La mayoría de las empresas que están dando sus primeros pasos en el ámbito de la inteligencia artificial no se verán afectadas de manera significativa por la nueva Ley de IA de la UE —al menos no al principio—. No obstante, deben analizar la cuestión con mayor detenimiento, ya que incluso los usos de la IA que parecen insignificantes podrían estar sujetos a requisitos de transparencia y evaluaciones de riesgos.
La legislación sobre el « » ( ) fue aprobada por el Parlamento Europeo el March 13, y se espera que el Consejo de la UE la apruebe a finales de este mes, por lo que es probable que la ley entre en vigor a finales de mayo o principios de junio.
La Ley de IA de la UE establece un marco basado en el riesgo que regulará el desarrollo, la implantación y el uso de sistemas de IA « » en Europa; las normas entrarán en vigor por fases entre 2024 y 2026. Las empresas que ignoren las normas o las incumplan de cualquier otra forma podrían enfrentarse a multas de hasta el 7 % de sus ingresos globales.
«Si dispone de un sistema de inteligencia artificial que vaya a tener alguna repercusión en Europa, debe tener en cuenta la Ley de la UE sobre la IA», afirma Gretchen Scott, socia especializada en tecnología de la oficina de Goodwin Law en Londres.
¿Cuál es su nivel de riesgo en materia de IA? La Ley de IA de la UE espera que usted conozca
Los abogados recomiendan seguir varios pasos para evaluar su situación.
«Si dispone de un sistema de IA que vaya a tener alguna repercusión en Europa, debe tener en cuenta la Ley de IA de la UE.»Gretchen Scott, socia especializada en tecnología del bufete Goodwin Law
En primer lugar, señala Scott, es importante conocer cuál es su posición en la cadena de valor de la IA para determinar si podría encuadrarse en alguna de las funciones clave que la Ley de IA de la UE pretende regular, tales como proveedores, operadores, distribuidores, fabricantes e importadores de sistemas de IA.
A continuación, afirma que debe determinar el nivel de riesgo de su sistema de IA basándose en los cuatro niveles establecidos en la Ley de IA de la UE.
1. Riesgo inaceptable
Esta es la categoría que prohíbe aquellos usos de la inteligencia artificial que, a juicio de la UE, podrían vulnerar los derechos fundamentales de los ciudadanos o explotar a los grupos vulnerables. Entre los sistemas de IA prohibidos se incluyen aquellos que: causan un perjuicio significativo al aprovechar vulnerabilidades para distorsionar el comportamiento; el reconocimiento de emociones en lugares de trabajo y centros educativos; los sistemas de categorización biométrica que utilizan características sensibles; la recopilación de imágenes faciales de Internet y la televisión para crear bases de datos de reconocimiento facial; la puntuación social, la vigilancia policial predictiva (véase , , «Minority Report», ) y las herramientas de IA que manipulan el comportamiento humano.
2. Alto riesgo
Si su empresa entra dentro de esta categoría, deberá cumplir con una serie de requisitos normativos considerables. Los sistemas de inteligencia artificial regulados por la legislación de la UE en materia de seguridad de los productos (como los juguetes, los productos sanitarios y la maquinaria) se consideran de alto riesgo, al igual que determinados sistemas de inteligencia artificial destinados a ser utilizados en infraestructuras críticas, la educación y la formación profesional, el empleo, los servicios esenciales públicos y privados —como la sanidad y la banca—, determinados sistemas en el ámbito de las fuerzas del orden, la migración y la gestión de fronteras, así como en la justicia y los procesos democráticos.
Las empresas que suministran sistemas de inteligencia artificial de alto riesgo deben implementar procesos integrales de gestión de riesgos y calidad y sistemas, evaluar y reducir los riesgos, mantener registros de uso, actuar con transparencia y precisión, garantizar la supervisión humana y establecer sistemas de seguimiento posterior a la comercialización. Por otra parte, quienes utilizan sistemas de IA de alto riesgo también tienen la obligación de emplear dichos sistemas siguiendo las instrucciones del proveedor, realizar evaluaciones de impacto, garantizar la supervisión humana y la transparencia, y vigilar el sistema para detectar posibles riesgos.
3. Inteligencia artificial de propósito general (GPAI)
En esta categoría se incluirán muchas empresas de renombre del ámbito de la inteligencia artificial, entre ellas OpenAI, Google y Microsoft. En su mayor parte, estas aplicaciones se consideran de bajo riesgo. Sin embargo, dado que los modelos de IA general (GPAI) constituyen la base de muchos sistemas de IA derivados, los proveedores de GPAI están sujetos a obligaciones —como la transparencia— para reconocer su papel y sus responsabilidades dentro del ecosistema de la IA.
Una avalancha de litigios sobre propiedad intelectual en Estados Unidos ha puesto de manifiesto que, en estos momentos, el entrenamiento de los modelos de IA general (GPAI) es como el «Salvaje Oeste», especialmente en lo que respecta a la supuesta utilización de datos ajenos para dotar de inteligencia a la IA. La UE exige a los proveedores de GPAI que apliquen políticas para cumplir con la legislación regional en materia de derechos de autor y que publiquen resúmenes detallados del contenido utilizado para la formación. Los modelos de código abierto gratuitos están exentos de estos requisitos. Los modelos de GPAI más potentes que entrañan un riesgo sistémico están sujetos a requisitos más estrictos. Scott afirma que, si está desarrollando y distribuyendo modelos de lenguaje a gran escala (LLM) con capacidades de gran impacto, también deberá demostrar que lleva a cabo evaluaciones periódicas de los modelos, que evalúa y mitiga los riesgos de los sistemas y que informa de cualquier incidente que surja, incluidos los ciberataques.
4. Riesgo limitado
Los sistemas de inteligencia artificial que no entren en ninguna de las demás categorías estarán sujetos a requisitos de transparencia para garantizar que los usuarios sean conscientes de que están interactuando con una IA o de que el contenido que están leyendo ha sido generado artificialmente. Por ejemplo, las imágenes artificiales o manipuladas, el audio y los contenidos de vídeo (como los «deepfakes») deben identificarse claramente como tales. Las empresas que desarrollen o implanten la inteligencia artificial también deberán garantizar un nivel suficiente de conocimientos sobre inteligencia artificial dentro de su organización.
Cómo cumplir con sus obligaciones derivadas de la Ley de IA de la UE (y la gobernanza de la IA)
Una vez que comprenda cuál es su papel en la cadena de valor de la IA y la clasificación de riesgos de sus sistemas de IA, podrá determinar cuáles son sus obligaciones normativas. Scott afirma que la mayoría de los sistemas de inteligencia artificial no serán objeto de prohibición ni se considerarán de alto riesgo en virtud de la Ley de Inteligencia Artificial de la UE. «No obstante, creemos que el impacto de la Ley de IA de la UE se dejará sentir ampliamente, ya que observamos cómo las empresas adoptan medidas para mitigar los riesgos asociados al desarrollo y la implantación de sistemas de IA que conllevan la mayor carga normativa», afirma.
«: Cree un grupo de trabajo o un comité de IA para evaluar el desarrollo o el uso de la IA en la organización y asegúrese de que participen las partes interesadas clave de la misma.»Ana Hadnes Bruder, socia de Mayer Brown
«Establecer al menos un nivel mínimo de gobernanza de la IA es fundamental para el cumplimiento normativo», afirma Ana Hadnes Bruder, socia del bufete de abogados Mayer Brown. Además, las empresas cuya IA se encuadre en cualquier categoría de alto riesgo deberían implantar un sistema sólido de gobernanza de la IA.
«En la práctica, esto significa que debería contar con un grupo de trabajo o un comité de IA para evaluar el desarrollo o el uso de la IA en la organización y garantizar la participación de las partes interesadas clave dentro de la misma», afirma Bruder, que reside en Fráncfort (Alemania) y está especializado en la protección de datos, la ciberseguridad y cuestiones relacionadas con la IA. «Y debería intentar que ese grupo sea lo más diverso posible , ya que cada persona tiene un punto de vista diferente, y eso resulta realmente valioso para asegurarse de que se evitan los sesgos en su IA».
La Ley de IA de la UE suscita un mayor debate: ¿cumplirla o no cumplirla?
Bruder afirma que una de las cuestiones clave que plantearán inevitablemente la mayoría de los comités de IA es si sus implementaciones de IA alcanzan realmente un nivel tal que les obligue a intentar cumplir con la Ley de IA de la UE. Al fin y al cabo, cumplir con cualquier normativa puede suponer una gran inversión de tiempo y ser costoso. Sin embargo, el señor Bruder cree que la situación es evidente: esta normativa no es más que el principio.
«He estado aconsejando a mis clientes que deben esperar que esto repunte», afirma Bruder.
De hecho, aunque los abogados no esperan que la Ley de IA de la UE se replique en otros lugares, tal y como ocurrió con el Reglamento General de Protección de Datos (RGPD) de , numerosos gobiernos están tratando de frenar la expansión descontrolada de la IA. Por ejemplo, el Gobierno de Biden firmó el año pasado un decreto ejecutivo titulado « » () , por el que se exige a los desarrolladores de sistemas de inteligencia artificial que puedan suponer una amenaza para la seguridad nacional, la economía, la salud pública o la seguridad de los Estados Unidos que revelen los resultados de las pruebas de seguridad antes de lanzar sus productos al mercado. Las autoridades reguladoras chinas también han establecido normas que regulan la IA generativa. Según datos de octubre pasado, 31 países habían aprobado, al parecer, legislación sobre la IA, y otros 13 estaban debatiendo leyes al respecto.
En general, las grandes empresas de inteligencia artificial han acogido con un tibio visto bueno dichas regulaciones, ya que reconocen que no pueden eludir esas leyes y esperan establecer unas normas básicas que les permitan seguir operando. Al mismo tiempo, algunos líderes del sector de la inteligencia artificial han expresado públicamente su preocupación por la posibilidad de que las personas pierdan el control sobre una inteligencia artificial sin límites.
Sin embargo, también ha habido preocupaciones respecto a que la normativa pueda frenar la innovación, algo que los legisladores han tratado de evitar al negociar los distintos aspectos de la Ley de IA de la UE a lo largo de los últimos cinco años aproximadamente.
Evi Fuelle, directora de políticas globales de CredoAI, una plataforma dedicada a la gobernanza de la inteligencia artificial, considera que la legislación definitiva ha alcanzado un buen equilibrio en ese sentido.
«La Ley de IA de la UE no está frenando la innovación; la está fomentando», afirma. «A menudo se dice que la falta de confianza supone un obstáculo mayor en este ecosistema que el cumplimiento normativo».
La Ley de la UE sobre la IA aporta seguridad a las empresas al definir qué usos de la IA están prohibidos, cuáles entrañan un riesgo elevado y cuáles un riesgo mínimo o nulo, así como las obligaciones de transparencia correspondientes a cada uno de ellos, afirma Fuelle.
«Esto permite a las empresas invertir con seguridad en una IA responsable desde su diseño, ya que saben que este importante mercado ha manifestado con firmeza que no aceptará el uso ni la disponibilidad de modelos de IA de alto riesgo que no sean transparentes y fiables», afirma.
