El Código de Conducta de la Ley de IA de la UE es un marco voluntario publicado el 10 de julio de 2025 por la Comisión Europea. Está diseñado para ayudar a los proveedores de modelos de IA de propósito general, como los grandes modelos de lenguaje, a demostrar el cumplimiento de las obligaciones establecidas en la Ley de Inteligencia Artificial (Ley de IA), un reglamento de la Unión Europea relativo a la inteligencia artificial. El Código no crea nuevas obligaciones legales, sino que operativiza los requisitos existentes en virtud de la Ley, centrándose en tres capítulos principales: transparencia, derechos de autor y seguridad y protección.
La Ley de IA en sí entró en vigor el 1 de agosto de 2024, con disposiciones implementadas gradualmente durante los siguientes 6 a 36 meses. El Código de Conducta se desarrolló para abordar la brecha regulatoria de la IA de propósito general, una categoría añadida en 2023 para cubrir los modelos fundacionales que pueden realizar una amplia gama de tareas, incluidos los sistemas generativos como ChatGPT. La participación en el Código es voluntaria, pero la adhesión pretende señalar y respaldar el cumplimiento de las obligaciones legales vinculantes en virtud de la Ley.
Antecedentes y Contexto Legislativo
La Ley de IA fue propuesta por la Comisión Europea el 21 de abril de 2021 como un marco regulatorio integral para la IA en todos los sectores, con exenciones para uso militar, seguridad nacional, investigación y uso no profesional. Fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador fue revisado durante las negociaciones para abordar el rápido auge de los sistemas de IA generativa, cuyas capacidades de propósito general no encajaban en el marco original basado en riesgos.
La Ley establece un marco regulatorio y legal común con cuatro niveles de riesgo - inaceptable, alto, limitado y mínimo - más una categoría separada para la IA de propósito general. También crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores de fuera de la UE si tienen usuarios dentro de la UE.
El Código de Conducta de IA de Propósito General surgió de este proceso legislativo como una herramienta de implementación. Fue publicado el 10 de julio de 2025 tras consultas con las partes interesadas, incluidos desarrolladores de IA, asociaciones industriales, sociedad civil y academia. El Código se estructura en torno a los requisitos de la Ley para los proveedores de modelos de IA de propósito general, que incluyen publicar un resumen de los datos de entrenamiento, adoptar una política de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades supervisoras.
Requisitos de Transparencia
El capítulo de transparencia del Código aborda la obligación de la Ley de que los proveedores informen a los usuarios sobre la naturaleza del contenido y las interacciones generados por IA. Para los modelos de IA de propósito general, esto incluye requisitos para revelar que el contenido es generado por IA, particularmente para salidas de texto, audio o visuales que podrían confundirse con creaciones humanas. Esto se alinea con la categoría de riesgo limitado de la Ley, que impone deberes de transparencia a los sistemas que generan o manipulan imágenes, sonido o video, como los deepfakes.
Los modelos de código abierto, cuyos pesos y diseño se hacen públicos, enfrentan requisitos de transparencia reducidos bajo el Código. Deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor, pero están exentos de algunos deberes de divulgación más amplios. Los modelos de código cerrado, por otro lado, deben cumplir estándares de transparencia más completos, incluida una documentación detallada de las capacidades, limitaciones y uso previsto del modelo.
Para los modelos de alta capacidad que superan un umbral de 1025 operaciones de punto flotante para entrenar, el Código añade obligaciones de evaluación adicionales. Se considera que estos modelos plantean riesgos sistémicos y deben someterse a evaluaciones de modelos y pruebas adversarias más allá de los requisitos básicos. Las disposiciones de transparencia también requieren que los proveedores mantengan registros accesibles a las autoridades supervisoras nacionales y a los usuarios empresariales posteriores.
Derechos de Autor y Datos de Entrenamiento
El capítulo de derechos de autor del Código operativiza el requisito de la Ley de que los proveedores adopten políticas que cumplan con la legislación de derechos de autor de la UE. Esto incluye documentar las fuentes de los datos de entrenamiento, garantizar que los conjuntos de datos utilizados para entrenar modelos no infrinjan derechos existentes y proporcionar transparencia sobre qué datos se utilizaron. Los proveedores deben publicar un resumen de los datos de entrenamiento, que sirve como mecanismo práctico para que los titulares de derechos identifiquen posibles infracciones.
El Código anima a los proveedores a utilizar herramientas técnicas disponibles y mejores prácticas para filtrar material protegido por derechos de autor de los conjuntos de datos de entrenamiento. También enfatiza la necesidad de que los proveedores posteriores tengan información suficiente para evaluar el cumplimiento al usar un modelo de propósito general en sus propios productos. Esto es particularmente relevante porque la Ley considera a los proveedores principalmente responsables, pero los implementadores también pueden tener obligaciones según su función.
No hay registro obligatorio ni mecanismo de aplicación en el propio Código. En cambio, la adhesión es voluntaria, pero los proveedores que sigan el Código pueden usarlo como evidencia de esfuerzos de buena fe para cumplir con las obligaciones de la Ley. La Comisión ha señalado que la participación puede considerarse favorablemente durante cualquier acción de aplicación futura, aunque la no participación no implica automáticamente incumplimiento.
Obligaciones de Seguridad y Protección
El capítulo de seguridad y protección del Código aborda los deberes de gestión de riesgos de la Ley para los modelos de IA de propósito general. Para los modelos designados como de riesgo sistémico, los proveedores deben realizar evaluaciones de modelos, incluidas pruebas de sesgo, vulnerabilidades de seguridad y otros daños potenciales. También deben llevar a cabo pruebas adversarias para sondear las debilidades del modelo, evaluar y mitigar riesgos como la discriminación o salidas inseguras, informar incidentes graves a las autoridades y garantizar un nivel adecuado de ciberseguridad.
El Código proporciona orientación práctica sobre cómo realizar estas evaluaciones, incluidos métricas específicas y metodologías de evaluación. También anima a los proveedores a establecer estructuras de gobernanza interna que puedan monitorear riesgos a lo largo del ciclo de vida del modelo. Estas obligaciones van más allá de la mera documentación y requieren una gestión de riesgos activa y continua.
Para los modelos por debajo del umbral de riesgo sistémico, los requisitos de seguridad son más ligeros. Los proveedores deben garantizar una fiabilidad y seguridad básicas, pero no están obligados a realizar el mismo nivel de pruebas adversarias o informes de incidentes. El Código distingue entre modelos de alta capacidad y otros, reconociendo que se necesitan enfoques diferentes según el impacto potencial.
El marco de seguridad se basa en trabajos técnicos anteriores en aprendizaje automático, incluidos métodos como aprendizaje por refuerzo con retroalimentación de IA y poda de modelos, aunque el Código no prescribe técnicas específicas. Se centra en resultados y procesos más que en algoritmos particulares.
Relación con las Categorías Basadas en Riesgo
El Código opera dentro del sistema de clasificación de riesgos más amplio de la Ley de IA. Si bien la Ley regula la IA de propósito general por separado, sus disposiciones interactúan con las cuatro categorías de riesgo. Por ejemplo, un modelo de propósito general implementado como parte de una aplicación de alto riesgo - como en salud, educación o contratación - estaría sujeto tanto a las obligaciones de propósito general como a los requisitos de alto riesgo. Esto incluye evaluaciones de conformidad y, en algunos casos, una Evaluación de Impacto en Derechos Fundamentales antes de la implementación.
La categoría de IA de propósito general se añadió a la Ley específicamente para abordar modelos que no encajan claramente en los niveles de riesgo tradicionales. Estos modelos son adaptables a muchas tareas, lo que hace que su perfil de riesgo dependa del contexto. El Código ayuda a cerrar esta brecha al proporcionar un marco único para las obligaciones del proveedor, independientemente de cómo se implemente finalmente un modelo.
Las aplicaciones de riesgo mínimo, como videojuegos o filtros de spam, permanecen en gran medida sin regular bajo la Ley, y el Código no se aplica a ellas. Las reglas de armonización máxima de la Ley impiden que los Estados miembros impongan regulaciones nacionales adicionales a estos sistemas, aunque también se sugiere un código de conducta voluntario para ellos.
Implementación y Monitoreo
La Comisión Europea supervisa la implementación del Código, trabajando en conjunto con las autoridades nacionales y la Junta Europea de Inteligencia Artificial. La Junta, establecida por la Ley, promueve la cooperación entre los Estados miembros y garantiza una aplicación consistente del reglamento en toda la UE. El Código sirve como herramienta para esta coordinación, proporcionando un conjunto común de prácticas que los proveedores pueden adoptar.
El monitoreo del Código es principalmente autorregulador. Los proveedores que se comprometen con el Código informan sobre su cumplimiento a través de documentación públicamente disponible. La Comisión ha indicado que revisará el Código periódicamente y puede actualizarlo a medida que evolucionen las tecnologías o se aprendan lecciones de la implementación. Este enfoque adaptativo pretende mantenerse al día con los desarrollos en arquitecturas basadas en transformadores y otros avances de la IA.
La aplicación de la Ley de IA subyacente sigue siendo responsabilidad de las autoridades supervisoras nacionales y, cuando corresponda, de la Comisión Europea. El Código no es un sustituto del cumplimiento formal, pero está diseñado para hacer que el cumplimiento sea más sencillo y transparente. También se anima a los proveedores de fuera de la UE a participar si ofrecen servicios o productos dentro del mercado de la UE.
Recepción e Impacto
El Código de Conducta ha sido generalmente bien recibido por la industria de la IA, aunque algunas partes interesadas han expresado preocupaciones sobre la carga de documentación y evaluación. Grandes empresas tecnológicas, incluidas las involucradas en OpenAI, Anthropic y Google DeepMind, han participado en consultas y se espera que alineen sus prácticas con el Código. Los proveedores más pequeños y los proyectos de código abierto pueden enfrentar desafíos para cumplir con los requisitos, pero las obligaciones de transparencia reducidas del código para modelos de código abierto pretenden mitigar esto.
Los grupos de la sociedad civil han elogiado el Código por hacer que la gobernanza de la IA sea más tangible, particularmente en torno a los derechos de autor y la seguridad. Sin embargo, algunos críticos argumentan que su naturaleza voluntaria debilita la rendición de cuentas, ya que no hay penalización por no participar. El Parlamento Europeo ha expresado su apoyo al Código como complemento de la Ley, al tiempo que enfatiza la necesidad de una aplicación sólida del reglamento subyacente.
El Código también influye en los debates internacionales sobre gobernanza de la IA. Al proporcionar una plantilla detallada para la supervisión de la IA de propósito general, ofrece un punto de referencia para otras jurisdicciones que desarrollan marcos similares. Su enfoque en medidas proporcionadas y basadas en riesgos se alinea con las mejores prácticas emergentes en política de IA, aunque el enfoque regulatorio de la UE sigue siendo distintivo en su exhaustividad.
A finales de 2025, el Código se encuentra en su fase inicial de implementación. Su impacto a largo plazo dependerá de cuán efectivamente los proveedores integren sus disposiciones en los ciclos de desarrollo y de cuán sólidamente las autoridades supervisen el cumplimiento de la Ley de IA. La naturaleza voluntaria del Código significa que su éxito depende de la adopción generalizada y la credibilidad del cumplimiento autoinformado.