La Ley de Inteligencia Artificial (AI Act) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial en toda la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o de uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan la IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado y mínimo - más una categoría adicional para la IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia. Las aplicaciones de riesgo mínimo no están reguladas. Para la IA de propósito general, se imponen requisitos de transparencia, con requisitos reducidos para los modelos de código abierto, y evaluaciones adicionales para los modelos de alta capacidad. La Ley también crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores de fuera de la UE si tienen usuarios dentro de la UE.
Propuesta y recorrido legislativo
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El borrador fue diseñado para armonizar las normas sobre sistemas de IA en el mercado único, siguiendo un enfoque basado en el riesgo similar a la legislación existente sobre seguridad de productos. La propuesta inicial se centraba en los sistemas tradicionales de aprendizaje automático y aprendizaje profundo, clasificándolos según su potencial de causar daño.
Durante el proceso legislativo, el auge de los sistemas de IA generativa como ChatGPT impulsó revisiones significativas. El marco original no abordaba adecuadamente los modelos de propósito general que podían realizar una amplia gama de tareas en diferentes sectores. En 2023, el borrador fue revisado para incluir una categoría dedicada a la IA de propósito general, que cubre modelos fundacionales y grandes modelos de lenguaje. Esta revisión reconoció que sistemas como ChatGPT y otros grandes modelos de lenguaje requerían un tratamiento regulatorio diferente al de aplicaciones más específicas.
Aprobación parlamentaria y adopción por el Consejo
El Parlamento Europeo aprobó la Ley de IA el 13 de marzo de 2024, tras extensas negociaciones y enmiendas. La versión del Parlamento reforzó las disposiciones sobre derechos fundamentales, añadió requisitos para evaluaciones de impacto en derechos fundamentales para sistemas de alto riesgo y amplió las obligaciones de transparencia para la IA generativa. El Consejo de la UE aprobó por unanimidad el texto final el 21 de mayo de 2024, completando el proceso legislativo.
El reglamento final se publicó en el Diario Oficial de la Unión Europea en julio de 2024, con entrada en vigor el 1 de agosto de 2024. El calendario de implementación por fases significa que diferentes obligaciones se aplican en diferentes fechas, con las prohibiciones de aplicaciones de riesgo inaceptable entrando en vigor antes que los requisitos para sistemas de alto riesgo.
Categorías de riesgo en detalle
La Ley establece cuatro categorías de riesgo principales más una categoría separada para la IA de propósito general. Las aplicaciones de riesgo inaceptable están prohibidas directamente, con exenciones específicas. Esto incluye la IA que manipula el comportamiento humano, la identificación biométrica remota en tiempo real en espacios públicos y los sistemas de puntuación social que clasifican a individuos según características personales o comportamiento.
Las aplicaciones de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales. Esto incluye sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley y justicia. Estos sistemas deben cumplir con obligaciones de calidad, transparencia, supervisión humana y seguridad. Algunos requieren una Evaluación de Impacto en Derechos Fundamentales antes de su despliegue, que es una revisión ex ante para identificar y mitigar posibles impactos en los derechos fundamentales. Los sistemas de alto riesgo deben evaluarse tanto antes de su comercialización como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por la IA de alto riesgo que afecten a sus derechos.
Los sistemas de riesgo limitado tienen obligaciones de transparencia, garantizando que los usuarios sepan que están interactuando con IA y puedan tomar decisiones informadas. Esta categoría incluye aplicaciones que generan o manipulan imágenes, sonido o vídeos, como los deepfakes. Los sistemas de riesgo mínimo, incluida la IA de videojuegos y los filtros de spam, no están regulados, y los estados miembros no pueden imponer regulaciones adicionales debido a las normas de armonización máxima.
Disposiciones sobre IA de propósito general
Añadida en 2023, la categoría de IA de propósito general cubre modelos fundacionales que pueden realizar una amplia gama de tareas, incluidos los sistemas de IA generativa. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor. Los modelos de código cerrado deben cumplir con requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos, definidos como aquellos que requieren más de 1025 operaciones de coma flotante para entrenarse, deben someterse a una evaluación adicional.
Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación en el código es voluntaria. Más allá de los deberes básicos de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política de cumplimiento de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades supervisoras. Los modelos designados como de riesgo sistémico también deben realizar evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar sobre incidentes graves y garantizar una ciberseguridad adecuada.
Exenciones y alcance
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados con fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente con fines militares, de defensa o de seguridad nacional, ni a los sistemas desarrollados y puestos en servicio únicamente para la investigación científica. Esta exención reconoce la necesidad de equilibrar la innovación con la regulación, manteniendo al mismo tiempo el control de los estados miembros sobre los asuntos de seguridad.
Implementación y aplicación
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. La Junta Europea de IA coordina las autoridades supervisoras en todos los estados miembros, similar a la estructura de gobernanza establecida por el Reglamento General de Protección de Datos. El calendario de implementación por fases se detalla en el cronograma de aplicación, con diferentes obligaciones que se activan a los 6, 12, 24 y 36 meses después de la entrada en vigor.
El alcance extraterritorial significa que los proveedores de fuera de la UE deben cumplir si tienen usuarios dentro de la UE. Esto refleja el enfoque del RGPD y tiene implicaciones significativas para los desarrolladores globales de IA, incluidos los de Estados Unidos, China y otros mercados importantes de IA. El marco basado en el riesgo de la Ley sigue un modelo de seguridad de productos donde los deberes regulatorios se asignan a proveedores y desplegadores, con deberes que se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales.
Contexto más amplio e impacto
La Ley de IA representa uno de los primeros intentos integrales de regular la inteligencia artificial a nivel regional. Su desarrollo fue paralelo a los rápidos avances en aprendizaje automático y aprendizaje profundo, incluida la arquitectura de transformadores que sustenta los grandes modelos de lenguaje modernos. El calendario legislativo refleja el desafío de regular un campo en rápida evolución, con las revisiones de 2023 respondiendo al crecimiento explosivo de las herramientas de IA generativa.
El enfoque de la Ley ha influido en los debates en otras jurisdicciones, aunque su impacto completo aún está por verse a medida que avanza la implementación. El Servicio de Estudios Parlamentarios Europeos proporcionó una evaluación inicial de la evaluación de impacto de la Comisión, que se basó en consultas con las partes interesadas e investigación existente al comparar opciones políticas. Los estudiosos del derecho han señalado que la Ley enmarca la "IA confiable" como sistemas que pueden demostrar cumplimiento con umbrales de seguridad y riesgo, estableciendo un enfoque orientado al cumplimiento para la gobernanza de la IA.
El despliegue por fases permite a las organizaciones tiempo para adaptarse, pero la complejidad de los requisitos, particularmente para la IA de alto riesgo y de propósito general, ha generado una actividad de cumplimiento significativa en todo el sector tecnológico. A partir de la entrada en vigor de la Ley, las consecuencias operativas completas para los desarrolladores, desplegadores y usuarios de IA en la UE y más allá continúan desarrollándose.