El Consejo de la UE y el Parlamento Europeo alcanzaron el 8 de diciembre de 2023 un acuerdo provisional sobre el Reglamento de Inteligencia Artificial, la primera legislación específica de IA del mundo. El texto, negociado durante más de dos años de trílogos, fija qué sistemas pueden operar en la Unión, bajo qué condiciones y con qué sanciones si se incumple.
Carme Artigas, secretaria de Estado de Digitalización e Inteligencia Artificial de España y copresidenta de las negociaciones durante la presidencia española del Consejo, fue la principal impulsora del acuerdo en el tramo final. La firma se produjo a primera hora del viernes 8 de diciembre, tras tres días de trílogos maratonianos en Bruselas.
Enfoque basado en riesgo
El reglamento clasifica los sistemas de IA en cuatro niveles de riesgo. Los de riesgo inaceptable quedan prohibidos: sistemas de puntuación social ciudadana, manipulación subliminal e identificación biométrica en tiempo real en espacios públicos (salvo excepciones para la policía bajo autorización judicial). Los de alto riesgo —sanidad, educación, empleo, infraestructuras críticas— pueden operar, pero exigen auditorías obligatorias, registro en una base de datos pública y evaluaciones de impacto en derechos fundamentales antes de salir al mercado.
Modelos de propósito general y modelos fundacionales
Uno de los puntos más tensos del trílogo fue el tratamiento de los modelos de lenguaje de propósito general (GPAI) y los modelos fundacionales. El texto final establece obligaciones de transparencia para todos ellos antes de su comercialización en la UE. Los modelos de alto impacto, definidos como aquellos entrenados con más de 10^25 FLOPs de cómputo, quedan sujetos a un régimen más estricto: evaluaciones de seguridad, notificación de incidentes y medidas para limitar riesgos sistémicos. Este umbral afecta directamente a los modelos más grandes de OpenAI, Google y Anthropic.
Francia, Alemania e Italia presionaron para proteger a sus startups de IA, pero no lograron que los modelos fundacionales quedaran completamente fuera del reglamento. Este debate anticipa la tensión que seguirá marcando el acceso a los modelos más avanzados: entre apertura comercial y control institucional.
Oficina de IA y supervisión
El acuerdo crea una Oficina de IA dentro de la Comisión Europea que supervisará los modelos de propósito general, elaborará estándares técnicos y coordinará la aplicación entre estados miembros. Los reguladores nacionales de cada país asumirán la supervisión de los sistemas de alto riesgo en sus respectivos mercados.
Sanciones y plazos
Las multas van de 7,5 millones de euros (o el 1,5% de la facturación global) por información falsa a la Oficina de IA, hasta 35 millones de euros (o el 7% del volumen de negocio global) por violar las prohibiciones absolutas. Para pymes y startups el texto contempla límites proporcionales. Los plazos son escalonados: las prohibiciones aplican a los seis meses de la publicación en el Diario Oficial de la UE; los GPAI, al año; el resto de obligaciones de alto riesgo, a los dos años.
Arenas regulatorias y excepciones
Para no bloquear la innovación, el reglamento incluye arenas regulatorias (regulatory sandboxes) donde empresas e investigadores pueden probar sistemas en condiciones reales con supervisión específica. Los sistemas de uso exclusivamente militar, de defensa nacional o de investigación pura quedan fuera del ámbito de aplicación. Las autoridades policiales podrán usar biometría en tiempo real solo en casos muy concretos y siempre con autorización judicial previa.
Mientras la regulación avanza, compañías como Apple han empezado a abrir sus frameworks de IA a más plataformas, en parte para reducir la percepción de opacidad que el Reglamento penaliza con más dureza en el caso de los modelos de propósito general.
Próximos pasos
El texto provisional debía ser ratificado formalmente por el Parlamento Europeo y el Consejo, y sometido a revisión jurídico-lingüística en las 24 lenguas oficiales de la UE antes de su publicación en el Diario Oficial. Los negociadores esperaban cerrar ese proceso a lo largo de 2024 para que comenzaran a contar los plazos escalonados de aplicación.
Preguntas frecuentes sobre el Reglamento de IA de la UE
¿Qué usos de la IA prohíbe el reglamento?
Los sistemas de puntuación social ciudadana, los que manipulen de forma subliminal y el reconocimiento biométrico en tiempo real en espacios públicos en la mayoría de casos. También se prohíbe identificar emociones en entornos laborales y educativos.
¿Afecta el reglamento a ChatGPT o GPT-4?
Sí. Como modelos de propósito general tendrán que cumplir obligaciones de transparencia. Si el modelo fundacional supera el umbral de 10^25 FLOPs de entrenamiento, entra en el régimen de alto impacto con evaluaciones de seguridad adicionales.
¿Cuándo entran en vigor las normas?
Las prohibiciones aplican a los seis meses de publicación en el Diario Oficial; los requisitos para modelos GPAI, al año; el resto de obligaciones de alto riesgo, a los dos años.
¿Los sistemas militares o de investigación están exentos?
Sí. El reglamento no se aplica a sistemas utilizados exclusivamente para fines militares, de defensa nacional o de investigación científica pura.
¿Qué son las arenas regulatorias de IA?
Entornos supervisados donde empresas e investigadores pueden probar sistemas de IA en condiciones reales antes de comercializarlos, con un marco legal adaptado para la fase experimental.
