- El 21 de abril la Comisión Europea propuso el primer marco jurídico europeo para la inteligencia artificial.
- Distingue cuatro niveles de riesgo: inaceptable (prohibido), alto, limitado y mínimo.
- Las infracciones más graves podrían costar hasta 30 millones de euros o el 6 % de la facturación mundial.
El 21 de abril de 2021 la Comisión Europea presentó su propuesta de reglamento por el que se establecen normas armonizadas sobre inteligencia artificial, la primera ley de este tipo en la Unión. La propuesta sigue un enfoque basado en el riesgo: cuanto mayor es el posible daño de un sistema para la seguridad o los derechos de las personas, más estrictas son las obligaciones. Debe ser negociada y aprobada por el Parlamento Europeo y el Consejo antes de ser aplicable, por lo que su texto puede cambiar.
Importa a cualquier empresa que desarrolle, compre o utilice sistemas de IA en la Unión, aunque no se dedique a la tecnología: el software de selección de personal, de evaluación de crédito, de atención al cliente o de seguridad incluye sistemas de este tipo. Y la propuesta se aplicaría también a proveedores de fuera de la UE cuyos sistemas se utilicen en ella, con lo que su alcance sería muy amplio. Para las pymes, el reglamento propone además medidas de apoyo, como entornos de prueba regulatorios y reducciones de cargas, aunque el grueso de las obligaciones recae en los proveedores de sistemas de alto riesgo.
Cuatro niveles de riesgo
Los usos de riesgo inaceptable estarían prohibidos: la puntuación social por parte de las autoridades, las técnicas subliminales que causen daño, la explotación de las vulnerabilidades de las personas por edad o discapacidad y, con excepciones, la identificación biométrica remota en tiempo real en espacios públicos por la policía. Los sistemas de alto riesgo, como los usados en selección de personal, acceso al crédito, educación, infraestructuras críticas o justicia, estarían permitidos pero sujetos a requisitos estrictos.
Para los de riesgo limitado, como los asistentes conversacionales, bastaría con avisar al usuario de que interactúa con una máquina, y lo mismo con los contenidos generados que simulan ser reales. Los de riesgo mínimo, como los filtros de correo no deseado o muchos videojuegos, quedarían fuera de obligaciones nuevas, aunque se animaría a adoptar códigos de conducta voluntarios.
Obligaciones y sanciones
Los proveedores de sistemas de alto riesgo tendrían que contar con un sistema de gestión de riesgos, datos de entrenamiento de calidad, documentación técnica, registro de la actividad, información clara para los usuarios, supervisión humana y niveles adecuados de precisión y ciberseguridad. Antes de comercializarlos, deberían someterlos a una evaluación de conformidad y marcarlos con el distintivo europeo. Los usuarios profesionales también tendrían deberes, como vigilar su funcionamiento.
Las sanciones serían elevadas: hasta 30 millones de euros o el 6 % de la facturación mundial anual, la cifra que sea mayor, para las infracciones más graves, como usar prácticas prohibidas o incumplir las exigencias sobre datos; cuantías menores para otros incumplimientos. La supervisión correspondería a autoridades nacionales, coordinadas por un comité europeo, de forma parecida a como funciona la protección de datos.
Qué conviene revisar
Aunque la norma no se aplicará hasta dentro de unos años, conviene empezar por hacer un inventario de los sistemas de IA que usa la empresa, directamente o a través de proveedores, y clasificarlos según su riesgo. Los más sensibles son los que afectan a empleados, clientes o solicitantes de crédito, porque pueden entrar en la categoría de alto riesgo. Un buen primer paso es preguntar a cada proveedor si su producto utiliza IA y para qué decisiones.
Conviene también revisar los contratos con proveedores tecnológicos, para saber quién responde de qué, y comprobar el cumplimiento del reglamento de protección de datos, que ya exige transparencia y pone límites a las decisiones automatizadas. Se trata de información general sobre una propuesta todavía no aprobada, cuyo texto final puede ser distinto.
La IA entra en el derecho europeo con un principio claro: cuanto más riesgo, más obligaciones.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
