|
|
|
|
Martina Olivé Peña (3º GDL) |
Introducción
En la última década, la Inteligencia Artificial ha evolucionado a niveles incalculables. Si bien es cierto que estos sistemas y tecnologías pueden aportar cuantiosos beneficios en términos de eficiencia, los mismos conllevan riesgos. Es de suma relevancia mitigar estos riesgos desde una perspectiva legal, para garantizar al máximo la seguridad y la protección de los derechos de los ciudadanos. En el presente artículo se pretende analizar el rol de la Unión Europea (Unión, en adelante) como líder de una regulación concisa para el uso de la Inteligencia Artificial (IA, en adelante).
En diciembre de 2023, se adoptó el acuerdo político entre el Parlamento Europeo, la Comisión y el Consejo de la Unión Europea en el que la totalidad de los Estados miembros ratificaron la propuesta sobre IA. En este análisis se quiere profundizar en el enfoque regulatorio que ha adoptado la Unión Europea, resaltando sus puntos fuertes y débiles.
El Reglamento adoptado por la Unión Europea presenta una clasificación por riesgos, prohibiendo aquellas tecnologías que constituyan un riesgo inadmisible. El mismo se aplica en todos los Estados Miembros de la Unión Europea, siendo de aplicación directa y vinculante por su carácter de reglamento. Sin embargo, se debe tener en cuenta que es una normativa reciente y se carece de la jurisprudencia necesaria para ver cómo se va a proceder a su aplicación. Al ser una tecnología tan reciente y con poco conocimiento, pueden surgir diversos problemas impredecibles que se tendrán que regular de forma posterior.
Por tanto, el propósito principal es resaltar el estado actual de la regulación de la IA en la Unión Europea, en el marco de un mercado innovador y competitivo, que a su vez protege los derechos fundamentales de los que gozan los ciudadanos europeos.
INTELIGENCIA ARTIFICIAL PRESENTA
Visión de la Unión Europea basada en riesgos y marco legal
En concordancia con los principios que se establecen en el artículo 2 del Tratado de la Unión Europea, ésta ha decidido regular la IA desde una visión de riesgos, puesto que se pretende garantizar la seguridad y los derechos fundamentales de las personas y empresas.
El Reglamento aprobado por la Unión es la primera normativa legal que regula la IA con una visión integral. Si bien es cierto que el Reglamento ha sido ratificado por el Parlamento Europeo en diciembre de 2023, la primera iniciativa para promover esta regulación tiene su origen en una propuesta de la Comisión que se remonta al mes de abril de 202142.
Tal como se establece en el artículo primero de la Ley, el objeto de dicha regulación es definir las normas armonizadas para la comercialización, puesta en servicio y uso de sistemas de IA en la Unión. Asimismo, establece prohibiciones y requisitos específicos para los operadores de sistemas de IA de alto riesgo. Incluye también normas de transparencia, normas de supervisión del mercado y sobre la aplicación de la ley. Por último, es relevante la mención de medidas de apoyo a la innovación, con mención específica de las Pequeñas y Medianas Empresas (PYMES)43.
En 2019 la Unión publicó unas directrices (“Ethics Guidelines for Trustworthy AI”44) como instrumento de soft law para los Estados Miembros. En 2020, la Comisión Europea se comprometió a regular los sistemas de IA mediante el Libro Blanco de Inteligencia Artificial45, enfocándose en los riesgos que los mismos suponen46.
Todos estos objetivos se enmarcan dentro las competencias compartidas del artículo 4 del TFUE, de las que goza la Unión junto con los Estados Miembros, enmarcándose dentro del ámbito del mercado interior. Todo ello con la garantía de un uso de la IA focalizado en el ser humano y que aporta seguridad jurídica.
En este sentido, cabe entender este Reglamento en el marco de otras normativas ya aprobadas por la Unión, así como por la presencia de la Unión en organizaciones que puedan incluir normativa que la vincule en este ámbito, o que indirectamente incida sobre ello47. Por este motivo, a continuación, se mencionan de manera breve las normativas que
42 Dirección General De Comunicación, Parlamento Europeo. (2024).
44 High-Level Expert group on Artificial Intelligence. (2019).
45 European Commission. (2020).
46 Madiega, Tambiama. European Parliament. (2024).
47 IAPPAI governance center. (2024).
DE LA UNIÓN EUROPEA
son de aplicación en el territorio de la Unión y que indirectamente han repercutido en la elaboración del reglamento.
En primer lugar, se debe considerar la pertenencia de la Unión a la Organización para la Cooperación y el Desarrollo Económicos (OCDE), la cual ostenta un compendio con recomendaciones para la regulación de la Inteligencia Artificial48.
Además, en 2023, la Unión participó en las “Bletchley Declarations”, donde se manifestó por parte de todos los países participantes un compromiso colectivo para proponer políticas activas de prevención de riesgos potenciales que pueden derivar de la IA49. Francia, Alemania e Italia, en calidad de representantes de la Unión dentro de los países del G7, acordaron, el 30 de octubre de 2023, los principios rectores internacionales de la IA, además de un código de conducta voluntario para los proveedores de dichos sistemas50. Todo ello comprendido en el documento “Hiroshima Process International Guiding Principles for Organizations Developing Advanced AI system”51.
La Unión también ha jugado un papel clave en la redacción de las Recomendaciones sobre la Inteligencia Artificial de la UNESCO, adoptadas el 23 de noviembre de 202152.
Dentro del ámbito de sistemas de IA como principal objeto del Reglamento, es de suma relevancia mencionar otras normativas europeas directamente relacionadas que deben considerarse también para comprender el nuevo texto legal, puesto que muchas veces serán de aplicación simultáneamente estas normativas con el Reglamento de IA. En este sentido, es relevante esperar al desarrollo jurisprudencial para ver cómo se van a interrelacionar las normas cuando colisionan.
En primer lugar, el Reglamento (UE) 2016/679 General de Protección de Datos53. En este sentido, existe una reciente sentencia del Tribunal de Justicia de la Unión Europea, del 7 de diciembre de 2023, en la que se alude por primera vez al artículo 22 del Reglamento General de Protección de Datos, que trata sobre las decisiones basadas en tratamientos automáticos, que pueden ser en algunos casos con IA54. En esta sentencia se extienden las garantías que otorga el artículo 22 del mencionado Reglamento, cuando los
51 Hiroshima Process International Guiding Principles for Organizations Developing Advanced AI systems (2019).
52 UNESCO’s Recommendation on the Ethics of Artificial Intelligence: key facts (2021).
53 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo.
54 Cotino Huesco, Lorenzo. (2024).
INTELIGENCIA ARTIFICIAL PRESENTA
resultados del sistema automatizado sean mediante un sistema de IA, siempre que dichos resultados se conecten materialmente con la decisión final.
En segundo lugar, también son relevantes la Ley de Servicios Digitales (DSA, por sus siglas en inglés)55 y la Ley del Mercado Digital (DMA, por sus siglas en inglés)56, que actualmente se aplican en todos los Estados Miembros de la Unión con el fin de crear un espacio digital seguro y para garantizar la protección de los derechos fundamentales de los usuarios de dichos servicios. A su vez, dicha regulación se orienta hacia la innovación, crecimiento y competitividad dentro del mercado único europeo y en el mercado global. Ambas leyes serán de aplicación cuando intervengan intermediarios y plataformas en línea, como pueden ser páginas web o servicios de infraestructura de Internet, entre otros57.
Por último, actualmente hay dos borradores en tramitación que son de relevancia, pero que aún no han entrado en vigor. En primer lugar, en octubre de 2020, el Parlamento Europeo adoptó una resolución sobre la responsabilidad civil para los sistemas de IA basándose en el artículo 225 TFUE, solicitando a la Comisión que se iniciara un proceso de legislación58. El fin de esta propuesta de regulación del Parlamento es permitir que personas dañadas por sistemas de IA gocen del mismo nivel de protección que ostentan cuando emplean otros sistemas que ya están regulados.
En segundo lugar, la propuesta del 20 de junio de 2023 de la Ley de Ciberresiliencia (CRA, por sus siglas en inglés)59 busca dotar de protección tanto a consumidores como a empresas que emplean o adquieren productos o software con un componente digital. En este sentido, la normativa propuesta busca una doble finalidad, dotar de un nivel adecuado de ciberseguridad a los productos y ofrecer mecanismos a empresas y consumidores para determinar qué productos cibernéticos son seguros.
Para terminar de comprender la visión de la Unión en el abordaje de la regulación de la IA, es relevante resaltar que el Parlamento, con el fin de lograr sus objetivos estratégicos a largo plazo sobre la IA, estableció la creación de la comisión especial de IA en la Era Digital (AIDA, por sus siglas en inglés) en el plenario del 18 de junio de 2020. El objetivo de dicha comisión especial era realizar un estudio compacto sobre los
55 Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo. 56 Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo. 57 Comisión Europea. (2024).
DE LA UNIÓN EUROPEA
retos que presenta la IA, así como establecer los objetivos generales que debería abordar la Unión a la hora de regular sistemas de IA60.
El 22 de marzo de 2022, tras los 18 meses de mandato que se habían establecido para la comisión especial AIDA, se adoptó el informe final con la propuesta que debe seguir la Unión en la regulación de los sistemas de IA61. De manera muy resumida, el informe enfatiza en la necesidad de desarrollar una normativa y gobernanza actual, puesto que la Unión se ha desactualizado en el desarrollo e investigación sobre la IA y se necesita unificar la normativa fragmentada entre los Estados Miembros para garantizar seguridad jurídica. Asimismo, se manifiesta que, con tal de fomentar la innovación y no caer en excesos procedimentales, solo se deben regular de manera estricta los sistemas de IA que supongan un alto riesgo.
Proceso legislativo
En este apartado se pretende ofrecer al lector una visión cronológica sobre el proceso que ha adoptado la Unión para culminar con el texto aprobado.
Siguiendo el procedimiento legislativo ordinario previsto en el artículo 294 TFUE62, la Comisión presentó la propuesta de borrador del Reglamento de IA en el mes de abril de 2021. Tras la proposición, se requiere la posición común del Consejo y la posición de negociación del Parlamento.
Durante el año 2022 ocurren varios eventos que se encaminan hacia la determinación y orientación del Reglamento de IA llevado a cabo por el Consejo de la UE. El 6 de diciembre de 2022 se adopta una posición común por el Consejo, conformado por los jefes de Estado de cada miembro de la UE, a favor de la propuesta de Reglamento de IA63.
El 30 de noviembre de 2022 se introduce en la Unión el sistema de IA llamado “Chat GPT”, un sistema que no se había contemplado hasta entonces en la propuesta de reglamento. Es por ello que se introduce el nuevo concepto de IA de propósito general (“general purpose AI system”)64.
60 Committees European Parliament. (2022).
61 Parlamento Europeo. (2022).
62Special Committee on Artificial Intelligence in a Digital Age. (2022).
63 Consejo de la Unión Europea (2022).
INTELIGENCIA ARTIFICIAL PRESENTA
Dentro de las diferentes enmiendas propuestas por el Parlamento, es destacable la dificultad en acordar los términos para clasificar los sistemas de IA de alto riesgo, sujetos a estrictas condiciones. Por ejemplo, el 10 de enero de 2023 se propone una evaluación del impacto que tienen dichos sistemas sobre los derechos fundamentales como determinante del riesgo65.
Desde el 1 de julio hasta el 31 de diciembre de 2023, la presidencia del Consejo de la Unión correspondía a España, asumiendo la preparación de las reuniones del Consejo66. La presidencia del Consejo de la Unión ha permitido que España tenga entre sus objetivos principales la transformación digital67. El 14 de junio de 2023 se adopta la posición negociadora del Parlamento sobre la propuesta de Reglamento con 499 votos a favor, 28 en contra y 93 abstenciones68.
El 23 de octubre de 2023 la oficina legal del Parlamento Europeo manifiesta objeción con la propuesta de enmiendas del Parlamento, en la que se establece en qué condiciones un sistema se clasificaría como de alto riesgo o bien pasaría a no estar clasificado de tal manera69.
En noviembre, cuando se estaba culminado el proceso legislativo y se iba a dar comienzo a los trílogos, el proyecto pudo peligrar por un cambio de postura de Francia, Alemania e Italia, que fue rápidamente rectificado70. En este sentido, los tres países querían optar por la autorregulación para los sistemas de IA generativa, hecho que claramente iba a ralentizar las negociaciones; sin embargo, con la posterior aprobación del texto en COREPER, el texto ya deviene inmodificable71.
Finalmente, en el mes de diciembre de 2023, se adopta el acuerdo político sobre el Reglamento tras la fase de trílogos, donde las tres instituciones, Parlamento, Consejo y Comisión, dialogan para la obtención del texto final72. Para la consecución del acuerdo político se requiere tanto la aprobación del Consejo como del Parlamento.
Posteriormente, el 2 de febrero de 2024, el Comité de Representantes Permanentes de la Unión Europea (COREPER) vota el texto final del Reglamento de IA por
67 Presidencia Española del Consejo de la Unión Europea. (2023).
68 Parlamento Europeo. (2023).
71 R. Aguilar, Alberto. (2023).
DE LA UNIÓN EUROPEA
unanimidad, pero sin entrar todavía en vigor, pues se pretende que entre en vigor en mayo de 202473.
El 13 de febrero, la Comisión de Mercado Interior y Protección del Consumidor (IMCO, por sus siglas en inglés) y la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE, por sus siglas en inglés) del Parlamento Europeo votaron el texto final del Reglamento de IA favorablemente con 71 votos a favor, 8 en contra y 7 abstenciones74.
Se prevé que entre el 10 y 11 de abril de 2024 el Parlamento Europeo en plenario vote el texto. Por lo que entre finales de abril y principios de mayo se obtendría la adopción formal del Reglamento de IA, culminando con su publicación en el Diario Oficial de la UE, entrando en vigor a los 20 días desde la publicación en el mismo. En este sentido, la entrada en vigor implica que desde ese momento el Reglamento tendría existencia jurídica en el ordenamiento jurídico. Sin embargo, en la propia norma se establecen determinadas especialidades en cuanto a la fecha de aplicabilidad, es decir, cuándo nacen los derechos y obligaciones de la normativa para las diferentes disposiciones establecidas en la norma.
Ámbito de aplicación subjetivo
La ley se dirige principalmente a los proveedores de sistemas de alto riesgo de IA. Es por ello por lo que la mayoría de las obligaciones legales se dirigen a aquellos que persiguen comercializar o prestar servicios que incluyen sistemas de IA de alto riesgo, sin perjuicio de que su sede radique en la Unión o en un tercer país. Asimismo, también se orienta hacia proveedores de terceros países cuyo producto se emplea en la Unión.
Además, en el artículo 2 del Reglamento se prevén disposiciones dirigidas a importadores y distribuidores de sistemas de IA, a los fabricantes de productos que comercialicen o pongan en servicio un sistema IA con su producto y bajo su propio nombre o marca, así como a proveedores o usuarios de terceros países cuyos sistemas produzcan resultados en la Unión, a los representantes autorizados, importadores y distribuidores de estos sistemas.
Finalmente, se mencionan a las personas afectadas que se encuentren en la Unión, por lo que se verifica cómo la orientación normativa busca abarcar todo sistema de IA que se provea en cualquier Estado Miembro de la Unión, con independencia del origen del proveedor. En este caso, es relevante matizar que el término usuario, no se refiere a
73 R. Aguilar, Alberto. (2024).
74 Herrero Maortua, Fernando. (2024).
INTELIGENCIA ARTIFICIAL PRESENTA
personas afectadas, como podrían ser los ciudadanos que emplean los sistemas, sino que se refiere a la persona física o jurídica, sea de naturaleza pública o privada, bajo cuya autoridad se emplea el sistema en cuestión.
Es de relevancia enfatizar que el Reglamento pone especial hincapié en los ámbitos que quedan excluidos de la ley. En el mismo artículo 2 del Reglamento se establece qué sistemas quedan exentos de la aplicación del texto legal, en todos los ámbitos excluidos del Derecho de la UE, sin afectar a las competencias de seguridad nacional de las que gozan los Estados Miembros.
En primer lugar, se mencionan los sistemas de IA cuyo fin sea estrictamente militar, defensa o seguridad nacional, que quedan fuera del ámbito de aplicación. Asimismo, las autoridades públicas de terceros países y organizaciones internacionales que puedan incluirse en las definiciones del ámbito subjetivo de la normativa quedan exentas en el caso de que se den acuerdos en un marco de cooperación internacional, policial o judicial con la Unión o alguno de los Estados Miembros, siempre que se garanticen los derechos y libertades fundamentales de las personas.
También se excepciona, los sistemas cuyo único fin sea la investigación y el desarrollo científico, siempre que no se comercialicen, en cuyo caso sí que se aplicaría el Reglamento. También se menciona que cualquier actividad de investigación, ensayo o desarrollo previa a la comercialización o puesta en servicio en el mercado de la Unión, queda exenta de la aplicación del Reglamento. Sin perjuicio de que, una vez se inicia la puesta en el mercado, el Reglamento empieza a aplicarse.
Tampoco se aplica a implantadores o personas físicas, siempre y cuando empleen los sistemas de IA para una actividad personal, aplicándose el Reglamento en caso de uso profesional.
Ámbito de aplicación objetivo
-
- Definiciones
En el artículo 3 del Reglamento se establece un extenso listado de definiciones a efectos de aplicación de la ley. Sin embargo, a los fines de este apartado sólo se analizarán las dos más relevantes, sin perjuicio de que posteriormente sea necesario enfatizar en una u otra.
No se puede entender el Reglamento sin primero analizar cómo se define “Sistema de Inteligencia Artificial”, pues dicho concepto determina la aplicación del mismo. Según el precepto: <<«sistema de IA»: es un sistema basado en máquinas diseñado para funcionar con diversos niveles de autonomía y que puede mostrar capacidad de adaptación tras su despliegue y que, para objetivos explícitos o implícitos, infiere, a partir de la entrada que recibe, cómo generar salidas tales como predicciones, contenidos, recomendaciones o
DE LA UNIÓN EUROPEA
decisiones que pueden influir en entornos físicos o virtuales>>. Dicha definición es de suma relevancia puesto que todas las obligaciones previstas en la normativa devienen aplicables a los sistemas que encajen en la definición.
Cabe mencionar que dicha definición ha sido muy cambiante en las diferentes propuestas de reglamento que han ido surgiendo. En este sentido, se puede destacar el acuerdo que se llevó a cabo en el Parlamento Europeo, el 7 de marzo de 2023, donde se acordó adoptar la definición de IA de la OCDE. Dicha definición se actualiza el 9 de noviembre, motivo por el cual se incorpora dicha modificación en la propuesta de Reglamento de IA. Debido a la incertidumbre de futuros sistemas que no quepan en la definición, se prevé en el artículo 82 bis (f) la posibilidad de que la Comisión presente directrices sobre la definición de sistemas de IA establecida en el artículo 3.
En segundo lugar, considerando que la clasificación de sistemas de Inteligencia Artificial se fundamenta en el riesgo, es relevante la definición que se otorga al término riesgo, el cual se define en el apartado primero bis del artículo 3 como: << la combinación de la probabilidad de que se produzca un daño y la gravedad de ese daño>>. Se puede ver como la Unión adopta una definición de riesgos basada en probabilidad, puesto que se pretende dar protección no solo a la producción del daño, sino que también a la probabilidad de que ocurra el daño, directamente relacionándolo con la gravedad que este suponga.
Sistemas prohibidos
En el Título II, artículo 5 del Reglamento, se recogen todos los sistemas de IA que están absolutamente prohibidos en la Unión.
Queda estrictamente prohibido la puesta en comercialización de sistemas de IA que incluyan técnicas que escapen de la conciencia humana o manipuladoras que tengan como objetivo distorsionar la conducta de personas o grupos de personas vulnerables, cuando se reduce claramente la capacidad de tomar decisiones con conocimiento de causa. Por ejemplo, esto sería el caso de juguetes activados por voz que incentiven conductas peligrosas en niños.
Asimismo, también se prohíbe la comercialización o puesta en servicio de sistemas de categorización biométrica que individualmente clasifiquen a personas físicas para deducir su raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual. Un ejemplo de este sistema sería el reconocimiento facial. Sin embargo, se excepciona la identificación biométrica obtenida posteriormente, cuando se persiguen delitos graves con fines policiales, siempre que se cuente con previa autorización judicial.
Tampoco se permiten sistemas de IA que pretendan evaluar o clasificar a personas físicas, o grupos de ellas, en un tiempo determinado, con el fin de puntuarlas socialmente
INTELIGENCIA ARTIFICIAL PRESENTA
para tratarlas desfavorablemente y de manera desproporcionada con su comportamiento, o usar los sistemas de evaluación de IA para justificar un trato perjudicial que no guarde relación con el contexto en que se recopilaron los datos.
Sistemas de alto riesgo
En segundo lugar, se regulan los sistemas de alto riesgo que, a diferencia de los anteriores, se permiten en virtud del Reglamento. Sin embargo, ello no obsta para que los proveedores de los sistemas categorizados como de alto riesgo estén sujetos a severas condiciones.
En el Título III, el artículo 6 detalla, en primer lugar, en qué casos se está ante un sistema de alto riesgo, y en segundo lugar, establece unos criterios según los que, en caso de cumplirse al menos uno, ya no se consideraría de alto riesgo, sin perjuicio del apartado anterior.
Se considera de alto riesgo aquel sistema que pretenda utilizarse como elemento de seguridad de un producto, o incluso aquellos casos en los que el propio sistema de IA constituye un producto cubierto por la legislación de armonización de la Unión (prevista en el Anexo II del Reglamento). Es decir, aquellos sistemas que inciden negativamente en los derechos fundamentales y en la seguridad. Asimismo, se establece que en caso de estar ante una de las situaciones anteriores se tiene que someter a una evaluación de conformidad con terceros, con el fin de comercializar o prestar el servicio mediante dicho producto.
En el Anexo III se incluye un listado de ocho categorías de sistemas de IA de alto riesgo contemplados en el apartado 2 del artículo 6. En dicho listado se incluye la identificación biométrica y categorización de personas físicas, la gestión de infraestructuras críticas, como podría ser el transporte, que podrían suponer un peligro para la salud de los ciudadanos. También se establece que son de alto riesgo los sistemas de IA utilizados en educación y formación profesional, como sería por ejemplo, un sistema que puntúa exámenes.
Los sistemas de IA que se destinen al empleo, gestión de trabajadores y acceso al autoempleo, que podría referirse a sistemas de IA que tengan como fin seleccionar candidatos en procesos de contratación. Asimismo, también se incluyen los sistemas de acceso y disfrute de servicios privados esenciales y prestaciones públicas, sirviendo como ejemplo, un sistema que califique la aptitud de un ciudadano para acceder a un crédito. Los sistemas de gestión de migración, fuerzas y cuerpos de seguridad, asilo y control de fronteras. Por ejemplo, este sería el caso de un sistema que realiza un examen de forma automatizada de solicitudes de visados. Por último, se habla de la administración de
DE LA UNIÓN EUROPEA
justicia y procesos democráticos, como podrían ser sistemas destinados a generar resoluciones judiciales75.
Los sistemas de IA de alto riesgo se evalúan antes de su comercialización y durante su duración. Asimismo, se prevé que los ciudadanos puedan presentar reclamaciones a las autoridades nacionales que corresponda.
Es de suma relevancia atender a los criterios que la Unión ha establecido en el apartado 2a del artículo 6 para excluir de la categoría de alto riesgo a dichos sistemas de IA. Se dice que no será de alto riesgo si el sistema de IA no está destinado a realizar una tarea o procedimiento limitado.
Tampoco es de alto riesgo si el sistema de IA está destinado a mejorar el resultado de una actividad humana previamente realizada.
En tercer lugar, se descarta el alto riesgo si el sistema se destina a la detección de patrones en la toma de decisiones o a detectar desviaciones de patrones de toma de decisiones anteriores; siempre y cuando no se destine a sustituir o a influir en la evaluación humana previamente contemplada, todo ello sin la debida revisión humana. Es decir, que no se puede impedir ni suplir la revisión o la evaluación humanas.
Por último, no pueden destinarse a realizar perfiles de personas, ni tratamiento automatizado de datos personales para la posterior evaluación de información personal, como por ejemplo, su salud, preferencias o rendimiento en el trabajo, entre otros.
Sin embargo, se permite que en aquellas situaciones en las que, no cumpliéndose los criterios y debiendo ser clasificado como sistema de alto riesgo según el Anexo III, los proveedores pueden tratar de acreditar que no es de alto riesgo antes de su comercialización, o puesta en marcha del servicio.
Obligaciones para los proveedores
Una vez se ha delimitado el ámbito objetivo, es decir, qué entiende la regulación actual por sistemas de alto riesgo, es de suma relevancia tratar las obligaciones que los proveedores de dichos sistemas en la Unión deben considerar a la hora de comercializar o poner en servicio.
Entre diversas obligaciones, se pueden destacar las más significativas establecidas en el artículo 16 del Reglamento de IA y desarrollado en posteriores artículos del Reglamento. Principalmente, se obliga a los proveedores de dichos sistemas que indiquen su nombre comercial o la marca comercial registrada e información de contacto. En el artículo 17 se estipula la necesidad de implantar un sistema de gestión de la calidad para reducir riesgos. El siguiente artículo, establece la obligación de conservar la
INTELIGENCIA ARTIFICIAL PRESENTA
documentación durante 10 años en la correspondiente autoridad nacional, con el fin de que dichas autoridades evalúen su conformidad. Se obliga también a llevar un registro de la actividad para garantizar la trazabilidad. También, se establece la necesidad de obtener la declaración Unión de conformidad recogida en el artículo 48 del mismo Reglamento.
En el Capítulo III dentro del Título III sobre sistemas de alto riesgo, se recogen diferentes obligaciones que deben cumplir los proveedores, implantadores y partes interesadas de dichos sistemas.
A efectos de no realizar un análisis muy exhaustivo, se va a analizar el artículo 29 bis puesto que trata la evaluación del impacto sobre los derechos fundamentales de los sistemas de IA de alto riesgo. En dicho artículo, se establecen obligaciones para dos tipos de operadores. En primer lugar, para los sistemas de alto riesgo incluidos en el artículo
6.2 (excluyendo el listado del anexo III), si los operadores de los sistemas son organismos de Derecho público u operadores privados que prestan servicios públicos. En segundo lugar, los operadores que emplean sistemas de alto riesgo del Anexo III, punto 5 letra b) y d), que serían los sistemas empleados para evaluar la solvencia de personas físicas o establecer su calificación crediticia.
Estos sistemas tienen la obligación de realizar una evaluación del impacto sobre los derechos fundamentales que su sistema pueda producir. La evaluación debe incluir la descripción de los procesos en que va a implementar la IA de alto riesgo y la finalidad prevista. Se debe indicar la categoría de personas físicas y grupos que puedan verse afectados por su uso para el fin previsto. Entre otras previsiones, se deben prever también las medidas en caso de que dichos riesgos se materialicen y los mecanismos de denuncia.
Es relevante recordar que la norma trata de abordar el equilibrio entre la protección de los derechos fundamentales de las personas afectadas, con el fomento de la innovación dentro de la Unión. Por ello, se debe evitar una regulación excesivamente estricta que derive en la pérdida de empresas o potenciales proveedores.
Requisitos de transparencia para la IA generativa
La IA generativa (GPAI, General Purpose AI Models) no se incluye dentro de la categoría de IA de alto riesgo. Sin embargo, el Reglamento en su artículo 52 contempla unas condiciones que dichos sistemas deben satisfacer. Un ejemplo de sistema de GPAI, es el conocido sistema “Chat GPT” de OpenAI. Es por ello que dichos sistemas deberán informar de que el contenido se ha generado con IA, deberán diseñar el sistema de manera que no genere contenidos ilícitos, asimismo, deberán publicitar recopilaciones de los datos protegidos mediante derechos de autor que se empleen para el entrenamiento del sistema de IA. En el mismo artículo 52, se establece que los proveedores de sistemas de IA, así como los de sistemas de GPAI, que generen contenidos de audio, imagen, vídeo o texto, deben garantizar que los resultados se etiqueten como sistema manipulado artificialmente.
DE LA UNIÓN EUROPEA
Por otro lado, los modelos de IA de uso general que puedan albergar un elevado impacto o que puedan llegar a generar un riesgo sistémico se deberán someter a controles frecuentes, además de informar a la Comisión de cualquier incidente de gravedad, como establece el artículo 62 del Reglamento76.
Con el fin de evitar que los elevados requisitos supongan una merma en la innovación en IA y que la Unión puede ser impulsora de dichos sistema, se prevé en el Reglamento la posibilidad de que Pequeñas y Medianas Empresas y empresas emergentes accedan a espacios controlados para la realización de pruebas y ensayos gestionados a nivel nacional por cada Estado Miembro. En este sentido, se podrían desarrollar sistemas de IA innovadora con el fin de comercializar posteriormente en los Estados Miembros.
Régimen de sanciones
Las obligaciones establecidas en dicho Reglamento acarrean unas condiciones en caso de incumplirse por los obligados. En este sentido el artículo 71 prevé que los Estados Miembros puedan regular su propio régimen de sanciones, otras medidas coercitivas y medidas para garantizar la aplicación correcta y eficaz. También, se permite que los Estados Miembros puedan incluir advertencias o medidas no pecuniarias. En todo caso, las sanciones tienen que velar por el cumplimiento de los principios de proporcionalidad y efectividad.
Se prevé la obligación de notificar a la Comisión las normas que cada Estado Miembro haya adoptado siendo la fecha límite la entrada en vigor del Reglamento. El Reglamento establece los máximos que deben considerar los Estados Miembros cuando adopten sus propias normas.
Enfoque español
Como se ha detallado previamente, España asumió la presidencia del Consejo de la UE, cosa que le permitió jugar un rol clave en el acuerdo político que se adoptó en diciembre de 2023.
Además, España se ha posicionado como el primer Estado Miembro en albergar un organismo regulador de IA, puesto que en el 22 de agosto de 2023 se aprobó la creación de la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con su sede en la ciudad de A Coruña. Los plenos efectos de la constitución fueron a los tres meses de la aprobación, por lo que se hizo efectiva en noviembre de 2023. La agencia de carácter público tiene como misión realizar todas las competencias que el Reglamento delega a los Estados Miembros.
INTELIGENCIA ARTIFICIAL PRESENTA
Además, España se posiciona como pionera en Europa por la creación de un sandbox de IA, con el apoyo de la Comisión Europea. En el mes de noviembre del año 2023, se aprueba un Real Decreto que permite al Ministerio de Asuntos Económicos y Transformación Digital la posibilidad de convocar a empresas para que participen en un espacio vigilado para probar sistema de IA recogidos en el Reglamento de IA. El fin del proyecto es proporcionar recomendaciones y códigos de conducta para guiar y sensibilizar a empresas, PYMES y empresas emergentes, y así facilitar la implementación del Reglamento.
Siguientes hitos de la Unión
La entrada en vigor del Reglamento ocurre tras la votación en plenario en el Parlamento Europeo, culminando 20 días después de la publicación en el diario oficial. Sin embargo, que el Reglamento entre en vigor no implica que su fecha de aplicabilidad sea la misma. Es por ello que en el propio Reglamento en su artículo 85 determina las fechas en que los diferentes derechos y obligaciones recogidos en la norma nacen, y por tanto, son de obligado cumplimiento. El Reglamento será plenamente aplicable en un plazo de veinticuatro meses desde la entrada en vigor, sin embargo se prevé que algunas disposiciones sean aplicables de manera previa. Las disposiciones relativas a los sistemas de IA prohibidos se aplicarán a los seis meses de la entrada en vigor. Los códigos de buenas prácticas, nueves meses después. Las normas relativas a la IA de uso general (GPAI) serán aplicables doce meses después. Por último, las disposiciones sobre sistemas de alto riesgo se aplicarán en un plazo de treinta y seis meses77.
Para entender los siguientes pasos de la UE, es relevante hablar del papel que adoptará la Unión como institución coordinadora de los Estados Miembros y por otro lado entender qué papel adoptará cada Estado Miembro en la aplicación de la normativa.
En primer lugar, analizando la perspectiva supranacional, la Comisión Europea, en el marco de la iniciativa “GenAI4U” acordó, en el mes de enero 2024, la adopción de un paquete de innovación en el ámbito de la IA con el fin de dar apoyo a empresas emergentes y PYMES78.
En dicho paquete se incluye la creación de la Oficina de Inteligencia Artificial que tiene como principal objetivo aportar un apoyo a la aplicación del Reglamento de IA. Se prevé que la Oficina ejerza ese cometido mediante la creación de órganos consultivos a escala de la Unión que pueden facilitar el intercambio de información entre Estados Miembros, el desarrollo de herramientas que puedan analizar las capacidades de los
77 Gobierno de España. (2024).
DE LA UNIÓN EUROPEA
sistemas de IA de propósito general (GPAI) y ayudar en la clasificación de modelos que puedan albergar riesgos sistémicos. Asimismo, pretende elaborar códigos de práctica con el fin de integrar la comunidad científica y expertos en la materia. También, realizar estudios sobre posibles infracciones del Reglamento, entre otras muchas funciones previstas. Además, la Oficina coopera con el Consejo Europeo de IA compuesto por representantes de cada Estado Miembro y con el Centro Europeo para la Transparencia Algorítmica (ECAT, por sus siglas en inglés).
En este sentido la Oficina de IA tiene tanto una función interna de coordinación entre Estados Miembros, como externa en la cooperación internacional para tener una visión compartida, coherente y estratégica entre todos los Estados Miembros sobre la IA.
Conclusiones
Tras un análisis general de la Ley de Inteligencia Artificial, se puede ver como la Unión aborda la regulación desde un punto de vista integral. Sin embargo, se trata de una norma muy reciente, que empezará a ser aplicable durante los próximos años y por ello todavía no se cuenta con desarrollo jurisprudencial.
Se debe tener en cuenta que, durante las diferentes propuestas de reglamento de IA, la definición ha ido evolucionando y se ha ido actualizando conforme avanzan dichos sistemas. Es por ello, que se debe tener en cuenta que dicha normativa se va a ver siempre afectada por la definición que se le dé a los “sistemas de IA”. Todas las obligaciones establecidas para los diferentes sistemas que tienen como fin la protección de derechos fundamentales y garantizar la seguridad de las personas que emplean dichos sistemas sólo van a cobrar sentido si los sistemas entran en la definición que el reglamento establece.
En este sentido, se debe tener en cuenta que la normativa de IA colisiona con diversas normativas como se ha ido mencionando en el artículo y todavía se necesita desarrollo normativo de cada Estado Miembro para ver cómo se interrelacionan. A pesar de que el Reglamento regule las condiciones que los proveedores de dichos sistemas deben cumplir, no se aborda si dichos sistemas son compatibles con algunas previsiones previstas en legislación nacional.
A modo de reflexión, es relevante recordar que la normativa tiene un fin tuitivo que busca proteger a las personas afectadas por dichos sistemas. Sin embargo, es clave recordar que la normativa debe considerar en todo momento incentivos para los proveedores, puesto que una regulación excesivamente estricta puede derivar en la fuga de empresas que provean dichos sistemas y que pueden aportar sistemas innovadores, situando a Europa como pionera. Sin embargo, la IA colisiona con Derechos Fundamentales de las personas y se debe garantizar en todo momento de protección y que las personas no queden desprovistas de mecanismos de defensa.
INTELIGENCIA ARTIFICIAL PRESENTA
IIX- Bibliografía
Álvarez, Paula. (2023). Avance histórico hacia el Reglamento de IA: se alcanza un acuerdo provisional. Cuatrecasas. avance-historico-reglamento-ia-alcanza-acuerdo- provisional
Comisión Europea. (2020). White Paper on Artificial Intelligence – A European approach to excellence and trust. d2ec4039-c5be-423a-81ef-b9e44e79825b_en
Comisión Europea. (2022). Liability Rules for Artificial Intelligence. The European approach to artificial intelligence (AI) will help build a resilient Europe for the Digital Decade where people and businesses can enjoy the benefits of AI. liability-rules-artificial- intelligence_en
Comisión Europea. (2023). Policy and legislation: Cyber Resilience Act. cyber- resilience-act
Comisión Europea. (2024). Paquete de la Ley de Servicios Digitales. digital-services- act-package
Comisión Europea. (2023). Comunicado de prensa: La Comisión se congratula del acuerdo político sobre la Ley de Inteligencia Artificial. ip_23_6473
Comisión Europea. (2024). Configurar el futuro digital de Europa. Enfoque europeo de la inteligencia artificial. european-approach-artificial-intelligence
Comisión Europea. (2024). Configurar el futuro digital de Europa. Oficina Europea de IA. ai-office
Committees European Parliament. (2022).Welcome words Dragoş Tudorache. about
Dirección General De Comunicación, Parlamento Europeo. (2024). Ley de IA de la UE: primera normativa sobre inteligencia artificial. Parlamento Europeo. 20230601STO93804_es.pdf
Cotino Huesco, Lorenzo. (2024). La primera sentencia del Tribunal de Justicia de la Unión Europea sobre decisiones automatizadas y sus implicaciones para la protección de datos y el Reglamento de inteligencia artificial. Diario Ley. a-primera-sentencia-del- tribunal-de-justicia-de-la-union-europea-sobre-decisiones-automatizadas-y-sus- implicaciones-para-la-proteccion-de-datos-y-el-reglamento-de-inteligencia-artificial
Consejo de la Unión Europea (2022). Reglamento de Inteligencia Artificial: el Consejo pide que se promueva una IA segura que respete los derechos fundamentales. artificial- intelligence-act-council-calls-for-promoting-safe-ai-that-respects-fundamental-rights
DE LA UNIÓN EUROPEA
Euractiv. (2023). AI Act: MEPs want fundamental rights assessments, obligations for high-risk users. ai-act-meps-want-fundamental-rights-assessments-obligations-for-high- risk-users
Euractiv. (2023). AI Act: Leading MEPs revise high-risk classification, ignoring negative legal opinion. ai-act-leading-meps-revise-high-risk-classification-ignoring-negative- legal-opinion
Euractiv. (2023). France, Germany, Italy push for ‘mandatory self-regulation’ for foundation models in EU’s AI law. france-germany-italy-push-for-mandatory-self- regulation-for-foundation-models-in-eus-ai-law
Euractiv. (2023). Leading EU lawmakers propose obligations for General Purpose AI. leading-eu-lawmakers-propose-obligations-for-general-purpose-ai
Gobierno de España. (2024). La Eurocámara aprueba una ley histórica para regular la inteligencia artificial. Portal Administración Electrónica. Noticia-2024-03-14-La- Eurocamara-aprueba-una-ley-historica-para-regular-la-inteligencia-artificial.html
Gov.UK. (2023). Policy paper: The Bletchley Declaration by Countries Attending the AI Safety Summit, 1-2 November 2023. the-bletchley-declaration-by-countries-attending- the-ai-safety-summit-1-2-november-2023
Gutiérrez, Leire. (2023). Internacional: Los países del G7 acuerdan un código de conducta para promover un uso responsable de las herramientas de inteligencia artificial. internacional-los-paises-del-g7-acuerdan-un-codigo-de-conducta-para-promover-un- uso-responsable-de-las-herramientas-de-inteligencia-artificial
Herrero Maortua, Fernando. (2024). Marco regulatorio actual sobre inteligencia artificial. Price Water House Coopers. https://www.pwc.es/es/newlaw-pulse/legaltech/marco- regulatorio-actual-inteligencia-artificial.html
High-Level Expert group on Artificial Intelligence. (2019). Ethics Guidelines For Trustworthy AI. ai-ethics-guidelines.pdf
La Moncloa. (2024). Presidencia española del Consejo de la UE: ¿qué es y cuáles han sido sus resultados?. 300623-presidencia-espanola-consejo-europeo.aspx
Madiega, Tambiama. European Parliament. (2024). Briefing: EU Legislation in Progress. Artificial Intelligence Act EPRS_BRI(2021)698792_EN.pdf
OCDE. (2019). Cuarenta y dos países adoptan los Principios de la OCDE sobre Inteligencia Artificial.
cuarentaydospaisesadoptanlosprincipiosdelaocdesobreinteligenciaartificial.htm
INTELIGENCIA ARTIFICIAL PRESENTA
Parlamento Europeo. (2022). Inteligencia artificial: la hoja de ruta del Parlamento para la UE. inteligencia-artificial-la-hoja-de-ruta-del-parlamento-para-la-ue
Parlamento Europeo. (2023). Regulación de la inteligencia artificial en la UE: la propuesta del Parlamento. regulacion-de-la-inteligencia-artificial-en-la-ue-la-propuesta- del-parlamento
Presidencia Española del Consejo de la Unión Europea. (2023). La transformación digital. transformación-digital-presidencia-espanola-consejo-ue
R. Aguilar, Alberto. (2023). Alemania, Francia e Italia pactan que la IA generativa se autorregule sin sanciones, lo que puede complicar las negociaciones del reglamento. Business Insider. paris-roma-berlin-quieren-ia-autorregule-sanciones-1338224
R. Aguilar, Alberto. (2024). El COREPER da el visto bueno al Reglamento de la IA, que está un paso más cerca de ser una realidad en la Unión Europea. Business Insider. reglamento-ia-vuelve-estar-juego-nueva-votacion-1358830
Special Committee on Artificial Intelligence in a Digital Age. (2022). Activity Report following AIDA Mandate 20210-2022. September 2020-March 2022. PDF
Anexo de legislación:
European Union Artificial Intelligence Act. (2024). ai-act-explorer
Hiroshima Process International Guiding Principles for Organizations Developing Advanced AI systems (2019). G7.AIGuidingPrinciples.Oct302023.pdf
REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO,
de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). HTML
REGLAMENTO (UE) 2022/2065 DEL PARLAMENTO EUROPEO Y DEL CONSEJO
de 19 de octubre de 2022, relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales). PDF
REGLAMENTO (UE) 2022/1925 DEL PARLAMENTO EUROPEO Y DEL CONSEJO
de 14 de septiembre de 2022 sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales). PDF
UNESCO’s Recommendation on the Ethics of Artificial Intelligence: key facts (2021). pf0000385082
Deja una respuesta