La Ley de Inteligencia Artificial (AI Act) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial (IA) dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplican gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles - inaceptable, alto, limitado, mínimo - más una categoría adicional para la IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas; las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad y someterse a evaluaciones de conformidad; las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia; las aplicaciones de riesgo mínimo no están reguladas. Para la IA de propósito general, se imponen requisitos de transparencia, con requisitos reducidos para los modelos de código abierto, y evaluaciones adicionales para los modelos de alta capacidad. La Ley también crea un Consejo Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Historia Legislativa
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El borrador se revisó para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. El Parlamento Europeo aprobó la Ley el 13 de marzo de 2024, y el Consejo de la UE la aprobó por unanimidad el 21 de mayo de 2024. El texto final se publicó en el Diario Oficial de la UE, y el reglamento entró en vigor el 1 de agosto de 2024. La implementación gradual significa que ciertas disposiciones, como las prohibiciones de sistemas de riesgo inaceptable, se aplican antes, mientras que otras, como las obligaciones para sistemas de alto riesgo, se aplican más tarde.
Categorías de Riesgo
La Ley de IA establece un esquema basado en el riesgo siguiendo un modelo de seguridad de productos. Las obligaciones regulatorias se asignan a proveedores y usuarios de sistemas de IA, y estas obligaciones se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Esta estructura garantiza que la supervisión se centre en sistemas que probablemente creen riesgos significativos, mientras permite enfoques más ligeros para usos considerados menos sensibles. Algunos académicos legales argumentan que, en la práctica, la Ley enmarca la 'IA confiable' como sistemas que pueden demostrar cumplimiento con estos umbrales de seguridad y riesgo. Según una evaluación inicial del Servicio de Investigación del Parlamento Europeo, la evaluación de impacto de la Comisión se basó en consultas con partes interesadas y una amplia gama de investigaciones existentes al comparar opciones políticas para este marco basado en el riesgo.
Riesgo Inaceptable
Las aplicaciones de IA en esta categoría están prohibidas, excepto por exenciones específicas. Cuando no se aplica ninguna exención, esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y aquellas utilizadas para la puntuación social (clasificar individuos según sus características personales, estatus socioeconómico o comportamiento).
Alto Riesgo
Las aplicaciones de IA que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas caen en esta categoría. En particular, se incluyen los sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto sobre Derechos Fundamentales antes del despliegue. Una Evaluación de Impacto sobre Derechos Fundamentales (FRIA) es una revisión ex ante para identificar y mitigar posibles impactos sobre los derechos fundamentales antes de que se despliegue un sistema de IA. Trabajos anteriores sobre evaluaciones de impacto algorítmico han sugerido que tales herramientas deberían identificar qué individuos y comunidades se ven afectados por un sistema automatizado, describir posibles daños y proporcionar una base para el escrutinio público e institucional de su uso. Los sistemas de alto riesgo deben evaluarse tanto antes de su colocación en el mercado como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos también tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten sus derechos.
Riesgo Limitado
Los sistemas de IA en esta categoría tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye, por ejemplo, aplicaciones de IA que permiten generar o manipular imágenes, sonido o videos (como los deepfakes).
Riesgo Mínimo
Esta categoría incluye, por ejemplo, sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales (por ejemplo, ChatGPT) que pueden realizar una amplia gama de tareas. Si los pesos y el diseño del modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos (requieren más de 10^25 operaciones de punto flotante para entrenarse) deben someterse a una evaluación adicional. Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento de la Ley de IA. La participación en el código es voluntaria.
Más allá de estos deberes básicos de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades de supervisión. Los modelos designados como que plantean riesgo sistémico también deben llevar a cabo evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados con fines militares o de seguridad nacional o para investigación y desarrollo científico puro. En particular, el Reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente con fines militares, de defensa o de seguridad nacional, o a sistemas desarrollados y puestos en servicio únicamente para investigación científica. Además, la IA utilizada para actividades personales no profesionales no está cubierta.
Cumplimiento y Gobernanza
La Ley crea un Consejo Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Se espera que cada Estado miembro designe autoridades competentes para la vigilancia del mercado y el cumplimiento. La Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE, similar al RGPD. Las sanciones por incumplimiento pueden ser significativas, aunque los montos específicos no se detallan en los hechos fuente.
Impacto y Recepción
La Ley de IA se considera una legislación histórica, siendo la primera ley integral de IA en el mundo. Se ha comparado con el RGPD en su posible influencia global, ya que las empresas fuera de la UE pueden optar por cumplir sus estándares para acceder al mercado de la UE. El enfoque basado en el riesgo ha sido elogiado por centrarse en daños reales, pero algunos críticos argumentan que la definición de alto riesgo es demasiado amplia o que las exenciones para usos militares y de seguridad son demasiado extensas. La Ley también tiene como objetivo fomentar la innovación al proporcionar certeza legal para desarrolladores y usuarios de IA.
Relación con Otros Desarrollos de IA
Las disposiciones de IA de propósito general de la Ley se introdujeron en respuesta al rápido avance de los modelos de IA generativa, como los desarrollados por OpenAI, Anthropic y Google DeepMind. Estos modelos, construidos sobre arquitecturas de transformadores y entrenados utilizando técnicas de aprendizaje automático, tienen capacidades que abarcan muchos dominios, lo que dificulta encajarlos en categorías de productos tradicionales. Los requisitos de la Ley para la transparencia y la evaluación de riesgos están destinados a complementar medidas técnicas de seguridad como poda de modelos y aumento de datos, aunque la Ley en sí no prescribe métodos técnicos específicos.
Perspectivas Futuras
A partir de 2025, la Ley de IA está en su fase inicial de implementación. Se espera que la Comisión Europea emita más orientaciones y actos delegados para aclarar ciertas disposiciones. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, es un paso clave para ayudar a los proveedores a cumplir. El impacto a largo plazo de la Ley en la innovación y el despliegue de IA en la UE y más allá sigue siendo incierto, pero es probable que dé forma a la conversación global sobre la gobernanza de la IA durante años.