El Reglamento Europeo de Inteligencia Artificial (RIA) ya está aquí, marcando un antes y un después en el uso y desarrollo de la IA en la Unión Europea. Este marco normativo crucial introduce un conjunto de obligaciones significativas para todos los operadores, proveedores y responsables del despliegue de sistemas de IA, con una entrada en vigor escalonada que ya ha comenzado.
Entrada en vigor escalonada: Fechas clave y lo que ya aplica
Aunque el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, entró en vigor el 2 de agosto de 2024, su aplicación completa es gradual. La complejidad de este marco normativo y la necesidad de dar tiempo a los implicados para adaptarse a las nuevas exigencias justifican esta medida, buscando una mayor seguridad jurídica.
- Desde el2 de agosto de 2024, ya están vigentes las disposiciones relacionadas con la gobernanza, es decir, las reglas sobre la creación de organismos y mecanismos de supervisión. Esto incluye el establecimiento de autoridades nacionales competentes y el Comité Europeo de Inteligencia Artificial.
- El2 de febrero de 2025 entraron en vigor las prohibiciones y disposiciones generales relacionadas con ciertas prácticas de IA. Esto significa que las reglas sobre los usos de la IA considerados de «riesgo inaceptable» comenzaron a aplicarse plenamente.
- El2 de agosto de 2025 será el próximo hito importante con la activación del régimen sancionador, un incentivo considerable para el cumplimiento de la normativa.
- Finalmente, el2 de agosto de 2026 será la fecha de aplicación plena del RIA, abarcando todas las demás disposiciones, incluyendo las relativas a los sistemas de IA de alto riesgo.
El derecho-deber de alfabetización en IA
El artículo 4 del RIA establece la obligatoriedad de la alfabetización en materia de IA como un eje estratégico para un despliegue correcto y ético de la IA, tanto en el sector público como privado.
¿Qué se entiende por alfabetización en IA?
Según el artículo 3 del RIA, se define como: «las capacidades, los conocimientos y la comprensión que permiten a los proveedores, responsables del despliegue y demás personas afectadas… llevar a cabo un despliegue informado de los sistemas de IA y tomar conciencia de las oportunidades y los riesgos que plantea la IA, así como de los perjuicios que puede causar.» Se enfatiza la comprensión profunda del modelo, sus oportunidades y riesgos, y la conciencia sobre los posibles perjuicios.
¿A quién aplica el deber de alfabetización?
- Sujetos con un deber activo (proveedores y responsables del despliegue): son quienes deben proporcionar esta alfabetización.
- Proveedores: personas físicas o jurídicas, autoridades públicas que desarrollen, introduzcan en el mercado o pongan en servicio un sistema o modelo de IA bajo su propio nombre o marca.
- Responsables del despliegue: personas físicas o jurídicas, autoridades públicas que utilicen un sistema de IA bajo su propia autoridad (excluido el uso personal no profesional).
- Sujetos con un derecho activo (personal y colaboradores): tienen derecho a ser alfabetizados, sea cual sea la fórmula de colaboración.
Los programas de formación o capacitación deben ser personalizados y adaptados a los destinatarios, considerando sus conocimientos técnicos, experiencia, educación, formación y el contexto de uso de los sistemas de IA. Es fundamental tener en cuenta a colectivos vulnerables o con mayor riesgo de brecha digital.
Sistemas de IA prohibidos: Artículo 5 del Reglamento
A partir del 2 de febrero de 2025, se activaron las prohibiciones del artículo 5, que vetan la introducción en el mercado, la puesta en servicio y la utilización de sistemas de IA que contravengan los valores de la Unión y pongan en riesgo los derechos fundamentales. Estas prácticas, por su elevado riesgo, no permiten una gestión de riesgos que garantice su mitigación.
Prácticas prohibidas (ejemplos):
- Uso de técnicas subliminales o manipuladoras que alteren sustancialmente el comportamiento de una persona o colectivo, causando perjuicios considerables.
- Explotación de vulnerabilidades de personas (edad, discapacidad, situación socioeconómica) con el fin de alterar sustancialmente su comportamiento y causar perjuicios considerables.
- Evaluación o clasificación de personas basada en comportamiento social o características personales para generar puntuación ciudadana que resulte en trato perjudicial o desfavorable injustificado.
- Evaluación o predicción del riesgo de que una persona cometa un delito basándose únicamente en la elaboración de perfiles o rasgos de personalidad (no aplica a sistemas que apoyen la valoración humana basada en hechos objetivos).
- Creación o ampliación de bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes de internet o CCTV.
- Inferencia de emociones en lugares de trabajo y centros educativos, excepto por motivos médicos o de seguridad.
Régimen sancionador: El incentivo al cumplimiento
Como ya mencionamos, a partir del 2 de agosto de 2025 se activará el régimen sancionador. Los Estados miembros están obligados a establecer sanciones y otras medidas de ejecución, como advertencias o medidas no pecuniarias.
- Multas: podrán ascender hasta 35 millones de euros o el 7 % de los ingresos anuales globales de la empresa en el ejercicio fiscal anterior, aplicándose la cantidad que resulte más elevada.
- Supervisión en España: la Agencia Española de Supervisión de Inteligencia Artificial (AESIA) tiene la competencia para supervisar y, en su caso, sancionar los incumplimientos de la normativa europea y nacional sobre IA.
En definitiva, es fundamental adoptar una política de IA interna que asegure un despliegue ético y responsable, así como el cumplimiento normativo. Dicha política debe contemplar:
- Un programa de alfabetización para empleados y colaboradores.
- Medidas para evaluar constantemente la posible utilización de sistemas de IA prohibidos, más allá de la revisión inicial exigida por la activación del artículo 5.
- Un organigrama de gestión claro: ¿quién se ocupará de estas tareas? ¿Habrá unChief Artificial Intelligence Officer? ¿Serán los responsables de Compliance? Estas preguntas requieren respuestas adaptadas a cada organización.
La ausencia de directrices claras sobre el uso de la IA en las organizaciones es uno de los mayores riesgos actuales, facilitando un uso anárquico y sin control. Por ello, la elaboración, despliegue y comunicación de políticas de uso de la IA, donde se establezcan los sistemas permitidos, prohibidos y los que requieren autorización, son tareas esenciales e inmediatas.
El objetivo final es asegurar una IA ética y responsable, respetuosa con los valores de la Unión, los derechos de las personas y con un enfoque centrado en el ser humano.
