgos significativos, permitiendo enfoques más ligeros para usos menos sensibles.
Riesgo inaceptable - Las aplicaciones en esta categoría están prohibidas, excepto por exenciones específicas. Esto incluye IA que manipula el comportamiento humano, identificación biométrica remota en tiempo real en espacios públicos y puntuación social. No se aplican exenciones para estos usos en la mayoría de los casos.
Riesgo alto - Los sistemas de IA que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales caen aquí. Ejemplos incluyen sistemas utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia. Deben cumplir obligaciones de calidad, transparencia, supervisión humana y seguridad. Algunos requieren una Evaluación de Impacto sobre Derechos Fundamentales (FRIA) antes del despliegue - una revisión ex ante para identificar y mitigar impactos sobre los derechos fundamentales. La FRIA se basa en trabajos anteriores de evaluación de impacto algorítmico, que sugerían que tales herramientas deberían identificar a individuos y comunidades afectados, describir posibles daños y proporcionar una base para el escrutinio público. Los sistemas de alto riesgo deben evaluarse antes de su colocación en el mercado y a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse sin modificar la Ley en sí. Los ciudadanos tienen derecho a presentar quejas sobre sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten sus derechos.
Riesgo limitado - Estos sistemas tienen obligaciones de transparencia, asegurando que los usuarios sepan que interactúan con IA y puedan tomar decisiones informadas. Esta categoría incluye IA que genera o manipula imágenes, sonido o videos, como los deepfakes.
Riesgo mínimo - Ejemplos incluyen IA en videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan aquí. Estos sistemas no están regulados, y los estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre tales sistemas quedan anuladas, aunque se sugiere un código de conducta voluntario.
Categoría de IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general cubre modelos fundacionales como modelos de lenguaje grandes que pueden realizar una amplia gama de tareas. Si los pesos y el diseño de un modelo son de código abierto, los desarrolladores deben publicar un resumen de datos de entrenamiento y una política de derechos de autor. Los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos - definidos como aquellos que requieren más de 10^25 operaciones de punto flotante para entrenarse - deben someterse a una evaluación adicional.
Los proveedores de modelos de IA de propósito general deben publicar un resumen de datos de entrenamiento, adoptar una política de cumplimiento de derechos de autor y proporcionar documentación técnica a proveedores posteriores y autoridades de supervisión. Los modelos designados como de riesgo sistémico también deben realizar evaluaciones de modelos y pruebas adversarias, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar una ciberseguridad adecuada.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley a los sistemas de IA utilizados para fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El reglamento no se aplica donde los sistemas de IA se utilizan exclusivamente para fines militares, de defensa o de seguridad nacional, ni a sistemas desarrollados y puestos en servicio únicamente para esos fines. Las actividades de investigación y desarrollo también quedan fuera del ámbito, así como los usos no profesionales. Estas exenciones son limitadas; los despliegues comerciales de IA en contextos civiles siguen cubiertos incluso si se desarrollaron con orígenes militares o de investigación.
Cumplimiento y Gobernanza
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Cada estado miembro designa una autoridad nacional de supervisión para supervisar la implementación. La Junta coordina estas autoridades y asesora a la Comisión en asuntos técnicos y regulatorios. Los mecanismos de cumplimiento incluyen multas por incumplimiento, escaladas según la gravedad de la violación y el tamaño de la empresa. El alcance extraterritorial de la Ley significa que los proveedores fuera de la UE deben cumplir si sus sistemas de IA son utilizados por personas dentro de la UE, reflejando el enfoque del RGPD.
Historia Legislativa y Contexto
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021, tras extensas consultas con partes interesadas y comparaciones de investigación documentadas en una evaluación de impacto. El Parlamento Europeo la aprobó el 13 de marzo de 2024, y el Consejo de la UE la aprobó por unanimidad el 21 de mayo de 2024. El texto final incorporó revisiones de 2023 para abordar sistemas de IA generativa como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco de riesgo original. Esto llevó a la categoría dedicada de IA de propósito general. La aplicación por fases de la Ley da tiempo a proveedores y desplegadores para implementar medidas de cumplimiento, con las primeras prohibiciones efectivas en febrero de 2025 y la aplicación completa para la mayoría de los sistemas de alto riesgo en agosto de 2026.
Impacto e Interpretación
Los académicos legales han señalado que la Ley enmarca la "IA confiable" como sistemas que demuestran cumplimiento con umbrales de seguridad y riesgo. El enfoque basado en el riesgo se basa en la regulación de seguridad de productos, asignando deberes a quienes colocan IA en el mercado y a quienes la usan profesionalmente. La evaluación inicial del Servicio de Investigación del Parlamento Europeo elogió la evaluación de impacto de la Comisión por su participación de partes interesadas y análisis comparativo de políticas. A medida que pasan las fechas de aplicación, los efectos prácticos de la Ley dependerán de cómo las autoridades nacionales y la Junta interpreten sus disposiciones, particularmente para la IA de alto riesgo y de propósito general. El código de conducta voluntario para sistemas de riesgo mínimo y las obligaciones obligatorias para categorías de mayor riesgo buscan crear un mercado armonizado de IA en la UE mientras protegen los derechos fundamentales.