La UE cierra el acuerdo político sobre la Ley de IA

El reloj marcaba ya la madrugada cuando los negociadores del Parlamento Europeo, el Consejo y la Comisión salieron de la sala. Llevaban más de 36 horas encerrados, en lo que se ha convertido en una de las negociaciones legislativas más largas de la historia reciente de la UE. El resultado, anunciado hoy: un acuerdo político sobre la Ley de IA (AI Act), el primer intento serio de un bloque de países por regular de forma integral la inteligencia artificial.

No es un reglamento cualquiera. Es la primera ley general de IA del mundo, y su influencia se espera que trascienda las fronteras europeas del mismo modo que ocurrió con el RGPD en materia de protección de datos: empresas de todo el planeta que quieran operar en el mercado europeo tendrán que adaptarse a sus reglas.

Un enfoque basado en el riesgo

La arquitectura de la ley parte de una idea simple: no toda la IA merece el mismo nivel de vigilancia. El texto clasifica los sistemas en distintas categorías según el riesgo que suponen para las personas.

En el escalón más alto están los usos que la UE considera directamente inaceptables y que quedan prohibidos. Entre ellos figuran la puntuación social de los ciudadanos por parte de gobiernos, los sistemas de reconocimiento de emociones en el trabajo o en centros educativos, la categorización biométrica basada en características sensibles (como la orientación sexual o las creencias religiosas) y el rastreo indiscriminado de imágenes faciales en internet o cámaras de videovigilancia para construir bases de datos de reconocimiento facial.

Uno de los puntos que más ha tensionado las negociaciones de los últimos meses ha sido el uso de reconocimiento facial en tiempo real por parte de las fuerzas de seguridad en espacios públicos. Varios eurodiputados pedían una prohibición total; varios Estados miembro defendían excepciones para casos como la búsqueda de víctimas de secuestro, la prevención de atentados terroristas o la persecución de delitos graves. El acuerdo alcanzado contempla permitir su uso, pero solo bajo supuestos tasados y con autorización judicial previa.

Por debajo de las prohibiciones, los sistemas de "alto riesgo" —los que se usan en ámbitos como la selección de personal, el acceso a servicios esenciales, la justicia o infraestructuras críticas— quedarán sujetos a obligaciones de transparencia, supervisión humana y evaluación de conformidad antes de salir al mercado.

La IA de propósito general entra en escena

Cuando la Comisión Europea presentó su propuesta original en 2021, ChatGPT no existía. La explosión de los grandes modelos de lenguaje a lo largo de 2023 obligó a los negociadores a incorporar sobre la marcha un capítulo específico para lo que el texto llama IA de propósito general (GPAI, por sus siglas en inglés): los modelos base, entrenados con enormes cantidades de datos, capaces de adaptarse después a múltiples tareas.

Esta pieza fue una de las más disputadas hasta el final. Francia, con Mistral AI como bandera de su industria naciente, y Alemania presionaron para suavizar las exigencias sobre estos modelos y no asfixiar a sus propias startups frente a los gigantes estadounidenses. El acuerdo introduce obligaciones reforzadas de transparencia y evaluación para los modelos considerados de mayor capacidad o riesgo sistémico, mientras que el resto de proveedores de modelos de propósito general afrontará requisitos más ligeros, centrados sobre todo en documentación técnica y respeto de los derechos de autor sobre los datos de entrenamiento.

Multas de hasta el 7% de la facturación global

El acuerdo contempla un régimen sancionador con dientes. Las infracciones más graves, como el desarrollo o uso de los sistemas prohibidos, podrán castigarse con multas de hasta 35 millones de euros o el 7% de la facturación global anual de la empresa infractora, la cifra que resulte mayor. Para otras infracciones, los topes serán menores, escalonados según la gravedad.

Lo que viene ahora

El acuerdo alcanzado hoy es político, no el texto legal definitivo. En las próximas semanas, los equipos técnicos de las tres instituciones deberán traducir lo pactado en la redacción jurídica final, un proceso que en Bruselas suele deparar matices importantes y en el que aún pueden surgir fricciones de última hora. Después llegará la votación formal en el Parlamento Europeo y la aprobación del Consejo, trámites que se espera se resuelvan durante los primeros meses de 2024.

Una vez en vigor, la ley no se aplicará de golpe: las distintas obligaciones entrarán en vigor de forma escalonada a lo largo de los siguientes años, dando tiempo a empresas y administraciones para adaptarse.

Lo que queda claro desde hoy es que Bruselas ha elegido un camino distinto al de Washington, más proclive a la autorregulación de las grandes tecnológicas, y al de Pekín, con su propio marco centrado en el control estatal. La pregunta que queda abierta es si este equilibrio entre innovación y salvaguardas resultará un modelo exportable o un lastre para la competitividad europea frente a Estados Unidos y China, el debate de fondo que ha marcado cada hora de esta negociación.