La Ley de Inteligencia Artificial (AI Act) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial (IA) dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado y mínimo - más una categoría adicional para la IA de propósito general. Cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan IA en un contexto profesional.
La Ley fue propuesta por la Comisión Europea el 21 de abril de 2021, aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador fue revisado para abordar el auge de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. La Ley también crea un Consejo Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Categorías de Riesgo
El esquema basado en el riesgo sigue un modelo de seguridad de productos en el que las obligaciones regulatorias se asignan a los proveedores y despliegues de sistemas de IA, y estas obligaciones se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Esta estructura garantiza que la supervisión se centre en sistemas que probablemente generen riesgos significativos, permitiendo enfoques más ligeros para usos menos sensibles. Según una evaluación inicial del Servicio de Estudios del Parlamento Europeo, la evaluación de impacto de la Comisión se basó en consultas a las partes interesadas y en una amplia gama de investigaciones existentes al comparar opciones políticas.
Riesgo Inaceptable
Las aplicaciones de IA en esta categoría están prohibidas, excepto por exenciones específicas. Cuando no se aplica ninguna exención, esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos y las utilizadas para la puntuación social (clasificar individuos según características personales, estatus socioeconómico o comportamiento).
Riesgo Alto
Las aplicaciones de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas. En particular, los sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia caen en esta categoría. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto sobre Derechos Fundamentales (FRIA) antes del despliegue. Una FRIA es una revisión ex ante para identificar y mitigar posibles impactos sobre los derechos fundamentales. Trabajos anteriores sobre evaluaciones de impacto algorítmico han sugerido que dichas herramientas deberían identificar qué individuos y comunidades se ven afectados por un sistema automatizado, describir posibles daños y proporcionar una base para el escrutinio público e institucional. Los sistemas de alto riesgo deben evaluarse tanto antes de su comercialización como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten a sus derechos.
Riesgo Limitado
Los sistemas de IA de riesgo limitado tienen obligaciones de transparencia, asegurando que los usuarios sean informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye, por ejemplo, aplicaciones de IA que generan o manipulan imágenes, sonido o videos (como los deepfakes).
Riesgo Mínimo
Los sistemas de riesgo mínimo incluyen IA utilizada para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales (por ejemplo, modelos de IA generativa) que pueden realizar una amplia gama de tareas. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos (que requieren más de 10^25 operaciones de coma flotante para entrenarse) deben someterse a una evaluación adicional. Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación en el código es voluntaria.
Más allá de las obligaciones básicas de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades de supervisión. Los modelos designados como de riesgo sistémico también deben realizar evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados para fines militares o de seguridad nacional o para investigación y desarrollo científico puro. En particular, el Reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente con fines militares, de defensa o de seguridad nacional, ni a los sistemas desarrollados y puestos en servicio únicamente para investigación científica. Además, la IA utilizada para actividades personales no profesionales está exenta.
Cronograma de Implementación
La Ley de IA entró en vigor el 1 de agosto de 2024, pero sus disposiciones se aplican en fases. Las prohibiciones sobre sistemas de riesgo inaceptable se volvieron aplicables seis meses después, alrededor de febrero de 2025. Las obligaciones para los modelos de IA de propósito general se aplican desde agosto de 2025, y la mayoría de los requisitos para sistemas de alto riesgo se aplican desde agosto de 2026, con algunas disposiciones que se extienden hasta 2027. Este enfoque gradual permite a los proveedores y despliegues tiempo para adaptarse.
Cumplimiento y Gobernanza
La Ley establece el Consejo Europeo de Inteligencia Artificial, compuesto por representantes de los Estados miembros y de la Comisión, para facilitar una aplicación coherente y la cooperación. Las autoridades nacionales de supervisión son responsables de hacer cumplir el reglamento, con sanciones por incumplimiento. La Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si sus sistemas de IA se utilizan dentro de la UE, similar al RGPD. Esto garantiza que el marco basado en el riesgo tenga alcance global para productos y servicios de IA dirigidos a usuarios de la UE.
Impacto y Críticas
Los académicos del derecho han señalado que la Ley enmarca la "IA confiable" como sistemas que pueden demostrar cumplimiento con umbrales de seguridad y riesgo. El enfoque basado en el riesgo ha sido elogiado por centrarse en aplicaciones de alto impacto, pero algunos críticos argumentan que la clasificación de sistemas de alto riesgo puede ser demasiado amplia o que las exenciones para usos militares y de investigación podrían crear vacíos. Otros señalan el desafío de mantenerse al día con los rápidos desarrollos en aprendizaje automático y aprendizaje profundo, particularmente a medida que las capacidades de IA evolucionan. El énfasis de la Ley en la transparencia y la supervisión humana se considera un modelo para otras jurisdicciones, aunque su efectividad aún está por verse a medida que se desarrolla la implementación.
Referencias
- Propuesta de la Comisión Europea, 21 de abril de 2021
- Aprobación del Parlamento Europeo, 13 de marzo de 2024
- Aprobación del Consejo de la UE, 21 de mayo de 2024
- Entrada en vigor, 1 de agosto de 2024
- Código de Prácticas de IA de Propósito General, 10 de julio de 2025