El pasado 1 de agosto de 2024, la Comisión Europea publicó un Documento de preguntas y respuestas sobre la Ley Europea de Inteligencia Artificial (LEIA) (ref.: QANDA/21/1683. Inteligencia artificial Preguntas y respuestas Actualizado el 01/08/2024. Brussels, 1 de agosto de 2024). Dada la importancia y complejidad de la materia y la autoridad de la fuente, dado que la Comisión Europea, como autora de la Propuesta que dio origen a la LEIA, ofrece una suerte de “interpretación auténtica” del Reglamento (UE) 2024/1689; en las siguientes tres entradas de este blog de 12, 13 y 14 de agosto, daremos noticia completa de este documento.
Ley Europea de Inteligencia Artificial (LEIA) y Reglamento de Inteligencia Artificial (RIA): Equivalencia de términos
Debemos empezar advirtiendo a los lectores de este blog de una cuestión terminológica de cierta relevancia. El documento de preguntas y respuestas publicado por la Comisión Europea el 1 de agosto de 2024 habla de la Ley de IA de la UE para referirse al Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828. Durante el pasado mes de julio hemos dedicado cinco entradas de este blog a comentar diferentes aspectos generales, estructurales y funcionales de este Reglamento de Inteligencia Artificial, utilizando el acrónimo RIA que nos parece más preciso porque identifica claramente el tipo de disposición de que se trata. Sin perjuicio de ello y dado que constatamos que la Comisión Europea viene utilizando desde hace tiempo la denominación Ley de IA de la UE para referirse al RIA; por nuestra parte y por razones de univocidad y homogeneidad con otros Estados miembros de la UE utilizaremos desde ahora preferentemente el término Ley Europea de Inteligencia Artificial y el acrónimo LEIA para referirnos al Reglamento de Inteligencia Artificial, sin descartar el uso de esta última denominación y del acrónimo RIA, dado que la propia Comisión Europea lo sigue utilizando ocasionalmente.
Digitalización Mercantil Europea (monografía de Editorial Aranzadi/ La Ley)
La precisión terminológica precedente nos sirve de oportunidad para anunciar a los lectores de este blog que utilizaremos las expresiones LEIA y RIA para referirnos al Reglamento (UE) 2024/1689 en el capítulo 6 de la monografía sobre Digitalización Mercantil Europea que publicará Editorial Aranzadi – La Ley el próximo trimestre al año en curso en la que haremos un comentario sistemático y sintético de la Ley Europea de Mercados Digitales (Reglamento (UE) 2022/1925, LMD), de la Ley Europea de Servicios Digitales (Reglamento (UE) 2022/2065, LSD), de la Ley europea de resiliencia operativa digital del sector financiero (Reglamento (UE) 2022/2554, DORA), de la Ley Europea de Criptoactivos (Reglamento (UE) 2023/1114, MiCa) y de la Ley Europea de Inteligencia Artificial (Reglamento (UE) 2024/1689, LEIA).
Documento de preguntas y respuestas sobre la Ley Europea de Inteligencia Artificial de la Comisión Europea de 1 de agosto de 2024
Este Documento de preguntas y respuestas sobre la Ley Europea de Inteligencia Artificial se ha publicado por la Comisión Europea de 1 de agosto de 2024, día previo a su entrada en vigor el 2 de agosto de 2024, fecha en que se cumplieron los veinte días desde su publicación en el Diario Oficial de la Unión Europea (L 12.7.2024). Recordemos que la LEIA será generalmente aplicable a partir del 2 de agosto de 2026 (art.113).
El Documento de preguntas y respuestas ofrece, en sus páginas y siguiendo el método socrático habitual de preguntas retóricas, una síntesis completa de los aspectos cruciales de la LEIA que resumimos seguidamente.
A) Referencia general a su contenido
El Documento de preguntas y respuestas destaca los aspectos críticos de la LEIA como, por ejemplo, las diferentes categorías de riesgos, la transparencia exigible a los sistemas de IA generativa, la identificación biométrica, la compatibilidad con los derechos fundamentales y la propiedad intelectual, el sistema de gobernanza de la LEIA, el Código de buenas prácticas para los proveedores de modelos de IA de uso general, etc.
En especial, precisa el calendario de aplicación de la LEIA con alusiones concretas, por ejemplo, a la elaboración y publicación hasta finales de abril de 2025 de normas sobre los requisitos exigibles a los sistemas de IA de alto riesgo por parte de las organizaciones europeas de normalización.
En todos estos ámbitos, el documento de la Comisión nos ofrece información especialmente valiosa que complementa el contenido de la LEIA con ejemplos (v.gr. de sistemas de IA de alto riesgo), con datos técnicos (por ejemplo, de modelos de IA de uso general que generan riesgos sistémicos porque hayan sido entrenados utilizando una potencia informática total de más de 10 to 25 FLOP) y con explicaciones de aspectos de la gestación de la LEIA (por ejemplo, los encargos de la Comisión Europea a las organizaciones europeas de normalización CEN y CENELEC para la elaboración de normas para los requisitos exigibles a los sistemas de IA de alto riesgo).
B) La LEIA en el contexto internacional
Nos parece oportuno comenzar la referencia al documento de la Comisión Europea sobre la LEIA con su ubicación en el contexto internacional cuando acaba preguntándose: “¿Cuál es la dimensión internacional del planteamiento adoptado por la UE?” y respondiendo: “La IA tiene consecuencias y retos que trascienden las fronteras; por lo tanto, la cooperación internacional es importante. La Oficina de IA se encarga del compromiso internacional de la Unión Europea en el ámbito de la IA, sobre la base de la Ley de Inteligencia Artificial y el Plan Coordinado sobre la IA. La UE pretende promover la gestión responsable y la buena gobernanza de la IA en colaboración con socios internacionales y en consonancia con el sistema multilateral basado en normas y los valores que defiende. La UE se compromete bilateral y multilateralmente a promover una IA fiable, centrada en el ser humano y ética. Por consiguiente, la UE participa en foros multilaterales en los que se debate la IA -en particular el G7, el G20, la OCDE, el Consejo de Europa, la Alianza Mundial sobre la Inteligencia Artificial y las Naciones Unidas- y la UE mantiene estrechos vínculos bilaterales con, por ejemplo, Canadá, los Estados Unidos, la India, Japón, Corea del Sur, Singapur y la región de América Latina y el Caribe”.
C) Motivo y finalidad de la LEIA
El Documento comienza preguntándose: “¿Por qué debemos regular el uso de la inteligencia artificial?” y respondiendo que la LEIA “es la primera ley global en materia de IA del mundo. Su objetivo es abordar los riesgos para la salud, la seguridad y los derechos fundamentales. El Reglamento también protege la democracia, el Estado de Derecho y el medio ambiente. La adopción de los sistemas de IA puede aportar importantes beneficios sociales y crecimiento económico, así como mejorar la innovación en la UE y la competitividad mundial. Sin embargo, en determinados casos, las características específicas de determinados sistemas de IA pueden crear nuevos riesgos relacionados con la seguridad de los usuarios, incluida la seguridad física, y los derechos fundamentales. Algunos modelos potentes de IA que se utilizan ampliamente podrían incluso plantear riesgos sistémicos”.
El Documento sigue desde las causas económicas a sus efectos regulatorios cuando dice: “Esto da lugar a inseguridad jurídica y a una adopción potencialmente más lenta de las tecnologías de IA por parte de las autoridades públicas, las empresas y los ciudadanos, debido a la falta de confianza. La disparidad de las respuestas reglamentarias de las autoridades nacionales entrañaría el riesgo de fragmentar el mercado interior. En respuesta a estos retos, era necesaria una acción legislativa (unificadora) para garantizar el buen funcionamiento del mercado interior de los sistemas de IA en el que se aborden adecuadamente tanto los beneficios como los riesgos”.
D) Ámbito de aplicación
El documento sigue preguntándose: “¿A quién se aplica la Ley de Inteligencia Artificial?” y responde que “El marco jurídico se aplicará a los agentes tanto públicos como privados dentro y fuera de la UE siempre que el sistema de IA se introduzca en el mercado de la Unión o su uso repercuta en las personas ubicadas en la UE. Las obligaciones pueden afectar tanto a los proveedores (por ejemplo, al desarrollador de una herramienta de control de CV) como a los implementadores de sistemas de IA (por ejemplo, un banco que compra esta herramienta de cribado). Existen algunas excepciones al Reglamento. Las actividades de investigación, desarrollo y creación de prototipos que tengan lugar antes de la comercialización de un sistema de IA no están sujetas a estas normas. Además, los sistemas de IA diseñados exclusivamente con fines militares, de defensa o de seguridad nacional también están exentos, independientemente del tipo de entidad que lleve a cabo esas actividades”
E) Categorías de riesgo
El Documento se pregunta: “¿Cuáles son las categorías de riesgo?” y responde que la LEIA “introduce un marco uniforme en todos los Estados miembros de la UE, basado en una definición prospectiva de la IA y en un enfoque basado en el riesgo”.
Sobre la base del Documento, podemos diferenciar cuatro niveles de riesgo de otros tantos sistemas de IA:
a) El riesgo inaceptable de los sistemas de IA prohibidos.
b) El riesgo alto de los sistemas de IA de alto riesgo permitidos y controlados específicamente.
c) El riesgo medio de los sistemas de IA de medio riesgo que integran modelos de IA de uso general que generan riesgos sistémicos.
d) El riesgo mínimo de los sistemas de IA de mínimo riesgo permitidos y controlados genéricamente y de los modelos de IA de uso general que no generan riesgos sistémicos.
A continuación, procedemos a su breve comentario.
E.1) Riesgo inaceptable: sistemas de IA prohibidos
El Documento dice al respecto que “un conjunto muy limitado de usos especialmente nocivos de la IA que contravienen los valores de la UE porque violan los derechos fundamentales y, por tanto, serán prohibidos: Explotación de las vulnerabilidades de las personas, manipulación y uso de
técnicas subliminales; puntuación social con fines públicos y privados; una actuación policial predictiva individual basada únicamente en la elaboración de perfiles de las personas; ampliar bases de datos; reconocimiento de emociones en el lugar de trabajo y en las instituciones educativas, salvo por razones médicas o de seguridad (es decir, el seguimiento de los niveles de cansancio de un piloto); categorización biométrica de las personas físicas para deducir o inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas u orientación sexual; el etiquetado o el filtrado de conjuntos de datos y la categorización de los datos en el ámbito de la aplicación de la ley seguirán siendo posibles; identificación biométrica remota en tiempo real en espacios de acceso público por parte de las fuerzas y cuerpos de seguridad, con algunas excepciones. La Comisión publicará orientaciones sobre las prohibiciones antes de su entrada en vigor el 2 de febrero de 2025”.
E.2) Alto riesgo: sistemas de IA de alto riesgo permitidos y controlados específicamente
E.2.1) Noción
El Documento dice al respecto que “se considera de alto riesgo un número limitado de sistemas de IA definidos en la propuesta, que pueden tener un impacto negativo en la seguridad de las personas o sus derechos fundamentales (protegidos por la Carta de los Derechos Fundamentales de la UE). Se adjuntan a la Ley las listas de sistemas de IA de alto riesgo, que pueden revisarse para adaptarlas a la evolución de los casos de uso de la IA. Entre ellos figuran los componentes de seguridad de los productos contemplados en la legislación sectorial de la Unión. Siempre se considerarán de alto riesgo cuando estén sujetos a una evaluación de la conformidad por terceros con arreglo a dicha legislación sectorial”.
El Documento ofrece algunos ejemplos particularmente interesantes de sistemas de IA de alto riesgo cuando se refiere a “los sistemas de IA que evalúan si alguien puede recibir un determinado tratamiento médico, obtener un determinado empleo o préstamo para comprar un apartamento. Otros sistemas de IA de alto riesgo son los utilizados por la policía para elaborar perfiles de personas o evaluar su riesgo de cometer un delito (a menos que esté prohibido en virtud del artículo 5). Y de alto riesgo también podrían ser sistemas de IA que funcionen robots, drones o dispositivos médicos”.
Más adelante, el Documento hace una alusión particular al “riesgo específico de transparencia” diciendo al respecto que “para fomentar la confianza, es importante garantizar la transparencia en torno al uso de la IA. Por lo tanto, la Ley de IA introduce requisitos específicos de transparencia para determinadas aplicaciones de IA, por ejemplo cuando existe un riesgo claro de manipulación (por ejemplo, mediante el uso de chatbots) o ultrafalsificaciones. Los usuarios deben ser conscientes de que están interactuando con una máquina”.
E.2.2) Detección
En el Documento, la Comisión Europea se pregunta: “¿Cómo sé si un sistema de IA es de alto riesgo?” y responde que “la Ley de IA establece una metodología sólida para clasificar los sistemas de IA como de alto riesgo. El objetivo es aportar seguridad jurídica a las empresas y otros agentes económicos. La clasificación del riesgo se basa en la finalidad prevista del sistema de IA, en consonancia con la legislación vigente de la UE en materia de seguridad de los productos. Significa que la clasificación depende de la función desempeñada por el sistema de IA y de la finalidad específica y las modalidades para las que se utiliza”.
El Documento de la Comisión amplía su respuesta diciendo: “Los sistemas de IA pueden clasificarse como de alto riesgo en dos casos: Si el sistema de IA está integrado como componente de seguridad en productos cubiertos por la legislación vigente sobre productos (anexo I) o constituye por sí mismo dicho producto. Podría tratarse, por ejemplo, de software médico basado en la IA. Si el sistema de IA está destinado a utilizarse en un caso de uso de alto riesgo, enumerado en el anexo III de la Ley de IA. La lista incluye casos de uso en ámbitos como la educación, el empleo, la aplicación de la ley o la migración. La Comisión está preparando directrices para la clasificación de alto riesgo, que se publicarán antes de la fecha de aplicación de estas normas”.
El documento de la Comisión continúa preguntándose: “¿Cuáles son los ejemplos de casos de uso de alto riesgo definidos en el anexo III?” y respondiendo que “el anexo III comprende ocho ámbitos en los que el uso de la IA puede ser especialmente sensible y enumera casos de uso concretos para cada ámbito. Un sistema de IA se clasifica como de alto riesgo si está destinado a ser utilizado en uno de estos casos de uso. Ejemplos: Sistemas de IA utilizados como componentes de seguridad en determinadas infraestructuras críticas, por ejemplo en los ámbitos del tráfico por carretera y el suministro de agua, gas, calefacción y electricidad;
sistemas de IA utilizados en la educación y la formación profesional, por ejemplo, para evaluar los resultados del aprendizaje y dirigir el proceso de aprendizaje y el seguimiento del engaño; sistemas de IA utilizados en el empleo y la gestión de los trabajadores y el acceso al trabajo por cuenta propia, por ejemplo, para publicar anuncios de empleo específicos, para analizar y filtrar las solicitudes de empleo y para evaluar a los candidatos; sistemas de IA utilizados en el acceso a servicios y beneficios públicos y privados esenciales (por ejemplo, asistencia sanitaria), evaluación de la solvencia de las personas físicas, y evaluación de riesgos y fijación de precios en relación con los seguros de vida y de enfermedad; sistemas de IA utilizados en los ámbitos de la aplicación de la ley, la migración y el control fronterizo, en la medida en que no estén ya prohibidos, así como en la administración de justicia y los procesos democráticos; sistemas de IA utilizados para la identificación biométrica, la categorización biométrica y el reconocimiento de emociones, en la medida en que no estén prohibidos”.
E.2.3) Requisitos
El Documento de la Comisión se pregunta, respecto de estos sistemas de IA de alto riesgo: “¿Cuál sería el papel de la normalización en la Ley de IA?. Y responde que “en virtud de la Ley de IA, los sistemas de IA de alto riesgo estarán sujetos a requisitos específicos. Las normas armonizadas europeas desempeñarán un papel clave en la aplicación de estos requisitos. En mayo de 2023, la Comisión Europea encargó a las organizaciones europeas de normalización CEN y CENELEC que elaboraran normas para estos requisitos de alto riesgo. Este mandato se modificará ahora para adaptarlo al texto final de la Ley de IA. Las organizaciones europeas de normalización tendrán hasta finales de abril de 2025 para elaborar y publicar normas. A continuación, la Comisión evaluará y posiblemente aprobará estas normas, que se publicarán en el Diario Oficial de la UE. Una vez publicadas, estas normas otorgarán una «presunción de conformidad» a los sistemas de IA desarrollados con arreglo a ellas”.
E.2.5) Consecuencias: obligaciones de los proveedores de sistemas de IA de alto riesgo
El Documento de la Comisión Europea se pregunta: “¿Cuáles son las obligaciones de los proveedores de sistemas de IA de alto riesgo?” y responde: “Antes de comercializar un sistema de IA de alto riesgo en el mercado de la Unión o de ponerlo en servicio de otra forma, los proveedores deberán someterlo a una evaluación de la conformidad. Esto les permitirá demostrar que su sistema cumple los requisitos obligatorios de una IA fiable (por ejemplo, calidad de los datos, documentación y trazabilidad, transparencia, supervisión humana, exactitud, ciberseguridad y solidez). Esta evaluación debe repetirse si el sistema o su finalidad se modifican sustancialmente. Los sistemas de IA que sirven como componentes de seguridad de productos cubiertos por la legislación sectorial de la Unión siempre se considerarán de alto riesgo cuando estén sujetos a una evaluación de la conformidad por terceros con arreglo a dicha legislación sectorial”.
El Documento de la Comisión Europea sigue respondiendo con una referencia general a que “los proveedores de sistemas de IA de alto riesgo también tendrán que aplicar sistemas de calidad y gestión de riesgos para garantizar su conformidad con los nuevos requisitos y minimizar los riesgos para los usuarios y las personas afectadas, incluso después de que un producto se haya comercializado”.
Más adelante, el Documento de la Comisión Europea ofrece algunas referencias especiales a que “todos los sistemas biométricos, independientemente de su aplicación, requerirán una evaluación de la conformidad por terceros (…) Los sistemas de IA de alto riesgo desplegados por autoridades públicas o entidades que actúen en su nombre tendrán que registrarse en una base de datos pública de la UE, a menos que dichos sistemas se utilicen para la aplicación de la ley y la migración. Este último deberá registrarse en una parte no pública de la base de datos a la que solo podrán acceder las autoridades de control pertinentes. Para garantizar el cumplimiento a lo largo de todo el ciclo de vida del sistema de IA, las autoridades de vigilancia del mercado llevarán a cabo auditorías periódicas y facilitarán el seguimiento posterior a la comercialización y permitirán a los proveedores denunciar voluntariamente cualquier incidente grave o incumplimiento de las obligaciones en materia de derechos fundamentales que lleguen a su conocimiento. En casos excepcionales, las autoridades podrán conceder exenciones para la introducción en el mercado de sistemas de IA de alto riesgo específicos”.
El Documento de la Comisión Europea acaba su respuesta en este punto diciendo que, “en caso de infracción, los requisitos permitirán a las autoridades nacionales acceder a la información necesaria para investigar si el uso de la IA cumplió la legislación”.