La Ley de Inteligencia Artificial (Ley de IA) es un reglamento de la Unión Europea que establece un marco regulatorio y legal común para la inteligencia artificial en toda la UE. Clasifica las aplicaciones de IA en cuatro niveles de riesgo - inaceptable, alto, limitado y mínimo - más una categoría separada para la IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas por completo, sujetas a exenciones específicas. El reglamento entró en vigor el 1 de agosto de 2024, con disposiciones implementadas gradualmente durante los siguientes 6 a 36 meses.
La prohibición de los sistemas de IA de riesgo inaceptable es el nivel más estricto del enfoque basado en el riesgo de la Ley de IA. Se dirige a aplicaciones de IA que representan una amenaza clara para los derechos fundamentales, la seguridad o los procesos democráticos de las personas dentro de la UE. A diferencia de los sistemas de alto riesgo, que deben cumplir obligaciones de conformidad, los sistemas de riesgo inaceptable no están permitidos en el mercado de la UE a menos que se encuentren dentro de excepciones definidas de manera estricta. Esta prohibición se aplica extraterritorialmente, reflejando el Reglamento General de Protección de Datos, a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Alcance de la Prohibición
La Ley de IA prohíbe las aplicaciones de IA que manipulan el comportamiento humano de maneras que eluden el libre albedrío, como técnicas subliminales o la explotación de vulnerabilidades de grupos específicos (por ejemplo, niños o personas con discapacidad) para causar daño. También prohíbe la puntuación social - la clasificación de individuos basada en características personales, estatus socioeconómico o comportamiento - cuando es utilizada por autoridades públicas para un trato perjudicial. La identificación biométrica remota en tiempo real (incluido el reconocimiento facial) en espacios de acceso público está prohibida para fines de aplicación de la ley, con excepciones limitadas para delitos graves específicos, terrorismo o personas desaparecidas, sujetas a autorización judicial.
Prácticas adicionales prohibidas incluyen la IA que explota vulnerabilidades debidas a la edad, discapacidad o situación social o económica, y la IA que infiere emociones en entornos laborales o educativos, excepto por razones médicas o de seguridad. La lista es exhaustiva; ninguna otra práctica está automáticamente prohibida bajo esta categoría. La Comisión Europea puede actualizar la lista mediante actos delegados, pero cualquier ampliación requiere una revisión legislativa completa.
Exenciones de la Prohibición
Los artículos 2.3 y 2.6 de la Ley de IA eximen los sistemas de IA utilizados exclusivamente para fines militares, de defensa o de seguridad nacional, así como la investigación y el desarrollo científico puro. Estas exenciones son limitadas: el sistema de IA debe utilizarse únicamente para esos fines, no en una capacidad de doble uso. El uso personal no profesional de la IA también está fuera del alcance. Las exenciones no se aplican al despliegue comercial ni a sistemas utilizados en contextos civiles, incluso si son desarrollados por agencias militares o de seguridad.
Para la identificación biométrica remota en tiempo real, la prohibición incluye una disposición específica para la aplicación de la ley en tres escenarios: buscar víctimas de secuestro o trata, prevenir una amenaza terrorista inminente y grave, y localizar o identificar a una persona sospechosa de un delito grave (según lo definido por la legislación nacional). Cualquier uso debe ser autorizado por una autoridad judicial o administrativa independiente, y la decisión debe basarse en evidencia objetiva. La autorización está limitada en el tiempo y restringida geográficamente, con informes obligatorios al Comité Europeo de Inteligencia Artificial.
Contexto Histórico y Proceso Legislativo
La Comisión Europea propuso la Ley de IA el 21 de abril de 2021. El borrador original no incluía una categoría dedicada para la IA de propósito general, pero el rápido auge de los sistemas de IA generativa como ChatGPT - construidos sobre modelos de lenguaje grandes - impulsó una revisión. El Parlamento Europeo aprobó la Ley el 13 de marzo de 2024, y el Consejo de la UE la aprobó por unanimidad el 21 de mayo de 2024. El texto final incorporó la categoría de IA de propósito general, que se añadió en 2023 para abordar los modelos fundacionales que pueden realizar una amplia gama de tareas.
La prohibición de prácticas de riesgo inaceptable estaba presente en la propuesta inicial, pero su alcance se refinó durante las negociaciones. Los borradores tempranos incluían una prohibición más amplia sobre la IA utilizada para 'técnicas manipulativas', que se redujo para centrarse en técnicas que eluden el libre albedrío. La prohibición de la puntuación social también se aclaró para aplicarse específicamente a autoridades públicas, no a entidades privadas, aunque el uso privado que conduzca a un trato perjudicial puede aún estar cubierto por otras disposiciones.
Cumplimiento y Aplicación
El Comité Europeo de Inteligencia Artificial, establecido por la Ley, promueve la cooperación nacional y garantiza una aplicación coherente. Las autoridades nacionales de supervisión son responsables de monitorear el cumplimiento dentro de sus estados miembros. Para los sistemas de riesgo inaceptable, la obligación principal es no colocarlos en el mercado ni utilizarlos. Si se descubre que un proveedor o implementador está utilizando un sistema prohibido, enfrentan sanciones - hasta 35 millones de euros o el 7% del volumen de negocios anual global, lo que sea mayor, por violaciones de la prohibición.
La aplicación se basa en el riesgo: las autoridades pueden realizar vigilancia del mercado, solicitar documentación y llevar a cabo auditorías. La Ley no crea derechos individuales, por lo que los ciudadanos no pueden demandar directamente por daños bajo la propia Ley de IA; deben depender de las leyes nacionales existentes o del Reglamento General de Protección de Datos. Sin embargo, los ciudadanos pueden presentar quejas ante las autoridades nacionales sobre sistemas de IA, incluidos aquellos que creen que caen bajo la prohibición de riesgo inaceptable.
Relación con Otras Categorías de Riesgo
La prohibición de sistemas de riesgo inaceptable se sitúa junto a otros tres niveles. Las aplicaciones de alto riesgo - como la IA utilizada en salud, educación, contratación, infraestructura crítica, aplicación de la ley o justicia - deben cumplir obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Algunos sistemas de alto riesgo requieren una Evaluación de Impacto sobre Derechos Fundamentales antes del despliegue. Los sistemas de riesgo limitado, como los generadores de deepfake, solo tienen obligaciones de transparencia. Los sistemas de riesgo mínimo, como la IA de videojuegos o los filtros de spam, no están regulados, y los estados miembros no pueden imponer reglas adicionales debido a la armonización máxima.
La distinción entre riesgo inaceptable y alto riesgo no siempre es clara en la práctica. Por ejemplo, un sistema de IA utilizado para el reconocimiento de emociones en la contratación podría considerarse de alto riesgo (porque afecta la contratación) pero también podría estar prohibido si explota vulnerabilidades. La Comisión Europea ha publicado directrices para ayudar a clasificar casos límite, pero a partir de 2025, estas no son vinculantes. Los académicos jurídicos señalan que el esquema basado en el riesgo sigue un modelo de seguridad de productos, donde los deberes regulatorios aumentan con el impacto potencial en la salud, la seguridad o los derechos fundamentales.
IA de Propósito General y la Prohibición
Los modelos de IA de propósito general, incluidos los modelos fundacionales, no están automáticamente prohibidos, pero están sujetos a requisitos de transparencia. Los modelos de código abierto deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado enfrentan deberes de transparencia más amplios. Los modelos de alto impacto que requieren más de 10^25 operaciones de punto flotante para entrenarse deben someterse a una evaluación adicional por riesgos sistémicos. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe capítulos sobre transparencia, derechos de autor y seguridad, aunque la participación es voluntaria.
La prohibición de prácticas de riesgo inaceptable se aplica a la IA de propósito general cuando se utiliza en aplicaciones prohibidas. Por ejemplo, un sistema de IA generativa utilizado para la puntuación social estaría prohibido, incluso si el modelo subyacente es legal por lo demás. Esto crea una obligación dual: los proveedores deben asegurarse de que sus modelos no se utilicen de maneras prohibidas, y los implementadores no deben utilizarlos en tales contextos. La Ley no requiere que los proveedores incorporen salvaguardas técnicas contra usos prohibidos, pero deben proporcionar documentación que ayude a los implementadores a comprender las capacidades y limitaciones del modelo.
Impacto y Críticas
La prohibición ha sido elogiada por grupos de la sociedad civil por establecer un precedente sólido en la regulación de la IA, particularmente en lo que respecta al reconocimiento facial y la puntuación social. Sin embargo, los críticos de la industria argumentan que la prohibición es demasiado amplia y podría sofocar la innovación, especialmente en aplicaciones de aprendizaje automático que tienen usos legítimos. Algunos expertos legales han señalado que las exenciones para fines militares y de seguridad nacional son amplias y podrían explotarse, aunque la Ley requiere que tales sistemas se utilicen 'exclusivamente' para esos fines.
El alcance extraterritorial de la prohibición también ha llamado la atención. Las empresas no pertenecientes a la UE, incluidos los principales desarrolladores de IA como OpenAI, Anthropic y Google DeepMind, deben asegurarse de que sus sistemas no participen en prácticas prohibidas al atender a usuarios de la UE. Esto ha llevado a esfuerzos de cumplimiento, como el bloqueo geográfico o el ajuste del comportamiento del sistema. A partir de 2025, no se han informado públicamente acciones de aplicación importantes, pero la Comisión Europea ha indicado que priorizará el monitoreo de los sistemas de riesgo inaceptable.
La prohibición de la IA de riesgo inaceptable en la Ley de IA representa una desviación significativa de los enfoques anteriores, más voluntarios, para la gobernanza de la IA. Establece una línea roja clara para ciertas aplicaciones, mientras deja espacio para que los sistemas de alto riesgo operen bajo condiciones estrictas. La implementación gradual de las disposiciones significa que la aplicación completa de la prohibición estará terminada para agosto de 2027, con plazos anteriores para obligaciones específicas. El impacto práctico dependerá de cómo las autoridades nacionales interpreten las exenciones y de cómo la Comisión Europea actualice la lista de prácticas prohibidas en respuesta a los desarrollos tecnológicos.