El Parlamento Europeo aprueba la Ley de IA: qué cambia y cuándo

El Parlamento Europeo aprobó el miércoles 13 de marzo de 2024 la Ley de Inteligencia Artificial de la Unión Europea. La votación oficial terminó con 523 votos a favor, 46 en contra y 49 abstenciones. Aquel día no empezó a aplicarse de golpe una lista única de obligaciones: la Eurocámara cerró su fase legislativa y todavía quedaban la revisión jurídica y lingüística, la adopción formal del Consejo y la publicación en el Diario Oficial.

Esa distinción importa más que cualquier resumen de prohibiciones. Para saber qué cambia para una empresa, una administración o una persona no basta con preguntar si utiliza ChatGPT, una cámara o un algoritmo de selección. Hay que responder tres preguntas: para qué se usa el sistema, en qué contexto toma o influye en decisiones y qué papel ocupa cada organización en la cadena. La marca del modelo rara vez resuelve por sí sola la clasificación.

Tres relojes, no una sola fecha

Una norma europea tiene al menos tres relojes. El primero es el procedimiento legislativo: acuerdo político, votación parlamentaria y adopción por el Consejo. El segundo es la entrada en vigor, que convierte el texto publicado en derecho vigente. El tercero es la aplicación: el día a partir del cual una obligación concreta debe cumplirse. Decir «la ley entró en vigor» no significa necesariamente «todas sus obligaciones se aplican hoy».

El 13 de marzo de 2024 solo podía describirse con certeza lo que la Eurocámara había aprobado. La propia nota del Parlamento advertía que faltaban la comprobación jurídica y lingüística y la adopción formal del Consejo. La secuencia posterior debe fecharse como información posterior: el texto definitivo se convirtió en el Reglamento (UE) 2024/1689, fue adoptado el 13 de junio de 2024, se publicó el 12 de julio y entró en vigor el 1 de agosto de 2024.

La habilidad transferible es buscar siempre el artículo sobre entrada en vigor y aplicación, y después comprobar si hubo una reforma. Un calendario de una nota de prensa puede ser correcto el día en que se publica y quedar desactualizado. Para una decisión real, manda el texto jurídico vigente y consolidado, no una infografía guardada dos años antes.

El riesgo pertenece al uso, no al nombre del modelo

La Ley de IA adopta un enfoque basado en el riesgo, pero «riesgo» no es una etiqueta general de una tecnología. Un asistente que propone variantes de un anuncio no ocupa el mismo lugar que un sistema destinado a ordenar candidatos a un empleo. Incluso si ambos incorporan el mismo modelo de propósito general, la finalidad, las personas afectadas y el efecto de la salida son distintos.

La guía de la Comisión sobre la Ley de IA explica que la clasificación de alto riesgo depende del propósito previsto, la función y las modalidades concretas de uso. Hay dos grandes vías: sistemas que son componentes de seguridad de productos cubiertos por la legislación del anexo I, y casos de uso enumerados en el anexo III, como determinadas aplicaciones en educación, empleo, servicios esenciales, fuerzas de seguridad o migración.

Esto evita dos errores opuestos. El primero es pensar que todo uso de IA en un hospital, una escuela o una empresa es automáticamente de alto riesgo. El segundo es tratar un producto vendido como «asistente» como si su etiqueta comercial lo eximiera cuando, en la práctica, puntúa solicitudes, recomienda una decisión sensible o se integra como componente de seguridad. La pregunta correcta es qué hace el sistema para quién, con qué salida y con qué consecuencia.

Cuatro cestas para una primera lectura

Como mapa inicial —no como sustituto de un análisis jurídico— conviene colocar cada uso en una de cuatro cestas. La primera contiene prácticas prohibidas, como ciertas formas de puntuación social, manipulación que causa daños, explotación de vulnerabilidades, categorización biométrica sensible y extracción indiscriminada de imágenes faciales para crear bases de reconocimiento. Algunas excepciones y condiciones son estrechas, especialmente en identificación biométrica policial, de modo que una frase de resumen nunca reemplaza el artículo aplicable.

La segunda cesta reúne los sistemas de alto riesgo. No están prohibidos, pero exigen controles antes y durante su uso. Para los proveedores, el Reglamento articula gestión de riesgos, gobierno de datos, documentación técnica, registro de eventos, instrucciones, supervisión humana, precisión, robustez y ciberseguridad. Una evaluación de conformidad no es un certificado eterno: un cambio sustancial del sistema o de su finalidad puede obligar a revisar la evaluación.

La tercera cesta es la transparencia. Determinados sistemas interactivos deben informar de que la persona trata con una máquina, y algunos contenidos generados o manipulados requieren marcado o divulgación. La obligación concreta depende de quién genera o publica, del tipo de contenido y de las excepciones. Poner una etiqueta genérica «hecho con IA» en todos los flujos puede ser insuficiente en unos casos e innecesario en otros.

La cuarta cesta cubre usos con riesgo limitado o mínimo. Que un caso no sea de alto riesgo bajo esta norma no significa que quede sin reglas. Siguen existiendo el Reglamento General de Protección de Datos, la legislación laboral, la protección de consumidores, la propiedad intelectual, la seguridad de producto y las obligaciones contractuales. «No es alto riesgo» es una conclusión estrecha, no una licencia general.

El papel de cada actor cambia la obligación

Después del uso hay que identificar el papel. Un proveedor desarrolla un sistema o modelo y lo comercializa con su nombre; un responsable del despliegue lo usa bajo su autoridad; también pueden intervenir importadores, distribuidores y fabricantes de productos. Una misma empresa puede ser responsable del despliegue en un proceso y proveedora en otro si modifica o renombra un sistema de forma relevante.

La diferencia es práctica. El proveedor de un sistema de alto riesgo debe diseñar y documentar controles de conformidad. Quien lo despliega debe seguir las instrucciones, asignar supervisión humana competente, vigilar el funcionamiento y actuar ante riesgos o incidentes. En ciertos usos públicos o de servicios públicos también puede ser necesaria una evaluación de impacto sobre derechos fundamentales; en el trabajo existen deberes de información a empleados y representantes.

Los modelos de IA de propósito general tienen otra capa. Sus proveedores deben preparar documentación y facilitar información a quienes construyen sistemas sobre ellos, mantener una política para cumplir el derecho de autor de la UE y publicar un resumen sobre el contenido de entrenamiento. Los modelos con riesgo sistémico afrontan obligaciones adicionales. Pero comprar acceso a uno de esos modelos no transfiere al fabricante todas las responsabilidades del sistema final: quien decide usarlo para evaluar alumnos o filtrar candidaturas debe analizar ese uso concreto.

El inventario mínimo que vuelve verificable el cumplimiento

Antes de redactar una política de cincuenta páginas, una organización necesita un inventario que pueda contestar siete preguntas por sistema: quién lo provee; quién decide su uso; cuál es su finalidad prevista; qué datos entran; qué salida produce; qué personas pueden verse afectadas; y qué decisión adopta un humano después. También debe registrar la versión del modelo, las integraciones y los cambios de finalidad. Sin esa ficha, no hay unidad estable que clasificar.

Después viene el expediente de evidencias. Para un uso sensible debería reunir instrucciones del proveedor, evaluación de riesgos, procedencia y adecuación de los datos, pruebas conocidas, límites, registros, responsables de supervisión, procedimiento de revisión humana, seguimiento posterior al despliegue y escalado de incidentes. El objetivo no es acumular documentos, sino poder reconstruir por qué se autorizó un sistema y cómo se detectará que ya no funciona como se esperaba.

La supervisión humana solo existe si la persona puede comprender la salida, cuestionarla y detener o corregir el proceso. Un botón de aprobación que se pulsa por rutina no añade una garantía real. Conviene definir por adelantado qué señales exigen revisión, qué casos no pueden automatizarse, cuánto tiempo se conservan los registros y quién puede suspender el sistema.

Qué cambió después y cómo leer el calendario hoy

Con fechas posteriores explícitas, el calendario quedó escalonado. Las prohibiciones, definiciones y disposiciones sobre alfabetización en IA se aplican desde el 2 de febrero de 2025; las reglas de gobernanza y las obligaciones para proveedores de modelos de propósito general, desde el 2 de agosto de 2025. Gran parte del Reglamento tiene como fecha general de aplicación el 2 de agosto de 2026.

El calendario volvió a cambiar antes de esa fecha. La Comisión informó que el AI Omnibus entró en vigor el 27 de julio de 2026: las reglas para sistemas de alto riesgo del anexo III se desplazan al 2 de diciembre de 2027 y las de IA integrada en productos del anexo I al 2 de agosto de 2028. Esta actualización demuestra por qué el tercer reloj debe comprobarse justo antes de decidir, no recordarse de memoria.

Un plazo ampliado no convierte en inocuo un sistema ni suspende otras leyes. También puede ser mala gestión esperar a la víspera para descubrir que no existe inventario, documentación del proveedor o capacidad de supervisión. La preparación útil comienza por clasificar y reunir evidencias; las medidas concretas se calendarizan después conforme al texto vigente.

La Ley de IA no se entiende memorizando una lista de herramientas prohibidas. Se entiende siguiendo un método: separar votación, vigencia y aplicación; describir el sistema real; clasificar su finalidad y contexto; identificar el papel de cada actor; y enlazar cada obligación con una evidencia comprobable. Ese método seguirá sirviendo cuando cambien los modelos, las marcas y, como ya ocurrió, los plazos.