La Unión Europea es el primer organismo supranacional del mundo que ha establecido un marco legal para el desarrollo de la Inteligencia Artificial.

La propuesta de ley fue realizada ya en 2021 por parte de la Comisión Europea y se llegó a un acuerdo sobre ella entre el Consejo y el Parlamento Europea el pasado 8 de diciembre de 2023, tras unas arduas negociaciones.

La norma ha sido ratificada hoy por el Parlamento Europeo, quien reconoce el potencial de la IA para el desarrollo de la sociedad, aunque asegura que es necesario regularla para prevenir y mitigar los riesgos que también acarrea.

Se trata de la primera legislación que permite o prohíbe el uso de la IA en función del riesgo que suponga para la humanidad.

La medida, que también pretende impulsar el desarrollo de la IA, la excelencia y la innovación tecnológica en Europa frente al empuje de gigantes como Estados Unidos o China, será de obligado cumplimiento para todas las empresas e instituciones que empleen la IA en territorio europeo.

Niveles de riesgo de la Inteligencia Artificial según la ley aprobada por la UE

La legislación aprobada, la primera sobre IA en todo el planeta, servirá posiblemente de referente internacional para otras instituciones y organismos que quieran regular el empleo de sistemas de Inteligencia Artificial en el futuro.

La norma establece cuatro niveles de riesgo, una clasificación a la que deberá someterse todo programa o servicio que emplee Inteligencia Artificial: riesgo mínimo, riesgo limitado, alto riesgo y riesgo inadmisible.

IA de riesgo mínimo. Estos sistemas, que empleen la Inteligencia Artificial sin riesgo alguno para los derechos y libertades de las personas, no tendrán obligaciones jurídicas adicionales.

La mayor parte de los sofwares y programas que se emplean hoy día tienen esta consideración. Eso sí, la UE anima a los proveedores de software a autorregularse de manera voluntaria.

IA de riesgo limitado. Los sistemas que se engloban en este apartado han de cumplir con normas de transparencia específicas, dada la cantidad y calidad de la información que gestionan. Por ejemplo, se encuadrarían en este apartado los sistemas de chatbots, dado que pueden manejar información personal y existe riesgo de manipulación de la misma.

IA de alto riesgo. Son todos los sistemas de IA cuya utilización pueda tener consecuencias negativas en la seguridad o en los derechos y libertades de las personas. En este apartado se encuentran algunos sistemas de identificación biométrica, sistemas de uso policial o de control de fronteras, algunas herramientas educativas…

En la ley se incluye un listado con sistemas de alto riesgo que la Comisión Europea mantendrá actualizado en el futuro.

IA de riesgo inadmisible. En la ley también se incluyen algunos sistemas de IA cuyo uso se prohibe por presentar un riesgo inadmisible para los derechos de las personas, ya que vulneran los derechos fundamentales.

En este ámbito se incluyen los sistemas de puntuación social, los que impliquen una actuación policial predictiva individual o el reconocimiento de emociones en el trabajo o escuela, a excepción de motivos médicos o de seguridad.

Junto a estas limitaciones, la UE establece otro mecanismo para el control de desarrollo de los sistemas de Inteligencia Artificial. Aquellos que superen los 10^25 FLOPS (operaciones de coma flotante por segundo) son considerados como sistemas que aún no se comprenden adecuadamente, suponen riesgos sistémicos y han de someterse a un mayor control para que los proveedores que los empleen para el desarrollo de sus sistemas tengan la garantía de que son seguros. El umbral se ha fijado a partir de modelos reconocidos como Chat GPT y Gemini de Google.

Prohibición de uso de datos biométricos

La ratificación de la legislación supone un importante paso adelante y la demostración de que podía llegarse a un acuerdo a pesar de los escollos que parecían insalvables, con temas comprometidos como el uso que podrían dar a las cámaras de identificación biométrica las fuerzas de seguridad para prevenir el terrorismo o los desórdenes públicos.

Finalmente no podrán ser utilizados los sistemas de categorización biométrica que utilicen información sensible, como creencias religiosas, orientación sexual o raza. Tampoco las cámaras que recopilen imágenes faciales de forma indiscriminada en Internet o en la vía pública, salvo en casos específicos con autorización judicial y con la salvaguarda expresa de los derechos humanos. También cuando se apliquen únicamente sobre una persona -por ejemplo, si es sospechosa de haber cometido un delito grave- o para la búsqueda de víctimas de un secuestro o explotación sexual.

Tampoco se permite la identificación biométrica remota posterior sin autorización. La ley europea señala expresamente la necesidad de evitar el riesgo de condenar a una persona inocente por un fallo de precisión de un sistema tecnológico.

Reproducción de los sesgos

El texto aprobado avisa expresamente que los sistemas de Inteligencia Artificial, podrían, si fueran así diseñados y se emplearan de la forma adecuada, contribuir a reducir los prejuicios y la discriminación estructural.

En este sentido, se establecen unas normas para que, en el caso de que se produzcan falsos resultados, no causen perjuicio a los grupos protegidos. Por ejemplo, los sistemas de alto riesgo han de entrenarse con datos representativos de todos los estratos sociales, así como asegurar el respeto a los derechos de autor de la información tratada.

Además, todos los sistemas deberán guardar y documentar todo el proceso llevado a cabo para su posterior análisis y poder realizar, en el caso de que sea necesario, las auditorías oportunas.

Por último, la norma también habla de la necesidad de evaluar el impacto energético y sobre el medio ambiente de la Inteligencia Artificial y trabajar por su empleo más eficiente.

Próximos pasos para la entrada en vigor de la ley

Una vez aprobada la legislación, esta se aplicará a cualquier empresa o institución, pública o privada, del país que sea, cuando sus sistemas de Inteligencia Artificial se empleen en la Unión Europea o afecte a sus ciudadanos.

Cualquier proveedor de software que quiera emplear un sistema de IA en la UE tendrá que someterse a la clasificación de riesgo. Aquellos que sean calificados como «de alto riesgo» tendrán que demostrar con transparencia que cumplen con la legislación y que garantizan la calidad y seguridad de sus sistemas, cumpliendo con todos los requisitos establecidos. Pasarán a formar parte de una base de datos pública que la Unión Europea registrará y mantendrá actualizada para realizar un constante seguimiento.

La aplicación de la normativa se realizará de forma gradual, desde ahora hasta 2026, momento en el que se espera que esté plenamente integrada. Por su parte, los Estados miembros de la UE implementarán un «sistema de sanciones efectivas, proporcionadas y disuasorias», según recoge el texto. Estas sanciones pueden ir desde los 7,5 millones de euros a los 35 millones de euros; o desde el 1,5% de su volumen de negocios en todo el mundo hasta el 7% del volumen de negocios total.

Los países miembros de la UE también tendrán que designar a las autoridades nacionales competentes para la supervisión de la norma, que serán también quienes representen al país en el Comité Europeo de Inteligencia Artificial.

También se creará la Oficina Europea de Inteligencia Artificial, que supervisará la aplicación de la normativa, y el Foro Consultivo Europeo de la IA, que estará formado por asesores de las partes interesadas para asesorar al Comité y la Comisión Europea. También se creará la Comisión Científica de Expertos Independientes.