En proceso de creación: la primera Ley de inteligencia artificial del mundo

Ley de Inteligencia Artificial
El Parlamento Europeo y el Consejo han llegado recientemente a un acuerdo provisional sobre una propuesta para una Ley de inteligencia artificial (Ley de IA) que fue presentada inicialmente en 2021 y que ahora parece que va a ser aprobada a principios de 2024. Cabe esperar que dicha ley sea plenamente aplicable en el plazo de 2 años desde su adopción. El reglamento es un marco jurídico que regula la venta y el uso de la IA en la UE. Su objetivo es garantizar el correcto funcionamiento del mercado único de la UE, estableciendo una norma coherente para las tecnologías de IA en los Estados miembros de la UE. Este reglamento es el primero del mundo sobre IA y la UE pretende establecer un referente mundial para la industria de la IA.

Jurisdicción
La definición de IA en el reglamento dice "sistemas de IA que se introduzcan en el mercado, se pongan en servicio o se usen en la UE", lo que incluirá a desarrolladores, proveedores y vendedores globales que vendan o pongan sus sistemas a disposición de los usuarios en la UE. Sin embargo, el reglamento no incluye los sistemas de IA desarrollados exclusivamente con fines militares, de defensa y de seguridad nacional, ni los que tienen como único objetivo la investigación y la innovación.

Mecanismo de regulación
Los sistemas de IA se regulan en función del nivel de riesgo que suponen para la salud, la seguridad y los derechos fundamentales de las personas. Los sistemas de IA se clasifican en distintas categorías, conforme a un mecanismo de criterios y evaluación. Son los propios desarrolladores quienes determinan la categoría de riesgo de su sistema de IA. Del mismo modo, y con algunas excepciones, los desarrolladores podrán autoevaluar y autocertificar la conformidad de sus sistemas de IA y de sus prácticas de gobernanza con los requisitos descritos en la Ley de IA. Pueden hacerlo adoptando las próximas normas o justificando la equivalencia de otras soluciones técnicas. La clasificación errónea de un sistema de IA o el incumplimiento de las disposiciones respectivas están sujetos a una multa que oscila entre 35 millones de euros o el 7 % del volumen de negocios global y 7,5 millones de euros o el 1,5 % del volumen de negocios, dependiendo de la infracción y del tamaño de la empresa. No obstante, existen otros límites adecuados para las multas administrativas aplicables.

Diferentes categorías
Riesgo inaceptable
Los sistemas de IA clasificados como inaceptables (es una lista cerrada) están totalmente prohibidos. Incluyen:

1. Sistemas de categorización biométrica que utilizan características sensibles (por ejemplo: ideas políticas, religiosas, filosóficas, orientación sexual, raza).
2. Extracción no selectiva de imágenes faciales de Internet o de grabaciones de videovigilancia para crear bases de datos de reconocimiento facial.
3. Reconocimiento de las emociones en el lugar de trabajo y en las instituciones educativas.
4. Puntuación social basada en el comportamiento social o las características personales.
5. Sistemas de IA que manipulan el comportamiento humano para eludir su libre albedrío.
6. IA utilizada para explotar las vulnerabilidades de las personas (debido a su edad, discapacidad, situación social o económica).

Exenciones:

• Sistemas de identificación biométrica (RBI) "en diferido" (post-remote) en espacios de acceso público con fines de aplicación de la ley, sujetos a autorización judicial previa y a listas de delitos estrictamente definidas.
• Los RBI "en tiempo real" están limitados a los siguientes fines:
  • Prevención de una amenaza terrorista específica y actual.
  • Búsqueda selectiva de víctimas (secuestro, trata, explotación sexual).
  • Localización o identificación de una persona sospechosa de haber cometido uno de los delitos específicos (por ejemplo: terrorismo, trata, explotación sexual, asesinato, secuestro, violación, robo a mano armada, participación en una organización delictiva, delito contra el medio ambiente).

Alto riesgo
Estos sistemas estarán cuidadosamente regulados, ya que los sistemas de IA deberán cumplir determinados requisitos obligatorios y someterse a una evaluación previa del impacto sobre los derechos fundamentales. Los requisitos incluyen conjuntos de datos de alta calidad, el establecimiento de una gestión adecuada de la información para aumentar la trazabilidad, el suministro de información suficiente a los usuarios y un control adecuado centrado en el ser humano. Los desarrolladores de IA pueden elegir la forma de cumplir estos requisitos, teniendo en cuenta el estado de la técnica y los avances tecnológicos en este campo; es decir: pueden tener un control interno ellos mismos y una supervisión a posteriori por parte de las autoridades.

Dos categorías:

• El sistema es un componente de seguridad o un producto sujeto a normas y evaluaciones de seguridad, como juguetes o productos sanitarios.
• El sistema se utiliza para un fin sensible específico. Lista cerrada:
  • Biometría.
  • Infraestructuras críticas.
  • Educación y formación profesional.
  • Empleo, gestión de trabajadores y acceso al autoempleo.
  • Acceso a los servicios esenciales.
  • Cumplimiento de la ley.
  • Gestión de la migración, el asilo y el control de fronteras.
  • Administración de justicia y procesos democráticos.

Riesgo limitado y mínimo
Los sistemas con riesgo limitado son los que tienen un potencial de manipulación limitado. Dichos sistemas están obligados a informar a los usuarios de las circunstancias y a revelar el proceso de generación de contenidos, incluido todo aquello que interactúe con personas físicas (reconocimiento de emociones o categorizaciones biométricas). Todos los riesgos residuales se consideran "riesgos mínimos" y no conllevan obligaciones o deberes específicos; la comisión únicamente ofrece algunos consejos para elaborar un código de conducta.

Sistemas de IA de uso general
La mayoría de los modelos de IA Generativa (GPAI) están obligados a cumplir requisitos de transparencia y a garantizar otros mecanismos de salvaguarda. Dichos requisitos pueden ser un resumen detallado del contenido y el mecanismo del propio sistema. Además, en el caso de los GPAI de alto impacto con riesgo sistémico, se les instruye con normas más estrictas; deben realizar evaluaciones de modelos y pruebas contradictorias, evaluar y mitigar los riesgos sistémicos, garantizar la ciberseguridad e informar sobre su eficiencia energética.

Gobernanza
Se creará una Oficina de IA para supervisar los modelos de IA dentro de la comunidad. Gestionarán las normas de fomento y las prácticas de ensayo, y harán cumplir las normas comunes en todos los Estados miembros de la UE. Además, un Comité de IA, compuesto por representantes de cada Estado miembro de la UE, funcionará como plataforma de coordinación y órgano consultivo de la Comisión. Por último, un particular puede presentar una reclamación ante la autoridad competente de vigilancia del mercado por incumplimiento de la Ley de IA y obtendrá decisiones basadas en el impacto sobre sus derechos.