Las Autoridades Nacionales de los Estados Miembros de la Ley de IA de la UE son los organismos nacionales de supervisión designados por cada estado miembro de la Unión Europea para hacer cumplir la Ley de Inteligencia Artificial (Ley de IA), un reglamento que entró en vigor el 1 de agosto de 2024. Estas autoridades son responsables de supervisar el cumplimiento de los requisitos basados en el riesgo de la Ley, realizar investigaciones e imponer sanciones por infracciones dentro de sus respectivas jurisdicciones. El reglamento establece un marco en el que cada estado miembro debe designar al menos una autoridad nacional competente, que normalmente incluye una autoridad de vigilancia del mercado y una autoridad notificante, para supervisar los sistemas de IA comercializados o utilizados dentro de ese estado.
La Ley de IA, propuesta por la Comisión Europea el 21 de abril de 2021, fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. Cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan la IA en un contexto profesional. La Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE, similar al Reglamento General de Protección de Datos de la UE.
Designación y Estructura
Cada estado miembro está obligado a designar autoridades nacionales competentes para implementar y hacer cumplir la Ley de IA. El proceso de designación implica establecer una autoridad de vigilancia del mercado, que gestiona las comprobaciones de cumplimiento y las acciones de ejecución, y una autoridad notificante, que gestiona la evaluación y notificación de los organismos de evaluación de la conformidad. En muchos estados miembros, estas funciones se asignan a agencias reguladoras existentes, como autoridades de protección de datos u organismos de protección del consumidor, mientras que otros han creado oficinas dedicadas a la supervisión de la IA. Las autoridades operan de manera independiente en sus funciones de ejecución, pero se coordinan a través del Comité Europeo de Inteligencia Artificial, que promueve la cooperación nacional y garantiza una aplicación coherente del reglamento en toda la UE.
Las autoridades nacionales tienen el poder de solicitar documentación e información a los proveedores y usuarios de IA, realizar inspecciones sin previo aviso y acceder a conjuntos de datos utilizados para entrenar y probar sistemas de IA. También pueden emitir advertencias, imponer medidas correctivas y ordenar la retirada o el recall de productos de IA no conformes del mercado. La Ley exige que estas autoridades dispongan de recursos y experiencia suficientes para llevar a cabo sus funciones, incluido el conocimiento técnico de los sistemas de Artificial intelligence y sus riesgos asociados.
Poderes de Ejecución
Los poderes de ejecución de las autoridades de los estados miembros varían según la categoría de riesgo del sistema de IA. Para aplicaciones de alto riesgo, las autoridades pueden exigir evaluaciones de conformidad, ordenar acciones correctivas y suspender o prohibir el uso de sistemas que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales. Para aplicaciones de riesgo inaceptable que están prohibidas según la Ley, las autoridades tienen el poder de ordenar la eliminación inmediata y pueden imponer multas sustanciales. La Ley establece marcos de sanciones que los estados miembros deben implementar, con multas por incumplimiento que alcanzan hasta un porcentaje de la facturación anual global de la empresa infractora o una cantidad fija, lo que sea mayor.
Las autoridades también gestionan las quejas de los ciudadanos sobre sistemas de IA y deben proporcionar explicaciones de las decisiones tomadas por IA de alto riesgo que afecten los derechos de los individuos. Están obligadas a establecer procedimientos accesibles para denunciar infracciones y proteger a los denunciantes que informen sobre incumplimientos. El enfoque de ejecución sigue un modelo de seguridad de productos, donde las obligaciones regulatorias se asignan a proveedores y usuarios, y estas obligaciones se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales.
Coordinación con el Comité Europeo de Inteligencia Artificial
El Comité Europeo de Inteligencia Artificial sirve como mecanismo central de coordinación para las autoridades de los estados miembros. Facilita el intercambio de información, desarrolla orientación sobre la interpretación coherente de la Ley y ayuda a resolver disputas entre autoridades nacionales. El Comité también asesora a la Comisión Europea sobre estándares técnicos y cuestiones de implementación. Las autoridades de los estados miembros están obligadas a participar activamente en las actividades del Comité y a compartir información sobre acciones de ejecución, hallazgos de vigilancia del mercado y riesgos emergentes relacionados con los sistemas de IA.
El Comité desempeña un papel particularmente importante en casos que involucran modelos de IA de propósito general, como los sistemas de Large language model, que pueden desplegarse en múltiples estados miembros. Cuando se identifica un riesgo sistémico, el Comité coordina investigaciones conjuntas y garantiza que las acciones de ejecución sean coherentes entre jurisdicciones. Esta coordinación es esencial porque la aplicación extraterritorial de la Ley significa que los proveedores fuera de la UE, incluidas empresas como OpenAI y Google DeepMind, pueden estar sujetos a la supervisión de múltiples autoridades nacionales simultáneamente.
Responsabilidades de Supervisión Basadas en el Riesgo
Las responsabilidades de supervisión de las autoridades de los estados miembros se estructuran según los cuatro niveles de riesgo de la Ley más la categoría de IA de propósito general. Para aplicaciones de riesgo inaceptable, que están prohibidas excepto por exenciones específicas, las autoridades deben monitorear activamente y hacer cumplir las prohibiciones sobre sistemas de IA que manipulan el comportamiento humano, utilizan identificación biométrica remota en tiempo real en espacios públicos o participan en la puntuación social. Para aplicaciones de alto riesgo en áreas como salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia, las autoridades verifican el cumplimiento de las obligaciones de calidad, transparencia, supervisión humana y seguridad, y pueden exigir Evaluaciones de Impacto en los Derechos Fundamentales antes del despliegue.
Los sistemas de riesgo limitado, incluidos aquellos que generan o manipulan imágenes, sonido o videos, como los deepfakes, están sujetos a obligaciones de transparencia, y las autoridades garantizan que los usuarios estén informados al interactuar con sistemas de IA. Las aplicaciones de riesgo mínimo, como la IA utilizada en videojuegos o filtros de spam, no están reguladas, y los estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Para la IA de propósito general, las autoridades supervisan los requisitos de transparencia, incluidos los resúmenes de datos de entrenamiento y las políticas de derechos de autor, con evaluaciones adicionales requeridas para modelos de alta capacidad que representen riesgos sistémicos.
Sanciones y Medidas Correctivas
La Ley exige que los estados miembros establezcan sanciones efectivas, proporcionadas y disuasorias para las infracciones. Los montos específicos de las sanciones se determinan por la legislación nacional, pero la Ley establece niveles máximos que los estados miembros deben implementar. Para infracciones que involucran aplicaciones de IA de riesgo inaceptable, las multas pueden alcanzar hasta el 7% de la facturación anual global de la empresa infractora o 35 millones de euros, lo que sea mayor. Para infracciones de otras obligaciones, como las relacionadas con sistemas de alto riesgo o IA de propósito general, las multas pueden alcanzar hasta el 3% de la facturación anual global o 15 millones de euros. Proporcionar información incorrecta o engañosa a las autoridades puede resultar en multas de hasta el 1% de la facturación anual global o 7,5 millones de euros.
Las autoridades también tienen el poder de imponer medidas correctivas más allá de las sanciones financieras, incluido exigir a los proveedores que ajusten los sistemas de IA al cumplimiento, restringir o prohibir la comercialización de sistemas no conformes y ordenar el recall de productos ya en uso. En casos urgentes donde un sistema de IA represente un riesgo grave, las autoridades pueden tomar medidas inmediatas antes de completar una evaluación completa, sujeto a revisión posterior.
Cronograma de Implementación y Transición
Las disposiciones de la Ley de IA se están implementando gradualmente durante 6 a 36 meses desde la entrada en vigor el 1 de agosto de 2024. Se requería que las autoridades de los estados miembros estuvieran designadas y operativas dentro de los primeros meses de implementación. Las prohibiciones sobre aplicaciones de riesgo inaceptable se volvieron aplicables después de seis meses, mientras que las obligaciones para la IA de propósito general y los sistemas de alto riesgo se están introduciendo gradualmente durante períodos más largos. El borrador de la Ley se revisó para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal, y esta revisión agregó la categoría de IA de propósito general en 2023.
Durante el período de transición, las autoridades de los estados miembros están desarrollando sus procedimientos operativos, contratando personal técnico y estableciendo protocolos de cooperación con otros organismos reguladores. También están preparando documentos de orientación para las empresas que operan dentro de sus jurisdicciones y participando en el desarrollo de estándares armonizados que respaldarán las evaluaciones de cumplimiento. La implementación gradual está diseñada para dar tanto a las autoridades como a las entidades reguladas tiempo para adaptarse a los nuevos requisitos, garantizando al mismo tiempo que los riesgos más graves se aborden con prontitud.
Relación con Otros Organismos Reguladores
Las autoridades de los estados miembros según la Ley de IA operan junto a otros organismos reguladores con responsabilidades relacionadas. Se coordinan con las autoridades de protección de datos, particularmente para sistemas de IA que procesan datos personales, y con reguladores sectoriales en áreas como atención médica, servicios financieros y transporte. La Ley también interactúa con la legislación existente de seguridad de productos, y las autoridades deben garantizar que sus acciones de ejecución sean coherentes con otros reglamentos de la UE. En casos donde los sistemas de IA se utilizan junto con otras tecnologías, como modelos de Machine learning desplegados a través de servicios en la nube de proveedores como Amazon Web Services o Microsoft Azure, las autoridades pueden necesitar coordinar a través de múltiples marcos regulatorios.
La aplicación extraterritorial de la Ley significa que las autoridades también pueden cooperar con reguladores en países no pertenecientes a la UE, particularmente para proveedores de IA con sede en Estados Unidos, China u otros centros importantes de desarrollo de IA. Esta dimensión internacional agrega complejidad a la ejecución, ya que las autoridades deben equilibrar los requisitos de la Ley con los marcos legales de otras jurisdicciones, garantizando al mismo tiempo que los ciudadanos de la UE estén protegidos de aplicaciones de IA dañinas.