Reglamento Europeo de IA (EU AI Act)
El Reglamento Europeo de IA es la ley integral y basada en riesgo de la Unión Europea para la inteligencia artificial. Clasifica los sistemas de IA en niveles de riesgo —inaceptable (prohibido), alto riesgo (obligaciones estrictas), riesgo limitado (deberes de transparencia) y riesgo mínimo— y añade obligaciones específicas para los modelos de IA de propósito general. Se aplica de forma extraterritorial a quien comercialice IA en el mercado de la UE y entra en vigor de forma escalonada, con sanciones de hasta el 7% de la facturación anual mundial en las infracciones más graves.
Definición
El Reglamento Europeo de IA es una norma europea horizontal que gobierna la IA por nivel de riesgo, imponiendo obligaciones a proveedores y responsables del despliegue proporcionales al riesgo que el sistema supone para la salud, la seguridad y los derechos fundamentales.
Alcance
Proveedores y responsables del despliegue que comercialicen sistemas de IA o modelos de IA de propósito general en el mercado de la UE o cuya salida se use en la UE, con independencia de dónde estén establecidos. Algunos usos (p. ej. puramente personales, cierta investigación) quedan fuera del ámbito.
Requisitos clave
- Niveles basados en riesgo: inaceptable (prohibido), alto riesgo, riesgo limitado (transparencia), riesgo mínimo.
- Las prácticas prohibidas incluyen la puntuación social y ciertos usos biométricos y manipuladores.
- Los sistemas de alto riesgo exigen gestión de riesgos, gobernanza de datos, documentación técnica, registros, supervisión humana, precisión/robustez y vigilancia poscomercialización.
- Los modelos de IA de propósito general (GPAI) tienen su propia transparencia y, los de riesgo sistémico, obligaciones adicionales.
- Deberes de transparencia: hay que avisar al usuario cuando interactúa con IA y marcar el contenido sintético.
- Aplicación escalonada con sanciones significativas por incumplimiento.
Controles
- Clasificación de riesgo
- Determina primero el nivel de cada sistema: decide todas las demás obligaciones. Clasificar mal un sistema de alto riesgo es el error temprano más costoso.
- Supervisión humana (Art. 14)
- Los sistemas de alto riesgo deben poder ser supervisados por una persona que pueda intervenir o detenerlos: la base regulatoria de las puertas de aprobación humana.
- Documentación técnica y registros
- Mantén documentación y registros automáticos de eventos para que el sistema sea trazable y auditable durante su ciclo de vida.
- Transparencia hacia el usuario
- Revela la interacción con IA y etiqueta el contenido generado o manipulado por IA (deepfakes).
- Vigilancia poscomercialización
- Monitoriza el rendimiento en el campo y reporta incidentes graves; la gobernanza no termina en el despliegue.
Lista de verificación
- 01Inventaría tus sistemas de IA y clasifica cada uno por nivel de riesgo.
- 02Confirma que ninguno cae en prácticas prohibidas.
- 03Para los de alto riesgo, monta gestión de riesgos, gobernanza de datos y documentación técnica.
- 04Implementa supervisión humana con capacidad de intervenir o detener el sistema.
- 05Habilita registro/trazabilidad y define la vigilancia poscomercialización y el reporte de incidentes.
- 06Añade transparencia hacia el usuario y etiquetado de contenido donde se exija.
- 07Sigue las fechas de aplicación escalonada que afectan a tus sistemas.
Errores comunes
- Suponer que el Reglamento no aplica por estar fuera de la UE: es extraterritorial.
- Tratar las obligaciones de GPAI como idénticas a las de los sistemas de IA; son distintas.
- Añadir una supervisión humana que en realidad no puede intervenir a tiempo.
- Documentar de menos: la falta de documentación técnica y registros es una carencia habitual.
Ejemplos
- Una herramienta de cribado de candidatos clasificada como alto riesgo, que exige documentación, supervisión humana y monitorización.
- Un chatbot que añade un aviso claro de 'estás hablando con una IA' para cumplir los deberes de transparencia.
- Un proveedor de GPAI que publica la documentación del modelo y un resumen de los datos de entrenamiento.
FAQs
- ¿El Reglamento aplica a empresas fuera de la UE?
- Sí. Aplica a proveedores y responsables del despliegue cuyos sistemas de IA se comercialicen en el mercado de la UE o cuya salida se use en la UE, con independencia de dónde esté la empresa.
- ¿Qué es un sistema de IA de 'alto riesgo'?
- Sistemas usados en ámbitos sensibles (p. ej. empleo, crédito, infraestructuras críticas, ciertos usos biométricos) o como componentes de seguridad de productos regulados. Tienen las obligaciones más estrictas sin llegar a la prohibición.
- ¿Cómo se relaciona con el human-in-the-loop?
- El Artículo 14 exige supervisión humana efectiva para los sistemas de alto riesgo: una persona capaz de entender, intervenir o detener el sistema. El patrón de puerta de aprobación humana es una forma de implementarlo.