El AI Act Aprobado: Qué Significa para la Innovación y la Seguridad Digital
El Consejo de la UE ha aprobado el Artificial Intelligence Act (AI Act), la primera regulación integral sobre IA del mundo.
Esta legislación establece normas uniformes para el uso de los sistemas de IA en la Unión, utilizando un enfoque basado en el riesgo.
El proceso legislativo del AI Act sufrió un retraso en diciembre de 2022 tras la introducción de ChatGPT.
En consecuencia, el borrador del texto fue revisado para incluir normas específicas para la IA generativa. Se prevé que la ley sea finalizada y votada durante una sesión plenaria prevista para el 10 y 11 de abril de 2024.
Estos son los puntos destacados:
1. Definición Ampliada de la IA: Enfoque en Autonomía y Adaptabilidad en Entornos Físicos y Virtuales
El ámbito de los sistemas de inteligencia artificial ha sido ampliamente definido, centrándose en la autonomía y la capacidad de adaptación.
La definición comprende cualquier sistema basado en máquina que demuestre distintos niveles de autonomía, pueda adaptarse tras su implementación e influya en entornos físicos o virtuales.
2. Existe una lista cerrada de prácticas de IA prohibidas, entre las que se incluyen:
Uso de técnicas subliminales o manipuladoras para distorsionar significativamente el comportamiento.
Explotar las vulnerabilidades de individuos o grupos, causando daños graves.
Sistemas de categorización biométrica que clasifican a las personas en función de información sensible, con excepción de los fines de aplicación de la ley.
Sistemas de puntuación social.
Sistemas de identificación biométrica remota en tiempo real utilizados en espacios públicos por las fuerzas del orden.
Policía predictiva basada exclusivamente en la elaboración de perfiles o en rasgos de personalidad, a menos que apoye evaluaciones humanas basadas en hechos objetivos relacionados con la delincuencia.
Bases de datos de reconocimiento facial creadas mediante rastreo indiscriminado.
Inferir emociones en los lugares de trabajo o en los centros educativos, excepto por motivos médicos o de seguridad.
La ley introduce una doble definición de sistemas de IA de alto riesgo, clasificándolos en dos categorías:
La inteligencia artificial destinada a utilizarse como producto o componente de seguridad regulado por una legislación específica de la UE.
3. Doble definición de sistemas de inteligencia artificial de alto riesgo
Una parte importante de la ley sobre inteligencia artificial prevé una regulación rigurosa y extensa de los sistemas de inteligencia artificial de alto riesgo.
En la práctica, será pues de máxima importancia para una empresa involucrada en el sector de la inteligencia artificial determinar si el sistema de inteligencia artificial que desarrolla, importa, distribuye o emplea constituye un sistema de inteligencia artificial de alto riesgo.
La ley sobre IA considera dos tipos de sistemas de IA considerados de alto riesgo:
La inteligencia artificial destinada a utilizarse como producto (o componente de seguridad de un producto) regulado por una normativa específica de la UE, como la aviación civil, la seguridad de los vehículos, el equipamiento marítimo, los juguetes, los ascensores, los equipos a presión y los equipos de protección individual.
Sistemas de IA enumerados en el Anexo III, como los sistemas de identificación biométrica remota, la IA utilizada como componente de seguridad en infraestructuras críticas y la IA utilizada en educación, empleo, puntuación crediticia, aplicación de la ley, migración y proceso democrático.
Cabe esperar directrices que especifiquen la aplicación práctica de la clasificación de los sistemas de IA, complementadas por una lista completa de ejemplos prácticos de casos de uso de alto y no alto riesgo sobre los sistemas de IA en un plazo máximo de 18 meses desde la entrada en vigor de la ley sobre IA.
4. Existe una importante excepción a la segunda categoría de sistemas de IA de alto riesgo.
Si el sistema está diseñado para realizar una tarea procedimental restringida, mejorar los resultados de actividades humanas anteriores o detectar patrones de decisión sin sustituir la evaluación humana, no se considerará de alto riesgo.
5. Los proveedores de sistemas de IA de alto riesgo deben garantizar que sus sistemas sean fiables, transparentes y responsables.
Son responsables de realizar evaluaciones de riesgos, utilizar datos de alta calidad, documentar sus elecciones, conservar los registros del sistema, informar a los usuarios, permitir la supervisión humana y garantizar precisión, robustez y ciberseguridad.
6. Las obligaciones se extienden a lo largo de toda la cadena de valor, incluidos "importadores", "distribuidores" y "desplegadores" de sistemas de IA de alto riesgo.
Los importadores y distribuidores deben verificar la conformidad de estos sistemas. Los responsables del despliegue están obligados a respetar las instrucciones del proveedor y a garantizar la supervisión e intervención humana.
7. La Necesidad de Evaluaciones de Impacto sobre los Derechos Fundamentales para la Implementación de Sistemas de IA de Alto Riesgo en el Sector Público y Privado
Los organismos del sector público y los organismos privados que prestan servicios públicos están obligados a realizar una evaluación de impacto sobre los derechos fundamentales antes de implementar sistemas de IA de alto riesgo.
Esta evaluación abarca los riesgos, las medidas de supervisión, las personas afectadas y la frecuencia de uso.
8. La responsabilidad a lo largo de la cadena de valor puede cambiar.
Si una entidad distinta del proveedor modifica el sistema de IA o cambia su finalidad prevista, haciéndolo de alto riesgo, puede ser considerada proveedor y sujeto a las obligaciones asociadas.
9. Sistemas de IA de alto riesgo
Para los sistemas de IA de alto riesgo, las personas tienen derecho a una explicación del papel del sistema en los procesos de toma de decisiones.
Esto podría generar conflictos con los proveedores que protegen sus secretos comerciales.
10. Derecho de los individuos
Los individuos tienen un amplio derecho a denunciar posibles infracciones de la ley sobre IA ante las autoridades de supervisión del mercado, sin la obligación de demostrar su legitimación.
11. Los modelos de IA de Propósito General (GPAI) están regulados por separado.
Los modelos GPAI que presentan riesgos sistémicos conllevan obligaciones adicionales, como la realización de evaluaciones de los modelos y la resolución de problemas de ciberseguridad.
12. Obligaciones de Transparencia y Etiquetado para Sistemas de IA y Modelos GPAI en la Interacción Humano-Máquina y en la Generación de Contenidos Sintéticos
Algunos sistemas de inteligencia artificial y modelos GPAI están sujetos a obligaciones especiales de transparencia, incluidos los sistemas destinados a interactuar con seres humanos y los que generan contenidos sintéticos.
En estos casos, los usuarios deben ser informados y puede ser necesario etiquetar el contenido como generado artificialmente.
13. Estructura de Gobernanza y Roles en la Aplicación de la Ley sobre IA: Oficina de IA, Autoridades Nacionales y de Supervisión del Mercado
La ley sobre IA está asociada a una compleja estructura de gobernanza que involucra a múltiples entidades, como la Oficina de IA, las autoridades nacionales competentes y las autoridades de supervisión del mercado.
Estos organismos harán cumplir las normas, examinarán las reclamaciones e impondrán sanciones.
14. Sanciones Elevadas por Incumplimientos en IA: Multas de hasta 35 Millones de Euros o el 7% de la Facturación Global
Las sanciones por incumplimiento son significativas y alcanzan hasta 35 millones de euros o el 7% de la facturación anual global de la empresa. Para los sistemas de IA de alto riesgo, la sanción puede alcanzar los 15 millones de euros o el 3% de la facturación.
15. El AI Act y su Integración con las Leyes Existentes sobre Propiedad Intelectual, Protección de Datos y Ciberseguridad
El AI Act se aplicará junto con otras leyes y reglamentos que regulan la IA, incluidos los relativos a la propiedad intelectual, la protección de datos, los contratos y la ciberseguridad.
Se prevé que la ley sobre IA se publique a mediados de 2024, con plazos de conformidad variables.
Mientras que las normas sobre prácticas prohibidas de IA entrarán en vigor después de seis meses, la mayoría de las demás obligaciones entrarán en vigor después de 24 meses.
Mientras tanto, las normas para los sistemas de IA de alto riesgo se introducirán después de 36 meses, mientras que las relativas a los sistemas de alto riesgo utilizados por las autoridades públicas entrarán en vigor después de 48 meses.