El año 2024 será recordado en lo geopolítico por las crueles guerras en Ucrania y Oriente Próximo. En lo deportivo, serán inolvidables los éxitos españoles tanto en la Eurocopa como en las Olimpiadas. Y en el plano jurídico-tecnológico destacará como el hito de mayor trascendencia la aprobación de la primera norma europea sobre inteligencia artificial.

Tras un complejo proceso de elaboración, el Reglamento de Inteligencia Artificial (RIA) fue publicado el pasado 12 de julio, aunque su aplicación se irá produciendo de forma escalonada hasta que dentro de dos años todas sus disposiciones sean exigibles.

Esta norma pionera responde a la imperiosa necesidad de regular una tecnología que, tras un largo desarrollo, ha trascendido del ámbito científico para tener cada vez un mayor protagonismo en la vida cotidiana de las personas. El impacto de la IA ya está siendo sustancial, y lo será todavía más por su potencial disruptivo. Es un auténtico ‘game changer’ de las relaciones económicas y sociales.

Pero los innegables beneficios de la IA no deben ocultar las amenazas que la misma entraña sobre las personas y los intereses públicos. Frente a tales riesgos existen distintas posturas: algunos tienen una confianza plena en la tecnología y apuestan por no limitar su desarrollo; otros alertan de los peligros sistémicos y cuasi-apocalípticos de la IA, y piden una moratoria en las investigaciones, o al menos detener el desarrollo de las que más riesgos presentan; por último, una postura intermedia aconseja cautela y sostiene que es necesario regular la IA para encauzar su desarrollo y minimizar sus riesgos.

Para muchos expertos y pensadores, la IA es imparable. Por ello, no debemos renunciar a la IA ni oponernos a su avance, sino que, como indica José María Lasalle[1], hay que dotarla de un sentido o fin humanista. Es decir, hay que configurar la IA para someterla al servicio del ser humano, de modo que beneficie a la sociedad, produzca bienestar a los ciudadanos y, en definitiva, permita a las personas mejorar sus condiciones de vida.

Este es el camino que ha escogido Europa. Con la aprobación del RIA, la Unión Europea ha dado otro paso en la protección de las personas y sus derechos frente al inevitable impacto tecnológico en nuestras vidas. Se levanta así un nuevo pilar para la construcción de una sociedad tecnológica humanista, como se hizo en 2016 con la aprobación del Reglamento General de Protección de Datos.

Los 6 puntos fundamentales del RIA son, a nuestro juicio, los siguientes:

1- OBJETIVO DEL RIA: UNA IA CENTRADA EN EL SER HUMANO

La finalidad humanista del RIA queda plasmada en el primer artículo, que establece su objetivo de promover la adopción de una IA centrada en el ser humano y fiable, garantizando al mismo tiempo un elevado nivel de protección de la salud, la seguridad y los derechos fundamentales, incluidos la democracia, el Estado de Derecho y la protección del medio ambiente, frente a los efectos perjudiciales de los sistemas de IA. Todo ello, además, apoyando la innovación, respetando la libertad de ciencia y sin socavar la actividad de investigación y desarrollo (considerando 25).

2- ÁMBITO DE APLICACIÓN SUBJETIVO Y OBJETIVO

El RIA sigue la línea de otras disposiciones del ámbito digital al aplicar la norma a determinados sujetos independientemente de su establecimiento en Europa (artículo 2). Concretamente, se aplica a todo tipo de proveedores y responsables del despliegue cuando sus sistemas de IA se introduzcan en la Unión o los resultados generados por el sistema de IA se utilicen en la Unión. Otros sujetos afectados son los importadores y distribuidores de sistemas de IA, los fabricantes de productos, los representantes autorizados de proveedores no establecidos en la UE y las personas afectadas ubicadas en la UE.

En cuanto a su aplicación material, la norma se proyecta con carácter general a todos los usos de IA, salvo determinados ámbitos. Es el caso, entre otros, de los fines militares, de la defensa o seguridad nacional, de las actividades de investigación de las actividades personales.

3- EL ENFOQUE BASADO EN LOS RIESGOS

El aspecto más relevante del RIA es que no regula propiamente la tecnología de inteligencia artificial, sino que se centra en sus posibles usos[2]. Así, a través de un enfoque basado en los riesgos, el RIA clasifica los sistemas de IA en cuatro grupos:

• Sistemas de riesgo inaceptable, prohibidos por el Reglamento (artículo 5)[3].
• Sistemas de alto riesgo, que presentan un elevado impacto sobre las personas y sus derechos, pero que se permiten siempre y cuando se cumplan determinados requisitos y obligaciones (artículos 6 y ss.)[4].
• Sistemas de riesgo limitado, es decir, los sistemas de propósito general o GPAI, que deberán cumplir obligaciones específicas de transparencia con los usuarios (artículos 50 y ss.)[5].
• Sistemas de riesgo bajo o mínimo, que son todos aquellos sistemas no comprendidos en los grupos anteriores. A estos sistemas el RIA no les impone obligaciones específicas, pero deberán cumplir otra normativa aplicable, como la de protección de datos personales, consumidores, seguridad de los productos, derecho laboral o servicios digitales.

4- UNA GOBERNANZA MULTINIVEL

La correcta aplicación del Reglamento se sustenta en el sistema de gobernanza que regula (artículo 64 y ss.). El RIA encarga la supervisión de su aplicación a distintos órganos. A nivel comunitario, se crean el Comité Europeo de Inteligencia Artificial y la Oficina de IA. Y a nivel nacional los Estados Miembros deben designar una autoridad notificadora y una autoridad de supervisión de mercado[6], las cuales contarán con potestades investigadoras y sancionadoras. Además de las anteriores se deberá contar con un punto de contacto único en cada Estado.

5- EL CONTUNDENTE RÉGIMEN SANCIONADOR

Sobre los Estados Miembros recae la responsabilidad de configurar el régimen sancionador de acuerdo con las circunstancias de graduación que establece el RIA y unas multas administrativas de gran cuantía que se aplicarán de acuerdo con la siguiente escala (artículo 99):

• Hasta 35 millones de euros o 7% del volumen de negocios total cuando no se respeten las prácticas prohibidas de IA.
• Hasta 15 millones de euros o 3% del volumen de negocios total cuando se incumplan las obligaciones impuestas por la norma.
• Hasta 7’5 millones de euros o 1% del volumen de negocios total cuando no se informe correctamente a las autoridades competentes.

6- LA PREVISIÓN DE DISTINTOS MECANISMOS DE AUTORREGULACIÓN DE LA IA

Regular de manera exhaustiva una tecnología como la IA no es óptimo. Por ello, el RIA otorga un valor importante a la autorregulación a través de los códigos de buenas prácticas (artículo 56) y los códigos de conducta (artículo 95). De este modo se posibilita a los sujetos afectados por la norma que adopten reglas de manera voluntaria para un mejor cumplimiento del RIA, o incluso ir más allá de sus exigencias legales y, consecuentemente, configurar una digitalización responsable.

El RIA trata de conciliar el respeto a los derechos de las personas y limitar los riesgos de los sistemas de inteligencia artificial al mismo tiempo que pretende no obstaculizar la innovación y el desarrollo de la IA por los grandes beneficios que se espera de ella. Aunque la norma tiene como objetivo «promover la adopción de una IA centrada en el ser humano y fiable», tendrán que darse en el futuro pasos regulatorios más exigentes que concreten ese objetivo general y garanticen su efectividad. Mientras tanto, todos los agentes (las instituciones, las empresas y los ciudadanos) debemos contribuir en la medida de lo posible para alinear la tecnología con el servicio al ser humano y lograr el bienestar digital de la sociedad.

---

[1] LASALLE, J. M. Civilización artificial. Ed. Arpa. 2024.

[2] En este sentido, el RIA no define la tecnología de inteligencia artificial, sino a los sistemas que la emplean:  “sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtuales” (artículo 3.1).

[3] Ejemplos de prácticas de IA prohibidas son los sistemas de puntuación social, de reconocimiento de emociones o de identificación biométrica remota «en tiempo real» en espacios de acceso público.

[4] Se clasificarán como sistemas de alto riesgo los que reúnan las condiciones señaladas en el artículo 6 del RIA o se empleen en alguno de los ocho ámbitos que señala el Anexo III, entre otros: infraestructuras críticas, educación, migración, empleo o justicia.

[5] Los sistemas de IA de uso general son aquellos modelos de IA que no tienen una función específica, sino que pueden servir para distintos fines. El ejemplo paradigmático es ChatGPT, de OpenAI.

[6] En España, la autoridad de vigilancia del mercado competente es la Agencia Española de Supervisión de la IA (AESIA).