Desde el domingo, los reguladores de la Unión Europea pueden prohibir el uso de sistemas de inteligencia artificial que consideren que representan un “riesgo inaceptable” o que puedan causar daño.

El 2 de febrero marca la primera fecha límite de cumplimiento de la Ley de IA de la UE, el marco regulador integral que el Parlamento Europeo aprobó en marzo pasado después de años de desarrollo. La ley entró en vigor el 1 de agosto, y esta es la primera etapa de cumplimiento.

“Se espera que las organizaciones cumplan completamente para el 2 de febrero, pero… la próxima gran fecha límite que las empresas deben tener en cuenta es en agosto”, dijo Sumroy. “Para entonces, sabremos quiénes son las autoridades competentes y las disposiciones sobre multas y aplicación comenzarán a regir”.

Compromisos preliminares

En cierto modo, la fecha límite del 2 de febrero es una formalidad.

En septiembre pasado, más de 100 empresas firmaron el Pacto de IA de la UE, un compromiso voluntario para comenzar a aplicar los principios de la Ley de IA antes de su entrada en vigor. Entre los signatarios se encontraban Amazon, Google y OpenAI, quienes se comprometieron a identificar sistemas de IA que probablemente serían clasificados como de alto riesgo según la ley.

Algunas grandes empresas tecnológicas, como Meta y Apple, no firmaron el pacto. La startup francesa de IA Mistral, una de las críticas más duras de la Ley de IA, también optó por no unirse.

Sin embargo, esto no significa que Apple, Meta, Mistral u otras empresas que no firmaron el pacto no cumplirán con sus obligaciones, incluido el veto a sistemas de riesgo inaceptable. Sumroy señala que, dado el tipo de casos de uso prohibidos, la mayoría de las empresas probablemente no participarían en esas prácticas de todos modos.

“Para las organizaciones, una preocupación clave sobre la Ley de IA de la UE es si llegarán a tiempo directrices, estándares y códigos de conducta claros, y si proporcionarán claridad sobre el cumplimiento”, dijo Sumroy. “Sin embargo, los grupos de trabajo están cumpliendo con sus plazos en cuanto al código de conducta para desarrolladores”.

Posibles excepciones

Existen excepciones a varias de las prohibiciones de la Ley de IA.

Por ejemplo, la ley permite que las fuerzas del orden utilicen ciertos sistemas que recopilan datos biométricos en lugares públicos si ayudan en una “búsqueda específica” de, por ejemplo, una persona secuestrada, o para prevenir una “amenaza específica, sustancial e inminente” a la vida. Esta excepción requiere autorización de la autoridad competente y la ley enfatiza que la policía no puede tomar decisiones con efectos legales adversos basándose únicamente en la salida de estos sistemas.

La ley también permite excepciones para sistemas que infieren emociones en el trabajo o en las escuelas cuando existe una justificación médica o de seguridad, como en el caso de sistemas diseñados para uso terapéutico.

La Comisión Europea, el órgano ejecutivo de la UE, anunció que publicará directrices adicionales a principios de 2025, tras una consulta con partes interesadas en noviembre. Sin embargo, esas directrices aún no han sido publicadas.

Sumroy también señaló que no está claro cómo interactuarán otras leyes con la Ley de IA y sus disposiciones. La claridad sobre estos aspectos podría no llegar hasta más adelante en el año, a medida que se acerque el periodo de aplicación.

“Es importante que las organizaciones recuerden que la regulación de la IA no existe en aislamiento”, dijo Sumroy. “Otros marcos legales, como el GDPR, NIS2 y DORA, interactuarán con la Ley de IA, lo que podría generar desafíos, particularmente en torno a los requisitos de notificación de incidentes. Comprender cómo encajan estas leyes será tan crucial como entender la propia Ley de IA”.

Clasificación de riesgos y prohibiciones

Los detalles específicos se establecen en el Artículo 5, pero, en términos generales, la Ley de IA cubre una variedad de casos en los que la IA podría interactuar con las personas, desde aplicaciones de consumo hasta entornos físicos.

La normativa establece cuatro niveles de riesgo:

1. Riesgo mínimo (por ejemplo, filtros de spam en correos electrónicos): no estarán sujetos a regulación.
2. Riesgo limitado (como chatbots de servicio al cliente): estarán sujetos a una regulación ligera.
3. Riesgo alto (por ejemplo, sistemas de IA para recomendaciones médicas): estarán sujetos a una regulación estricta.
4. Riesgo inaceptable: este es el foco de las nuevas normas de cumplimiento y estará prohibido por completo.

Entre las actividades prohibidas se incluyen:

• IA utilizada para puntajes sociales (como la creación de perfiles de riesgo basados en el comportamiento de una persona).
• IA que manipula decisiones de las personas de manera subliminal o engañosa.
• IA que explota vulnerabilidades como la edad, la discapacidad o el estatus socioeconómico.
• IA que intenta predecir delitos basándose en la apariencia de una persona.
• IA que utiliza biometría para inferir características personales, como la orientación sexual.
• IA que recopila datos biométricos en tiempo real en lugares públicos con fines policiales.
• IA que intenta inferir emociones en el trabajo o en la escuela.
• IA que crea o amplía bases de datos de reconocimiento facial mediante la recopilación de imágenes en línea o de cámaras de seguridad.

Las empresas que utilicen cualquiera de estas aplicaciones en la UE estarán sujetas a multas, sin importar dónde tengan su sede. Las sanciones pueden alcanzar hasta 35 millones de euros (~36 millones de dólares) o el 7% de los ingresos anuales del año fiscal anterior, lo que sea mayor.

Próximos pasos

El 2 de febrero marca la primera gran fecha de cumplimiento, pero las empresas deben estar atentas a la próxima gran fecha límite en agosto. Para entonces, se conocerán las autoridades encargadas de la aplicación de la ley, y las disposiciones sobre sanciones y cumplimiento comenzarán a regir oficialmente.