La Ley de Inteligencia Artificial (Ley de IA) es un reglamento de la Unión Europea relativo a la inteligencia artificial (IA), que establece un marco regulatorio y legal común para la IA dentro de la UE. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones que se aplicarán gradualmente durante los siguientes 6 a 36 meses. Cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan la IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daños, con cuatro niveles – inaceptable, alto, limitado, mínimo – además de una categoría adicional para la IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia. Las aplicaciones de riesgo mínimo no están reguladas. Para la IA de propósito general, se imponen requisitos de transparencia, con requisitos reducidos para los modelos de código abierto, y evaluaciones adicionales para los modelos de alta capacidad. La Ley también crea un Comité Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Historial Legislativo
Propuesto por la Comisión Europea el 21 de abril de 2021, el borrador de la Ley fue aprobado por el Parlamento Europeo el 13 de marzo de 2024, y aprobado por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador fue revisado para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. El texto final se publicó en el Diario Oficial de la UE en julio de 2024, con el reglamento entrando en vigor el 1 de agosto de 2024. El cronograma de aplicación gradual significa que las prohibiciones sobre sistemas de riesgo inaceptable se volvieron aplicables en febrero de 2025, mientras que las obligaciones de IA de propósito general y las reglas de gobernanza siguieron en agosto de 2025, y la mayoría de los requisitos para sistemas de alto riesgo están programados para agosto de 2026 o más tarde.
Categorías de Riesgo
La Ley establece un esquema basado en el riesgo siguiendo un modelo de seguridad de productos en el que las obligaciones regulatorias se asignan a proveedores y despliegues de sistemas de IA, con obligaciones que se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Esta estructura asegura que la supervisión se centre en sistemas propensos a crear riesgos significativos, permitiendo enfoques más ligeros para usos menos sensibles.
Riesgo Inaceptable
Las aplicaciones de IA en esta categoría están prohibidas, excepto por exenciones específicas. Cuando no se aplica ninguna exención, esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y aquellas utilizadas para la puntuación social (clasificar individuos según características personales, estatus socioeconómico o comportamiento). Estas prohibiciones entraron en vigor en febrero de 2025, seis meses después de la entrada en vigor.
Riesgo Alto
Las aplicaciones de IA que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas caen en esta categoría. En particular, se incluyen los sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto sobre Derechos Fundamentales (FRIA, por sus siglas en inglés) antes del despliegue. Una FRIA es una revisión ex ante para identificar y mitigar posibles impactos sobre los derechos fundamentales antes de que se despliegue un sistema de IA. Trabajos anteriores sobre evaluaciones de impacto algorítmico han sugerido que tales herramientas deberían identificar qué individuos y comunidades se ven afectados por un sistema automatizado, describir posibles daños y proporcionar una base para el escrutinio público e institucional de su uso. Los sistemas de alto riesgo deben evaluarse tanto antes de colocarse en el mercado como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos también tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten sus derechos.
Riesgo Limitado
Los sistemas de IA en esta categoría tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye aplicaciones de IA que generan o manipulan imágenes, sonido o videos, como los deepfakes. Estas obligaciones de transparencia se aplican desde agosto de 2026, aunque algunas disposiciones relacionadas con la transparencia de la IA de propósito general entraron en vigor antes.
Riesgo Mínimo
Esta categoría incluye sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales, como ChatGPT, que pueden realizar una amplia gama de tareas. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir con requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos, que requieren más de 10^25 operaciones de punto flotante para entrenarse, deben someterse a una evaluación adicional. Un Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento de la Ley de IA. La participación en el código es voluntaria.
Más allá de las obligaciones básicas de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades supervisoras. Los modelos designados como que plantean riesgo sistémico también deben llevar a cabo evaluaciones de modelos y pruebas adversarias, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados con fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El Reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente con fines militares, de defensa o de seguridad nacional, o a sistemas desarrollados y puestos en servicio únicamente para la investigación científica. Además, la IA utilizada para actividades personales no profesionales queda fuera del ámbito de aplicación. Estas exenciones significan que el desarrollo de IA relacionado con la defensa, como el trabajo de organizaciones como Bhabha Atomic Research Centre, no está sujeto a las obligaciones de la Ley.
Cumplimiento y Gobernanza
La Ley crea un Comité Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Cada Estado miembro debe designar autoridades nacionales competentes para la vigilancia del mercado y la supervisión de los sistemas de IA. La Comisión Europea desempeña un papel central en la supervisión de los modelos de IA de propósito general, incluida la designación de modelos de riesgo sistémico. Los mecanismos de cumplimiento incluyen multas por incumplimiento, que pueden alcanzar hasta 35 millones de euros o el 7% del volumen de negocios anual global para prácticas prohibidas, con límites más bajos para otras violaciones. El alcance extraterritorial significa que los proveedores fuera de la UE, incluidas las principales empresas tecnológicas como OpenAI, Anthropic y Google DeepMind, deben cumplir si ofrecen servicios de IA a usuarios dentro de la UE.
Cronograma de Implementación
La aplicación gradual comenzó con las prohibiciones sobre sistemas de riesgo inaceptable en febrero de 2025. Las reglas de gobernanza y las obligaciones de IA de propósito general, incluido el establecimiento del Comité de IA y el código de práctica, se volvieron aplicables en agosto de 2025. Las obligaciones de transparencia para sistemas de riesgo limitado y la mayoría de los requisitos de sistemas de alto riesgo están programados para aplicarse desde agosto de 2026. Los sistemas de alto riesgo integrados en productos regulados, como dispositivos médicos o vehículos, tienen un cronograma extendido hasta agosto de 2027. Este enfoque escalonado permite a los proveedores y despliegues tiempo para adaptar sus marcos de cumplimiento.
Impacto y Recepción
Los académicos legales han señalado que la Ley enmarca la "IA confiable" como sistemas que pueden mostrar cumplimiento con umbrales de seguridad y riesgo. Según una evaluación inicial del Servicio de Investigación del Parlamento Europeo, la evaluación de impacto de la Comisión se basó en consultas con partes interesadas y una amplia gama de investigaciones existentes al comparar opciones de políticas para este marco basado en el riesgo. El enfoque de la Ley ha influido en los debates globales sobre regulación de IA, con otras jurisdicciones examinando el modelo de la UE. Sin embargo, algunos observadores de la industria han expresado preocupaciones sobre los costos de cumplimiento para proveedores más pequeños, mientras que grupos de la sociedad civil han argumentado a favor de protecciones más sólidas en áreas como la vigilancia biométrica. El código de conducta voluntario para sistemas de riesgo mínimo y el código de práctica de IA de propósito general representan esfuerzos para fomentar mejores prácticas más allá de los requisitos obligatorios.