La Ley de Inteligencia Artificial (Ley de IA) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan la IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado y mínimo - más una categoría adicional para la IA de propósito general. La categoría de IA de propósito general se añadió en 2023 para abordar el auge de los sistemas de IA generativa como ChatGPT, cuyas amplias capacidades no encajaban en el marco principal. Propuesta por la Comisión Europea el 21 de abril de 2021, la Ley fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024.
Categorías de Riesgo
El esquema basado en riesgo de la Ley sigue un modelo de seguridad de productos en el que las obligaciones regulatorias se asignan a los proveedores y despliegues de sistemas de IA, volviéndose más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Las aplicaciones con riesgos inaceptables están prohibidas, excepto por exenciones específicas. Esto incluye la IA que manipula el comportamiento humano, la identificación biométrica remota en tiempo real en espacios públicos y la puntuación social. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia, mientras que las aplicaciones de riesgo mínimo no están reguladas.
Obligaciones de la IA de Propósito General
Para los modelos de IA de propósito general, la Ley impone requisitos de transparencia, con requisitos reducidos para los modelos de código abierto y evaluaciones adicionales para los modelos de alta capacidad. Los proveedores deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades supervisoras. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir con requisitos de transparencia más amplios.
Modelos de Riesgo Sistémico
Los modelos de alto impacto que plantean riesgos sistémicos - definidos como aquellos que requieren más de 10^25 operaciones de coma flotante para entrenarse - deben someterse a una evaluación adicional. Estos modelos deben realizar evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como el sesgo y las fallas de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad. El umbral tiene como objetivo capturar los modelos de lenguaje grandes más potentes y otros modelos fundacionales que podrían tener un impacto social generalizado.
Código de Práctica
Un Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento de la Ley de IA. La participación en el código es voluntaria. El código proporciona orientación práctica para los proveedores, particularmente para las empresas más pequeñas y los desarrolladores de código abierto, sobre cómo cumplir con sus obligaciones bajo el reglamento.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados con fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente con fines militares, de defensa o de seguridad nacional, ni a los sistemas desarrollados y puestos en servicio únicamente para esos fines. El uso no profesional y los fines de investigación también están excluidos del ámbito de aplicación.
Cumplimiento y Gobernanza
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE. Esto significa que empresas como OpenAI, Anthropic y Google DeepMind deben cumplir con los requisitos de la Ley para los modelos ofrecidos a los usuarios de la UE, independientemente de dónde esté ubicado el proveedor.
Cronograma de Implementación
El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones implementadas gradualmente durante 6 a 36 meses. La implementación gradual permite a los proveedores tiempo para adaptar sus sistemas y documentación. El enfoque basado en riesgo de la Ley significa que la mayoría de las aplicaciones de IA, como los videojuegos o los filtros de spam, caen en la categoría de riesgo mínimo y permanecen sin regular, mientras que las aplicaciones de alto riesgo enfrentan los requisitos más estrictos.
Relación con la Legislación Existente
Los Estados miembros no pueden imponer regulaciones adicionales a los sistemas de IA de riesgo mínimo debido a las reglas de armonización máxima, y las leyes nacionales existentes sobre el diseño o uso de dichos sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario para las aplicaciones de riesgo mínimo. La estructura de la Ley está diseñada para garantizar que la supervisión se centre en los sistemas que probablemente creen riesgos significativos, permitiendo enfoques más ligeros para usos considerados menos sensibles. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por la IA de alto riesgo que afecten sus derechos.
Contexto Más Amplio
La Ley de IA representa un desarrollo regulatorio significativo para el campo de la inteligencia artificial, afectando cómo se desarrollan y despliegan los modelos de aprendizaje automático en la UE. Las disposiciones de IA de propósito general se dirigen específicamente a los sistemas de IA generativa construidos sobre arquitecturas de transformador, que se han generalizado desde la introducción de modelos como ChatGPT. El alcance extraterritorial de la Ley significa que su influencia se extiende más allá de las fronteras de la UE, potencialmente dando forma a los estándares globales para la gobernanza de la IA y las prácticas de seguridad de modelos.