A Lei de IA da UE de 2025 marca o início da aplicação operacional da Lei de Inteligência Artificial, um regulamento da União Europeia que estabelece um quadro regulatório e jurídico comum para a inteligência artificial. O regulamento entrou em vigor em 1 de agosto de 2024, com disposições que entraron em operação gradualmente ao longo dos 6 a 36 meses seguintes. Em 2025, obrigações fundamentais começaram a aplicar-se a provedores e implantadores de sistemas de IA dentro da UE, incluindo aqueles de fora do bloco que tenham usuários dentro da UE, refletindo o alcance extraterritorial do Regulamento Geral de Proteção de Dados.
A Lei abarca a maioria dos sistemas de IA em uma amplia gama de setores, com exenciones para IA usada somente para fins militares, de segurança nacional, de pesquisa ou para uso não profissional. Como forma de regulamentação de produtos, não cria direitos individuais; em cambio, impõe deveres aos provedores de IA e às organizações que usam IA em um contexto profissional. O regulamento foi proposto pela Comisión Europea em 21 de abril de 2021, aprovado pelo Parlamento Europeo em 13 de marzo de 2024 e aprovado por unanimidade pelo Consejo de la UE em 21 de mayo de 2024. O projeto foi revisado para abordar o aumento na popularidade de sistemas de IA generativa, como ChatGPT, cujas capacidades de propósito geral não se ajustaban ao marco principal.
Categorías de Riesgo
A Lei clasifica las aplicaciones de IA no exentas según su riesgo de causar daño, con cuatro niveles – inaceptable, alto, limitado, mínimo – más una categoría adicional para IA de propósito general. Las aplicaciones con riesgos inaceptables están prohibidas. Las aplicaciones de alto riesgo deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad. Las aplicaciones de riesgo limitado solo tienen obligaciones de transparencia. Las aplicaciones de riesgo mínimo no están reguladas.
El riesgo inaceptable incluye aplicaciones de IA que manipulan el comportamiento humano, aquellas que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos, y las utilizadas para la puntuación social – clasificar individuos según sus características personales, estatus socioeconómico o comportamiento. Las prohibiciones se aplican excepto por exenciones específicas.
Las aplicaciones de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas. En particular, los sistemas de IA utilizados en salud, educación, reclutamiento, gestión de infraestructuras críticas, aplicación de la ley o justicia caen en esta categoría. Están sujetos a obligaciones de calidad, transparencia, supervisión humana y seguridad, y en algunos casos requieren una Evaluación de Impacto en Derechos Fundamentales (FRIA) antes de su implementación. Una FRIA es una revisión ex ante para identificar y mitigar posibles impactos en los derechos fundamentales antes de que se implemente un sistema de IA. Estos sistemas deben ser evaluados tanto antes de ser colocados en el mercado como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones sobre las decisiones tomadas por IA de alto riesgo que afecten sus derechos.
El riesgo limitado incluye aplicaciones de IA que permiten generar o manipular imágenes, sonido o videos (como los deepfakes). Estos sistemas tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas.
El riesgo mínimo incluye sistemas de IA utilizados para videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Estos sistemas no están regulados, y los Estados miembros no pueden imponer regulaciones adicionales debido a las reglas de armonización máxima. Las leyes nacionales existentes sobre el diseño o uso de tales sistemas quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario.
IA de Propósito General
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales que pueden realizar una amplia gama de tareas, como los desarrollados por OpenAI, Anthropic o Google DeepMind. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir con requisitos de transparencia más amplios. Los modelos de alto impacto que presentan riesgos sistémicos – que requieren más de 10^25 operaciones de punto flotante para entrenar – deben someterse a una evaluación adicional.
Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar el cumplimiento de la Ley de IA. La participación en el código es voluntaria. Más allá de los deberes básicos de transparencia, la Ley establece una lista común de obligaciones para los proveedores de modelos de IA de propósito general. Deben publicar un resumen de los datos de entrenamiento, adoptar una política para cumplir con la ley de derechos de autor y proporcionar documentación técnica a los proveedores posteriores y a las autoridades supervisoras. Los modelos designados como de riesgo sistémico también deben llevar a cabo evaluaciones de modelos y pruebas adversariales, evaluar y mitigar riesgos como el sesgo y las fallas de seguridad, informar incidentes graves y garantizar un nivel adecuado de ciberseguridad.
Exenciones
Los artículos 2.3 y 2.6 eximen de la Ley de IA a los sistemas de IA utilizados para fines militares o de seguridad nacional o para investigación y desarrollo científico puro. El regulamento no se aplica cuando los sistemas de IA se utilizan exclusivamente para fines militares, de defensa o de seguridad nacional, o a sistemas desarrollados y puestos en servicio únicamente para investigación científica. Esta exención no cubre los sistemas de IA utilizados en contextos civiles, incluso si son desarrollados por organizaciones militares o de seguridad.
Gobernanza y Cumplimiento
La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento del regulamento. Esta junta coordina las autoridades supervisoras en los estados miembros, similar a la estructura establecida bajo el Reglamento General de Protección de Datos. La junta es responsable de emitir orientación, facilitar la aplicación consistente y abordar casos transfronterizos que involucren sistemas de IA.
En 2025, las actividades de aplicación comenzaron en serio. Las autoridades supervisoras nacionales comenzaron a realizar evaluaciones de conformidad para los sistemas de IA de alto riesgo colocados en el mercado. Los proveedores de modelos de IA de propósito general debían registrar sus modelos y presentar documentación. La Comisión Europea también comenzó a desarrollar actos de implementación y directrices para aclarar disposiciones específicas, incluidos estándares técnicos para evaluaciones de conformidad y procedimientos para la Junta Europea de Inteligencia Artificial.
Impacto en la Industria
El alcance extraterritorial de la Ley de IA significa que las principales empresas tecnológicas fuera de la UE, incluidas las de los Estados Unidos y Asia, deben cumplir si ofrecen servicios de IA a usuarios de la UE. Esto incluye proveedores de servicios de computación en la nube como Amazon Web Services, Microsoft Azure y Google Cloud, así como fabricantes de chips de IA como NVIDIA (aunque no está listado, es un actor clave) y AMD. El regulamento ha llevado a muchas empresas a establecer equipos de cumplimiento, realizar auditorías internas y desarrollar marcos de gestión de riesgos para sus productos de IA.
Para los proveedores de IA de propósito general, la obligación de publicar resúmenes de datos de entrenamiento y políticas de derechos de autor tiene implicaciones significativas. Las empresas que desarrollan modelos de aprendizaje automático ahora deben documentar sus fuentes de datos y garantizar el cumplimiento de la ley de derechos de autor de la UE. Esto ha llevado a un mayor escrutinio de las prácticas de adquisición de datos de entrenamiento, particularmente para sistemas de IA generativa que dependen de vastos conjuntos de datos extraídos de internet.
Cronología y Transición
Las disposiciones de la Ley de IA se están implementando gradualmente durante 6 a 36 meses desde su entrada en vigor el 1 de agosto de 2024. En 2025, los primeros plazos importantes entraron en vigor. Para el 2 de febrero de 2025, las prohibiciones sobre aplicaciones de IA de riesgo inaceptable se hicieron aplicables. Para el 2 de agosto de 2025, las obligaciones para los modelos de IA de propósito general se hicieron aplicables. Los requisitos para los sistemas de IA de alto riesgo están programados para aplicarse en etapas, con el primer conjunto de obligaciones volviéndose aplicable en agosto de 2026 y el resto en agosto de 2027.
Durante este período de transición, la Comisión Europea ha estado trabajando con los estados miembros y las partes interesadas de la industria para desarrollar directrices de implementación y estándares armonizados. La Junta Europea de Inteligencia Artificial se ha establecido y celebró sus primeras reuniones en 2025. El Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, sirve como una herramienta práctica para que los proveedores demuestren cumplimiento, aunque la participación sigue siendo voluntaria.
Contexto Más Amplio
La Ley de IA es parte de una tendencia global más amplia hacia la regulación de la IA. Sigue al Reglamento General de Protección de Datos de la UE en el establecimiento de un marco regulatorio integral para las tecnologías digitales. El enfoque basado en riesgos de la Ley ha sido influyente en otras jurisdicciones, aunque la UE sigue siendo la primera economía importante en promulgar legislación horizontal vinculante sobre IA. El énfasis del regulamento en los derechos fundamentales y la seguridad refleja debates en curso sobre el impacto social de la IA, incluidas las preocupaciones sobre sesgo, discriminación y responsabilidad en la toma de decisiones automatizada.
Las disposiciones de la Ley sobre transparencia para sistemas de IA de riesgo limitado, como los deepfakes, abordan las crecientes preocupaciones sobre la desinformación y la manipulación. El requisito de que los sistemas de IA de alto riesgo se sometan a evaluaciones de conformidad y evaluaciones de impacto en los derechos fundamentales tiene como objetivo garantizar que la implementación de la IA respete los valores y principios legales de la UE. A partir de 2025, el impacto completo del regulamento en la innovación y la competitividad aún está por verse, con discusiones en curso sobre el equilibrio entre la regulación y el fomento del desarrollo de la IA en Europa.