En el DOUE del viernes, 12 de julio, se publicó el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (RIA).
A este largamente esperado y transcendental RIA dedicaremos tres entradas de este blog dedicadas sucesivamente a ofrecer a sus lectores una síntesis de sus aspectos generales (en la entrada de hoy 22 de julio), de su estructura (en la entrada del miércoles 24 de julio) y de su funcionamiento (en la entrada del viernes 26 de julio) que nos parece que pueden ser de alguna utilidad para sobrevivir ante el seguro tsunami de comentarios de todo tipo y especie que nos espera y que suelen transitar entre la obviedad y el interés comercial (comenzamos advirtiendo a nuestros lectores que pueden encontrar numerosas entradas introduciendo el término IA en los potentes motores de búsqueda de esta plataforma WordPress).
I. PRESUPUESTO DE EXPLICACIÓN: EL CONCEPTO DE SISTEMA DE IA Y LA METÁFORA DEL ALAMBIQUE
Nos parece oportuno comenzar exponiendo la noción de sistema de IA en relación con la metáfora del alambique que hemos venido utilizando desde hace algún tiempo para ofrecer una imagen extremadamente sencilla de un fenómeno diabólicamente complejo.
Para ello, hemos de partir de la definición de sistema de IA sita en el art.3.1) del RIA como “un sistema basado en una máquina diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras el despliegue y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar información de salida, como predicciones, contenidos, recomendaciones o decisiones, que puede influir en entornos físicos o virtuales”.
Dado que esta definición alude a máquinas y nos sugiere espacios físicos líquidos y gaseosos, transitamos hacia la imagen del alambique porque nos parece que puede ofrecer una metáfora útil para exponer y comprender el método de gestión de información que subyace al fenómeno de la IA y a los sistemas que la generan.
Si precisamos algo más nuestro raciocinio, percibimos que nos encontramos en el mundo de la regulación de la información, y, por ello, nada nos parece más seguro que acudir a la definición de alambique que nos ofrece el Diccionario de la RAE como “utensilio que sirve para destilar una sustancia volátil, compuesto fundamentalmente de un recipiente para calentar el líquido y de un conducto por el que sale la sustancia destilada”. Nuestra convicción de la utilidad de esta metáfora crece cuando vemos que el mismo Diccionario define el verbo transitivo destilar como “separar por medio del calor, en alambiques u otros vasos, una sustancia volátil de otras más fijas, enfriando luego su vapor para reducirla nuevamente a líquido”.
Y si damos un paso más, podemos concluir definiendo ideográficamente los sistemas de IA como “alambiques que procesan grandes cantidades de datos o información bruta que se alojan en el canal de entrada para generar -mediante un método de transformación algorítmica que le permite interactuar con su entorno y aprender en consecuencia- un producto de salida en forma de información neta o destilada”.
No queremos acabar este epígrafe sin advertir que la definición de los sistemas de IA como alambiques de procesamiento algorítmico de información es una metáfora que no tiene otra intención que ofrecer una imagen simple de un proceso complejo con la utilidad pedagógica que pueda tener y con las limitaciones de alcance que evidentemente padece. Es por ello por lo que, desde este momento y lugar, rogamos disculpas a la comunidad científica que nos puede acusar de banalizar nociones profundas que estamos seguros que se encargarán de explicar otros con la suficiente oscuridad para no restar solemnidad a sus pesquisas y para que el vulgo siga sin comprender el fenómeno que tanto influirá en sus vidas.
II. ASPECTOS FORMALES DEL RIA
De entrada, nos interesa destacar dos características del RIA:
A) Reglamento cuantitativamente voluminoso
Se trata de un Reglamento cuantitativamente voluminoso, reflejado en 144 páginas de DOUE, con el acúmulo de información que ello implica; que consta de 180 considerandos, 113 artículos distribuidos en 13 capítulos y 13 anexos.
Los 13 capítulos tratan de las disposiciones generales (capítulo I); las prácticas de IA prohibidas (capítulo II) los sistemas de IA de alto riesgo (capítulo III que está dividido en 5 secciones relativas a la clasificación de los sistemas de IA como sistemas de alto riesgo, los requisitos de los sistemas de IA de alto riesgo, las obligaciones de los proveedores y usuarios de sistemas de IA de alto riesgo y de otras partes, las autoridades notificantes y organismos notificados y las normas, evaluación de la conformidad, certificados y registro); las obligaciones de transparencia de los proveedores y responsables del despliegue de determinados sistemas de IA (capítulo IV), los modelos de IA de uso general (capítulo V que está dividido en 4 secciones relativas a las reglas de clasificación, las obligaciones de los proveedores de modelos de IA de uso general sección, las obligaciones de los proveedores de modelos de IA de uso general con riesgo sistémico y los códigos de buenas prácticas); las medidas de apoyo a la innovación (capítulo VI); la gobernanza (capítulo VII que está dividido en 2 secciones relativas a la gobernanza a escala de la Unión y a las autoridades nacionales competentes); la Base de datos de la UE para sistemas de IA de alto riesgo (capítulo VIII); el seguimiento posterior a la comercialización, intercambio de información y vigilancia del mercado (capítulo IX que está dividido en 5 secciones relativas a la vigilancia poscomercialización, al intercambio de información sobre incidentes graves, a la garantía del cumplimiento, a las vías de recurso y a la supervisión, investigación, cumplimiento y seguimiento respecto de proveedores de modelos de IA de uso general); los códigos de conducta y directrices (capítulo X); la delegación de poderes y procedimiento de comité (capítulo XI); las sanciones (capítulo XII); y las disposiciones finales (capítulo XII).
Los 13 anexos establecen: el Anexo I, la lista de actos legislativos de armonización de la Unión; el Anexo II, la lista de los delitos a que se refiere el artículo 5, apartado 1, párrafo primero, letra h), inciso iii); el Anexo III, los Sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 2; el Anexo IV, la Documentación técnica a que se refiere el artículo 11, apartado 1; el Anexo V, la Declaración UE de conformidad; el Anexo VI, el Procedimiento de evaluación de la conformidad fundamentado en un control interno; el Anexo VII, la Conformidad fundamentada en la evaluación del sistema de gestión de la calidad y la evaluación de la documentación técnica; el Anexo VIII, la Información que debe presentarse para la inscripción en el registro de sistemas de IA de alto riesgo de conformidad con el artículo 49; el Anexo IX, la Información que debe presentarse para la inscripción en el registro de los sistemas de IA de alto riesgo enumerados en el anexo III en relación con las pruebas en condiciones reales de conformidad con el artículo 60; el Anexo X, los actos legislativos de la Unión relativos a sistemas informáticos de gran magnitud en el espacio de libertad, seguridad y justicia; el Anexo XI, la documentación técnica a que se refiere el artículo 53, apartado 1, letra a) – documentación técnica para proveedores de modelos de IA de uso general; el Anexo XII, la Información sobre transparencia a que se refiere el artículo 53, apartado 1, letra b) – documentación técnica de los proveedores de modelos de IA de uso general para los proveedores posteriores que integren el modelo en su sistema de IA; y el Anexo XIII, los Criterios para la clasificación de los modelos de IA de uso general con riesgo sistémico a que se refiere el artículo 51.
B) Reglamento cualitativamente complejo
Se trata de un Reglamento cualitativamente complejo, por las materias que trata y por cómo las trata. Para verificar esta última afirmación, invitamos el lector a consultar, a modo de ejemplos, la definición de «ultrasuplantación» que ofrece al apartado 60 del art.3 como “un contenido de imagen, audio o vídeo generado o manipulado por una IA que se asemeja a personas, objetos, lugares, entidades o sucesos reales y que puede inducir a una persona a pensar erróneamente que son auténticos o verídicos”; y a examinar detenidamente el Anexo III que establece los “Sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 2” o el Anexo XIII que hace lo propio con los “Criterios para la clasificación de los modelos de IA de uso general con riesgo sistémico a que se refiere el artículo 51”).
III. FINALIDAD DEL RIA
El objetivo del RIA es doble porque consiste (art.1):
A) Estimular los beneficios de la IA
Por un lado, estimular los beneficios que puede reportar el uso de la IA, mejorando el funcionamiento del mercado interior, promoviendo la adopción de una inteligencia artificial (IA) centrada en el ser humano y fiable, garantizando al mismo tiempo un elevado nivel de protección de la salud, la seguridad y los derechos fundamentales consagrados en la Carta, incluidos la democracia, el Estado de Derecho y la protección del medio ambiente y apoyando la innovación.
Para ello, el RIA establece normas armonizadas para la introducción en el mercado, la puesta en servicio y la utilización de sistemas de IA en la UE; requisitos específicos para los sistemas de IA de alto riesgo y obligaciones para los operadores de dichos sistemas; normas armonizadas de transparencia aplicables a determinados sistemas de IA; normas armonizadas para la introducción en el mercado de modelos de IA de uso general; y medidas en apoyo de la innovación, prestando especial atención a las pymes, incluidas las empresas emergentes.
B) Prevenir los riesgos de la IA
Por otro lado, en prevenir los riesgos que ese mismo uso presenta en forma de los efectos perjudiciales de los sistemas de IA en la UE.
Para ello, el RIA establece prohibiciones de determinadas prácticas de IA; y normas sobre el seguimiento del mercado, la vigilancia del mercado, la gobernanza y la garantía del cumplimiento.
IV. ÁMBITO DEL RIA
El ámbito de aplicación del RIA se establece -en su artículo 2- mediante tres operaciones.
A) Inclusiones
Esta inclusión opera con un doble alcance:
a) Inclusión subjetiva plena de los operadores de los sistemas de IA
Quedan sujetos al RIA los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA o que introduzcan en el mercado modelos de IA de uso general en la UE, con independencia de si dichos proveedores están establecidos o ubicados en la UE o en un tercer país; los responsables del despliegue de sistemas de IA que estén establecidos o ubicados en la UE; los proveedores y responsables del despliegue de sistemas de IA que estén establecidos o ubicados en un tercer país, cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión; los importadores y distribuidores de sistemas de IA; los fabricantes de productos que introduzcan en el mercado o pongan en servicio un sistema de IA junto con su producto y con su propio nombre o marca; los representantes autorizados de los proveedores que no estén establecidos en la UE; y las personas afectadas que estén ubicadas en la UE (art.2.1).
b) Inclusión objetiva parcial de los algunos sistemas de IA de alto riesgo
Porque a los sistemas de IA así clasificados de conformidad con el artículo 6, apartado 1 y relativos a productos regulados por los actos legislativos de armonización de la UE enumerados en la sección B del anexo I, se les aplicará en RIA con un alcance matizado puesto que únicamente se les aplicará el propio artículo 6, apartado 1 y los artículos 102 a 109, sobre determinados Reglamentos y Directivas modificados por el RIA y el art. 112, referido a la evaluación y revisión de las prácticas prohibidas del art.5 y la lista de sistemas de IA de alto riesgo del Anexo III; mientras que el artículo 57 se aplicará únicamente en la medida en que los requisitos para los sistemas de IA de alto riesgo en virtud del presente Reglamento se hayan integrado en dichos actos legislativos de armonización de la UE (art.2.2).
B) Exclusiones
Las exclusiones responden a dos tipos de criterios de clasificación de los sistemas de IA de tal modo que (art.2.3 y ss.):
a) Exclusiones funcionales
Porque el RIA no se aplicará a los sistemas de IA aplicados con las siguientes finalidades (que se matizan en determinados casos en función de su puesta en servicio o el uso de sus resultados dentro o fuera de la UE):
a.1) Fines militares, de defensa o de seguridad nacional; puesto que el RIA no afectará a las competencias de los Estados miembros en materia de seguridad nacional, independientemente del tipo de entidad a la que los Estados miembros hayan encomendado el desempeño de tareas en relación con dichas competencias.
a.2) Fines de investigación y desarrollo científicos de carácter general porque el RIA no se aplicará a los sistemas o modelos de IA, incluidos sus resultados de salida, desarrollados y puestos en servicio específicamente con la investigación y el desarrollo científicos como única finalidad.
a.3) Fines de investigación, prueba o desarrollo relativa a los propios sistemas de IA o modelos de IA porque el RIA no se aplicará a ninguna actividad de investigación, prueba o desarrollo relativa a sistemas de IA o modelos de IA antes de su introducción en el mercado o puesta en servicio; sin perjuicio de que estas actividades se llevarán a cabo de conformidad con el Derecho de la UE aplicable y de que las pruebas en condiciones reales no estarán cubiertas por esa exclusión.
b) Exclusiones subjetivas
Porque el RIA no se aplicará a las siguientes categorías de sujetos:
b.1) Las autoridades públicas de terceros países ni a las organizaciones internacionales que entren dentro del ámbito de aplicación de este Reglamento conforme al apartado 1 cuando dichas autoridades u organizaciones utilicen sistemas de IA en el marco de acuerdos o de la cooperación internacionales con fines de garantía del cumplimiento del Derecho y cooperación judicial con la UE o con uno o varios Estados miembros, siempre que tal tercer país u organización internacional ofrezca garantías suficientes con respecto a la protección de los derechos y libertades fundamentales de las personas.
b.2) El RIA tampoco afectará a la aplicación de las disposiciones relativas a la responsabilidad de los prestadores de servicios intermediarios que figuran en el capítulo II del Reglamento (UE) 2022/2065.
b.3) Particulares porque el RIA no se aplicará a las obligaciones de los responsables del despliegue que sean personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional.
C) Compatibilidades
Procede completar estas inclusiones y exclusiones con tres previsiones expresas de compatibilidad del RIA en los sentidos siguientes:
a) El Derecho de la Unión en materia de protección de los datos personales, la intimidad y la confidencialidad de las comunicaciones se aplicará a los datos personales tratados en relación con los derechos y obligaciones establecidos en el RIA; que en ningún caso afectará a los Reglamentos (UE) 2016/679 o (UE) 2018/1725 ni a las Directivas 2002/58/CE o (UE) 2016/680, sin perjuicio del artículo 10, apartado 5, y el artículo 59 del propio RIA.
b) El RIA se entenderá sin perjuicio de las normas establecidas por otros actos jurídicos de la Unión relativos a la protección de los consumidores y a la seguridad de los productos.
c) El RIA no impedirá que la UE o los Estados miembros mantengan o introduzcan disposiciones legales, reglamentarias o administrativas que sean más favorables a los trabajadores en lo que atañe a la protección de sus derechos respecto al uso de sistemas de IA por parte de los empleadores ni que fomenten o permitan la aplicación de convenios colectivos que sean más favorables a los trabajadores.
V. IMPACTO NORMATIVO DEL RIA EN EL DERECHO DE LA UE
Según reza su propio título, el RIA tiene un impacto profundo en dos tipos de disposiciones del Derecho vigente de la UE (ver su Capítulo XIII, de Disposiciones finales, artículos 102 a 110):
A) Reglamentos
El RIA modifica, en concreto, el Reglamento (CE) n.o 300/2008, del Parlamento Europeo y del Consejo, de 11 de marzo de 2008, sobre normas comunes para la seguridad de la aviación civil y por el que se deroga el Reglamento (CE) n.o 2320/2002 (UE); el Reglamento (UE) n.o 167/2013 del Parlamento Europeo y del Consejo, de 5 de febrero de 2013, relativo a la homologación de los vehículos agrícolas o forestales, y a la vigilancia del mercado de dichos vehículos; el Reglamento (UE) n.o 168/2013, del Parlamento Europeo y del Consejo, de 15 de enero de 2013, relativo a la homologación de los vehículos de dos o tres ruedas y los cuatriciclos, y a la vigilancia del mercado de dichos vehículos; el Reglamento (UE) 2018/858, del Parlamento Europeo y del Consejo, de 30 de mayo de 2018, sobre la homologación y la vigilancia del mercado de los vehículos de motor y sus remolques y de los sistemas, los componentes y las unidades técnicas independientes destinados a dichos vehículos, por el que se modifican los Reglamentos (CE) n.o 715/2007 y (CE) n.o 595/2009 y por el que se deroga la Directiva 2007/46/CE; el Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo, de 4 de julio de 2018, sobre normas comunes en el ámbito de la aviación civil y por el que se crea una Agencia de la Unión Europea para la Seguridad Aérea y por el que se modifican los Reglamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010 y (UE) n.o 376/2014 y las Directivas 2014/30/UE y 2014/53/UE del Parlamento Europeo y del Consejo y se derogan los Reglamentos (CE) n.o 552/2004 y (CE) n.o 216/2008 del Parlamento Europeo y del Consejo y el Reglamento (CEE) n.o 3922/91 del Consejo (DO L 212 de 22.8.2018, p. 1), en la medida en que afecte al diseño, la producción y la introducción en el mercado de aeronaves a que se refiere el artículo 2, apartado 1, letras a) y b), por lo que respecta a las aeronaves no tripuladas y sus motores, hélices, componentes y equipos para controlarlas a distancia; y el Reglamento (UE) 2019/2144.
B) Directivas
El RIA modifica, en concreto la Directiva 2014/90/UE del Parlamento Europeo y del Consejo, de 23 de julio de 2014, sobre equipos marinos, y por la que se deroga la Directiva 96/98/CE del Consejo; la Directiva (UE) 2016/797 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, sobre la interoperabilidad del sistema ferroviario dentro de la Unión Europea y la Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo de 25 de noviembre de 2020 relativa a las acciones de representación para la protección de los intereses colectivos de los consumidores, y por la que se deroga la Directiva 2009/22/CE.
VI. RESPONSABILIDADES DERIVADAS DEL INCUMPLIMIENTO DEL RIA
A) Responsabilidad administrativa
La responsabilidad administrativa se regula el Capítulo XII, dedicado a las sanciones (artículos 99 a 101) que comienza disponiendo que “los Estados miembros establecerán el régimen de sanciones y otras medidas de ejecución, como advertencias o medidas no pecuniarias, aplicable a las infracciones del presente Reglamento que cometan los operadores y adoptarán todas las medidas necesarias para garantizar que se aplican de forma adecuada y efectiva y teniendo así en cuenta las directrices emitidas por la Comisión con arreglo al artículo 96. Tales sanciones serán efectivas, proporcionadas y disuasorias. Tendrán en cuenta los intereses de las pymes, incluidas las empresas emergentes, así como su viabilidad económica”. A continuación, establece el régimen de las “multas administrativas a instituciones, órganos y organismos de la Unión” y de las “multas a proveedores de modelos de IA de uso general”.
B) Responsabilidad civil
En cuanto a la responsabilidad civil derivada de su incumplimiento, recordamos que, el día 28 de septiembre de 2022, la Comisión Europea publicó la Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a la adaptación de las normas de responsabilidad civil extracontractual a la inteligencia artificial (Directiva sobre responsabilidad en materia de IA) (Bruselas, 28.9.2022, COM(2022) 496 final, 2022/0303 (COD) (el lector puede consultar las dos entradas de este blog de 14 y 15 de diciembre de 2022 sobre la “Inteligencia Artificial Responsable (IAR): la Propuesta de Directiva sobre responsabilidad en materia de IA de 28 de septiembre de 2022”).
VII. VIGENCIA
Partiendo de la regla general de que el RIA “será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro”, su artículo 113 -dedicado a su “entrada en vigor y aplicación”- periodifica su vigencia en tres fases:
a) Una fase común, porque el RIA entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea y será aplicable a partir del 2 de agosto de 2026.
b) Una fase anticipada porque los capítulos I y II serán aplicables a partir del 2 de febrero de 2025; y el capítulo III, sección 4, el capítulo V, el capítulo VII y el capítulo XII y el artículo 78 serán aplicables a partir del 2 de agosto de 2025, a excepción del artículo 101.
c) Una fase postergada porque el artículo 6, apartado 1, y las obligaciones correspondientes serán aplicables a partir del 2 de agosto de 2027.
Todo ello sin perjuicio del régimen transitorio previsto en el artículo 111 para los “sistemas de IA ya introducidos en el mercado o puestos en servicio y modelos de IA de uso general ya introducidos en el mercado”.