El Reglamento (UE) 2024/1689 tiene por objeto fomentar el desarrollo y la adopción de sistemas de inteligencia artificial (IA) seguros y fiables en todo el mercado único de la Unión Europea (UE), tanto en el sector privado como en el público, garantizando al mismo tiempo la salud y la seguridad de los ciudadanos de la UE y el respeto de los derechos fundamentales. El Reglamento establece normas basadas en el riesgo sobre:
la comercialización, la puesta en servicio y la utilización de determinados sistemas de IA;
la prohibición de determinadas prácticas de IA;
los requisitos y las obligaciones en torno a los sistemas de IA de alto riesgo;
la transparencia para determinados sistemas de IA;
la transparencia y la gestión de riesgos para los modelos de IA de propósito general (modelos de IA potentes que sustentan sistemas de IA capaces de realizar una amplia gama de tareas);
la supervisión del mercado, la vigilancia del mercado, la gobernanza y la aplicación;
el apoyo a la innovación, centrándose en las pequeñas y medianas empresas (pymes) y las empresas de nueva creación.
Existen algunas excepciones, como en el caso de los sistemas utilizados exclusivamente con fines militares y de defensa o con fines de investigación.
PUNTOS CLAVE
¿Qué es un sistema de IA?
Un sistema de IA es un sistema basado en máquinas diseñado para funcionar con cierto nivel de autonomía que puede:
adaptarse tras su despliegue, y
generar resultados como predicciones, contenidos, recomendaciones o decisiones a partir de la información que recibe (para lograr objetivos explícitos o implícitos).
Un enfoque basado en el riesgo
La legislación sigue un planteamiento basado en el riesgo, lo cual significa que cuanto mayor sea el riesgo de causar daños a la sociedad, más estrictas serán las normas. El Reglamento define el uso de la IA en los siguientes ámbitos como de alto riesgo, debido al impacto potencial sobre los derechos fundamentales, la seguridad y el bienestar:
los componentes de seguridad en productos sujetos a la legislación de armonización de la UE (o como productos independientes) que deben someterse a una evaluación de conformidad por terceros en virtud de la misma legislación de armonización de la UE;
la biometría, cuando se utiliza para la identificación a distancia, la categorización de personas por atributos sensibles (como la raza o la religión) o el reconocimiento de emociones, excepto cuando se utiliza simplemente para verificar la identidad;
las infraestructuras críticas, cuando la IA es un componente de seguridad en ámbitos como las infraestructuras digitales, el tráfico, el agua, el gas, la calefacción y la electricidad;
la educación y formación profesional, incluidos los problemas de acceso a la educación, la evaluación de los resultados del aprendizaje, la evaluación de los niveles de educación o la supervisión del comportamiento durante las pruebas;
el empleo, incluida la contratación, la selección de candidatos, la toma de decisiones sobre las condiciones de empleo (ascensos, despidos), la asignación de tareas o la supervisión del rendimiento;
los servicios esenciales — sistemas de IA utilizados por las autoridades públicas para evaluar la elegibilidad para los servicios públicos (asistencia sanitaria, prestaciones), la calificación crediticia, la evaluación del riesgo de los seguros y la priorización de las respuestas de emergencia;
las fuerzas y cuerpos de seguridad — sistemas de IA utilizados para evaluar los riesgos de delincuencia, los polígrafos, la fiabilidad de las pruebas, la predicción de la reincidencia o la elaboración de perfiles de personas para investigaciones criminales;
la migración y el control de fronteras — sistemas de IA utilizados para evaluar los riesgos relacionados con la migración, el asilo y las solicitudes de visado, o para detectar e identificar a personas en contextos de migración;
la administración de justicia y los procesos democráticos — sistemas de IA utilizados por las autoridades judiciales para la investigación y la interpretación jurídicas o sistemas que podrían influir en los resultados de las elecciones.
El Reglamento prohíbe las siguientes prácticas de IA con un nivel de riesgo inaceptable
Técnicas subliminales o engañosas para manipular el comportamiento de individuos o grupos, mermando su capacidad para tomar decisiones con conocimiento de causa y causando un daño potencial.
Explotación de vulnerabilidades basadas en la edad, la discapacidad o las situaciones socioeconómicas para manipular a individuos o grupos, con el consiguiente perjuicio potencial.
Puntuación social, evaluando o clasificando a las personas en función de su comportamiento o características, lo que da lugar a un trato injusto no relacionado con el contexto en el que se recogieron los datos o de manera desproporcionada a la gravedad del comportamiento.
Evaluación del riesgo criminal, predicción de la probabilidad de cometer un delito basándose únicamente en perfiles o rasgos de personalidad, excepto en investigaciones criminales objetivas y basadas en hechos.
Obtención de bases de datos de reconocimiento facial a partir de Internet o de cámaras de seguridad sin un objetivo específico.
Inferencia de emociones en áreas sensibles, como lugares de trabajo o instituciones educativas, a menos que se utilice con fines médicos o de seguridad.
Categorización biométrica basada en datos para inferir atributos sensibles como raza, religión u opiniones políticas, excepto para su uso legal en el cumplimiento de la ley.
Identificación biométrica en tiempo real en público por parte de las fuerzas de seguridad, a menos que sea estrictamente necesario para situaciones concretas (por ejemplo, encontrar a personas desaparecidas, prevenir amenazas inminentes o identificar a sospechosos de delitos graves). Esto debe seguir procedimientos legales estrictos, incluida la autorización previa, un alcance limitado y salvaguardias para proteger los derechos y libertades.
El Reglamento introduce obligaciones de información cuando pueda surgir un riesgo por falta de transparencia en torno al uso de la IA:
la IA diseñada para hacerse pasar por humanos (por ejemplo, un «chatbot») debe informar al humano con el que está interactuando;
el resultado de la IA generativa debe marcarse como generado por IA de forma legible por máquina;
en algunos casos, el resultado de la IA generativa debe estar visiblemente etiquetado, como en el caso de los «deepfakes» y los textos destinados a informar al público sobre asuntos de interés público.
Se considera que todos los demás sistemas de IA presentan un riesgo limitado, por lo que el Reglamento no introduce más normas.
Uso fiable de grandes modelos de IA
Los modelos de IA de propósito general son modelos de IA que se entrenan con grandes cantidades de datos y pueden realizar una amplia gama de tareas. Pueden ser componentes de sistemas de IA.
El Reglamento introduce obligaciones de transparencia para los proveedores de tales modelos de IA de propósito general, a saber, documentación técnica, suministro de información a los desarrolladores posteriores de sistemas de IA y divulgación de los datos utilizados en el entrenamiento del modelo.
Los modelos de IA de propósito general más potentes pueden plantear riesgos sistémicos. Si un modelo alcanza un determinado umbral de capacidad, el proveedor de ese modelo debe cumplir obligaciones adicionales de gestión de riesgos y ciberseguridad.
Gobernanza
El Reglamento establece varios órganos de gobierno activos a partir del :
las autoridades nacionales competentes que supervisarán y aplicarán las normas para los sistemas de IA;
una Oficina de IA dentro de la Comisión Europea que coordinará la aplicación coherente de las normas comunes en toda la UE y actuará como regulador de los modelos de IA de uso general.
Los Estados miembros de la UE y la Oficina de IA cooperarán estrechamente en un Consejo de IA, compuesto por representantes de los Estados miembros, para garantizar la aplicación coherente y eficaz del Reglamento.
El Reglamento establece dos órganos consultivos para la Oficina y el Consejo de IA:
un grupo científico de expertos independientes para proporcionar asesoramiento científico;
un foro consultivo de partes interesadas para proporcionar conocimientos técnicos al Consejo de IA y a la Comisión.
Sanciones
Las multas por infracción se fijan en un porcentaje del volumen de negocios anual de la empresa infractora o en una cantidad predeterminada, la que sea mayor. Las pequeñas y medianas empresas y las empresas de nueva creación están sujetas a multas administrativas proporcionales.
Transparencia y protección de los derechos fundamentales
El aumento de la transparencia se aplica al desarrollo y uso de sistemas de IA de alto riesgo:
antes de que un sistema de IA de alto riesgo sea desplegado por entidades que prestan servicios públicos, debe evaluarse su impacto sobre los derechos fundamentales;
los sistemas de IA de alto riesgo y las entidades que los utilicen deben registrarse en una base de datos de la UE.
Innovación
El Reglamento establece un marco jurídico favorable a la innovación y pretende fomentar el aprendizaje normativo basado en pruebas. Prevé la creación de espacios controlados de pruebas para la para la IA, que permitan un entorno controlado en el que puedan desarrollarse, probarse y validarse sistemas innovadores de IA, incluso en condiciones reales. Además, el Reglamento permite probar en condiciones reales los sistemas de IA de alto riesgo.
Evaluación y revisión
La Comisión evalúa cada año la necesidad de modificar la lista de usos de alto riesgo de la IA y la lista de prácticas prohibidas. Antes del , y cada cuatro años a partir de entonces, la Comisión evaluará e informará sobre lo siguiente:
la adición o ampliación de la lista de categorías de alto riesgo;
las modificaciones de la lista de sistemas de IA que requieren medidas de transparencia adicional;
las modificaciones para mejorar la supervisión y la gobernanza.
¿DESDE CUÁNDO ESTÁ EN VIGOR EL REGLAMENTO?
El Reglamento entrará en vigor a partir del . Sin embargo, existen algunas excepciones:
las prohibiciones, definiciones y obligaciones relativas a la alfabetización en IA se aplican desde el ;
algunas normas entrarán en vigor el , incluidas las relativas a la estructura de gobernanza, las sanciones y las obligaciones de los proveedores de modelos de IA de uso general.
Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de , por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (DO L 2024/1689 de ).
DOCUMENTOS CONEXOS
Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales) (DO L 277 de , pp. 1-102).
Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo, de , relativa a las acciones de representación para la protección de los intereses colectivos de los consumidores, y por la que se deroga la Directiva 2009/22/CE (DO L 409 de , pp. 1-27).
Las modificaciones sucesivas de la Directiva (UE) 2020/1828 se han incorporado al texto original. Esta versión consolidada solo tiene valor documental.
Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de , relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.o 526/2013 (Reglamento sobre la Ciberseguridad) (DO L 151 de , pp. 15-69).
Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo, de , sobre los requisitos de accesibilidad de los productos y servicios (DO L 151 de , pp. 70-115).
Reglamento (UE) 2019/1020 del Parlamento Europeo y del Consejo, de , relativo a la vigilancia del mercado y la conformidad de los productos y por el que se modifican la Directiva 2004/42/CE y los Reglamentos (CE) n.o 765/2008 y (UE) n.o 305/2011 (DO L 169 de , pp. 1-44).
Reglamento (UE) 2019/2144 del Parlamento Europeo y del Consejo, de , relativo a los requisitos de homologación de tipo de los vehículos de motor y de sus remolques, así como de los sistemas, componentes y unidades técnicas independientes destinados a esos vehículos, en lo que respecta a su seguridad general y a la protección de los ocupantes de los vehículos y de los usuarios vulnerables de la vía pública, por el que se modifica el Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo y se derogan los Reglamentos (CE) n.o 78/2009, (CE) n.o 79/2009 y (CE) n.o 661/2009 del Parlamento Europeo y del Consejo y los Reglamentos (CE) n.o 631/2009, (UE) n.o 406/2010, (UE) n.o 672/2010, (UE) n.o 1003/2010, (UE) n.o 1005/2010, (UE) n.o 1008/2010, (UE) n.o 1009/2010, (UE) n.o 19/2011, (UE) n.o 109/2011, (UE) n.o 458/2011, (UE) n.o 65/2012, (UE) n.o 130/2012, (UE) n.o 347/2012, (UE) n.o 351/2012, (UE) n.o 1230/2012 y (UE) 2015/166 de la Comisión (DO L 325 de , pp. 1-40).
Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo, de , sobre la homologación y la vigilancia del mercado de los vehículos de motor y sus remolques y de los sistemas, los componentes y las unidades técnicas independientes destinados a dichos vehículos, por el que se modifican los Reglamentos (CE) n.o 715/2007 y (CE) n.o 595/2009 y por el que se deroga la Directiva 2007/46/CE (DO L 151 de , pp. 1-218).
Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo, de , sobre normas comunes en el ámbito de la aviación civil y por el que se crea una Agencia de la Unión Europea para la Seguridad Aérea y por el que se modifican los Reglamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010, (CE) n.o 376/2014 y las Directivas 2014/30/UE y 2014/53/UE del Parlamento Europeo y del Consejo, y se derogan los Reglamentos (CE) n.o 552/2004 y (CE) n.o 216/2008 del Parlamento Europeo y del Consejo y el Reglamento (CEE) n.o 3922/91 del Consejo (DO L 212 de , pp. 1-122).
Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de , pp. 39-98).
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de , pp. 1-88).
Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de , pp. 89-131).
Directiva (UE) 2016/797 del Parlamento Europeo y del Consejo, de , sobre la interoperabilidad del sistema ferroviario dentro de la Unión Europea (refundición) (DO L 138 de , pp. 44-101).
Directiva (UE) 2016/2102 del Parlamento Europeo y del Consejo, de , sobre la accesibilidad de los sitios web y aplicaciones para dispositivos móviles de los organismos del sector público (DO L 327 de , pp. 1-15).
Directiva 2014/90/UE del Parlamento Europeo y del Consejo, de , sobre equipos marinos, y por la que se deroga la Directiva 96/98/CE del Consejo (DO L 257 de , pp. 146-185).
Reglamento (UE) n.o167/2013 del Parlamento Europeo y del Consejo, de , relativo a la homologación de los vehículos agrícolas o forestales, y a la vigilancia del mercado de dichos vehículos (DO L 60 de , pp. 1-51).
Reglamento (UE) n.o168/2013 del Parlamento Europeo y del Consejo, de , relativo a la homologación de los vehículos de dos o tres ruedas y los cuatriciclos, y a la vigilancia del mercado de dichos vehículos (DO L 60 de , pp. 52-128).
Reglamento (UE) n.o1025/2012 del Parlamento Europeo y del Consejo, de , sobre la normalización europea, por el que se modifican las Directivas 89/686/CEE y 93/15/CEE del Consejo y las Directivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE y 2009/105/CE del Parlamento Europeo y del Consejo y por el que se deroga la Decisión 87/95/CEE del Consejo y la Decisión n.o 1673/2006/CE del Parlamento Europeo y del Consejo (DO L 316 de , pp. 12-33).
Reglamento (CE) n.o300/2008 del Parlamento Europeo y del Consejo, de , sobre normas comunes para la seguridad de la aviación civil y por el que se deroga el Reglamento (CE) n.o 2320/2002. (DO L 97 de , pp. 72-84).
Reglamento (CE) n.o765/2008 del Parlamento Europeo y del Consejo, de , por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) n.o 339/93 (DO L 218 de , pp. 30-47).