La Ley de Inteligencia Artificial (Ley de IA) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial (IA) dentro de la UE. Entró en vigor el 1 de agosto de 2024, con disposiciones que se aplicarán gradualmente durante los siguientes 6 a 36 meses. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para la IA utilizada únicamente con fines militares, de seguridad nacional, de investigación o para uso no profesional. Como forma de regulación de productos, no crea derechos individuales; en cambio, impone obligaciones a los proveedores de IA y a las organizaciones que utilizan la IA en un contexto profesional.
La Ley clasifica las aplicaciones de IA no exentas según su riesgo de causar daño. Hay cuatro niveles - inaceptable, alto, limitado, mínimo - más una categoría adicional para la IA de propósito general. Para la IA de propósito general, se imponen requisitos de transparencia, con requisitos reducidos para los modelos de código abierto, y evaluaciones adicionales para los modelos de alta capacidad. La Ley también crea un Consejo Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Historial Legislativo
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. Fue aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador de la Ley se revisó para abordar el aumento en la popularidad de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. La categoría de IA de propósito general se añadió en 2023, reflejando el rápido desarrollo de los modelos de lenguaje grandes y otros sistemas de IA generativa.
Categorías de Riesgo
La Ley adopta un enfoque basado en el riesgo, asignando obligaciones regulatorias a los proveedores y despliegues de sistemas de IA. Estas obligaciones se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales. Las categorías son:
- Riesgo inaceptable - Las aplicaciones de IA en esta categoría están prohibidas, excepto por exenciones específicas. Esto incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y aquellas utilizadas para la puntuación social (clasificar individuos según sus características personales, estatus socioeconómico o comportamiento).
- Riesgo alto - Aplicaciones de IA que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales. Esto incluye sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto sobre Derechos Fundamentales antes de su despliegue. Deben evaluarse tanto antes de su colocación en el mercado como a lo largo de su ciclo de vida. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten sus derechos.
- Riesgo limitado - Los sistemas de IA en esta categoría tienen obligaciones de transparencia, asegurando que los usuarios sean informados de que están interactuando con un sistema de IA. Esto incluye aplicaciones de IA que generan o manipulan imágenes, sonido o videos (como los deepfakes).
- Riesgo mínimo - Esto incluye sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Se sugiere un código de conducta voluntario.
El esquema basado en el riesgo sigue un modelo de seguridad de productos, asegurando que la supervisión se centre en sistemas que probablemente creen riesgos significativos mientras permite enfoques más ligeros para usos considerados menos sensibles. Algunos académicos legales argumentan que, en la práctica, la Ley enmarca la "IA confiable" como sistemas que pueden demostrar cumplimiento con estos umbrales de seguridad y riesgo.
Obligaciones de IA de Propósito General
La categoría de IA de propósito general incluye modelos fundacionales (por ejemplo, ChatGPT) que pueden realizar una amplia gama de tareas. Los proveedores de modelos de IA de propósito general deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades supervisoras. Si los pesos y el diseño del modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir con requisitos de transparencia más amplios.
Los modelos de alto impacto que plantean riesgos sistémicos (requieren más de 10^25 operaciones de punto flotante para entrenarse) deben someterse a una evaluación adicional. Estos modelos también deben llevar a cabo evaluaciones de modelos y pruebas adversarias, evaluar y mitigar riesgos como sesgos y fallos de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Un Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento con la Ley de IA. La participación en el código es voluntaria.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados para fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El Reglamento no se aplica cuando los sistemas de IA se utilizan exclusivamente para fines militares, de defensa o de seguridad nacional, o a sistemas desarrollados y puestos en servicio únicamente para investigación científica. El uso no profesional también está exento.
Cumplimiento y Extraterritorialidad
La Ley crea un Consejo Europeo de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del reglamento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE. Esto significa que empresas como OpenAI, Anthropic y Google DeepMind pueden estar sujetas a la Ley si ofrecen servicios a usuarios de la UE.
Impacto en el Desarrollo de la IA
Las disposiciones de IA de propósito general de la Ley de IA tienen implicaciones significativas para el desarrollo y despliegue de sistemas de IA. Los proveedores ahora deben considerar las obligaciones de transparencia y derechos de autor desde la etapa de diseño. El requisito de publicar resúmenes de datos de entrenamiento puede afectar a los modelos propietarios, mientras que los modelos de código abierto enfrentan requisitos reducidos, potencialmente fomentando un desarrollo más abierto. Las evaluaciones de riesgo sistémico para modelos de alta capacidad podrían influir en el entrenamiento de redes neuronales muy grandes, ya que los proveedores pueden necesitar asignar recursos para pruebas de seguridad.
La Ley también interactúa con tendencias más amplias en aprendizaje automático y aprendizaje profundo. Por ejemplo, el enfoque en la transparencia se alinea con los esfuerzos para documentar datos de entrenamiento y comportamiento del modelo, como se ve en la investigación sobre poda de modelos y aumento de datos. Los requisitos de documentación técnica de la Ley pueden empujar a los proveedores a adoptar prácticas más rigurosas, como las utilizadas en arquitecturas transformer y mecanismos de atención multi-cabeza.
Recepción y Crítica
La Ley de IA ha recibido reacciones mixtas. Algunas partes interesadas acogen con satisfacción la claridad regulatoria que proporciona, mientras que otras expresan preocupaciones sobre los costos de cumplimiento y el posible estancamiento de la innovación. El alcance extraterritorial ha sido un punto particular de debate, ya que puede afectar a los proveedores globales de IA. El código de práctica voluntario para sistemas de riesgo mínimo se considera un enfoque flexible, pero algunos argumentan que las categorías de riesgo de la Ley no siempre son claras, especialmente para la IA de propósito general que puede utilizarse en múltiples contextos.
A partir de 2025, la Ley está en su fase de implementación gradual, con disposiciones que entran en operación durante 6 a 36 meses desde agosto de 2024. El impacto completo en la industria de la IA se aclarará a medida que comience el cumplimiento y se desarrolle la jurisprudencia.