Con esta cuarta entrada seguimos completando el comentario sintético del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (RIA); que comenzamos el pasado lunes 22 de julio con una primera entrada dedicada a sus aspectos generales, continuamos con las de los pasados miércoles 24 de julio y viernes 26 de julio sobre su estructura y su funcionamiento, respectivamente.
(…)
I. REGULACIÓN
(…)
C) Riesgo medio: los sistemas de IA de uso general
Tal y como señalamos al inicio del epígrafe II. el RIA asienta la regulación de los sistemas de IA en su grado de riesgo. Así, en orden descendente hemos expuesto los sistemas de IA de riesgo inadmisible y, por lo tanto, prohibidos (apartado A) y los sistemas de IA de alto riesgo y, por lo tanto, rodeados de especiales garantías (B). Por lo tanto, nos corresponde ahora exponer las grandes líneas del régimen que el RIA dedica a los sistemas de IA de uso general que se definen como “un sistema de IA basado en un modelo de IA de uso general y que puede servir para diversos fines, tanto para su uso directo como para su integración en otros sistemas de IA” (art.3.66) y pueden clasificarse, en función del grado de riesgo que implican, en las dos categorías siguientes:
a) Sistemas de IA de uso general de riesgo normal
a.1) Noción
Estos primeros sistemas de IA de uso general de riesgo normal se asientan sobre un modelo de IA de uso general definido como “un modelo de IA, también uno entrenado con un gran volumen de datos utilizando autosupervisión a gran escala, que presenta un grado considerable de generalidad y es capaz de realizar de manera competente una gran variedad de tareas distintas, independientemente de la manera en que el modelo se introduzca en el mercado, y que puede integrarse en diversos sistemas o aplicaciones posteriores, excepto los modelos de IA que se utilizan para actividades de investigación, desarrollo o creación de prototipos antes de su introducción en el mercado” (art.3.63).
a.2) Obligaciones de sus proveedores
Los proveedores de modelos de IA de uso general deberán elaborar y mantener actualizada la documentación técnica del modelo, incluida la información relativa al proceso de entrenamiento y realización de pruebas y los resultados de su evaluación, que contendrá, como mínimo, la información establecida en el anexo XI del RIA con el fin de facilitarla, previa solicitud, a la Oficina de IA y a las autoridades nacionales competentes. Esta información y documentación actualizada la pondrán a disposición de los proveedores de sistemas de IA que tengan la intención de integrar el modelo de IA de uso general en sus sistemas de IA. Dicha información y documentación -sin perjuicio de la necesidad de observar y proteger los derechos de propiedad intelectual e industrial y la información empresarial confidencial o los secretos comerciales de conformidad con el Derecho de la Unión y nacional- permitirá a los proveedores de sistemas de IA entender bien las capacidades y limitaciones del modelo de IA de uso general y cumplir sus obligaciones en virtud del RIA y contendrá, como mínimo, los elementos previstos en su anexo XII.
Además, los proveedores de modelos de IA de uso general deberán establecer directrices para cumplir el Derecho de la Unión en materia de derechos de autor y derechos afines, y en particular, para detectar y cumplir, por ejemplo, a través de tecnologías punta, una reserva de derechos expresada de conformidad con el artículo 4.3, de la Directiva (UE) 2019/790 y elaborarán y pondrán a disposición del público un resumen suficientemente detallado del contenido utilizado para el entrenamiento del modelo de IA de uso general, con arreglo al modelo facilitado por la Oficina de IA (art.53).
Asimismo, antes de introducir en el mercado de la Unión un modelo de IA de uso general, los proveedores establecidos en terceros países tendrán que nombrar, mediante un mandato escrito, a un representante autorizado que esté establecido en la Unión (art.54).
b) Sistemas de IA de uso general que impliquen un riesgo sistémico
b.1) Noción
Estos segundos sistemas de IA de uso general implican un riesgo sistémico, definido como “un riesgo específico de las capacidades de gran impacto de los modelos de IA de uso general, que tienen unas repercusiones considerables en el mercado de la Unión debido a su alcance o a los efectos negativos reales o razonablemente previsibles en la salud pública, la seguridad, la seguridad pública, los derechos fundamentales o la sociedad en su conjunto, que puede propagarse a gran escala a lo largo de toda la cadena de valor” (art.3.65).
Un modelo de IA de uso general se clasificará como modelo de IA de uso general con riesgo sistémico si tiene capacidades de gran impacto que pueden ser evaluadas de dos maneras:
b.1.1) De forma primaria a partir de herramientas y metodologías técnicas adecuadas, como indicadores y parámetros de referencia
b.1.2) De forma secundaria si tiene capacidades o un impacto equivalente con arreglo a una decisión de la Comisión, adoptada de oficio o a raíz de una alerta cualificada del grupo de expertos científicos, teniendo en cuenta los criterios establecidos en el anexo XIII del RIA (ver las “reglas de clasificación de los modelos de IA de uso general como modelos de IA de uso general con riesgo sistémico” en el artículo 51 del RIA).
Dicho Anexo XIII del RIA recoge las “reglas de clasificación de los modelos de IA de uso general como modelos de IA de uso general con riesgo sistémico” en el artículo 51 del RIA).
se refiere, en particular, a los criterios de clasificación siguientes: número de parámetros del modelo; la calidad o el tamaño del conjunto de datos, por ejemplo medidos a través de criptofichas; la cantidad de cálculo utilizada para entrenar el modelo, medida en operaciones de coma flotante o indicada con una combinación de otras variables, como el coste estimado del entrenamiento, el tiempo estimado necesario o el consumo de energía estimado para el mismo; las modalidades de entrada y salida del modelo, como la conversión de texto a texto (grandes modelos de lenguaje), la conversión de texto a imagen, la multimodalidad y los umbrales punteros para determinar las capacidades de gran impacto de cada modalidad, y el tipo concreto de entradas y salidas (por ejemplo, secuencias biológicas); los parámetros de referencia y las evaluaciones de las capacidades del modelo, también teniendo en cuenta el número de tareas sin entrenamiento adicional, la adaptabilidad para aprender tareas nuevas distintas, su nivel de autonomía y capacidad de ampliación y las herramientas a las que tiene acceso; la circunstancia de que sus repercusiones para el mercado interior son importantes debido a su alcance, lo que se dará por supuesto cuando se haya puesto a disposición de al menos 10.000 usuarios profesionales registrados establecidos en la Unión; y al número de usuarios finales registrados.
b.2) Obligaciones de sus proveedores
Los proveedores de modelos de IA de uso general con riesgo sistémico tendrán las siguientes obligaciones, adicionales a las enumeradas en los artículos 53 y 54 del RIA que se concretan en que deberán evaluar los modelos de conformidad con protocolos y herramientas normalizados que reflejen el estado de la técnica, lo que incluye la realización y documentación de pruebas de simulación de adversarios con el modelo con vistas a detectar y mitigar riesgos sistémicos; evaluar y mitigar los posibles riesgos sistémicos a escala de la Unión que puedan derivarse del desarrollo, la introducción en el mercado o el uso de modelos de IA de uso general con riesgo sistémico, así como el origen de dichos riesgos; vigilar, documentar y comunicar, sin demora indebida, a la Oficina de IA y, en su caso, a las autoridades nacionales competentes, la información pertinente sobre incidentes graves y las posibles medidas correctoras para resolverlos; y velar por que se establezca un nivel adecuado de protección de la ciberseguridad para el modelo de IA de uso general con riesgo sistémico y la infraestructura física del modelo (art.55).
II. SUPERVISIÓN
A) Transparencia
El RIA establece, en su capítulo IV (artículo 50) un régimen de transparencia de los sistemas de IA que resulta asimétrico en sentido subjetivo, porque se aplica a dos categorías determinadas de operadores; y en sentido objetivo, porque se aplica a determinados sistemas de IA, con sus excepciones respectivas. En efecto, las obligaciones de transparencia se aplican a dos tipos de operadores:
a) Obligaciones de transparencia de los proveedores de determinados sistemas de IA
Resulta oportuno recordar que los proveedores de sistemas de IA abarcan a “una persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamente” (art.3.3).
Establecido lo anterior, hemos de añadir que dichos proveedores tendrán las siguientes obligaciones de transparencia respecto de los siguientes sistemas de IA:
a.1) En cuanto a los sistemas de IA destinados a interactuar directamente con personas físicas, sus proveedores deben garantizar que se diseñen y desarrollen de forma que las personas físicas de que se trate estén informadas de que están interactuando con un sistema de IA, excepto cuando resulte evidente desde el punto de vista de una persona física razonablemente informada, atenta y perspicaz, teniendo en cuenta las circunstancias y el contexto de utilización.
Procede advertir que esta obligación no se aplicará a los sistemas de IA autorizados por ley para detectar, prevenir, investigar o enjuiciar delitos, con sujeción a las garantías adecuadas para los derechos y libertades de terceros, salvo que estos sistemas estén a disposición del público para denunciar un delito penal.
a.2) En lo que se refiere sistemas de IA que generen contenido sintético de audio, imagen, vídeo o texto (entre los que se incluyen los sistemas de IA de uso general) sus proveedores deben velar por que los resultados de salida del sistema de IA estén marcados en un formato legible por máquina; que sea posible detectar que han sido generados o manipulados de manera artificial; que sus soluciones técnicas sean eficaces, interoperables, sólidas y fiables en la medida en que sea técnicamente viable, teniendo en cuenta las particularidades y limitaciones de los diversos tipos de contenido, los costes de aplicación y el estado actual de la técnica generalmente reconocido, según se refleje en las normas técnicas pertinentes.
Procede advertir que esta obligación no se aplicará en la medida en que los sistemas de IA desempeñen una función de apoyo a la edición estándar o no alteren sustancialmente los datos de entrada facilitados por el responsable del despliegue o su semántica, o cuando estén autorizados por ley para detectar, prevenir, investigar o enjuiciar delitos.
b) Obligaciones de transparencia de los responsables del despliegue de determinados sistemas de IA
Resulta oportuno recordar que los responsables del despliegue de sistemas de IA abarcan a “una persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional” (art.3.4).
Establecido lo anterior, hemos de añadir que dichos responsables del despliegue tendrán las siguientes obligaciones de transparencia respecto de los siguientes sistemas de IA:
b.1) Respecto de los sistemas de reconocimiento de emociones o de categorización biométrica informarán del funcionamiento del sistema a las personas físicas expuestas a él, sus responsables del despliegue deberán tratará sus datos personales de conformidad con los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y con la Directiva (UE) 2016/680, según corresponda.
Procede advertir que esta obligación no se aplicará a los sistemas de IA utilizados para la categorización biométrica y el reconocimiento de emociones que hayan sido autorizados por ley para detectar, prevenir e investigar delitos, con sujeción a las garantías adecuadas para los derechos y libertades de terceros y de conformidad con el Derecho de la Unión.
b.2) En cuanto a los sistemas de IA que generen o manipulen imágenes o contenidos de audio o vídeo que constituyan una ultrasuplantación, sus responsables del despliegue deberán hacer público que estos contenidos o imágenes han sido generados o manipulados de manera artificial.
Procede advertir que esta obligación no se aplicará cuando la ley autorice su uso para para detectar, prevenir, investigar o enjuiciar delitos. Cuando el contenido forme parte de una obra o programa manifiestamente creativos, satíricos, artísticos, de ficción o análogos, las obligaciones de transparencia establecidas en el presente apartado se limitarán a la obligación de hacer pública la existencia de dicho contenido generado o manipulado artificialmente de una manera adecuada que no dificulte la exhibición o el disfrute de la obra.
b.3) En lo que interesa a los sistemas de IA que generen o manipulen texto que se publique con el fin de informar al público sobre asuntos de interés público sus responsables del despliegue deberán divulgar que el texto se ha generado o manipulado de manera artificial.
Procede advertir que esta obligación no se aplicará cuando el uso esté autorizado por ley para detectar, prevenir, investigar o enjuiciar delitos, o cuando el contenido generado por IA haya sido sometido a un proceso de revisión humana o de control editorial y cuando una persona física o jurídica tenga la responsabilidad editorial por la publicación del contenido.
c) Factores regulatorios comunes a las obligaciones de transparencia
El RIA establece tres factores regulatorios comunes a las obligaciones de transparencia precedentes:
c.1) La información se facilitará a las personas físicas de que se trate de manera clara y distinguible, a más tardar con ocasión de la primera interacción o exposición y se ajustará a los requisitos de accesibilidad aplicables.
c.2) Aquellas obligaciones serán compatibles con dos conjuntos de normas en dos sentidos:
c.2.1) En sentido interno, porque no afectarán a las disposiciones que establecen los requisitos y obligaciones para los sistemas de IA de alto riesgo en el capítulo III del propio RISA (por ejemplo las que establece el art.13 ).
c.2.2) En sentido externo, porque se entenderán sin perjuicio de otras obligaciones de transparencia establecidas en el Derecho nacional o de la Unión para los responsables del despliegue de sistemas de IA.
c.3) Las Instituciones de la UE adoptarán iniciativas favorecedoras de las obligaciones de transparencia porque:
c.3.1) La Oficina de IA fomentará y facilitará la elaboración de códigos de buenas prácticas a escala de la Unión para promover la aplicación efectiva de las obligaciones relativas a la detección y el etiquetado de contenidos generados o manipulados de manera artificial.
c.3.2) La Comisión podrá adoptar actos de ejecución a fin de aprobar dichos códigos de buenas prácticas y, si considerase que el código no es adecuado; podrá adoptar un acto de ejecución que especifique normas comunes para el cumplimiento de las citadas obligaciones.
B) Gobernanza
a) Gobernanza pública
El RIA establece el método de gobernanza pública de la IA que opera a dos niveles:
a.1) Nivel centralizado a escala de la UE mediante la Oficina de IA definida como “la función de la Comisión consistente en contribuir a la implantación, el seguimiento y la supervisión de los sistemas de IA y modelos de IA de uso general, y a la gobernanza de la IA prevista por la Decisión de la Comisión de 24 de enero de 2024; las referencias hechas en el presente Reglamento a la Oficina de IA se entenderán hechas a la Comisión” (art.3.47). Además, el RIA dispone la “creación y estructura del Comité Europeo de Inteligencia Artificial”, establece sus funciones; y prevé la creación de un Foro consultivo y un Grupo de expertos científicos independientes, al que tendrán acceso los Estados miembros (art.64 a 69).
En este nivel hemos de incluir la Base de datos de la UE para los sistemas de IA de alto riesgo enumerados en el anexo III que creará la Comisión Europea en los términos previstos en el artículo 71 del RIA.
a.2) Nivel descentralizado de las Autoridades nacionales competentes; previendo en este sentido -en su artículo 70, dedicado a la “designación de las autoridades nacionales competentes y de los puntos de contacto único”-que “cada Estado miembro establecerá o designará al menos una autoridad notificante y al menos una autoridad de vigilancia del mercado como autoridades nacionales competentes a los efectos del presente Reglamento. Dichas autoridades nacionales competentes ejercerán sus poderes de manera independiente, imparcial y sin sesgos, a fin de preservar la objetividad de sus actividades y funciones y de garantizar la aplicación y ejecución del presente Reglamento. Los miembros de dichas autoridades se abstendrán de todo acto incompatible con sus funciones. Siempre que se respeten esos principios, tales actividades y funciones podrán ser realizadas por una o varias autoridades designadas, de conformidad con las necesidades organizativas del Estado miembro”.
b) Gobernanza privada
En este apartado podemos agrupar las disposiciones que el RIA dedica a promover el cumplimiento voluntario por parte de los operadores de normas de conducta que implementen los requisitos que deben cumplir los sistemas de IA. Disposiciones que se ubican en dos sedes:
b.1) Con ocasión de la regulación de los sistemas de IA basados en el uso de modelos de IA de uso general donde señala -en su artículo 56 dedicado a los “códigos de buenas prácticas” que “la Oficina de IA fomentará y facilitará la elaboración de códigos de buenas prácticas a escala de la Unión a fin de contribuir a la correcta aplicación del presente Reglamento, teniendo en cuenta los planteamientos internacionales”; añadiendo que la Oficina de IA y el Consejo de IA velarán por que los códigos de buenas prácticas comprendan al menos las obligaciones establecidas en los artículos 53 y 55, entre las que se incluyen las cuestiones siguientes: los medios para garantizar que la información a que se refiere el artículo 53.1.a) y b) se mantenga actualizada con respecto a la evolución del mercado y los avances tecnológicos; el nivel adecuado de detalle por lo que respecta al resumen sobre el contenido utilizado para el entrenamiento; la determinación del tipo y la naturaleza de los riesgos sistémicos a escala de la Unión, incluido su origen, cuando proceda; y las medidas, procedimientos y modalidades de evaluación y gestión de los riesgos sistémicos a escala de la Unión, incluida su documentación, que serán proporcionales a los riesgos y tendrán en cuenta su gravedad y probabilidad y las dificultades específicas para hacerles frente, habida cuenta de la manera en que dichos riesgos pueden surgir y materializarse a lo largo de la cadena de valor de la IA (art.56). b.2) A propósito de establecer -en su capítulo X, sobre “códigos de conducta y directrices” (arts.95 y 96)- tanto el “Código de conducta para la aplicación voluntaria de requisitos específicos” como las “Directrices de la Comisión sobre la aplicación del RIA que deberán abarcar la aplicación de los requisitos y obligaciones a que se refieren los artículos 8 a 15 y el artículo 25; las prácticas prohibidas a que se refiere el artículo 5; la aplicación práctica de las disposiciones relacionadas con modificaciones sustanciales; la aplicación práctica de las obligaciones de transparencia establecidas en el artículo 50; información detallada sobre la relación entre el presente Reglamento y la lista de actos legislativos de armonización de la Unión enumerados en el anexo I, así como otras disposiciones de Derecho de la Unión pertinentes, también por cuanto se refiere a la coherencia en su aplicación; y la aplicación de la definición de sistema de IA que figura en el artículo 3.1. Téngase en cuenta que, al publicar estas directrices, la Comisión prestará especial atención a las necesidades de las pymes, incluidas las empresas emergentes, de las autoridades públicas locales y de los sectores que tengan más probabilidades de verse afectados por el presente Reglamento