Índice de contenidos
Qué es el AI Act
El Reglamento de Inteligencia Artificial (AI Act) constituye el primer marco regulatorio integral sobre inteligencia artificial adoptado por una gran jurisdicción económica. Su objetivo es garantizar que los sistemas de IA utilizados en la Unión Europea sean seguros, respeten los derechos fundamentales y fomenten la innovación tecnológica.
El reglamento se aplica a proveedores de sistemas de IA que comercialicen en la UE, usuarios o desplegadores establecidos en la Unión, y proveedores situados fuera de la UE cuando los resultados del sistema se utilicen dentro del territorio europeo — el denominado principio de efecto extraterritorial, ya utilizado en el RGPD.
Clasificación de riesgos
El elemento central del AI Act es la clasificación de los sistemas de IA en función del riesgo que presentan para los derechos fundamentales y la seguridad de las personas. El reglamento distingue cuatro niveles:
Riesgo inaceptable — sistemas prohibidos
Están directamente prohibidos los sistemas de manipulación cognitiva subliminal, los sistemas de puntuación social utilizados por autoridades públicas, la identificación biométrica remota en tiempo real en espacios públicos (salvo excepciones tasadas) y los sistemas que exploten vulnerabilidades de menores, personas mayores o con discapacidad.
Alto riesgo
Los sistemas de alto riesgo incluyen aplicaciones en empleo y recursos humanos (selección automatizada de personal), educación, servicios financieros (evaluación de solvencia), infraestructuras críticas, y aplicaciones en justicia y seguridad. Son los más regulados.
Riesgo limitado y mínimo
Los sistemas de riesgo limitado (chatbots, generadores de contenido sintético) deben cumplir requisitos de transparencia informando al usuario que interactúa con IA. Los de riesgo mínimo no tienen obligaciones adicionales específicas.
Obligaciones para empresas con IA de alto riesgo
- Sistema de gestión de riesgos — identificación y mitigación continua durante todo el ciclo de vida del producto. (Art. 9)
- Gobernanza y calidad de datos — conjuntos de datos representativos y libres de sesgos injustificados para evitar discriminación algorítmica. (Art. 10)
- Documentación técnica — diseño del sistema, metodología de entrenamiento, arquitectura y evaluación de riesgos. (Art. 11)
- Registro y trazabilidad — mecanismos de registro automático de eventos para auditoría. (Art. 12)
- Transparencia — información clara sobre funcionamiento, limitaciones y condiciones de uso. (Art. 13)
- Supervisión humana — diseño que permita intervención humana efectiva. (Art. 14)
- Seguridad y precisión — estándares elevados de precisión, robustez y ciberseguridad. (Art. 15)
Modelos de IA de propósito general (GPAI)
El AI Act introduce obligaciones específicas para los modelos de IA de propósito general como los grandes modelos generativos: documentación técnica del modelo, resumen del contenido utilizado para entrenamiento y cumplimiento de normativa de derechos de autor. Los modelos de riesgo sistémico tienen obligaciones adicionales de evaluación y seguridad.
Sanciones
El régimen sancionador es uno de los más estrictos del derecho tecnológico europeo: hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual para las infracciones más graves (sistemas prohibidos), hasta 15 millones o el 3 % para incumplimiento de obligaciones regulatorias, y hasta 7,5 millones o el 1 % por información incorrecta a autoridades.
Calendario de aplicación
- 2024 — Entrada en vigor del reglamento.
- Febrero 2025 — Aplicación de prohibiciones sobre sistemas de riesgo inaceptable.
- Agosto 2025 — Aplicación de normas a modelos de IA de propósito general.
- Agosto 2026 — Aplicación plena de obligaciones para sistemas de alto riesgo.
- 2027 — Aplicación completa para determinados sistemas integrados en productos regulados.
Impacto para empresas españolas
Están especialmente afectadas las empresas tecnológicas, fintech, recursos humanos, sector sanitario, industria y logística y administraciones públicas. Las organizaciones deberán adoptar estrategias de gobernanza de IA que incluyan evaluación jurídica de sistemas, auditorías algorítmicas, compliance tecnológico y formación interna. Además será necesario coordinar el AI Act con el RGPD, el DSA y la Directiva de responsabilidad por IA, actualmente en tramitación.