El Parlamento Europeo aprobó el miércoles la Ley de Inteligencia Artificial por 523 votos a favor y 46 en contra, con 49 abstenciones, lo que sitúa a la Unión Europea en la fase final de la adopción de lo que los legisladores describen como el primer marco jurídico amplio del mundo que regula la inteligencia artificial en función del riesgo. La legislación impondría distintas obligaciones según el uso que se dé a los sistemas de IA, prohibiría determinadas aplicaciones consideradas inaceptables y crearía nuevas obligaciones de transparencia y seguridad para los potentes modelos de propósito general.

En su anuncio del 13 de marzo, el Parlamento afirmó que la ley está diseñada para proteger los derechos fundamentales, la democracia, el estado de derecho y la sostenibilidad ambiental, al tiempo que fomenta la innovación. La votación se produjo tras años de negociación que comenzaron antes del auge público de la IA generativa y que fueron revisadas sustancialmente después de que sistemas como ChatGPT demostraran la rapidez con la que los modelos de propósito general podían extenderse a diversos sectores.

Una jerarquía de riesgos reemplaza la regulación de IA de talla única

La estructura central de la Ley de IA se basa en una jerarquía de riesgos. Los sistemas que se consideren riesgos inaceptables estarán prohibidos, mientras que aquellos clasificados como de alto riesgo deberán cumplir requisitos exigentes antes de su implementación y durante su funcionamiento. Las categorías de alto riesgo incluyen usos en infraestructura crítica, educación, empleo, servicios esenciales, aplicación de la ley y otras áreas donde las decisiones automatizadas pueden afectar materialmente los derechos u oportunidades de las personas.

Reuters , los desarrolladores de alto riesgo deberán abordar la gestión de riesgos, la calidad de los datos, la documentación técnica, el registro de información, la supervisión humana y la precisión. La legislación también limita la identificación biométrica remota en tiempo real por parte de las fuerzas del orden, con excepciones vinculadas a delitos graves y amenazas definidos de forma estricta.

Algunos usos de la IA quedarían totalmente prohibidos. El resumen del Parlamento incluye la puntuación social, ciertas formas de IA manipuladora, la explotación de vulnerabilidades, la recopilación indiscriminada de imágenes faciales para crear bases de datos de reconocimiento, el reconocimiento de emociones en lugares de trabajo y escuelas, y algunas formas de vigilancia predictiva basadas únicamente en perfiles o características personales.

La IA generativa obligó a los legisladores a reescribir el marco

La propuesta original de la Comisión Europea se presentó en 2021, antes de que los grandes modelos de lenguaje se convirtieran en productos de consumo masivo. El auge de ChatGPT, GPT-4, Gemini y sistemas similares generó un problema regulatorio, ya que un modelo de propósito general puede incorporarse a miles de aplicaciones posteriores en lugar de ajustarse perfectamente a un único caso de uso fijo.

El acuerdo político final crea una capa separada para la IA de propósito general. Associated Press , los proveedores de modelos potentes deberán cumplir con obligaciones de transparencia, incluyendo documentación sobre la capacitación y el cumplimiento de las normas europeas de derechos de autor, mientras que los modelos que se consideren que generan un riesgo sistémico tendrán requisitos adicionales de evaluación y mitigación de riesgos.

Esta estructura busca dividir la responsabilidad entre el desarrollador del modelo y la empresa que implementa la IA en un entorno específico de alto riesgo. Un modelo de propósito general puede ser de bajo riesgo en una aplicación y convertirse en parte de un sistema de alto riesgo cuando se utiliza para la contratación de personal, decisiones médicas o infraestructura crítica. Por lo tanto, los reguladores necesitan que la información circule a lo largo de la cadena de suministro, en lugar de detenerse en el proveedor original del modelo.

La biometría y los derechos fundamentales siguen estando entre las disposiciones más controvertidas

La ley impone fuertes limitaciones a la identificación y categorización biométrica, pero no prohíbe por completo el uso policial de sistemas biométricos remotos. Ciertos usos siguen siendo posibles bajo condiciones definidas, una solución de compromiso que ha suscitado críticas por parte de grupos defensores de las libertades civiles, mientras que los gobiernos han argumentado que las investigaciones criminales graves requieren excepciones limitadas.

Euronews , los dos principales negociadores del Parlamento describieron la votación como un paso histórico hacia una IA "segura y centrada en el ser humano". La legislación también otorga a las personas el derecho a presentar quejas y, en algunos casos, a recibir explicaciones sobre las decisiones tomadas con sistemas de alto riesgo.

El reglamento pretende tener un alcance mayor que el de las empresas con sede en Europa. Los proveedores de fuera de la UE pueden quedar sujetos a él cuando sus sistemas se comercializan en el mercado europeo o sus productos se utilizan en la Unión. Este efecto extraterritorial es una de las razones por las que las empresas tecnológicas estadounidenses siguen de cerca su implementación.

La industria apoya un marco común, pero advierte sobre su implementación

Las empresas tecnológicas y los grupos empresariales han aceptado en general la necesidad de una gobernanza de la IA, aunque advierten que el cumplimiento normativo no debe volverse tan complejo como para que la implementación en Europa se ralentice en comparación con Estados Unidos y China. Tras la votación del miércoles, BSA | The Software Alliance calificó la ley como un hito importante e instó a que continúe la colaboración entre los legisladores y la industria a medida que se desarrollen normas y directrices secundarias.

Otras voces del sector se muestran más cautelosas. Ars Technica informó sobre la preocupación expresada por la Asociación de la Industria de la Computación y las Comunicaciones (ICIA) de que algunas obligaciones podrían frenar la innovación o someter a sistemas de menor riesgo a requisitos onerosos. Gran parte del impacto práctico dependerá de las normas, definiciones y decisiones de aplicación que aún no se han redactado.

La legislación prevé sanciones económicas significativas. Las infracciones graves pueden acarrear multas de decenas de millones de euros o un porcentaje de los ingresos anuales mundiales, con límites máximos que varían según la naturaleza de la infracción. Esta magnitud tiene como objetivo garantizar que los mayores desarrolladores de IA no puedan subestimar los costes de cumplimiento normativo.

Creadores y editores lucharon por que se incluyeran disposiciones que regularan la relación entre la IA de propósito general y el material de capacitación protegido por derechos de autor. Una coalición de organizaciones creativas europeas declaró el 13 de marzo que la ley exigirá a los proveedores de modelos de propósito general que mantengan políticas de cumplimiento de derechos de autor y que proporcionen resúmenes suficientemente detallados del contenido utilizado para entrenar sus sistemas.

Estas disposiciones no resuelven todas las disputas sobre derechos de autor. Los tribunales y los organismos reguladores aún deberán determinar cómo se aplica la legislación vigente sobre derechos de autor al entrenamiento, la concesión de licencias y los resultados de los modelos. Sin embargo, la Ley de IA establece obligaciones de documentación y transparencia que podrían facilitar a los titulares de derechos la comprensión de cómo se desarrollaron los modelos y la presentación de reclamaciones cuando consideren que las obras protegidas se utilizaron ilegalmente.

El trabajo decisivo pasa de la negociación a la implementación

La votación del Parlamento del miércoles no constituye el paso final del procedimiento. El Consejo de la Unión Europea aún debe adoptar formalmente el texto acordado antes de su publicación y entrada en vigor. Una vez que esto ocurra, las obligaciones se implementarán gradualmente, en lugar de aplicarse todas a la vez. Se prevé que las prácticas prohibidas se apliquen primero, seguidas de las normas para los modelos de uso general y, posteriormente, el marco completo para los modelos de alto riesgo.

El calendario de implementación genera una nueva carrera entre reguladores y tecnología. Los organismos de normalización, las autoridades nacionales y la nueva Oficina de IA de la Comisión Europea deben definir cómo las empresas demuestran el cumplimiento, mientras que las capacidades de los modelos siguen evolucionando rápidamente. El desafío es particularmente acuciante para la IA de propósito general, donde las medidas de riesgo sistémico, computación, evaluación y uso posterior siguen siendo objeto de debate técnico.

Para el sábado, sin embargo, la dirección política es clara. Una votación de 523 a 46 ha otorgado a la Ley de IA un apoyo parlamentario abrumador, y Europa se prepara para pasar de principios voluntarios de IA a obligaciones legales vinculantes. La pregunta ahora es si un marco basado en el riesgo puede proteger a los usuarios y limitar las aplicaciones peligrosas sin paralizar las opciones técnicas en un campo cuyas capacidades cambian más rápido que el proceso legislativo que dio origen a la ley.