Las negociaciones sobre la Ley de IA de la UE fueron una serie de reuniones de trílogo celebradas entre la Comisión Europea, el Parlamento Europeo y el Consejo de la Unión Europea para finalizar el texto de la Ley de Inteligencia Artificial (Ley de IA). Las negociaciones concluyeron con un acuerdo político el 8 de diciembre de 2023, tras el cual la Ley fue adoptada formalmente por el Parlamento el 13 de marzo de 2024 y aprobada por el Consejo el 21 de mayo de 2024. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones implementadas gradualmente durante los siguientes 6 a 36 meses.
La Ley de IA establece un marco regulatorio y legal común para la inteligencia artificial dentro de la UE. Cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o de uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan IA en un contexto profesional.
Antecedentes y Propuesta
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El borrador inicial se centraba en un marco basado en el riesgo para las aplicaciones de IA, basándose en trabajos anteriores sobre ética de la IA y regulación de seguridad de productos. La propuesta fue objeto de una revisión y enmiendas exhaustivas durante el proceso legislativo.
El auge de los sistemas de IA generativa, como ChatGPT de OpenAI, presentó un desafío al marco original. Estos modelos de propósito general podían realizar una amplia variedad de tareas, sin encajar claramente en las categorías de riesgo predefinidas. El borrador de la Ley fue revisado para abordar esto, añadiendo una categoría específica para la IA de propósito general.
Negociaciones de Trílogo
Las negociaciones de trílogo son reuniones tripartitas informales entre representantes del Parlamento Europeo, el Consejo y la Comisión Europea para conciliar sus posiciones divergentes sobre una propuesta legislativa. Para la Ley de IA, estas negociaciones comenzaron después de que el Parlamento adoptara su posición negociadora en junio de 2023 y el Consejo acordara su enfoque general en diciembre de 2022.
Los trílogos abordaron varios temas controvertidos, incluida la definición de IA de alto riesgo, el tratamiento de los modelos fundacionales y el uso de identificación biométrica remota en tiempo real en espacios públicos. El Parlamento impulsó normas más estrictas sobre la vigilancia biométrica y obligaciones más sólidas para la IA de propósito general, mientras que el Consejo buscaba equilibrar la innovación con la protección del consumidor.
Un borrador anterior fue rechazado por el Parlamento en una votación en comité, lo que llevó a un mandato revisado. El acuerdo político final se alcanzó el 8 de diciembre de 2023, tras negociaciones maratonianas que se extendieron hasta la madrugada.
Resultados Clave
El texto final de la Ley de IA introdujo una clasificación de riesgo en cuatro niveles: inaceptable, alto, limitado y mínimo. Las aplicaciones con riesgos inaceptables están prohibidas, excepto por exenciones específicas. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado tienen obligaciones de transparencia, mientras que las de riesgo mínimo no están reguladas.
Se añadió una nueva categoría para la IA de propósito general en 2023. Esto incluye modelos fundacionales que pueden realizar una amplia variedad de tareas. Si los pesos y el diseño de un modelo se publican como código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos (que requieren más de 10^25 operaciones de coma flotante para entrenarse) deben someterse a una evaluación adicional.
La Ley también creó la Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores de fuera de la UE si tienen usuarios dentro de la UE.
Categorías de Riesgo en Detalle
El riesgo inaceptable incluye aplicaciones de IA que manipulan el comportamiento humano, utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos o se utilizan para la puntuación social. Estas están prohibidas, con exenciones limitadas.
Las aplicaciones de alto riesgo incluyen sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia. Están sujetas a obligaciones de calidad, transparencia, supervisión humana y seguridad. Algunas requieren una Evaluación de Impacto en Derechos Fundamentales (EIDF) antes de su implementación. Los ciudadanos tienen derecho a presentar quejas y recibir explicaciones sobre las decisiones tomadas por IA de alto riesgo que afecten a sus derechos.
El riesgo limitado incluye sistemas de IA que generan o manipulan imágenes, sonido o vídeos (como los deepfakes), que deben informar a los usuarios de que están interactuando con IA. El riesgo mínimo incluye videojuegos y filtros de spam, que no están regulados, y los estados miembros no pueden imponer regulaciones adicionales debido a las normas de armonización máxima.
Obligaciones de la IA de Propósito General
Los proveedores de modelos de IA de propósito general deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la legislación de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades de supervisión. Los modelos designados como de riesgo sistémico también deben realizar evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como el sesgo y las fallas de seguridad, informar incidentes graves y garantizar una ciberseguridad adecuada.
Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación en el código es voluntaria.
Exenciones y Extraterritorialidad
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados con fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente con fines militares, de defensa o de seguridad nacional, ni a los sistemas desarrollados y puestos en servicio únicamente por esas razones.
La Ley puede aplicarse a proveedores de fuera de la UE si tienen usuarios dentro de la UE, similar al alcance extraterritorial del RGPD. Esto significa que las empresas con sede en EE. UU., China u otros lugares deben cumplir cuando ofrecen servicios de IA a residentes de la UE.
Cronograma de Implementación
La Ley de IA entró en vigor el 1 de agosto de 2024. Las disposiciones se implementarán gradualmente durante los siguientes 6 a 36 meses. Los primeros hitos incluyeron las prohibiciones sobre aplicaciones de IA de riesgo inaceptable, que entraron en vigor en febrero de 2025. Se espera que las obligaciones para los modelos de IA de propósito general se apliquen a partir de agosto de 2025, con la aplicación completa de las normas de alto riesgo para 2027.
Importancia
La Ley de IA representa el primer marco legal integral para la IA en el mundo. Ha influido en los debates políticos en otras jurisdicciones, incluidos Estados Unidos y China. Las negociaciones demostraron el enfoque de la UE para regular tecnologías emergentes mediante un modelo basado en el riesgo y la seguridad de productos, equilibrando la innovación con la protección de los derechos fundamentales.
El éxito de la Ley dependerá de la implementación y el cumplimiento por parte de las autoridades nacionales y la Junta Europea de IA. A partir de 2025, muchos estándares técnicos y documentos de orientación aún están en desarrollo para apoyar el cumplimiento.