La Propuesta de Ley de IA de la UE de 2021 es una iniciativa regulatoria emblemática de la Comisión Europea para gobernar el desarrollo y uso de la inteligencia artificial dentro de la Unión Europea. Propuesta el 21 de abril de 2021, tiene como objetivo establecer un marco legal común para la IA, clasificando los sistemas por riesgo e imponiendo obligaciones correspondientes a proveedores y desplegadores. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones implementadas gradualmente durante los siguientes 6 a 36 meses, y se aplica extraterritorialmente a proveedores fuera de la UE con usuarios dentro del bloque.
La propuesta experimentó una revisión significativa para abordar el auge de los sistemas de IA generativa como ChatGPT, cuyas capacidades de propósito general no encajaban en las categorías de riesgo originales. Fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024.
Clasificación Basada en Riesgo
La Ley adopta un modelo de seguridad de productos, asignando deberes regulatorios que aumentan con el daño potencial. Define cuatro niveles de riesgo principales más una categoría separada para la IA de propósito general:
- Riesgo inaceptable: Las aplicaciones prohibidas incluyen aquellas que manipulan el comportamiento humano, utilizan identificación biométrica remota en tiempo real en espacios públicos o permiten la puntuación social. Se aplican exenciones limitadas para casos específicos.
- Riesgo alto: Los sistemas en salud, educación, contratación, infraestructura crítica, aplicación de la ley o justicia deben cumplir con obligaciones de calidad, transparencia, supervisión humana y seguridad. Algunos requieren una Evaluación de Impacto en Derechos Fundamentales antes del despliegue, y los ciudadanos pueden presentar quejas o solicitar explicaciones sobre decisiones que afecten sus derechos.
- Riesgo limitado: Se aplican obligaciones de transparencia, como informar a los usuarios de que están interactuando con IA o de que contenido como los deepfakes es generado por IA.
- Riesgo mínimo: Los sistemas no regulados, como videojuegos o filtros de spam, se encuentran aquí. Los estados miembros no pueden imponer reglas adicionales debido a la armonización máxima, aunque se sugiere un código de conducta voluntario.
La lista de aplicaciones de alto riesgo puede ampliarse sin modificar la Ley en sí. El Servicio de Investigación del Parlamento Europeo señaló que la evaluación de impacto de la Comisión se basó en consultas a las partes interesadas y en investigaciones existentes al diseñar este marco.
Disposiciones sobre IA de Propósito General
Añadida en 2023, esta categoría cubre modelos fundacionales como los grandes modelos de lenguaje que realizan una amplia gama de tareas. Los modelos de código abierto deben publicar un resumen de datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado enfrentan requisitos de transparencia más amplios. Los modelos de alto impacto que requieren más de 10^25 operaciones de coma flotante para entrenarse se designan como de riesgo sistémico y deben someterse a evaluaciones de modelos, pruebas adversariales, mitigación de riesgos por sesgos y fallos de seguridad, notificación de incidentes y medidas adecuadas de ciberseguridad.
Un Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación es voluntaria.
Exenciones y Alcance
Los artículos 2.3 y 2.6 eximen a los sistemas de IA utilizados exclusivamente con fines militares, de defensa o de seguridad nacional, así como a la investigación y desarrollo científico puro. La Ley no crea derechos individuales, sino que impone deberes a proveedores y desplegadores profesionales. Cubre la mayoría de los sectores, con el uso personal no profesional también excluido.
Marco Institucional
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos, puede aplicarse a proveedores fuera de la UE si tienen usuarios dentro del bloque, extendiendo su alcance regulatorio a nivel global.
La implementación gradual significa que las obligaciones entrarán en funcionamiento progresivamente durante 6 a 36 meses desde agosto de 2024, permitiendo a las partes interesadas tiempo para adaptarse. El marco está diseñado para equilibrar la innovación con la protección de la salud, la seguridad y los derechos fundamentales, reflejando un enfoque preventivo en la gobernanza de la IA.