La Ley de Inteligencia Artificial (AI Act) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan la IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado, mínimo - más una categoría adicional para la IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia. Las aplicaciones de riesgo mínimo no están reguladas. Para la IA de propósito general, se imponen requisitos de transparencia, con requisitos reducidos para los modelos de código abierto, y evaluaciones adicionales para los modelos de alta capacidad. La Ley también crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Historial Legislativo
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El borrador fue revisado para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. El Parlamento Europeo aprobó la Ley el 13 de marzo de 2024, y el Consejo de la UE la aprobó por unanimidad el 21 de mayo de 2024. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones implementadas gradualmente durante los siguientes 6 a 36 meses.
Categorías de Riesgo
La Ley de IA adopta un enfoque basado en el riesgo, asignando obligaciones regulatorias a los proveedores y despliegues de sistemas de IA. Estas obligaciones se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Esta estructura garantiza que la supervisión se centre en los sistemas que probablemente creen riesgos significativos, mientras permite enfoques más ligeros para usos considerados menos sensibles.
Riesgo Inaceptable
Las aplicaciones de IA en esta categoría están prohibidas, excepto por exenciones específicas. Cuando no se aplica ninguna exención, esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y aquellas utilizadas para la puntuación social (clasificar individuos según sus características personales, estatus socioeconómico o comportamiento).
Alto Riesgo
Las aplicaciones de IA que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas caen en esta categoría. En particular, se incluyen los sistemas de IA utilizados en salud, educación, reclutamiento, gestión de infraestructuras críticas, aplicación de la ley o justicia. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto sobre Derechos Fundamentales (FRIA) antes del despliegue. Una FRIA es una revisión ex ante para identificar y mitigar los impactos potenciales sobre los derechos fundamentales antes de que se despliegue un sistema de IA. Trabajos anteriores sobre evaluaciones de impacto algorítmico han sugerido que tales herramientas deberían identificar qué individuos y comunidades se ven afectados por un sistema automatizado, describir posibles daños y proporcionar una base para el escrutinio público e institucional de su uso. Los sistemas de alto riesgo deben evaluarse tanto antes de ser colocados en el mercado como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por la IA de alto riesgo que afecten sus derechos.
Riesgo Limitado
Los sistemas de IA en esta categoría tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye aplicaciones de IA que generan o manipulan imágenes, sonido o videos, como los deepfakes.
Riesgo Mínimo
Esta categoría incluye sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
Obligaciones de la IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales (por ejemplo, ChatGPT) que pueden realizar una amplia gama de tareas. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos (que requieren más de 1025 operaciones de punto flotante para entrenarse) deben someterse a una evaluación adicional.
Más allá de estos deberes básicos de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades supervisoras. Los modelos designados como que plantean riesgo sistémico también deben llevar a cabo evaluaciones de modelos y pruebas adversarias, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Un Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento de la Ley de IA. La participación en el código es voluntaria.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados para fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El Reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente para fines militares, de defensa o de seguridad nacional, ni a los sistemas desarrollados y puestos en servicio únicamente para la investigación científica.
Implementación y Cumplimiento
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. La implementación gradual significa que diferentes obligaciones se vuelven aplicables en diferentes momentos durante los 6 a 36 meses siguientes a la entrada en vigor. El alcance extraterritorial refleja el RGPD, aplicándose a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Recepción y Análisis
El esquema basado en el riesgo sigue un modelo de seguridad de productos, enmarcando la "IA confiable" como sistemas que pueden demostrar cumplimiento con umbrales de seguridad y riesgo. Según una evaluación inicial del Servicio de Investigación del Parlamento Europeo, la evaluación de impacto de la Comisión se basó en consultas a las partes interesadas y una amplia gama de investigaciones existentes al comparar opciones de política para este marco basado en el riesgo.