El Consejo de la Unión Europea dio su aprobación final a la Ley de Inteligencia Artificial (Ley de IA) el 21 de mayo de 2024, concluyendo un proceso legislativo que comenzó con la propuesta de la Comisión Europea el 21 de abril de 2021. El voto unánime de los ministros de los Estados miembros marcó el último obstáculo importante antes de que el reglamento pudiera entrar en vigor, preparando el escenario para el primer marco legal integral del mundo que regula la inteligencia artificial. La Ley había sido aprobada previamente por el Parlamento Europeo el 13 de marzo de 2024, y su texto final incorporó revisiones significativas realizadas en respuesta al rápido auge de los sistemas de IA generativa como ChatGPT de OpenAI, cuyas capacidades de propósito general no encajaban en el marco original basado en el riesgo.
El reglamento entró formalmente en vigor el 1 de agosto de 2024, con disposiciones programadas para aplicarse gradualmente durante los siguientes 6 a 36 meses. Esta implementación por fases fue diseñada para dar a las empresas, autoridades nacionales y proveedores de sistemas de IA tiempo adecuado para adaptarse a las nuevas obligaciones. La Ley de IA establece un marco regulatorio y legal común para la IA en todos los Estados miembros de la UE, cubriendo la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o de uso no profesional. Como forma de regulación de productos, no crea derechos individuales, sino que impone deberes a los proveedores de IA y a las organizaciones que utilizan IA en un contexto profesional.
Clasificación Basada en el Riesgo
La Ley clasifica las aplicaciones de IA no exentas en cuatro niveles de riesgo - inaceptable, alto, limitado y mínimo - más una categoría adicional para la IA de propósito general. Este esquema basado en el riesgo sigue un modelo de seguridad de productos en el que los deberes regulatorios se asignan a proveedores y desplegadores, volviéndose más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. La estructura asegura que la supervisión se centre en sistemas que probablemente creen riesgos significativos, permitiendo enfoques más ligeros para usos menos sensibles.
Las aplicaciones con riesgos inaceptables están prohibidas por completo, excepto por exenciones específicas. Esto incluye sistemas de IA que manipulan el comportamiento humano, aquellos que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y sistemas de puntuación social que clasifican a individuos según características personales, estatus socioeconómico o comportamiento. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad antes del despliegue. Estos incluyen sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia, que también deben someterse a una Evaluación de Impacto en Derechos Fundamentales (FRIA) en algunos casos - una revisión ex ante para identificar y mitigar impactos potenciales en los derechos fundamentales.
Las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia, asegurando que los usuarios sean informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye herramientas generadoras de deepfakes y otros sistemas que manipulan imágenes, sonido o video. Las aplicaciones de riesgo mínimo, como la IA en videojuegos o filtros de spam, no están reguladas, y los Estados miembros no pueden imponer regulaciones adicionales debido a reglas de armonización máxima. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría, con un código de conducta voluntario sugerido para mejores prácticas.
Disposiciones sobre IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general aborda modelos fundacionales que pueden realizar una amplia gama de tareas, incluidos grandes modelos de lenguaje y otros sistemas de aprendizaje automático. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos - definidos como aquellos que requieren más de 10^25 operaciones de coma flotante para entrenarse - deben someterse a evaluaciones adicionales, incluyendo evaluaciones de modelos, pruebas adversariales, evaluación de riesgos por sesgo y fallos de seguridad, notificación de incidentes graves y medidas adecuadas de ciberseguridad.
Más allá de los deberes básicos de transparencia, los proveedores de modelos de IA de propósito general deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a proveedores posteriores y autoridades de supervisión. Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación en el código es voluntaria.
Exenciones y Alcance Extraterritorial
Los artículos 2.3 y 2.6 de la Ley eximen los sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional, así como la investigación y el desarrollo científico puro. El reglamento tampoco se aplica a sistemas desarrollados y puestos en servicio únicamente para estos fines. Como el Reglamento General de Protección de Datos de la UE, la Ley de IA puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE, lo que significa que empresas como Google DeepMind, Anthropic o Amazon Web Services que ofrecen servicios de IA a clientes de la UE deben cumplir independientemente de la ubicación de su sede.
Gobernanza y Cumplimiento
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y asegurar el cumplimiento del reglamento. Esta junta coordina las autoridades de supervisión en todos los Estados miembros, facilitando una aplicación consistente de las reglas. Los ciudadanos tienen derecho a presentar quejas sobre sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten sus derechos. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA, permitiendo que el marco se adapte a riesgos emergentes.
Trayectoria Legislativa y Revisiones
La propuesta original de la Comisión Europea del 21 de abril de 2021 se basó en consultas con partes interesadas y una amplia gama de investigaciones existentes, según una evaluación inicial del Servicio de Investigación del Parlamento Europeo. El borrador de la Ley fue revisado durante las negociaciones para abordar el aumento en popularidad de los sistemas de IA generativa, cuyas capacidades de propósito general no encajaban en el marco principal. El texto final equilibró las preocupaciones por la innovación con las protecciones de derechos fundamentales, incorporando aportes de diversas partes interesadas, incluidas empresas tecnológicas, organizaciones de la sociedad civil e instituciones académicas.
La aprobación unánime por el Consejo de la UE el 21 de mayo de 2024 representó un logro político significativo, demostrando consenso transversal y transnacional sobre la regulación de la IA. El calendario de implementación por fases significa que diferentes disposiciones se vuelven aplicables en momentos distintos, con las prohibiciones y requisitos de transparencia más urgentes tomando efecto primero, seguidos por las obligaciones para sistemas de alto riesgo y modelos de IA de propósito general en los meses posteriores.
Implicaciones para la Industria
El alcance extraterritorial y la cobertura integral de la Ley de IA significan que las principales empresas tecnológicas en todo el mundo deben ajustar sus prácticas de desarrollo y despliegue. Los proveedores de sistemas de grandes modelos de lenguaje, aplicaciones basadas en redes neuronales y otras herramientas de IA deben documentar sus datos de entrenamiento, implementar políticas de derechos de autor y realizar evaluaciones de riesgo. La distinción entre modelos de código abierto y de código cerrado crea diferentes cargas de cumplimiento, influyendo potencialmente en cómo las empresas eligen lanzar sus sistemas de IA. El enfoque basado en el riesgo de la Ley también afecta sectores como la salud, la educación y la aplicación de la ley, donde las aplicaciones de IA de alto riesgo enfrentan los requisitos más estrictos.
Contexto Más Amplio
La Ley de IA representa un hito en la regulación tecnológica, siguiendo el patrón de la UE de establecer estándares globales a través de legislación integral. Su marco basado en el riesgo ha sido estudiado por reguladores en otras jurisdicciones que consideran enfoques similares. El énfasis de la Ley en la transparencia, la supervisión humana y la protección de derechos fundamentales refleja preocupaciones sociales más amplias sobre el impacto de la IA en la democracia, la privacidad y la autonomía individual. A medida que las disposiciones entran en operación gradualmente, la implementación práctica será observada de cerca por la industria, la sociedad civil y los responsables políticos en todo el mundo.
El éxito del reglamento dependerá del cumplimiento efectivo por parte de las autoridades nacionales y la Junta Europea de Inteligencia Artificial, así como de la cooperación de los proveedores de IA. El código de conducta voluntario para aplicaciones de riesgo mínimo y el Código de Prácticas de IA de Propósito General proporcionan orientación para el cumplimiento, mientras que la flexibilidad de la Ley permite actualizaciones futuras a medida que la tecnología de IA evoluciona. La aprobación del Consejo el 21 de mayo de 2024 marcó así no un final, sino un comienzo - el inicio de una nueva era en la que los sistemas de IA que operan en la UE deben demostrar cumplimiento con reglas claras y ejecutables diseñadas para proteger la salud, la seguridad y los derechos fundamentales.