La Ley de Inteligencia Artificial (Ley de IA) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan la IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, creando cuatro niveles - inaceptable, alto, limitado y mínimo - más una categoría adicional para la IA de propósito general. Este esquema basado en el riesgo sigue un modelo de seguridad de productos en el que las obligaciones regulatorias se asignan a los proveedores y despliegues de sistemas de IA, y las obligaciones se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. La estructura tiene como objetivo centrar la supervisión en los sistemas que probablemente creen riesgos significativos, permitiendo enfoques más ligeros para usos menos sensibles.
Historial legislativo
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El Parlamento Europeo la aprobó el 13 de marzo de 2024, y el Consejo de la UE la aprobó por unanimidad el 21 de mayo de 2024. Durante el proceso legislativo, el borrador se revisó para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. Esta revisión añadió la categoría de IA de propósito general en 2023, cubriendo modelos fundacionales que pueden realizar una amplia gama de tareas.
La Ley también crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Como el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Categorías de riesgo
Riesgo inaceptable
Las aplicaciones de IA en esta categoría están prohibidas, excepto por exenciones específicas. Cuando no se aplica ninguna exención, esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y aquellas utilizadas para la puntuación social - clasificando a individuos según características personales, estatus socioeconómico o comportamiento.
Riesgo alto
Las aplicaciones de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas. En particular, los sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia caen en esta categoría. Estos sistemas están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad. En algunos casos, requieren una Evaluación de Impacto sobre los Derechos Fundamentales (FRIA) antes del despliegue - una revisión ex ante para identificar y mitigar los impactos potenciales sobre los derechos fundamentales. Deben evaluarse tanto antes de ser colocados en el mercado como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten a sus derechos.
Riesgo limitado
Los sistemas de IA de riesgo limitado tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye aplicaciones de IA que generan o manipulan imágenes, sonido o vídeos, como los deepfakes.
Riesgo mínimo
Las aplicaciones de riesgo mínimo incluyen sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
IA de propósito general
La categoría de IA de propósito general, añadida en 2023, incluye modelos fundacionales que pueden realizar una amplia gama de tareas. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor. Los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos - que requieren más de 1025 operaciones de coma flotante para entrenarse - deben someterse a una evaluación adicional.
Más allá de las obligaciones básicas de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades de supervisión. Los modelos designados como que plantean riesgo sistémico también deben llevar a cabo evaluaciones de modelos y pruebas adversarias, evaluar y mitigar riesgos como el sesgo y las fallas de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Un Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación en el código es voluntaria.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados para fines militares o de seguridad nacional o investigación y desarrollo científico puro. El reglamento no se aplica donde los sistemas de IA se utilizan exclusivamente para fines militares, de defensa o de seguridad nacional, o a sistemas desarrollados y puestos en servicio únicamente para esos fines.
Cronograma de implementación
El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones que se implementan gradualmente durante 6 a 36 meses. Este enfoque escalonado permite a los proveedores y despliegues tiempo para adaptarse a las nuevas obligaciones. La Junta Europea de Inteligencia Artificial apoya la cooperación nacional y la aplicación consistente en todos los estados miembros.
Impacto e interpretación
Algunos académicos legales argumentan que, en la práctica, la Ley enmarca la "IA confiable" como sistemas que pueden mostrar cumplimiento con los umbrales de seguridad y riesgo. Según una evaluación inicial del Servicio de Investigación del Parlamento Europeo, la evaluación de impacto de la Comisión se basó en consultas con partes interesadas y una amplia gama de investigaciones existentes al comparar opciones políticas para el marco basado en el riesgo. La aplicación extraterritorial significa que los proveedores no pertenecientes a la UE con usuarios en la UE también deben cumplir, similar al alcance del Reglamento General de Protección de Datos.
Conceptos relacionados
El enfoque basado en el riesgo de la Ley de IA se relaciona con desarrollos más amplios en la gobernanza de la inteligencia artificial. Sus disposiciones sobre IA de propósito general se cruzan con tecnologías como los grandes modelos de lenguaje y la IA generativa. Los requisitos de transparencia para los deepfakes se conectan con aplicaciones de aprendizaje profundo. El enfoque de la Ley en sectores de alto riesgo como la atención médica y la aplicación de la ley refleja preocupaciones también abordadas por organizaciones como Google DeepMind y OpenAI en su investigación de seguridad. La Evaluación de Impacto sobre los Derechos Fundamentales se basa en trabajos anteriores en evaluaciones de impacto algorítmico, similar a la investigación de instituciones como MIT CSAIL y Stanford AI Lab.