- Establece un marco regulador basado en niveles de riesgo para proteger los derechos fundamentales y la seguridad ciudadana.
- Impone obligaciones estrictas de transparencia y gestión de riesgos para los sistemas de IA de alto riesgo y los modelos de propósito general.
- Prohíbe tajantemente el uso de tecnologías de IA que resulten inaceptables, como la puntuación social o la manipulación conductual.
- Define un calendario de aplicación gradual con sanciones económicas severas para quienes ignoren la normativa.
La Unión Europea ha dado un golpe sobre la mesa al lanzar el primer marco legal exhaustivo del mundo para poner en cintura a la inteligencia artificial. Esta normativa no busca frenar la innovación, sino asegurar que la tecnología se desarrolle de forma segura y fiable, poniendo siempre el foco en la protección de los derechos básicos de las personas y evitando que la IA se convierta en una caja negra sin control.
Para lograrlo, Bruselas ha optado por un enfoque basado en el riesgo, lo que significa que no es lo mismo un filtro de spam que un algoritmo que decide quién consigue un crédito bancario. Dependiendo de cuánto peligro suponga el sistema para la salud o la seguridad, las exigencias legales serán más o menos estrictas, obligando a las empresas a ser transparentes sobre cómo funcionan sus máquinas.
Sistemas prohibidos: la línea roja de la UE
Hay cosas que, sencillamente, no se pueden hacer. La ley es muy clara al prohibir aquellas IA que suponen un riesgo inaceptable. Entre ellas, destacan las técnicas subliminales o manipuladoras que busquen distorsionar el comportamiento humano para causar daños, así como el aprovechamiento de vulnerabilidades por edad o discapacidad. Tampoco se permite la puntuación social, esa práctica de clasificar a la gente según su comportamiento para darles un trato desfavorable.
En cuanto a la biometría, se prohíbe la categorización que infiera rasgos sensibles como la raza o la religión, y el rastreo indiscriminado de caras en internet para crear bases de datos. La identificación biométrica remota en tiempo real en espacios públicos queda restringida a casos muy específicos, como la búsqueda de víctimas de trata, la prevención de ataques terroristas inminentes o la localización de sospechosos de delitos graves, siempre bajo supervisión judicial.
La categoría de alto riesgo y sus exigencias
No todo lo prohibido es peligroso, pero hay sistemas que, aunque permitidos, llevan un estricto control. Aquí entran los componentes de seguridad, los dispositivos médicos o los algoritmos usados en la contratación de personal y la evaluación crediticia. Si una IA se encarga de elaborar perfiles de personas para evaluar su rendimiento laboral o salud, entrará directamente en esta categoría.
Los proveedores de estas herramientas deben cumplir una lista larga de tareas. Es obligatorio implementar un sistema de gestión de riesgos durante todo el ciclo de vida del producto y asegurar que los datos de entrenamiento sean representativos y estén libres de errores. Además, deben crear documentación técnica detallada, registrar automáticamente los eventos mediante logs de funcionamiento y garantizar que siempre haya una supervisión humana real para evitar decisiones automatizadas erróneas.
Modelos de IA de Propósito General (GPAI)
Aquí es donde entran los famosos LLM y los modelos fundacionales. La ley distingue entre los modelos GPAI estándar y aquellos que presentan un riesgo sistémico, definido generalmente por un uso masivo de potencia de cálculo (superior a 10^25 FLOP). Los proveedores de estos modelos deben ser transparentes sobre sus procesos de entrenamiento y respetar la directiva de derechos de autor.
Para los modelos con riesgo sistémico, la cuerda está más tensa. Deben realizar pruebas contradictorias (red teaming) para mitigar fallos, notificar incidentes graves a la Oficina de IA y garantizar una ciberseguridad robusta. Cabe destacar que los modelos de código abierto tienen algunas facilidades, aunque siguen obligados a publicar resúmenes del contenido usado para entrenar la máquina.
Gobernanza, plazos y el coste de saltarse la ley
La supervisión recae principalmente en la Oficina de IA, que vigila que los gigantes tecnológicos cumplan las reglas. El despliegue de la ley es gradual: las prohibiciones empezaron a aplicarse en febrero de 2025, mientras que las obligaciones para los sistemas de alto riesgo llegarán entre 2027 y 2028. Para ayudar a las empresas, se ha creado el Pacto sobre la IA, una vía voluntaria para adelantarse a las normas.
Si una empresa decide pasarse las reglas por el forro, las multas son para echarse a temblar. Proporcionar información falsa puede costar hasta 7,5 millones de euros o el 1,5% de la facturación anual. No obstante, el incumplimiento de las obligaciones principales puede elevar la sanción hasta los 15 millones de euros o el 3% de los ingresos globales, aunque algunas fuentes mencionan que en casos extremos podría llegar hasta el 7%.
Este entramado normativo posiciona a Europa como el referente global en regulación tecnológica, obligando a que cualquier empresa del mundo que quiera operar en el mercado común adapte sus algoritmos a los estándares de transparencia y ética europeos, equilibrando así el progreso técnico con la dignidad humana.
