Reglamento de IA: una nueva frontera legal para «startups» y empresas digitales
OPINIÓN
La inteligencia artificial ya no es solo una cuestión tecnológica sino una cuestión legal. Con la entrada en vigor del Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (RIA), Europa inauguró una nueva etapa en la que la innovación debe convivir con la responsabilidad jurídica. Esta norma está llamada a transformar la forma en que startups y empresas digitales desarrollan, integran y utilizan sistemas de IA.
Uno de los aspectos más importantes de la norma es que clasifica los sistemas de IA en función del riesgo que representan para las personas. Incorpora los riesgos inaceptables, que son sistemas de IA que manipulan, engañan o discriminan a las personas y por tanto están prohibidos, no pueden comercializarse en Europa. Por ejemplo, se encuentran dentro de estos sistemas inaceptables los que analizan las expresiones faciales o movimientos corporales para detectar posibles delincuentes; los que puntúan a las personas por su conducta, reputación o género, y aquellos que se utilizan en el sector publicitario para manipular las emociones de las personas, entre otros.
Por otro lado, se recogen los sistemas de alto riesgo, que pueden tener un impacto real en la vida de las personas porque pueden decidir quién consigue una financiación, trabajo, una beca, en la medida que son sistemas que hacen predicciones sin la intervención humana. Estos están muy regulados y deberán cumplir requisitos exhaustivos de documentación, trazabilidad, transparencia y supervisión humana.
Otra clase de sistemas son los de riesgo limitado, que interactúan con personas o generan contenidos pero sin tomar decisiones críticas. En estos casos, el reglamento exige una cosa fundamental, la transparencia.
Y como última clase se establecen los sistemas de riesgo mínimo, que incluyen todos los sistemas de IA que no afectan a derechos, decisiones o seguridad de las personas en tanto en cuanto son herramientas que simplemente ayudan al trabajo diario, automatizan tareas rutinarias o mejoran la productividad, pero no toman ninguna decisión.
Conforme a lo expuesto, podemos observar que gran parte de las empresas tecnológicas o startups hoy operan con algoritmos o modelos predictivos que encajan en alguna de estas categorías, aunque actualmente no sean conscientes de ello. Por ejemplo, las herramientas de recomendación, scoring (puntuación) o asistentes conversacionales pueden considerarse a efectos del RIA y requerir auditorías o evaluaciones previas antes de poder ponerlos en el mercado. Será necesario realizar evaluaciones de riesgo, documentar los conjuntos de datos utilizados, establecer protocolos de supervisión humana y, en algunos casos, notificarlo a las autoridades competentes. El desafío jurídico más complejo será integrar el RIA con otras normas vigentes —como el Reglamento General de Protección de Datos o la futura Ley de Ciberresiliencia— sin duplicar obligaciones, ni crear burocracia innecesaria.
Lo que está claro es que las empresas que logren cumplir con el RIA obtendrán una ventaja competitiva en el mercado, porque van a poder demostrar que su sistema IA es seguro, ético y conforme a la normativa.
Por tanto, las empresas deben analizar y clasificar sus sistemas de IA conforme al reglamento y, en caso de que el sistema entre en las categorías prohibidas, su comercialización no será posible en el mercado europeo. En cambio, los modelos de propósito general deben comenzar a preparar fichas de transparencia, evaluaciones y mitigación de riesgos, trazabilidad y verificación de derechos de autor.
El grueso de las obligaciones legales previstas en el Reglamento de Inteligencia Artificial —excepto las aplicables a los sistemas de alto riesgo— es plenamente exigible desde el pasado 2 de agosto, lo cual no eximía a las empresas de iniciar con anterioridad un análisis interno de los sistemas de IA que utilizan, a fin de verificar su adecuación progresiva a los requisitos del RIA y anticipar las medidas de cumplimiento necesarias.