El Reglamento Europeo de Inteligencia Artificial, obligaciones y peligros

En vigor desde agosto de 2024, se ha implementado progresivamente en febrero 2025, en el que entró en vigor las prohibiciones absolutas y en agosto del próximo año se da el plazo límite para adaptar los sistemas de IA generativa. Con esta legislación, la UE reafirma su papel como pionera en la regulación tecnológica, aunque el desafío ahora será equilibrar la protección de derechos con la competitividad industrial en un mercado global cada vez más dependiente de la inteligencia artificial.

El Reglamento europeo de Inteligencia Artificial es una norma extensa y compleja, de alto componente tecnológico, cuyo articulado diseña un intrincado conjunto de obligaciones a cargo tanto de las empresas como de las administraciones públicas que utilicen esta tecnología. Cumplir el RIA va a exigir, a los profesionales de la pericia, el derecho y a los de la tecnología, no solo de un estudio detallado de la norma, sino también va a requerir de un diálogo permanente entre ellos y con expertos en otros ámbitos, como la ciencia de datos, la informática, la estadística, la sociología y la ética.

Según el abogado y profesor Carlos Fernández Hernández, el RIA "se ancla fundamentalmente sobre dos bases. La primera es la regulación de la IA como un producto: baste un simple ejemplo, como pudiera ser un televisor. Ello obedece a que uno de los grandes objetivos de esta norma es precisamente el de la seguridad de las personas, en realidad de los consumidores europeos, frente a cualesquiera daños a su integridad y a su salud que su uso pudiera generar. Siendo a su vez una de las consecuencias de lo anterior el que los destinatarios del RIA sean personas, ya físicas o ya jurídicas, quienes, desde su entrada en vigor, y en la medida en que desarrollen o utilicen modelos o sistemas de IA, quedarán por él vinculados. Esta última es de hecho una diferencia crítica entre el RIA y el Convenio Marco del Consejo de Europa sobre inteligencia artificial de mayo de 2024; este Convenio no tiene como destinatarios a personas, sino a Estados, que podrán firmarla y ratificarla, pero que son libres para dar cauce ulterior a sus contenidos en regulaciones que puedan desarrollarla. La segunda gran base de anclaje del RIA es su regulación de vocación horizontal, a su vez comprensible en un doble sentido. Horizontal por cuanto el Reglamento regula los riesgos que deriven de esta tecnología con independencia del sector o de la actividad en que se aplique. Como ya a estas alturas suele ser bien sabido, el RIA establece riesgos inaceptables, que llevan a prohibir el uso de esta tecnología cuando se generan; riesgos altos, que implican el corazón de su reglamentación y las mayores exigencias; riesgos medios, que no evitan sin embargo que proveedores y usuarios de modelos o sistemas que los generen queden también sujetos a algunas reglas; y riesgos mínimos, que quedan excluidos del alcance del RIA. Y el segundo sentido en el que la horizontalidad de este Reglamento se despliega es el de resultar aplicable tanto a las tecnologías de IA digamos clásica o analítica; y asimismo a los sistemas y modelos de IA generativa, que como se sabe constituye la última generación de estas tecnologías, y la que ha propiciado su extensión prácticamente indiscriminada en la sociedad. Estos dos grandes rasgos del Reglamento europeo son los que permiten trazar una clara frontera de distinción entre el mismo y otro modelo regulatorio determinante en el mundo, como es el norteamericano. Este último, básicamente dimanante del Decreto Presidencial de 30 de octubre de 2023, se centra esencialmente en los riesgos que la IA pueda plantear en materia de seguridad nacional, y no como simple producto de gran consumo. Por otro lado, este foco en la seguridad del Estado evita una regulación de la tecnología en sí, ya se trate de IA analítica o de IA generativa, que prescinda del concreto fin que motive el uso concreto de una u otra.Es claro que los riesgos de la IA no pueden afrontarse únicamente desde la regulación. En una interesante obra dedicada a los accidentes de aviación, el profesor de la Universidad de Bristol John Downer nos recuerda que el muy reducido riesgo de la aviación no deriva en modo alguno primordialmente de las normas que la regulan, sino del exhaustivo y concienzudo análisis que las compañías aéreas que sufren desastres efectúan de las causas de los mismos, causas que a su vez comparten con otras líneas aéreas. El propio Stuart Russell nos recuerda también cómo, en su experiencia, tratar de aplicar remedios para que una IA existente resulte segura (make AI safe), “ni ha funcionado nunca, ni funcionará jamás”; siendo en cambio lo correcto tratar de, desde el diseño - podríamos decir en la terminología creada en Canadá a finales de los años 90 y adoptada por la legislación europea-, y en continuo diálogo entre todos los afectados por esta tecnología, ya se trate de diseñadores, ya de gestores empresariales, ya de gobiernos, ya de los propios consumidores, construir una IA que sea segura (make safe AI). Sea como fuere, y aun cuando insuficiente, la regulación no deja de constituir un paso en el sentido correcto. Y es también innegable que el RIA reforzará lo que constituye uno de sus objetivos esenciales, como es el de reforzar los derechos y libertades de los europeos frente a los usos de sistemas y modelos de IA. En esto, por cierto, la norma europea contrasta fuertemente con el otro gran modelo regulatorio mundial, el de la República Popular China, cuyo baremo principal a la hora de estimar aceptable un sistema o modelo no es otro que su compatibilidad con los principios del partido que sustenta a ese Estado".

No obstante este reglamento está basado en el principio de riesgo, el RIA clasifica los sistemas de IA en cuatro categorías según su potencial impacto:

1. Riesgo inaceptable: Prohibición absoluta de aplicaciones como la vigilancia biométrica masiva en espacios públicos o herramientas que manipulen el comportamiento humano.

2. Alto riesgo: Exige certificación previa, auditorías periódicas y supervisión humana en sectores críticos como la medicina, el transporte autónomo o los procesos de contratación laboral.

3. Riesgo limitado: Obliga a transparencia en sistemas como chatbots o deepfakes, requiriendo que los usuarios sean informados cuando interactúen con IA.

4. Riesgo mínimo: Aplicaciones como videojuegos o filtros de fotos quedan excluidas de regulación específica.