La Ley de Inteligencia Artificial (Ley de IA) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial (IA) en toda la UE. Entró en vigor el 1 de agosto de 2024, con la mayoría de las disposiciones aplicándose gradualmente durante los siguientes 6 a 36 meses. La Ley introduce una clasificación basada en el riesgo, imponiendo obligaciones más estrictas a los sistemas de IA que presentan un mayor daño potencial para la salud, la seguridad o los derechos fundamentales. Regula principalmente a los proveedores y usuarios de sistemas de IA en contextos profesionales, en lugar de crear derechos individuales.
Propuesta por la Comisión Europea el 21 de abril de 2021, la Ley fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El texto final se revisó para abordar el rápido auge de los sistemas de IA generativa como ChatGPT, que introdujeron capacidades de propósito general no previstas en el marco original.
Categorías de Riesgo
La Ley divide las aplicaciones de IA no exentas en cuatro niveles de riesgo, más una categoría separada para la IA de propósito general.
Riesgo inaceptable: Estas aplicaciones de IA están prohibidas, excepto por exenciones específicas. Las prohibiciones cubren sistemas que manipulan el comportamiento humano, aquellos utilizados para la puntuación social (clasificar individuos según características personales, estatus socioeconómico o comportamiento) y la identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos.
Riesgo alto: Los sistemas de IA que representan amenazas significativas para la salud, la seguridad o los derechos fundamentales cuando se utilizan en sectores críticos como la salud, la educación, la contratación, la gestión de infraestructuras críticas, la aplicación de la ley o la justicia. Estos sistemas deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad antes de su comercialización y durante todo su ciclo de vida. Algunos usos de alto riesgo requieren una Evaluación de Impacto sobre los Derechos Fundamentales (EIDF) antes del despliegue - una revisión ex ante para identificar y mitigar los impactos sobre los derechos fundamentales. Los ciudadanos pueden presentar quejas sobre los sistemas de IA de alto riesgo y recibir explicaciones sobre las decisiones que afectan sus derechos.
Riesgo limitado: Los sistemas de IA en esta categoría conllevan obligaciones de transparencia, requiriendo que se informe a los usuarios cuando interactúan con IA. Esto se aplica a sistemas que generan o manipulan imágenes, sonido o video, como los deepfakes.
Riesgo mínimo: La mayoría de las aplicaciones de IA, incluidos los videojuegos y los filtros de spam, se encuentran aquí. No están reguladas, y los Estados miembros no pueden imponer reglas adicionales debido a la armonización máxima. Se sugiere un código de conducta voluntario.
El enfoque basado en el riesgo sigue un modelo de seguridad de productos donde los deberes aumentan con el impacto potencial. Los estudiosos del derecho señalan que la Ley enmarca la "IA confiable" como sistemas que demuestran cumplimiento con estos umbrales de seguridad.
IA de Propósito General
Añadida en 2023, esta categoría cubre modelos fundacionales capaces de realizar una amplia gama de tareas. Los modelos de código abierto con pesos disponibles públicamente deben publicar un resumen de datos de entrenamiento y una política de derechos de autor. Los modelos de código cerrado enfrentan requisitos de transparencia más amplios. Los modelos de alto impacto que presentan riesgo sistémico - que requieren más de 10^25 operaciones de punto flotante para entrenarse - deben someterse a evaluaciones adicionales, incluyendo pruebas de modelos y pruebas adversariales. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, proporciona orientación voluntaria sobre transparencia, derechos de autor y seguridad.
Exenciones
Los artículos 2.3 y 2.6 eximen la IA utilizada para fines militares, de seguridad nacional o de investigación científica pura. El Reglamento no se aplica a sistemas utilizados exclusivamente para fines militares, de defensa o de seguridad nacional, ni a aquellos desarrollados únicamente para investigación y desarrollo.
Cumplimiento y Gobernanza
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación entre las autoridades nacionales y garantizar un cumplimiento consistente. Al igual que el RGPD, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Cronograma de Implementación
El reglamento entró en vigor el 1 de agosto de 2024, pero las disposiciones se implementan gradualmente durante 6 a 36 meses. Los plazos tempranos incluyen prohibiciones sobre aplicaciones de riesgo inaceptable para febrero de 2025, obligaciones de IA de propósito general para agosto de 2025 y requisitos para sistemas de alto riesgo para agosto de 2026, con obligaciones adicionales para ciertos usos de alto riesgo para 2027. A finales de 2025, la Comisión Europea ha emitido orientación y abierto procesos de consulta para apoyar la implementación.
Impacto en el Ecosistema de IA
El alcance extraterritorial de la Ley significa que empresas como OpenAI, Anthropic, Google DeepMind y otras que ofrecen servicios de IA a usuarios de la UE deben cumplir, independientemente de su sede. La clasificación de sistemas basada en el riesgo ha llevado a los desarrolladores a invertir en documentación, evaluaciones de modelos y medidas de transparencia. Por ejemplo, los proveedores de modelos de lenguaje grandes como ChatGPT ahora publican resúmenes de datos de entrenamiento y cumplen con políticas de derechos de autor. El código de prácticas voluntario para la IA de propósito general, publicado en julio de 2025, ha sido respaldado por varios proveedores importantes, señalando un cambio hacia la autorregulación dentro de un marco legal.
Las disposiciones de la Ley también afectan aplicaciones de aprendizaje automático, aprendizaje profundo y redes neuronales en todos los sectores. Los usos de alto riesgo en salud y contratación deben someterse a evaluaciones de conformidad, lo que potencialmente ralentiza el despliegue pero busca generar confianza pública. La interacción con la investigación y el desarrollo ha sido debatida, ya que la exención para la investigación científica cubre el trabajo no comercial, pero los sistemas desplegados aún deben cumplir. El diseño de la Ley como regulación de productos significa que complementa las leyes sectoriales existentes, como las normas de protección de datos, sin crear derechos individuales directos.
Críticas y Desafíos
Los grupos industriales han expresado preocupaciones de que la complejidad de la clasificación de riesgos y las cargas de cumplimiento pueden ralentizar la innovación, particularmente para las pequeñas y medianas empresas. Algunos académicos argumentan que el requisito de EIDF carece de estándares claros, lo que potencialmente lleva a una implementación inconsistente. El cumplimiento sigue siendo un desafío debido a la necesidad de acción coordinada entre las autoridades nacionales en términos prácticos. La Ley también enfrenta desafíos legales de entidades que afirman que ciertas disposiciones infringen derechos fundamentales, pero a mediados de 2025, no se han emitido fallos importantes.
A pesar de estos desafíos, la Ley de IA establece un precedente global, influyendo en esfuerzos legislativos similares en otras jurisdicciones, como Estados Unidos y Japón, y dando forma a debates internacionales sobre seguridad de la IA. Su enfoque gradual da tiempo a las partes interesadas para adaptarse, pero el impacto completo solo se conocerá a medida que las disposiciones individuales se vuelvan aplicables en los próximos años.
Conclusión
La Ley de IA de la UE representa un intento histórico de regular la IA de manera integral y basada en el riesgo. Al establecer categorías y obligaciones claras, busca equilibrar la innovación con la protección de la salud, la seguridad y los derechos fundamentales. Su entrada en vigor marca el comienzo de un período de transición donde tanto proveedores como usuarios deben implementar medidas de cumplimiento. El éxito de la Ley dependerá de una gobernanza efectiva, la cooperación internacional y la capacidad de adaptarse a los rápidos cambios tecnológicos. A medida que el marco se desarrolla, es probable que influya en la regulación de la IA en todo el mundo, estableciendo un punto de referencia para el desarrollo de IA confiable.