La Ley de Inteligencia Artificial de la Unión Europea (Ley de IA), que entró en vigor el 1 de agosto de 2024, establece un marco regulatorio basado en el riesgo para la inteligencia artificial. Entre sus cuatro categorías de riesgo, los sistemas de IA de alto riesgo son aquellos que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales. Estos sistemas enfrentan las obligaciones más estrictas bajo la regulación, incluidos los procedimientos obligatorios de evaluación de la conformidad, los requisitos de transparencia, la supervisión humana y, en ciertos casos, una Evaluación de Impacto sobre los Derechos Fundamentales (FRIA, por sus siglas en inglés) antes de su implementación. La Ley de IA fue propuesta por la Comisión Europea el 21 de abril de 2021, aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. Sus disposiciones se están implementando gradualmente en un período de 6 a 36 meses desde su entrada en vigor.
La clasificación de alto riesgo se aplica a los sistemas de IA utilizados en sectores críticos como la salud, la educación, la contratación, la gestión de infraestructuras críticas, la aplicación de la ley y la justicia. Estos sistemas deben cumplir con obligaciones de calidad, transparencia y seguridad a lo largo de todo su ciclo de vida, desde el diseño hasta la implementación. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA, lo que permite que la regulación se adapte a los riesgos emergentes. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA de alto riesgo y a recibir explicaciones sobre las decisiones tomadas por dichos sistemas que afecten a sus derechos.
Definición y Alcance
Los sistemas de IA de alto riesgo se definen en la Ley de IA como aplicaciones que probablemente causen daños significativos a las personas o a la sociedad. La clasificación se basa en el propósito previsto del sistema, no en su tecnología subyacente. Por ejemplo, un sistema de IA utilizado para el diagnóstico médico es de alto riesgo, mientras que el mismo algoritmo utilizado para la clasificación administrativa de documentos puede ser de riesgo mínimo. La Ley cubre la mayoría de los sistemas de IA en una amplia gama de sectores, con exenciones para el uso militar, la seguridad nacional, la investigación y el uso no profesional. Como forma de regulación de productos, impone obligaciones a los proveedores y usuarios, no a los individuos.
La categoría de alto riesgo incluye sistemas de IA que son componentes de seguridad de productos, o que son en sí mismos productos, sujetos a la legislación de armonización de la UE, como el Reglamento de Dispositivos Médicos o el Reglamento de Máquinas. Además, los sistemas de IA independientes en áreas específicas son de alto riesgo, incluidos la identificación biométrica, las infraestructuras críticas, la educación y la formación profesional, el empleo y la gestión de trabajadores, los servicios esenciales, la aplicación de la ley, la migración y el asilo, y la administración de justicia. El alcance es amplio, lo que refleja el potencial de estos sistemas para afectar los derechos fundamentales.
Obligaciones para Proveedores y Usuarios
Los proveedores de sistemas de IA de alto riesgo deben implementar un sistema de gestión de riesgos que identifique y mitigue los riesgos a lo largo del ciclo de vida del sistema. Deben garantizar que los datos de entrenamiento, validación y prueba sean relevantes, representativos y estén libres de sesgos. La documentación técnica debe elaborarse antes de colocar el sistema en el mercado, demostrando el cumplimiento de la Ley. Se deben incorporar capacidades de registro para permitir la trazabilidad de las operaciones del sistema. Se requiere supervisión humana, lo que significa que las personas naturales deben poder interpretar la salida del sistema y anularla cuando sea necesario.
Los usuarios, o implementadores, de sistemas de IA de alto riesgo tienen sus propias obligaciones. Deben utilizar el sistema de acuerdo con las instrucciones de uso, garantizar que los datos de entrada sean relevantes y suficientemente representativos, y monitorear el funcionamiento del sistema para detectar signos de riesgo. También deben informar a las personas afectadas de que están interactuando con un sistema de alto riesgo y, en algunos casos, realizar una Evaluación de Impacto sobre los Derechos Fundamentales antes de la implementación. Esta evaluación es una revisión ex ante para identificar y mitigar los posibles impactos en los derechos fundamentales, basándose en trabajos anteriores sobre evaluaciones de impacto algorítmico que sugieren que dichas herramientas deberían identificar a las comunidades afectadas, describir los posibles daños y proporcionar una base para el escrutinio público.
Evaluación de la Conformidad y Vigilancia del Mercado
Antes de que un sistema de IA de alto riesgo pueda colocarse en el mercado de la UE, debe someterse a una evaluación de la conformidad. Este proceso verifica que el sistema cumple con los requisitos de la Ley de IA. Para muchos sistemas de alto riesgo, el proveedor puede realizar una autoevaluación, pero para aquellos utilizados en áreas como la identificación biométrica o la aplicación de la ley, debe participar un organismo notificado. La evaluación incluye una revisión del sistema de gestión de riesgos, la gobernanza de datos, la documentación técnica y las medidas de supervisión humana. Después de pasar, el sistema recibe el marcado CE, que indica conformidad.
Las autoridades de vigilancia del mercado en cada estado miembro monitorean el cumplimiento después de la implementación. Pueden exigir a los proveedores que tomen medidas correctivas si se descubre que un sistema no cumple. La Junta Europea de Inteligencia Artificial, creada por la Ley, promueve la cooperación nacional y garantiza una aplicación coherente en toda la UE. Al igual que el Reglamento General de Protección de Datos, la Ley de IA puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE, lo que significa que las empresas no europeas también deben cumplir.
Evaluación de Impacto sobre los Derechos Fundamentales
Se requiere una Evaluación de Impacto sobre los Derechos Fundamentales (FRIA) para los sistemas de IA de alto riesgo utilizados en ciertos sectores, como servicios públicos, aplicación de la ley y migración. La FRIA debe realizarse antes de la implementación e implica un análisis detallado del posible impacto del sistema en los derechos fundamentales, incluidos la no discriminación, la privacidad y la protección de datos. Debe describir el propósito previsto del sistema, las categorías de personas afectadas y los riesgos específicos para sus derechos. Deben describirse las medidas de mitigación y la evaluación debe mantenerse actualizada.
La FRIA es una innovación clave de la Ley de IA, que refleja una tendencia más amplia hacia las evaluaciones de impacto algorítmico. Los académicos han argumentado que dichas evaluaciones deberían identificar qué individuos y comunidades se ven afectados, describir los posibles daños y proporcionar una base para el escrutinio público e institucional. El requisito de FRIA de la Ley de IA está diseñado para garantizar que los sistemas de alto riesgo se implementen solo después de una consideración cuidadosa de sus implicaciones sociales.
Alto Riesgo vs. Otras Categorías de Riesgo
La Ley de IA clasifica las aplicaciones de IA en cuatro niveles: riesgo inaceptable, alto, limitado y mínimo. Las aplicaciones de riesgo inaceptable están prohibidas por completo, incluidas aquellas que manipulan el comportamiento humano, utilizan identificación biométrica remota en tiempo real en espacios públicos o permiten la puntuación social. Las aplicaciones de alto riesgo, como se ha descrito, están sujetas a obligaciones estrictas. Las aplicaciones de riesgo limitado, como los deepfakes, solo tienen obligaciones de transparencia, que requieren que los usuarios sean informados de que están interactuando con IA. Las aplicaciones de riesgo mínimo, como los videojuegos o los filtros de spam, no están reguladas, y los estados miembros no pueden imponer restricciones adicionales debido a las reglas de armonización máxima.
Este esquema basado en el riesgo sigue un modelo de seguridad de productos, donde los deberes regulatorios aumentan con el impacto potencial. Está destinado a centrar la supervisión en sistemas que probablemente creen riesgos significativos, mientras permite enfoques más ligeros para usos menos sensibles. Algunos académicos legales argumentan que la Ley enmarca la "IA confiable" como sistemas que pueden demostrar el cumplimiento de estos umbrales de seguridad y riesgo. El Servicio de Investigación del Parlamento Europeo señaló que la evaluación de impacto de la Comisión se basó en consultas con las partes interesadas e investigaciones existentes al comparar opciones de política.
IA de Propósito General y Superposición con Alto Riesgo
En 2023, el borrador de la Ley se revisó para abordar el auge de los sistemas de IA generativa, como ChatGPT, cuyas capacidades de propósito general no encajaban en el marco principal. Se añadió una nueva categoría para la IA de propósito general, que cubre los modelos fundacionales que pueden realizar una amplia gama de tareas. Estos modelos, como los desarrollados por OpenAI, Anthropic y Google DeepMind, están sujetos a requisitos de transparencia, con obligaciones reducidas para los modelos de código abierto. Los modelos de alto impacto que presentan riesgos sistémicos, que requieren más de 10^25 operaciones de punto flotante para entrenarse, deben someterse a una evaluación adicional y pruebas adversariales.
Aunque la IA de propósito general no es automáticamente de alto riesgo, su uso en aplicaciones de alto riesgo activa las obligaciones de alto riesgo. Por ejemplo, un modelo de lenguaje grande utilizado en una herramienta de diagnóstico médico estaría sujeto a los requisitos de alto riesgo de la Ley de IA. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento. La participación en el código es voluntaria, pero proporciona un marco para cumplir con las obligaciones de la Ley.
Cumplimiento y Sanciones
El cumplimiento de la Ley de IA comienza gradualmente, con prohibiciones sobre aplicaciones de riesgo inaceptable que se aplican desde febrero de 2025, y obligaciones de alto riesgo que se aplican desde agosto de 2026. Las sanciones por incumplimiento son significativas, que van hasta 35 millones de euros o el 7% del volumen de negocios anual global, lo que sea mayor, para violaciones que involucren prácticas prohibidas. Para otras violaciones, las sanciones pueden alcanzar los 15 millones de euros o el 3% del volumen de negocios. Estas multas son comparables a las del Reglamento General de Protección de Datos, lo que refleja el compromiso de la UE con un cumplimiento sólido.
La Junta Europea de Inteligencia Artificial, compuesta por representantes de los estados miembros y la Comisión, desempeña un papel clave en la coordinación del cumplimiento. Emite orientación y opiniones para garantizar una aplicación coherente de la Ley. Las autoridades supervisoras nacionales son responsables de investigar las quejas e imponer sanciones. El alcance extraterritorial de la Ley significa que los proveedores de fuera de la UE, como los de Estados Unidos o Asia, también deben cumplir si ofrecen sistemas de IA a usuarios de la UE.
Impacto en la Innovación y la Industria
Los requisitos de alto riesgo de la Ley de IA tienen implicaciones significativas para la industria de la IA. Las empresas que desarrollan sistemas de IA para la salud, las finanzas o los servicios públicos deben invertir en medidas de cumplimiento, incluida la documentación, las pruebas y la supervisión humana. Esto puede aumentar los costos de desarrollo, pero también proporciona un marco regulatorio claro que puede aumentar la confianza en las tecnologías de IA. La Ley tiene como objetivo equilibrar la innovación con la protección, y su enfoque basado en el riesgo se considera un modelo para otras jurisdicciones.
Para los investigadores y desarrolladores de Artificial intelligence, la Ley fomenta el uso responsable de técnicas como Machine learning y Deep learning. También promueve la transparencia, lo que puede ayudar a abordar las preocupaciones sobre el sesgo y la responsabilidad. Los requisitos de la Ley sobre gobernanza de datos y registro son particularmente relevantes para los sistemas basados en Neural network y Transformer (architecture), que a menudo son opacos. Al exigir supervisión humana, la Ley busca garantizar que los sistemas de IA permanezcan bajo control humano, incluso a medida que se vuelven más autónomos.
Desarrollos Futuros
La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo, lo que permite a la UE responder a nuevos riesgos. La Ley también incluye disposiciones para un código de conducta voluntario para sistemas de riesgo mínimo, fomentando las mejores prácticas. A medida que la tecnología de IA evolucione, la Comisión Europea puede proponer actualizaciones a la Ley, y la Junta Europea de Inteligencia Artificial continuará proporcionando orientación. El éxito de la Ley dependerá de un cumplimiento efectivo y la cooperación entre los estados miembros, así como de la alineación internacional en la regulación de la IA.
En resumen, los sistemas de IA de alto riesgo bajo la Ley de IA de la UE están sujetos a algunos de los requisitos regulatorios más completos del mundo. Deben cumplir con estándares estrictos de seguridad, transparencia y supervisión humana, y someterse a evaluaciones de conformidad antes de la entrada al mercado. La Ley representa un paso importante hacia la regulación de la IA de una manera que protege los derechos fundamentales mientras fomenta la innovación. Su impacto se sentirá a nivel global, ya que muchas empresas deberán adaptarse a sus requisitos para operar en el mercado de la UE.