Las Directrices sobre la Ley de IA de la UE son documentos de orientación oficiales publicados por la Comisión Europea para ayudar a los proveedores, los responsables del despliegue y las autoridades nacionales a aplicar la Ley de Inteligencia Artificial (Ley de IA), el reglamento integral de la Unión Europea para la inteligencia artificial. La propia Ley de IA entró en vigor el 1 de agosto de 2024, con obligaciones que se implementan gradualmente en un período de 6 a 36 meses. Las directrices no son jurídicamente vinculantes, pero interpretan las disposiciones del reglamento, aclaran las clasificaciones de riesgo e ilustran las vías de cumplimiento para las empresas y los organismos públicos que operan dentro de la UE o que prestan servicios a usuarios de la UE.
La Ley de IA establece un marco regulatorio común para la IA en todos los estados miembros de la UE, siguiendo un modelo de seguridad de los productos que asigna deberes a los proveedores de IA y a los usuarios profesionales. Cubre la mayoría de los sistemas de IA en sectores como la salud, la educación, el empleo y la aplicación de la ley, al tiempo que exime a los sistemas utilizados exclusivamente con fines militares, de seguridad nacional, de investigación o no profesionales. Como forma de regulación de productos, no crea derechos individuales, sino que impone obligaciones a las organizaciones. El reglamento puede aplicarse extraterritorialmente a los proveedores fuera de la UE si tienen usuarios dentro de la UE, reflejando el alcance del Reglamento General de Protección de Datos.
Antecedentes e Historia Legislativa
La Comisión Europea propuso por primera vez la Ley de IA el 21 de abril de 2021. El borrador experimentó una revisión significativa después del rápido auge de los sistemas de IA generativa como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco de riesgo original. El Parlamento Europeo aprobó el texto revisado el 13 de marzo de 2024, y el Consejo de la UE lo aprobó por unanimidad el 21 de mayo de 2024. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones que se vuelven aplicables gradualmente en los siguientes 6 a 36 meses. Las directrices se publicaron por etapas a partir de 2025, comenzando con explicaciones prácticas de las categorías de riesgo y las obligaciones para los sistemas de alto riesgo.
La orientación de la Comisión se basa en una evaluación de impacto que se apoyó en consultas a las partes interesadas y en la investigación existente. El Servicio de Estudios del Parlamento Europeo proporcionó una evaluación inicial de las opciones políticas, señalando el desafío de equilibrar la innovación con la protección de los derechos fundamentales. Las directrices pretenden reducir la incertidumbre para las empresas, especialmente las pequeñas y medianas, ofreciendo ejemplos concretos e instrucciones paso a paso para las evaluaciones de conformidad.
Marco de Clasificación de Riesgos
Las directrices detallan los cuatro niveles de riesgo establecidos por la Ley, más una categoría separada para la IA de propósito general. Las aplicaciones que presentan riesgos inaceptables están prohibidas directamente, con exenciones limitadas. Estas incluyen sistemas de IA que manipulan el comportamiento humano, utilizan identificación biométrica remota en tiempo real en espacios públicos o permiten la puntuación social basada en características personales o estatus socioeconómico.
Las aplicaciones de alto riesgo deben cumplir con las obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad antes de su comercialización. Las directrices especifican que las categorías de alto riesgo incluyen la IA utilizada en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley y justicia. Los proveedores deben implementar supervisión humana, mantener documentación técnica y, en algunos casos, realizar una Evaluación de Impacto sobre los Derechos Fundamentales (FRIA, por sus siglas en inglés) antes del despliegue. Una FRIA es una revisión ex ante para identificar y mitigar los posibles impactos sobre los derechos fundamentales, basándose en trabajos anteriores de evaluación de impacto algorítmico que sugerían identificar a las comunidades afectadas, describir los posibles daños y permitir el escrutinio público. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin necesidad de modificar la propia Ley.
Los sistemas de riesgo limitado conllevan únicamente obligaciones de transparencia. Los usuarios deben ser informados cuando interactúan con un sistema de IA, particularmente en aplicaciones que generan o manipulan imágenes, sonido o vídeo, como los deepfakes. Los sistemas de riesgo mínimo, incluidos los videojuegos y los filtros de spam, no están regulados, y los estados miembros no pueden imponer requisitos adicionales debido a las normas de armonización máxima. Las directrices señalan que se espera que la mayoría de las aplicaciones de IA se incluyan en esta categoría, fomentándose un código de conducta voluntario.
Obligaciones de la IA de Propósito General
Las directrices dedican una atención sustancial a la IA de propósito general, una categoría añadida en 2023 para cubrir los modelos fundacionales como los grandes modelos de lenguaje que pueden realizar una amplia gama de tareas. Los proveedores de dichos modelos deben publicar un resumen de los datos de entrenamiento, adoptar una política de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades de supervisión. Los modelos de código abierto tienen requisitos reducidos, mientras que los modelos de código cerrado deben cumplir estándares de transparencia más amplios.
Los modelos de alto impacto que presentan riesgos sistémicos, definidos como aquellos que requieren más de 1025 operaciones de coma flotante para su entrenamiento, deben someterse a evaluaciones adicionales. Estas incluyen evaluaciones de modelos, pruebas adversariales, evaluación de riesgos de sesgo y fallos de seguridad, notificación de incidentes graves y medidas de ciberseguridad adecuadas. El Código de Buenas Prácticas de la IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección. La participación en el código es voluntaria, pero las directrices aclaran que seguir el código puede ayudar a demostrar el cumplimiento.
Evaluaciones de Conformidad y Ejecución
Las directrices explican los procedimientos de evaluación de conformidad que los proveedores de IA de alto riesgo deben seguir. Estas evaluaciones verifican que los sistemas cumplen con los requisitos de la Ley en materia de gobernanza de datos, documentación técnica, trazabilidad, supervisión humana, precisión y robustez. Los proveedores deben evaluar los sistemas tanto antes de su comercialización como a lo largo de su ciclo de vida, y las actualizaciones pueden desencadenar una reevaluación cuando sea necesario.
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar una aplicación coherente en todos los estados miembros. Las autoridades nacionales de supervisión son responsables de la vigilancia del mercado, la gestión de quejas y la imposición de sanciones por incumplimiento. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten a sus derechos. Las directrices recomiendan que las autoridades coordinen a través de la Junta para evitar la fragmentación y garantizar una aplicación uniforme.
Orientación Práctica para la Implementación
Para las organizaciones que despliegan IA, las directrices ofrecen pasos prácticos para determinar si sus sistemas están dentro del ámbito de aplicación de la Ley y qué categoría de riesgo les corresponde. Aconsejan realizar un cribado preliminar para comprobar las exenciones y, a continuación, mapear las funciones del sistema con los criterios de riesgo. Para los sistemas de alto riesgo, los proveedores deben establecer un sistema de gestión de calidad, mantener registros y garantizar que existen mecanismos de supervisión humana.
Las directrices también abordan la interacción entre la Ley de IA y otra legislación de la UE, particularmente el Reglamento General de Protección de Datos. Aclaran que la Ley de IA no anula las normas de protección de datos, sino que las complementa, con obligaciones superpuestas para los sistemas que procesan datos personales. Los responsables del despliegue deben asegurarse de que su uso de la IA cumple con ambos marcos, y las directrices proporcionan ejemplos de cómo conciliar los requisitos en la práctica.
Consideraciones Específicas por Sector
Las directrices incluyen anexos con ejemplos específicos por sector, que cubren áreas como la salud, la educación, la contratación y la aplicación de la ley. En el ámbito de la salud, los sistemas de IA utilizados para el diagnóstico o las recomendaciones de tratamiento suelen ser de alto riesgo, lo que requiere pruebas rigurosas y validación clínica. En la educación, los sistemas que evalúan el rendimiento de los estudiantes o determinan el acceso a oportunidades educativas están sujetos a obligaciones de alto riesgo. Las herramientas de contratación que seleccionan o clasifican candidatos también son de alto riesgo, con requisitos de transparencia y no discriminación.
Las aplicaciones de aplicación de la ley reciben una atención particular, dada la naturaleza sensible de su uso. Las directrices reiteran la prohibición de la identificación biométrica remota en tiempo real en espacios públicos, con excepciones limitadas para delitos graves específicos y con autorización judicial previa. También aclaran que los sistemas de IA utilizados para la predicción de delitos o la evaluación de riesgos deben cumplir con las obligaciones de alto riesgo, incluida la supervisión humana y las evaluaciones de impacto sobre los derechos fundamentales.
Desarrollos Futuros y Revisiones
Las directrices están destinadas a evolucionar junto con la tecnología y la implementación gradual de la Ley. La Comisión ha indicado que emitirá orientación adicional a medida que nuevas disposiciones sean aplicables, particularmente para la IA de propósito general y los sistemas de alto riesgo. El código de conducta voluntario para los sistemas de riesgo mínimo puede actualizarse en función de los comentarios de las partes interesadas. Las directrices también señalan que la lista de aplicaciones de alto riesgo puede ampliarse mediante actos delegados, y la Comisión supervisará los avances tecnológicos, como los avances en aprendizaje automático y aprendizaje profundo, para determinar si son necesarios ajustes regulatorios.
A partir de 2025, las directrices siguen siendo un documento vivo, y la Comisión anima a la industria, la sociedad civil y las autoridades nacionales a aportar comentarios. El objetivo es apoyar la innovación garantizando al mismo tiempo que los sistemas de IA desplegados en la UE respeten los derechos fundamentales y las normas de seguridad. Los proveedores de fuera de la UE, incluidas las principales empresas tecnológicas, deben familiarizarse con estas directrices si ofrecen servicios a usuarios de la UE, ya que el alcance extraterritorial de la Ley se les aplica.