La Ley de Inteligencia Artificial es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial en todos los estados miembros. El reglamento entró en vigor el 1 de agosto de 2024, con sus disposiciones aplicándose gradualmente durante los siguientes 6 a 36 meses. Define las reglas para la mayoría de los sistemas de IA utilizados en la UE, excluyendo aquellos empleados con fines militares, de seguridad nacional, de investigación o no profesionales. Siguiendo un modelo de seguridad de productos, asigna obligaciones a los proveedores de IA y a los usuarios profesionales, con el objetivo de fomentar tanto la innovación como los derechos fundamentales de los ciudadanos.
La propuesta se originó en la Comisión Europea el 21 de abril de 2021, experimentó revisiones sustanciales para abordar el auge de los sistemas de IA generativa como ChatGPT de OpenAI, fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y fue aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. La Ley de IA, al igual que el Reglamento General de Protección de Datos, puede aplicarse extraterritorialmente a proveedores de jurisdicciones no pertenecientes a la UE si tienen usuarios dentro de la UE. Las reglas se implementan a través de una clasificación de riesgo de cuatro niveles complementada con una categoría dedicada para la IA de propósito general, con el objetivo de impulsar una adopción manejable mientras se mitigan los posibles daños.
Adopción y cronología legislativa
El camino hacia la adopción fue un proceso de varios años. La Comisión Europea, que actúa como órgano ejecutivo de la UE, presentó un primer borrador el 21 de abril de 2021. Ese borrador se basó en las evaluaciones de la Comisión, las consultas con las partes interesadas y la investigación existente sobre opciones políticas. La propuesta reflejaba la ambición de convertir a la UE en un estado innovador en IA que estableciera estándares para la gobernanza regulatoria, similar al Reglamento General de Protección de Datos de 2016 en el ámbito de la protección de datos.
Las negociaciones se reiniciaron entre 2022 y 2023 cuando la popularidad de los modelos de IA generativa, como ChatGPT y similares grandes modelos de lenguaje, destacó que el borrador original, centrado en los sistemas tradicionales de aprendizaje automático, no abarcaba fácilmente tales capacidades. Los legisladores integraron así una sección completamente nueva para la IA de propósito general. Este cambio se formalizó en el texto final, abordando las redes neuronales que podían realizar una amplia variedad de tareas.
El 13 de marzo de 2024, el Parlamento aprobó el texto final, y el 21 de mayo de 2024, el Consejo de la UE lo aprobó por unanimidad. La publicación oficial del reglamento siguió, y entró formalmente en vigor el 1 de agosto de 2024. Sin embargo, las obligaciones solo se implementan gradualmente. Las prohibiciones sobre la IA de riesgo inaceptable se retrasaron en consecuencia y se hicieron efectivas antes en la vida debido a las reglas de identificación biométrica en tiempo real. El conjunto completo de reglas, incluida la mayoría de las evaluaciones de conformidad de alto riesgo, ha entrado o entrará en vigor dentro de los 36 meses posteriores a la entrada en vigor.
Clasificación basada en el riesgo
La estructura central de la Ley de IA de la UE es un marco escalonado por riesgo, modelado según la ley de seguridad de productos. La clasificación asigna obligaciones según el impacto potencial en la salud, la seguridad o los derechos fundamentales. Este enfoque tiene como objetivo centrar la supervisión en los sistemas con mayor daño potencial, mientras reduce la burocracia para los usos de menor riesgo.
Los cuatro niveles de riesgo explícitos son: inaceptable, alto, limitado y mínimo. Además, la Ley añade una quinta categoría diseñada específicamente para la IA de propósito general, que se introdujo durante revisiones posteriores.
Riesgo inaceptable
Las aplicaciones clasificadas como riesgo inaceptable se prohíben por completo, aunque existen excepciones limitadas. Por ejemplo, la prohibición cubre los sistemas de IA que emplean manipulación subliminal más allá de la conciencia de una persona para distorsionar el comportamiento, explotan vulnerabilidades debidas a la edad, discapacidad o situación económica, o conducen a daños físicos o psicológicos. También se prohíben los sistemas utilizados para la puntuación social, que clasifican a individuos según rasgos personales, estatus socioeconómico o comportamiento por parte de autoridades públicas o privadas. Los sistemas de identificación biométrica remota en tiempo real en espacios públicos también están generalmente prohibidos, con excepciones limitadas que podrían aplicarse en el caso de ciertos delitos graves, y sujetos a aprobación judicial previa.
Riesgo alto
Los sistemas de IA de alto riesgo son aquellos que representan amenazas significativas para la salud, la seguridad o los derechos fundamentales. Esto incluye una amplia gama de aplicaciones en sectores como salud, educación, empleo, infraestructura crítica, aplicación de la ley, migración y justicia. Los proveedores y usuarios de sistemas de IA de alto riesgo deben cumplir con estrictas obligaciones de seguridad, transparencia, calidad y supervisión humana. Están sujetos a evaluaciones de conformidad, ya sea mediante autoevaluación o por organismos notificados de terceros, según la aplicación. Para las áreas de alto riesgo que impactan los derechos fundamentales - como en la aplicación de la ley o la migración - el proveedor debe realizar una Evaluación de Impacto sobre los Derechos Fundamentales antes del despliegue. Esta es una verificación ex ante para identificar y mitigar los posibles impactos en individuos y comunidades afectados. Dichos sistemas están obligados a ser evaluados antes de su comercialización y nuevamente durante su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse sin necesidad de un nuevo reglamento. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones sobre las decisiones tomadas por la IA de alto riesgo que afecten sus derechos.
Riesgo limitado
Los sistemas en el nivel de riesgo limitado son aquellos con obligaciones de transparencia únicamente. En esta categoría, los individuos deben ser informados de que están interactuando con un sistema de IA, por ejemplo, al usar un chatbot. Del mismo modo, el contenido que es generado o manipulado por IA, como los deepfakes, debe etiquetarse claramente como tal, a menos que las personas den su consentimiento. Esta obligación permite a los usuarios comprender la naturaleza del contenido o la interacción y tomar decisiones informadas.
Riesgo mínimo
La categoría mínima - quizás cerca del 80% de los sistemas de IA - incluye videojuegos, filtros de spam y similares. Estos sistemas no tienen obligaciones especiales bajo el reglamento. Bajo las reglas de armonización máxima, los estados miembros tampoco pueden imponer requisitos de licencia adicionales o marcos de cumplimiento adicionales para ellos. Las leyes nacionales existentes también se anulan en la medida en que las superan. No obstante, la Ley fomenta la adhesión voluntaria a códigos de conducta para estos usos de bajo riesgo.
Categoría de IA de propósito general
En 2023, el texto se amplió con una capa dedicada para la IA de propósito general, como las redes basadas en transformadores que producen recomendaciones, texto o imágenes. Esto incluye modelos fundacionales como los grandes modelos de lenguaje. Los responsables publican un resumen de transparencia de los datos de entrenamiento, adoptan políticas de cumplimiento de derechos de autor y proporcionan documentación técnica a los proveedores posteriores y a las autoridades de supervisión.
Los proveedores de código abierto con una advertencia específica: si los pesos y el diseño del modelo están disponibles libremente, deben eludir los requisitos de transparencia más estrictos, pero aún deben publicar una política de derechos de autor y un cierto grado de resumen de datos de entrenamiento. Los modelos más capaces o de alto impacto, aquellos que requieren más de 10²⁵ operaciones de punto flotante multiplicadas (es decir, 10,000,000,000,000,000,000,000,000) para entrenar, están sujetos a obligaciones adicionales, incluyendo pruebas adversariales, evaluaciones de modelos, mitigación de riesgos relacionados con sesgos y seguridad, informes de incidentes y ciberseguridad adecuada - esto cubre los llamados modelos de IA de riesgo sistémico.
Para los proveedores de propósito general, el reglamento se complementó con un 'Código de Práctica de IA de Propósito General' publicado por primera vez el 10 de julio de 2025. Contiene tres capítulos principales que cubren transparencia, derechos de autor y seguridad/seguridad prevista, ayudando a los proveedores a demostrar su alineación con el reglamento.
Cumplimiento y aplicación extraterritorial
La Ley de IA construye una estructura de gobernanza integral, estableciendo una Junta Europea de Inteligencia Artificial con representantes de los estados miembros para promover la cooperación, la coherencia y la orientación. Las autoridades nacionales de supervisión independientes cooperan con el organismo, las quejas, las tareas de vigilancia del mercado y las medidas de cumplimiento. Al igual que con el RGPD, la ley también tiene en mente el alcance extraterritorial para los proveedores externos: si ofrecen sistemas o servicios de IA dentro de la Unión, sus empresas nacionales deben cumplir, incluso si están físicamente establecidas en otras partes del mundo.
Exenciones y alcance
Los sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional están excluidos del reglamento, al igual que los sistemas desarrollados para investigación y desarrollo científico puro. La redacción no deja espacio para actividades fuera de las líneas de exención. El uso no profesional tampoco está cubierto. El reglamento no crea por sí mismo derechos individuales, sino que impone obligaciones a los proveedores y organizaciones de manera que los derechos sobre aquellos parecen