En esta entrada seguimos comentando el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (RIA); cumpliendo de este modo el compromiso adquirido con nuestros lectores en la primera entrada de esta serie dedicada a dar cuenta telegráfica de sus aspectos generales y publicada el pasado lunes 22 de julio.
La estructura del RIA se asienta sobre tres tipos de elementos: subjetivos, objetivos y funcionales que define su artículo 3. Esto es, metafóricamente hablando, el alambique de la IA se basa en que unos sujetos gestionan unos objetos desarrollando unas funciones. A ellos nos referimos seguidamente.
I. SUJETOS
A) Operadores
El operador es la categoría general que abarca a:
a) Los proveedores, definidos como “una persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamente”. Dentro de esta categoría podemos incluir a los proveedores posteriores, definidos como “un proveedor de un sistema de IA, también de un sistema de IA de uso general, que integra un modelo de IA, con independencia de que el modelo de IA lo proporcione él mismo y esté integrado verticalmente o lo proporcione otra entidad en virtud de relaciones contractuales”; y a sus representantes autorizados, definidos como “una persona física o jurídica ubicada o establecida en la Unión que haya recibido y aceptado el mandato por escrito de un proveedor de un sistema de IA o de un modelo de IA de uso general para cumplir las obligaciones y llevar a cabo los procedimientos establecidos en el presente Reglamento en representación de dicho proveedor”.
b) Los fabricantes del producto.
c) A los responsables del despliegue, definidos como “una persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional”.
e) Los importadores, definidos como “una persona física o jurídica ubicada o establecida en la Unión que introduzca en el mercado un sistema de IA que lleve el nombre o la marca de una persona física o jurídica establecida en un tercer país”.
f) Los distribuidores, definidos como “una persona física o jurídica que forme parte de la cadena de suministro, distinta del proveedor o el importador, que comercialice un sistema de IA en el mercado de la Unión”.
B) Autoridades
En función de la posición que ocupan en la garantía del cumplimiento de la regulación europea de la IA y en el proceso de evaluación de la conformidad del sistema de IA de alto riesgo -definido como “el proceso por el que se demuestra si se han cumplido los requisitos establecidos en el capítulo III, sección 2, del RIA en relación con un sistema de IA de alto riesgo”- podemos distinguir los siguientes tipos de autoridades y organismos:
a) La Oficina de IA, definida como “la función de la Comisión consistente en contribuir a la implantación, el seguimiento y la supervisión de los sistemas de IA y modelos de IA de uso general, y a la gobernanza de la IA prevista por la Decisión de la Comisión de 24 de enero de 2024; las referencias hechas en el presente Reglamento a la Oficina de IA se entenderán hechas a la Comisión”. A este respecto, téngase en cuenta que la Oficina de IA se regula en el artículo 64 del RIA que abre la sección 1 -sobre “gobernanza a escala de la Unión”- del Capítulo VII -sobre gobernanza- que se ocupa también, en su artículo 65, de la “creación y estructura del Comité Europeo de Inteligencia Artificial”.
b) Las autoridades nacionales competentes, definidas como “una autoridad notificante o una autoridad de vigilancia del mercado; en lo que respecta a sistemas de IA puestos en servicio o utilizados por instituciones, órganos y organismos de la Unión, las referencias hechas en el presente Reglamento a autoridades nacionales competentes o a autoridades de vigilancia del mercado se interpretarán como referencias al Supervisor Europeo de Protección de Datos”.
c) Las autoridades garantes del cumplimiento del Derecho, definidas como “toda autoridad pública competente para la prevención, la investigación, la detección o el enjuiciamiento de delitos o la ejecución de sanciones penales, incluidas la protección frente a amenazas para la seguridad pública y la prevención de dichas amenazas, o cualquier otro organismo o entidad a quien el Derecho del Estado miembro haya confiado el ejercicio de la autoridad pública y las competencias públicas a efectos de prevención, investigación, detección o enjuiciamiento de delitos o ejecución de sanciones penales, incluidas la protección frente a amenazas para la seguridad pública y la prevención de dichas amenazas”. Debe tomarse en consideración que el Ria define la “garantía del cumplimiento del Derecho” como “las actividades realizadas por las autoridades garantes del cumplimiento del Derecho, o en su nombre, para la prevención, la investigación, la detección o el enjuiciamiento de delitos o la ejecución de sanciones penales, incluidas la protección frente a amenazas para la seguridad pública y la prevención de dichas amenazas”.
d) Las autoridades notificantes, definidas como “la autoridad nacional responsable de establecer y llevar a cabo los procedimientos necesarios para la evaluación, designación y notificación de los organismos de evaluación de la conformidad, así como de su supervisión”.
e) Los organismos de evaluación de la conformidad, definidos como “un organismo que desempeña actividades de evaluación de la conformidad de terceros, como el ensayo, la certificación y la inspección”.
f) Los organismos notificados, definidos como “un organismo de evaluación de la conformidad notificado con arreglo al presente Reglamento y a otros actos pertinentes de la legislación de armonización de la Unión”.
II. OBJETOS
A) Datos
Dado que los sistemas de IA son alambiques que procesan grandes cantidades de datos, el art.3 del RIA define diversas categorías de datos conforme a diferentes criterios:
a) Según su función, podemos diferenciar entre los datos de entrenamiento, definidos como “ los datos usados para entrenar un sistema de IA mediante el ajuste de sus parámetros entrenables”; los datos de validación, definidos como “los datos usados para proporcionar una evaluación del sistema de IA entrenado y adaptar sus parámetros no entrenables y su proceso de aprendizaje para, entre otras cosas, evitar el subajuste o el sobreajuste”; el conjunto de datos de validación, definidos como “un conjunto de datos independiente o una parte del conjunto de datos de entrenamiento, obtenida mediante una división fija o variable”; y los datos operativos sensibles, definidos como “los datos operativos relacionados con actividades de prevención, detección, investigación o enjuiciamiento de delitos cuya divulgación podría poner en peligro la integridad de las causas penales”.
b) Según el momento en el que operan, podemos diferenciar entre los datos de entrada, definidos como “los datos proporcionados a un sistema de IA u obtenidos directamente por él a partir de los cuales produce un resultado de salida”; y los datos de prueba, definidos como “los datos usados para proporcionar una evaluación independiente del sistema de IA, con el fin de confirmar el funcionamiento previsto de dicho sistema antes de su introducción en el mercado o su puesta en servicio”.
c) Según su referencia biométrica, podemos distinguir los datos biométricos, definidos como “los datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física, como imágenes faciales o datos dactiloscópicos”; la identificación biométrica, definida como “el reconocimiento automatizado de características humanas de tipo físico, fisiológico, conductual o psicológico para determinar la identidad de una persona física comparando sus datos biométricos con los datos biométricos de personas almacenados en una base de datos”; y la verificación biométrica, definida como “la verificación automatizada y uno-a-uno, incluida la autenticación, de la identidad de las personas físicas mediante la comparación de sus datos biométricos con los datos biométricos facilitados previamente”;
d) Según la afección personal, el RIA diferencia entre los datos personales, definidos como “los datos personales tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679” y los datos no personales, definidos como “los datos que no sean datos personales tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679”; amén de las categorías especiales de datos personales, definidas como “las categorías de datos personales a que se refieren el artículo 9, apartado 1, del Reglamento (UE) 2016/679, el artículo 10 de la Directiva (UE) 2016/680 y el artículo 10, apartado 1, del Reglamento (UE) 2018/1725”.
B) Factores
El RIA define una serie de factores que operan en los sistemas de IA tales como los componentes de seguridad, definidos como “un componente de un producto o un sistema de IA que cumple una función de seguridad para dicho producto o sistema de IA, o cuyo fallo o defecto de funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes”; las instrucciones de uso, definidas como “la información facilitada por el proveedor para informar al responsable del despliegue, en particular, de la finalidad prevista y de la correcta utilización de un sistema de IA”; las especificaciones comunes, definidas como “un conjunto de especificaciones técnicas tal como se definen en el artículo 2, punto 4, del Reglamento (UE) n.o 1025/2012 que proporciona medios para cumplir determinados requisitos establecidos en virtud del presente Reglamento”; y los espacios de acceso público, definidos como “cualquier lugar físico, de propiedad privada o pública, al que pueda acceder un número indeterminado de personas físicas, con independencia de que deban cumplirse determinadas condiciones de acceso y con independencia de las posibles restricciones de capacidad”.
Por su novedad y complejidad nos llaman la atención las nociones de ultrasuplantación, definida como “un contenido de imagen, audio o vídeo generado o manipulado por una IA que se asemeja a personas, objetos, lugares, entidades o sucesos reales y que puede inducir a una persona a pensar erróneamente que son auténticos o verídicos”; y de operación de coma flotante definida como “cualquier operación o tarea matemática que implique números de coma flotante, que son un subconjunto de los números reales normalmente representados en los ordenadores mediante un número entero de precisión fija elevado por el exponente entero de una base fija”.
C) Distintivos
La homologación de un mercado interior de sistemas y modelos de IA requiere la normalización de algunos distintivos de calidad regulatoria como el marcado CE, definido como “un marcado con el que un proveedor indica que un sistema de IA es conforme con los requisitos establecidos en el capítulo III, sección 2, y con otros actos aplicables de la legislación de armonización de la Unión que prevén su colocación”; y la norma armonizada, definida como “una norma armonizada tal como se define en el artículo 2, punto 1, letra c), del Reglamento (UE) n.o 1025/2012”;
III. FUNCIONES
Si partimos de la base de la definición de “funcionamiento de un sistema de IA” como “la capacidad de un sistema de IA para alcanzar su finalidad prevista” y añadimos que esta última se define como “el uso para el que un proveedor concibe un sistema de IA, incluidos el contexto y las condiciones de uso concretos, según la información facilitada por el proveedor en las instrucciones de uso, los materiales y las declaraciones de promoción y venta, y la documentación técnica” (art.3.12 y 18 RIA), podemos ordenar las funciones implicadas en los sistemas de IA en los apartados siguientes.
A) Sistemas
Un sistema de IA se define por el art.3.1) del RIA como “un sistema basado en una máquina diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras el despliegue y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar información de salida, como predicciones, contenidos, recomendaciones o decisiones, que puede influir en entornos físicos o virtuales”. Advierta el lector que en entradas precedentes no hemos tomado la licencia de definiendo ideográficamente los sistemas de IA como “alambiques que procesan grandes cantidades de datos o información bruta que se alojan en el canal de entrada para generar -mediante un método de transformación algorítmica que le permite interactuar con su entorno y aprender en consecuencia- un producto de salida en forma de información neta o destilada”.
Partiendo de la base genérica señalada, podemos concretar la noción de sistemas de IA de alto riesgo por referencia a los clasificados como tales conforme a las reglas establecidas en el artículo 6 del RIA y enumerados en su Anexo III.
Si descendemos en la intensidad del riesgo, encontramos los sistemas de IA de uso general, definidos como “un sistema de IA basado en un modelo de IA de uso general y que puede servir para diversos fines, tanto para su uso directo como para su integración en otros sistemas de IA”.
Llamamos la atención del lector, por su originalidad regulatoria y antropológica, sobre los sistemas de reconocimiento de emociones, definidos como “un sistema de IA destinado a distinguir o inferir las emociones o las intenciones de las personas físicas a partir de sus datos biométricos”; los sistemas de categorización biométrica, definidos como “un sistema de IA destinado a incluir a las personas físicas en categorías específicas en función de sus datos biométricos, a menos que sea accesorio a otro servicio comercial y estrictamente necesario por razones técnicas objetivas”; los sistemas de identificación biométrica remota, definidos como “un sistema de IA destinado a identificar a las personas físicas sin su participación activa y generalmente a distancia comparando sus datos biométricos con los que figuran en una base de datos de referencia”; los sistemas de identificación biométrica remota en tiempo real, definidos como “un sistema de identificación biométrica remota, en el que la recogida de los datos biométricos, la comparación y la identificación se producen sin una demora significativa; engloba no solo la identificación instantánea, sino también, a fin de evitar la elusión, demoras mínimas limitadas; y sobre los sistemas de identificación biométrica remota en diferido, definidos como “cualquier sistema de identificación biométrica remota que no sea un sistema de identificación biométrica remota en tiempo real”.
(Sobre estos riesgos de manipulación biométrica del ser humano gracias a la IA, el lector interesado puede consultar la entrada de este blog de 5 de enero de 2018 sobre el “Rating humano, partidos políticos, bancos y aseguradoras: ¿Un mundo feliz?)
B) Modelos
De forma complementaria a las nociones de sistemas de IA encontramos que el RIA ofrece las definición de los modelos de IA de uso general, definidos como “un modelo de IA, también uno entrenado con un gran volumen de datos utilizando autosupervisión a gran escala, que presenta un grado considerable de generalidad y es capaz de realizar de manera competente una gran variedad de tareas distintas, independientemente de la manera en que el modelo se introduzca en el mercado, y que puede integrarse en diversos sistemas o aplicaciones posteriores, excepto los modelos de IA que se utilizan para actividades de investigación, desarrollo o creación de prototipos antes de su introducción en el mercado”. Definición que veremos puede relacionarse con el riesgo sistémico, definidos como “un riesgo específico de las capacidades de gran impacto de los modelos de IA de uso general, que tienen unas repercusiones considerables en el mercado de la Unión debido a su alcance o a los efectos negativos reales o razonablemente previsibles en la salud pública, la seguridad, la seguridad pública, los derechos fundamentales o la sociedad en su conjunto, que puede propagarse a gran escala a lo largo de toda la cadena de valor”.
C) Planes
De forma complementaria a las nociones de sistemas y modelos de IA encontramos que el RIA ofrece diferentes definiciones de planes de IA tales como las de los planes de prueba en condiciones reales, definidos como “un documento que describe los objetivos, la metodología, el ámbito geográfico, poblacional y temporal, el seguimiento, la organización y la realización de la prueba en condiciones reales”. Definición esta que debe ser puesta en relación con las de prueba en condiciones reales como “la prueba temporal de un sistema de IA para su finalidad prevista en condiciones reales, fuera de un laboratorio u otro entorno de simulación, con el fin de recabar datos sólidos y fiables y evaluar y comprobar la conformidad del sistema de IA con los requisitos del presente Reglamento; si se cumplen todas las condiciones establecidas en el artículo 57 o 60, no se considerará una introducción en el mercado o una puesta en servicio del sistema de IA en el sentido de lo dispuesto en el presente Reglamento”; de sujeto a los efectos de la prueba en condiciones reales, definidos como “una persona física que participa en la prueba en condiciones reales” y de su consentimiento informado como “la expresión libre, específica, inequívoca y voluntaria por parte de un sujeto de su voluntad de participar en una determinada prueba en condiciones reales tras haber sido informado de todos los aspectos de la prueba que sean pertinentes para su decisión de participar”.
También nos parece oportuno destacar la noción de planes del espacio controlado de pruebas definidos como “un documento acordado entre el proveedor participante y la autoridad competente en el que se describen los objetivos, las condiciones, el calendario, la metodología y los requisitos para las actividades realizadas en el espacio controlado de pruebas”.
(El lector interesado en este materia puede consultar las entradas de este blog de 11 y 12 de diciembre de 2023 sobre la “Inteligencia artificial y entornos controlados de pruebas (“regulatory sandboxes”): Real Decreto 817/2023, de 8 de noviembre” en las que dimos cuenta del Real Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial que entró en vigor el viernes 10 de noviembre de 2023).
D) Propiedades
A efectos regulatorios destaca la noción de alfabetización en materia de IA, definida como “las capacidades, los conocimientos y la comprensión que permiten a los proveedores, responsables del despliegue y demás personas afectadas, teniendo en cuenta sus respectivos derechos y obligaciones en el contexto del presente Reglamento, llevar a cabo un despliegue informado de los sistemas de IA y tomar conciencia de las oportunidades y los riesgos que plantea la IA, así como de los perjuicios que puede causar” e impuesta a los proveedores y responsables del despliegue de sistemas de IA quienes -de acuerdo con el artículo 4 del RIA- “deberán adoptar medidas para garantizar que, en la mayor medida posible, su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA tengan un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas”.
E) Funciones cronológicas
Si aplicamos un criterio cronológico podemos diferenciar las funciones de los sistemas de IA que operan en las fases siguientes:
a) En la fase inicial se produce la introducción en el mercado, definida como “la primera comercialización en el mercado de la Unión de un sistema de IA o de un modelo de IA de uso general”; la comercialización, definida como “el suministro de un sistema de IA o de un modelo de IA de uso general para su distribución o utilización en el mercado de la Unión en el transcurso de una actividad comercial, previo pago o gratuitamente”; y la puesta en servicio definida como “el suministro de un sistema de IA para su primer uso directamente al responsable del despliegue o para uso propio en la Unión para su finalidad prevista”.
b) En las fases sucesivas se puede producir la recuperación de un sistema de IA, entendida como “toda medida encaminada a conseguir la devolución al proveedor de un sistema de IA puesto a disposición de los responsables del despliegue, a inutilizarlo o a desactivar su uso”; y su modificación sustancial, definida como “un cambio en un sistema de IA tras su introducción en el mercado o puesta en servicio que no haya sido previsto o proyectado en la evaluación de la conformidad inicial realizada por el proveedor y a consecuencia del cual se vea afectado el cumplimiento por parte del sistema de IA de los requisitos establecidos en el capítulo III, sección 2, o que dé lugar a una modificación de la finalidad prevista para la que se haya evaluado el sistema de IA de que se trate”.
En todo caso, deberá aplicarse un sistema de vigilancia poscomercialización, definido como “todas las actividades realizadas por los proveedores de sistemas de IA destinadas a recoger y examinar la experiencia obtenida con el uso de sistemas de IA que introducen en el mercado o ponen en servicio, con objeto de detectar la posible necesidad de aplicar inmediatamente cualquier tipo de medida correctora o preventiva que resulte necesaria”.
F) Patologías e infracciones
Nos parece procedente poner punto final al apartado dedicado a los aspectos funcionales de la IA con una referencia las patologías e infracciones tipificadas en el RIA comenzando con la noción de infracción generalizada, definida como “todo acto u omisión contrario al Derecho de la Unión por el que se protegen los intereses de las personas y que: a) haya perjudicado o pueda perjudicar los intereses colectivos de personas que residen en al menos dos Estados miembros distintos de aquel en el que: i) se originó o tuvo lugar el acto u omisión, ii) esté ubicado o establecido el proveedor de que se trate o, en su caso, su representante autorizado, o iii) esté establecido el responsable del despliegue en el momento de cometer la infracción; b) haya perjudicado, perjudique o pueda perjudicar los intereses colectivos de las personas y tenga características comunes —incluidas la misma práctica ilícita o la vulneración del mismo interés— y sea cometido simultáneamente por el mismo operador en al menos tres Estados miembros”.
Dentro de este espacio patológico también se ubican las nociones de uso indebido razonablemente previsible, definido como “la utilización de un sistema de IA de un modo que no corresponde a su finalidad prevista, pero que puede derivarse de un comportamiento humano o una interacción con otros sistemas, incluidos otros sistemas de IA, razonablemente previsible”; y de incidente grave, definido como “un incidente o defecto de funcionamiento de un sistema de IA que, directa o indirectamente, tenga alguna de las siguientes consecuencias: a) el fallecimiento de una persona o un perjuicio grave para su salud; b) una alteración grave e irreversible de la gestión o el funcionamiento de infraestructuras críticas; c) el incumplimiento de obligaciones en virtud del Derecho de la Unión destinadas a proteger los derechos fundamentales; d) daños graves a la propiedad o al medio ambiente”.