La Ley de IA de la UE es un reglamento de la Unión Europea que establece un marco regulatorio común para la inteligencia artificial. Entró en vigor el 1 de agosto de 2024, con disposiciones aplicadas de forma gradual en un período de 6 a 36 meses. La Ley clasifica las aplicaciones de IA en categorías de riesgo: inaceptable, alto, limitado y mínimo, además de una categoría específica para la IA de propósito general. Las aplicaciones consideradas de riesgo inaceptable están prohibidas de forma absoluta. La Ley no crea derechos individuales, sino que impone obligaciones a los proveedores y a los implementadores profesionales; puede aplicarse extraterritorialmente a proveedores no pertenecientes a la UE con usuarios en la UE.
La prohibición de prácticas de "riesgo inaceptable" es una de las partes más trascendentales del reglamento. Refleja una elección política de trazar una línea firme contra ciertos usos de la IA que podrían socavar los derechos fundamentales y los valores democráticos. Aunque la Ley permite cierta flexibilidad, estas prohibiciones son absolutas salvo que se aplique una exención específica, y la Comisión Europea ha proporcionado orientación para aclarar el alcance de las prohibiciones.
Prácticas Prohibidas Bajo las Disposiciones de Prohibición
Las prohibiciones de la Ley cubren sistemas de IA que explotan vulnerabilidades, manipulan el comportamiento, habilitan la puntuación social o despliegan ciertas formas de vigilancia biométrica. Específicamente, se consideran inaceptables dondequiera que ocurran dentro de la UE, sujeto a excepciones limitadas:
Manipulación y explotación del comportamiento. Se prohíben los sistemas de IA que utilizan técnicas subliminales, manipulativas o engañosas diseñadas para distorsionar el comportamiento de una persona y causar daño significativo. Esto incluye explotar vulnerabilidades de individuos - como las relacionadas con la edad, discapacidad o situación socioeconómica - cuando la práctica distorsiona materialmente el comportamiento y causa o es probable que cause daño a esa persona u otra. Por ejemplo, un juguete que utiliza asistencia por voz para incitar a un niño a realizar actos peligrosos está prohibido.
Puntuación social. La Ley prohíbe sistemas de IA que evalúan o clasifican a individuos basándose en su comportamiento social en diferentes contextos, donde la puntuación social resultante conduce a un trato perjudicial o desfavorable que es desproporcionado en relación con los datos o circunstancias originales. La prohibición se dirige a la práctica de asignar puntuaciones de crédito social a ciudadanos por parte de actores públicos o privados que resultan en un trato peor en contextos no relacionados con los datos originalmente recopilados.
Las prohibiciones están diseñadas para abordar las prácticas específicas consideradas más dañinas y para alinear la legislación europea con las expectativas públicas y las obligaciones de derechos humanos.
Vigilancia Biométrica en Tiempo Real
El reglamento prohíbe los sistemas de IA para identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley, excepto en circunstancias definidas de forma limitada. Tiempo real se refiere al procesamiento que ocurre sin retraso significativo. La prohibición se aplica en espacios públicos (por ejemplo, parques, calles, estadios y versiones digitales de dichos espacios). Está particularmente dirigida a tecnologías de reconocimiento facial que identifican individuos en tiempo real con fines de seguridad.
Sin embargo, ciertas excepciones delimitadas de forma estricta permiten a las autoridades policiales usarlos si son necesarios para un propósito legítimo específico o un interés vital. Estos incluyen la seguridad nacional o los identificados en la Ley:
- La búsqueda de personas desaparecidas específicas.
- La amenaza de un ataque terrorista.
- El enjuiciamiento o detección de ciertos delitos graves, como asesinato, abuso sexual infantil y violación - cuando el uso se considera necesario y bajo salvaguardas estrictas.
Todos estos usos deben ser autorizados por un tribunal administrativo independiente o una autoridad administrativa. La autorización debe basarse en evidencia objetiva y definir un propósito, limitando en última instancia el alcance para no entrar en conflicto con el marco legal general. En la práctica, estas excepciones permitirán a las autoridades policiales usar identificación biométrica remota en casos excepcionales siempre que se cumplan los requisitos de debido proceso.
Alcance y Exenciones
Varias categorías están completamente fuera del alcance de la Ley de IA, incluidos los sistemas de IA utilizados exclusivamente para fines militares, de defensa o seguridad nacional, y aquellos utilizados para investigación o desarrollo científico puro, según el Artículo 2.3. Además, la IA desplegada para uso personal no profesional no está sujeta a la Ley. La prohibición no se aplica a dichos sistemas, pero no exime a los organizadores que utilizan los sistemas prohibidos en áreas de la UE de las protecciones constitucionales.
Cronograma de Implementación y Prohibiciones
La prohibición de prácticas de riesgo inaceptable, según lo definido en el Artículo 5, se aplicará a partir del 2 de febrero de 2025. Esto se estableció como 6 meses después de la entrada en vigor el 1 de agosto de 2024. El reglamento fue propuesto por la Comisión Europea el 21 de abril de 2021, adoptado por el Parlamento Europeo el 13 de marzo de 2024 y aprobado por el Consejo de la UE el 21 de mayo de 2024. El texto final se fortaleció considerando el auge de la IA de propósito general como los modelos de lenguaje grandes, y las prohibiciones se refinaron en consecuencia para abordar usos manipulativos y el reconocimiento emocional.
El período de gracia fue diseñado para permitir a los proveedores realizar cambios en sus sistemas de IA para cumplir con las nuevas restricciones, y también permite a las autoridades prepararse. Desde la prohibición, los comerciantes y organismos públicos han tenido que auditar sus sistemas de IA para garantizar que no dependen de ninguno de los métodos prohibidos ni caen dentro de las categorías prohibidas.
Marginalmente, la Comisión Europea ha emitido orientación sobre la interpretación, pero sigue siendo bastante amplia porque la redacción es producto de un compromiso político. Algunas prácticas, como usar la manipulación dirigida a vulnerables, no están estrictamente prohibidas si el daño no está garantizado o la intención no es maliciosa. Además, la prohibición del crédito social solo se dirige al trato más severo y discriminatorio, pero las consecuencias menos graves pueden caer bajo la categoría de alto riesgo u otras obligaciones regulatorias.
Cumplimiento y Sanciones
Cada estado miembro de la UE designa una autoridad responsable de la vigilancia del mercado. Las autoridades tienen poderes para imponer sanciones financieras por violaciones. En el caso de prácticas prohibidas, las sanciones pueden alcanzar hasta 35 millones de EUR o el 7% del volumen de negocios anual mundial de la empresa infractora, lo que sea mayor. Esto refleja el enfoque del Reglamento General de Protección de Datos (GDPR), y las autoridades también pueden emitir medidas correctivas, como prohibir el sistema de IA específico del mercado.
Debido al alcance extraterritorial, los proveedores fuera de la UE deben designar un representante autorizado dentro de la UE ante quien rendir cuentas. Aún pueden ser considerados responsables si colocan sistemas en el mercado o proporcionan servicios a usuarios dentro de la UE, incluso si la empresa opera desde su sede en otro lugar.
El Consejo Europeo de Inteligencia Artificial
Para supervisar todo el marco regulatorio, la Ley establece un Consejo Europeo de Inteligencia Artificial, compuesto por 21 representantes, uno de cada estado miembro, más el Supervisor Europeo de Protección de Datos. Coordina las autoridades nacionales de supervisión y emite orientación y opiniones. En particular, facilitará un enfoque coherente para la ***interpretación y operación de la prohibición.
El Consejo también puede desempeñar un papel significativo en prácticas de investigación que no están explícitamente enumeradas como prohibidas pero se consideran inaceptables en su evaluación, sin embargo, está limitado en sus poderes para actuar por iniciativa propia. Supervisa la aplicación práctica de las restricciones.
Contexto Más Amplio: El Modelo de Riesgo de la Ley de IA
Las prácticas prohibidas representan la cima de la pirámide de riesgo. Las aplicaciones de IA de alto riesgo enfrentan obligaciones de conformidad, y las de riesgo limitado requieren transparencia en los sistemas Generative AI (por ejemplo, deepfakes) que deben divulgarse como generados por IA. La lista de prohibiciones está dirigida de forma específica a amenazas reales para individuos y la sociedad.
Nótese que la categoría de aplicaciones de alto riesgo incluye cierta "identificación biométrica", pero esto no es lo que está prohibido. Los sistemas de alto riesgo deben someterse a una evaluación de conformidad, pero es un uso permitido si no asisten en la aplicación de la ley. Por ejemplo, un sistema de IA que compara huellas dactilares en una base de datos criminal no es un riesgo inaceptable, pero la identificación biométrica remota en tiempo real en un espacio concurrido sí lo es. Esta es la prioridad.
La Ley de IA, como reglamento de productos, no establece derechos de acción privados, pero sí impone deberes a los implementadores de sistemas. También crea un panel para coordinar y proporcionar asesoramiento técnico para el cumplimiento. Algunas evaluaciones de impacto señalan la necesidad de aclarar la línea entre un sistema de alto riesgo prohibido, especialmente para excepciones reales. Y la Comisión Europea ha prometido abordar esto.
Influencia Global Potencial
La prohibición de la puntuación social y la vigilancia biométrica - como Canadá y otras jurisdicciones han citado la Ley de IA como modelo, y la industria tecnológica ha sido influenciada en cierta medida. En particular, las prohibiciones de identificación biométrica en espacios públicos reflejan un consenso de que algunos usos no pueden ser gestionados por riesgo debido a la seguridad y los derechos fundamentales.
Queda por ver si las excepciones para el uso de identificación biométrica mínima serán abusadas. A corto plazo, gigantes tecnológicos como OpenAI, Anthropic y Google DeepMind han adaptado sus políticas para reflejar las restricciones, no como prevenciones legales. Esta prohibición ha establecido un precedente de que ciertas prácticas de IA nunca son aceptables en una sociedad democrática.
Conclusión
Las prácticas prohibidas de la Ley de IA de la UE son una característica distintiva del reglamento. Trazar una línea roja contra la manipulación coercitiva, la puntuación social y la vigilancia biométrica en tiempo real marca una innovación legal importante, priorizando los derechos básicos cuando entran en conflicto con el progreso tecnológico sin restricciones. A principios de 2025, las empresas deben auditar cuidadosamente sus sistemas de IA para cumplir, y la Ley de IA está implementando gradualmente el resto de sus obligaciones, programadas para su aplicación en los próximos años. La actividad del Consejo será crítica para interpretar los límites exactos de las prácticas prohibidas, y la prohibición estará sujeta a revisión continua. Cualquier cambio en la legislación requeriría una enmienda, pero la UE no tiene intención de reducir esta área en el futuro cercano.
Con cada acto, los límites pueden ajustarse, pero la prohibición estricta del riesgo inaceptable seguirá siendo el núcleo de la Ley de IA y la política digital de la UE.