La Ley de Inteligencia Artificial (AI Act) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial (IA) dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o de uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado y mínimo - más una categoría adicional para la IA de propósito general. Para la IA de propósito general, se imponen requisitos de transparencia, con requisitos reducidos para los modelos de código abierto, y evaluaciones adicionales para los modelos de alta capacidad. La Ley también crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Historia Legislativa
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El borrador fue revisado para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. El Parlamento Europeo aprobó la Ley el 13 de marzo de 2024, y el Consejo de la UE la aprobó por unanimidad el 21 de mayo de 2024. El reglamento entró en vigor el 1 de agosto de 2024, con una implementación por fases: las prohibiciones sobre sistemas de riesgo inaceptable se aplicaron desde febrero de 2025, las obligaciones de IA de propósito general desde agosto de 2025, y la mayoría de las disposiciones de alto riesgo desde agosto de 2026.
Categorías de Riesgo
El esquema basado en riesgo de la Ley sigue un modelo de seguridad de productos en el que las obligaciones regulatorias se asignan a proveedores y despliegues de sistemas de IA, volviéndose más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Esta estructura garantiza que la supervisión se centre en sistemas que probablemente creen riesgos significativos, mientras permite enfoques más ligeros para usos menos sensibles.
Riesgo Inaceptable
Las aplicaciones de IA en esta categoría están prohibidas, excepto por exenciones específicas. Cuando no se aplica ninguna exención, esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y las utilizadas para la puntuación social (clasificar individuos según características personales, estatus socioeconómico o comportamiento).
Riesgo Alto
Las aplicaciones de IA de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales. En particular, los sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia caen en esta categoría. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto sobre Derechos Fundamentales (FRIA) antes del despliegue. Una FRIA es una revisión ex ante para identificar y mitigar impactos potenciales sobre los derechos fundamentales. Trabajos anteriores sobre evaluaciones de impacto algorítmico sugirieron que tales herramientas deberían identificar a individuos y comunidades afectados, describir daños posibles y proporcionar una base para el escrutinio público e institucional. Los sistemas de alto riesgo deben evaluarse tanto antes de su colocación en el mercado como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten a sus derechos.
Riesgo Limitado
Los sistemas de IA en esta categoría tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esto incluye aplicaciones de IA que generan o manipulan imágenes, sonido o videos, como los deepfakes.
Riesgo Mínimo
Esta categoría incluye sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los estados miembros no pueden imponer regulaciones adicionales debido a reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
Disposiciones sobre IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales que pueden realizar una amplia gama de tareas, como modelos de lenguaje grandes como ChatGPT. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos (que requieren más de 10^25 operaciones de coma flotante para entrenarse) deben someterse a una evaluación adicional.
Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento de la Ley de IA. La participación en el código es voluntaria.
Más allá de los deberes básicos de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a proveedores posteriores y autoridades supervisoras. Los modelos designados como que plantean riesgo sistémico también deben llevar a cabo evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados con fines militares o de seguridad nacional o investigación y desarrollo científico puro. El reglamento no se aplica donde los sistemas de IA se utilizan exclusivamente con fines militares, de defensa o de seguridad nacional, ni a sistemas desarrollados y puestos en servicio únicamente para investigación científica. El uso no profesional también está exento, lo que significa que las aplicaciones personales de IA no están cubiertas.
Cumplimiento y Extraterritorialidad
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el GDPR, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE. Esto significa que las empresas con sede en Estados Unidos, Asia u otros lugares deben cumplir cuando ofrecen servicios de IA a residentes de la UE. Las autoridades supervisoras nacionales en cada estado miembro son responsables del cumplimiento, con sanciones por incumplimiento que alcanzan hasta el 7% de la facturación anual global para prácticas prohibidas, aunque las cifras específicas no se detallan en la fuente.
Impacto en el Desarrollo de la IA
Las reglas de IA de propósito general de la Ley tienen implicaciones significativas para los desarrolladores de sistemas de IA generativa. Por ejemplo, OpenAI, Anthropic y Google DeepMind deben garantizar que sus modelos cumplan con los requisitos de transparencia y documentación cuando se desplieguen en la UE. Los modelos de código abierto, como los de Meta (no en la lista proporcionada, pero implícito), se benefician de obligaciones reducidas, fomentando la transparencia en el desarrollo de modelos. La Ley también influye en los estándares globales, ya que otras jurisdicciones pueden adoptar enfoques basados en riesgo similares. La implementación por fases da tiempo a los proveedores para adaptarse, pero las evaluaciones de riesgo sistémico para modelos de alta capacidad podrían afectar el ritmo de la investigación y el despliegue de la IA.