Ley de IA de la UE: así quedan los puntos más discutidos a falta de la letra pequeña

La Unión Europea (UE) ha logrado consensuar la primera ley que regula la inteligencia artificial (IA), unas tecnologías que tras la popularidad de ChatGPT, han avivado los debates públicos sobre su potencial pero también sobre sus riesgos. 

El texto, que había sido propuesto originalmente en 2021 y modificado tras la explosión de la industria de la IA generativa, sufrió las presiones de gobiernos, ONG y lobbies tecnológicos, y finalmente superó el proceso legislativo cuando Comisión, Consejo y Parlamento europeos resolvieron sus diferencias en el llamado trílogo o diálogo a tres bandas del 8 de diciembre, en una dura maratón negociadora que duró 36 horas. 

El acuerdo es provisional y aún deberá ser ratificado antes de entrar en vigor en 2026. El efecto de las prohibiciones se notará antes, en seis meses. Otras disposiciones, como los requisitos para los sistemas de alto riesgo, los modelos poderosos de IA, los organismos de evaluación de la conformidad y el capítulo de gobernanza empezarán a aplicarse dentro de un año. 

El incumplimiento de la ley de IA en la UE implica multas que oscilan entre los 35 millones de euros o el 7% de la facturación global y los 7,5 millones o el 1,5% de la facturación, dependiendo de la infracción y el tamaño de la empresa.

La nueva ley de IA para la Unión Europea está basada en una clasificación de la capacidad de estas tecnologías para causar daño, y en función de su rápida evolución, plantea regular los usos y no las tecnologías concretas. En el punto más alto se encuentran los riesgos inaceptables para los ciudadanos y la democracia, según la UE, que se prohíben en todo el territorio. 

Usos prohibidos

• Sistemas biométricos que utilicen características sensibles (como creencias políticas, religiosas, filosóficas, de raza u orientación sexual).
• Extracción no selectiva de imágenes faciales de Internet (por ejemplo, lo que hizo Clearview) o de grabaciones de circuitos cerrados de TV para crear bases de datos de reconocimiento facial. 
• Reconocimiento de emociones en lugares de trabajo y centros educativos.
• Puntuación social (social scoring) basada en el comportamiento social o las características personales.
• Sistemas de IA que manipulen el comportamiento humano para eludir su libre albedrío.
• IA utilizada para explotar vulnerabilidades en las personas (debido a su edad, discapacidad, situación social o económica).

Las excepciones y los puntos polémicos de la nueva ley de IA europea

El punto más crítico en las negociaciones de la ley de IA en la UE, en el que Parlamento y gobiernos tenían posturas muy alejadas, ha sido el del reconocimiento facial y biométrico en tiempo real por parte de gobiernos en espacios públicos, algo contra lo que habían advertido también organizaciones en favor de los derechos humanos y de los consumidores, como EDRi o BEUC, la federación de consumidores europeos. Mientras el Parlamento quería desestimar estos usos por completo, el Consejo logró definir algunos casos de excepcionalidad vinculados con la seguridad nacional. 

Así en la ley de IA de la UE, el uso de sistemas de identificación biométrica en espacios de acceso público con fines policiales, se hará previa autorización judicial y para determinados delitos. Los sistemas de  identificación biométrica «a distancia» se utilizarán estrictamente en la búsqueda selectiva de una persona condenada o sospechosa de haber cometido un delito grave. La identificación “en tiempo real” se limitará a: 

• búsquedas específicas de víctimas (secuestro, trata, explotación sexual),
• prevención de una amenaza terrorista específica y actual, o
• la localización o identificación de una persona sospechosa de haber cometido uno de los delitos específicos mencionados en el Reglamento (por ejemplo, terrorismo, trata de seres humanos, explotación sexual, asesinato, secuestro, violación, robo a mano armada, participación en una organización delictiva, delitos contra el medio ambiente).

ChatGPT y la IA generativa en la ley de IA de la UE

El gran objetivo de la ley ha sido proteger los derechos fundamentales de los ciudadanos a la par que se impulsa la innovación y se hace de Europa un líder en el sector, por lo que otro de los temas espinosos ha sido cómo regular los modelos de IA de propósito general (Ia IA generativa o los modelos fundacionales) en los que se basa, por ejemplo, ChatGPT. 

Lo han resuelto finalmente con un planteamiento a dos niveles en la ley, con requisitos de transparencia para todo tipo de IA de propósito general y requisitos más estrictos para los modelos potentes con impacto sistémico en el mercado de la UE. 

Toda IA de propósito general deberá presentar documentación técnica, cumplir la legislación sobre derechos de autor y hacer resúmenes detallados sobre los contenidos utilizados para el entrenamiento del modelo. El contenido generado por IA deberá ser marcado como tal. 

Los modelos de propósito general con alto impacto y riesgo sistémico (esto es, que impliquen un perjuicio potencial significativo para la salud, la seguridad, los derechos fundamentales, el medio ambiente, la democracia y el Estado de Derecho) tienen obligaciones más estrictas en la ley de IA de la UE: tendrán que llevar a cabo evaluaciones de modelos, evaluar y mitigar los riesgos sistémicos, realizar pruebas antagónicas, informar a la Comisión sobre incidentes graves, garantizar la ciberseguridad e informar sobre su eficiencia energética.

Este último, un punto muy importante ya que a través de estudios independientes hemos podido saber que la industria de la IA consume cantidades cada vez mayores de energía, sin que hasta ahora las tecnológicas tuvieran obligación de publicar estos datos.