El Código de Conducta de IA de Propósito General es un documento normativo preliminar publicado por la Comisión Europea en 2025, destinado a operacionalizar las obligaciones impuestas a los proveedores de modelos de inteligencia artificial de propósito general (GPAI) bajo la Ley de IA de la UE. El código traduce los requisitos legislativos de alto nivel en medidas concretas y accionables para las empresas que desarrollan e implementan modelos fundacionales, incluidos los grandes modelos de lenguaje y otros sistemas de IA generativa. Representa un paso clave en el esfuerzo de la UE por establecer un estándar global para la gobernanza de la IA, equilibrando la innovación con la protección de los derechos fundamentales.
El código se desarrolló mediante un proceso de múltiples partes interesadas que involucró a representantes de la industria, organizaciones de la sociedad civil, el mundo académico y expertos independientes. Aborda cuatro pilares principales: transparencia y cumplimiento de derechos de autor, identificación y evaluación de riesgos, gestión interna de riesgos y evaluación y mitigación de riesgos sistémicos. El borrador se publicó para consulta pública, y se espera una versión final después de incorporar comentarios de las partes interesadas y de la Oficina Europea de IA.
Antecedentes y Base Legal
La Ley de IA de la UE, adoptada formalmente en 2024, introdujo un marco regulatorio basado en riesgos para los sistemas de IA. Los modelos GPAI, definidos como aquellos entrenados con datos a gran escala y capaces de realizar una amplia gama de tareas, están sujetos a obligaciones específicas bajo los Artículos 51-56 de la Ley. Estas incluyen proporcionar documentación técnica, publicar resúmenes de los datos de entrenamiento e implementar políticas para respetar la ley de derechos de autor de la UE. Para los modelos con riesgo sistémico - aquellos con alta capacidad computacional o impacto significativo - se aplican requisitos adicionales, como pruebas adversariales y notificación de incidentes.
El Código de Conducta no es un instrumento legal independiente, sino un documento de orientación que la Comisión Europea pretende utilizar como punto de referencia para el cumplimiento. Los proveedores que se adhieran al código se presumen en conformidad con las disposiciones de GPAI de la Ley de IA. Este enfoque de "derecho blando" busca proporcionar claridad y flexibilidad mientras la Comisión desarrolla estándares armonizados a través de organizaciones europeas de estandarización.
Proceso de Desarrollo
En noviembre de 2024, la Oficina Europea de IA lanzó un proceso de consulta para redactar el código. Se establecieron cuatro grupos de trabajo, cada uno centrado en un pilar específico. Los grupos incluyeron representantes de grandes empresas tecnológicas como OpenAI, Anthropic, Google DeepMind y Amazon Web Services, así como startups europeas, grupos de la sociedad civil como Access Now e instituciones académicas como MIT CSAIL y Stanford AI Lab. El proceso fue presidido por expertos independientes, incluido el informático Michael I. Jordan y la jurista Marietje Schaake.
Los grupos de trabajo se reunieron virtualmente y en persona durante varios meses, produciendo borradores iterativos. El primer borrador completo se publicó el 14 de abril de 2025, seguido de un período de comentarios públicos de seis semanas. Se recibieron más de 500 presentaciones de 40 países, lo que refleja el interés global en la regulación de IA de la UE. La versión final está programada para su adopción a finales de 2025, con un período de transición para que los proveedores alineen sus prácticas.
Pilar Uno: Transparencia y Derechos de Autor
El primer pilar requiere que los proveedores de GPAI mantengan documentación técnica detallada, incluida la arquitectura del modelo, las fuentes de datos de entrenamiento y los recursos computacionales utilizados. Los proveedores deben publicar un resumen suficientemente detallado del contenido de entrenamiento, según lo exige el Artículo 53(1)(a) de la Ley de IA. El código especifica que este resumen debe incluir información sobre categorías de datos, idiomas y la procedencia de los conjuntos de datos, respetando los secretos comerciales.
El cumplimiento de los derechos de autor es una preocupación central. El código obliga a los proveedores a implementar medidas de última generación para identificar y respetar las reservas de derechos expresadas por los titulares de derechos de autor, como el uso de protocolos de exclusión legibles por máquina. También requiere que los proveedores documenten sus políticas para cumplir con la Directiva de la UE sobre Derechos de Autor en el Mercado Único Digital, particularmente en lo que respecta a las excepciones de minería de texto y datos. El borrador sugiere que los proveedores deben mantener registros de cualquier queja relacionada con derechos de autor y sus resoluciones.
Pilar Dos: Identificación y Evaluación de Riesgos
El segundo pilar se centra en los procesos internos para identificar y evaluar los riesgos asociados con los modelos GPAI. Los proveedores deben establecer un sistema de gestión de riesgos que cubra todo el ciclo de vida del modelo, desde la recopilación de datos y el entrenamiento hasta el despliegue y el monitoreo posterior a la comercialización. El código recomienda un enfoque estructurado basado en marcos existentes como el Marco de Gestión de Riesgos de IA del NIST, adaptado al contexto de la UE.
Las categorías de riesgo específicas incluyen sesgo y discriminación, violaciones de privacidad, fallos de seguridad y posible uso indebido para desinformación o ciberataques. Se espera que los proveedores realicen ejercicios de red-teaming y pruebas adversariales, particularmente para modelos de alta capacidad. El código también requiere documentación de las metodologías de evaluación de riesgos, incluidos los métricas utilizadas para medir el sesgo (por ejemplo, paridad demográfica) y la robustez (por ejemplo, rendimiento bajo cambio de distribución).
Pilar Tres: Gestión Interna de Riesgos
El tercer pilar detalla las medidas de gobernanza y operativas. Los proveedores deben designar a una persona o equipo responsable del cumplimiento de la IA, con líneas claras de rendición de cuentas. El código recomienda establecer un comité de revisión interna que incluya perspectivas diversas, incluidos especialistas en ética y expertos legales, para supervisar las decisiones de riesgo. También se exigen programas de capacitación para el personal sobre seguridad y ética de la IA.
Las medidas técnicas incluyen implementar Model Pruning y otras técnicas de optimización para reducir comportamientos no deseados, así como mantener control de versiones y pistas de auditoría para las actualizaciones del modelo. Los proveedores también deben establecer protocolos de respuesta a incidentes, incluidos procedimientos para informar incidentes graves a la Oficina Europea de IA dentro de los 15 días. El código enfatiza la importancia de Data Augmentation y Curriculum Learning como métodos para mejorar la robustez del modelo y reducir los modos de fallo conocidos.
Pilar Cuatro: Evaluación y Mitigación de Riesgos Sistémicos
Para los modelos considerados de riesgo sistémico - definidos como aquellos que requieren más de 10^25 operaciones de punto flotante por ejecución de entrenamiento - el código impone obligaciones adicionales. Los proveedores deben realizar evaluaciones integrales utilizando puntos de referencia estandarizados y pruebas de estrés, incluidas evaluaciones de capacidades ciberofensivas, conocimiento de armas químicas o biológicas y potencial de replicación autónoma. El borrador hace referencia a metodologías de BAIR (Berkeley AI Research) y University of Oxford sobre evaluación de riesgos de IA fronteriza.
Las medidas de mitigación incluyen implementar Reinforcement Learning from AI Feedback (RLAIF) (aprendizaje por refuerzo a partir de retroalimentación de IA) y Gradient Clipping para estabilizar el entrenamiento, así como desplegar Top-K Sampling y Temperature Scaling para controlar el comportamiento de generación. Los proveedores también deben comprometerse a compartir hallazgos de seguridad con la Oficina Europea de IA y, cuando corresponda, con otros proveedores. El código fomenta la participación en iniciativas conjuntas de investigación de seguridad, como las lideradas por Anthropic y Google DeepMind.
Respuesta de la Industria y Críticas
El borrador del código ha recibido reacciones mixtas. Las grandes empresas tecnológicas generalmente acogieron con satisfacción la claridad que proporciona, pero expresaron preocupaciones sobre los costos de cumplimiento y el potencial de sobre-regulación. OpenAI y Anthropic se comprometieron públicamente a cumplir con los requisitos del código, mientras que Google Cloud y Microsoft Azure señalaron la necesidad de alineación internacional para evitar la fragmentación. Las startups europeas, como AI21 Labs y Mistral AI, argumentaron que el énfasis del código en la documentación podría perjudicar a los actores más pequeños con recursos limitados.
Las organizaciones de la sociedad civil elogiaron el enfoque en la transparencia y los derechos de autor, pero criticaron la falta de mecanismos de aplicación vinculantes. Algunos académicos, incluidos Melanie Mitchell y Aleksander Madry, cuestionaron la viabilidad de las evaluaciones de riesgo propuestas, señalando que los métodos de evaluación actuales son insuficientes para predecir capacidades emergentes. El OpenPanel, un órgano asesor independiente, recomendó disposiciones más sólidas para la divulgación pública de los datos de entrenamiento y auditorías de terceros más rigurosas.
Próximos Pasos y Cronograma de Implementación
La Comisión Europea planea finalizar el código para diciembre de 2025, incorporando comentarios de la consulta. Una vez adoptado, el código entrará en vigor el 2 de agosto de 2026, coincidiendo con la fecha de aplicación general de la Ley de IA para las obligaciones de GPAI. Los proveedores tendrán un período de transición de seis meses para alinear sus prácticas, y la Oficina Europea de IA realizará verificaciones de cumplimiento a partir de principios de 2027.
Se espera que el código influya en la gobernanza de la IA más allá de la UE, ya que otras jurisdicciones, incluidos Canadá y Japón, han expresado interés en adoptar marcos similares. La comunidad de Artificial intelligence seguirá de cerca su implementación, particularmente en cuanto a cómo se aplican los umbrales de riesgo sistémico y si el código logra equilibrar la innovación con la seguridad pública. A mediados de 2025, el texto final sigue sujeto a cambios, y las partes interesadas continúan participando en el proceso de elaboración de normas.