Esta es la tercera y última de la serie de tres entradas que hemos dedicado al Documento de preguntas y respuestas sobre la Ley Europea de Inteligencia Artificial (LEIA) que publicó la Comisión Europea el pasado 1 de agosto de 2024 (ref.: QANDA/21/1683. Inteligencia artificial Preguntas y respuestas Actualizado el 01/08/2024. Brussels, 1 de agosto de 2024).
(…)
J) La gobernanza
J.1) Autoridades europeas y nacionales
El Documento de la Comisión se ocupa de este primer aspecto de la gobernanza de la LEIA cuando identifica el sistema de gobernanza de dos niveles que establece la LEIA al responder a la pregunta retórica de “¿Cómo se aplicará la Ley de Inteligencia Artificial?” diciendo: “La Ley de IA establece un sistema de gobernanza de dos niveles, en el que las autoridades nacionales son responsables de supervisar y hacer cumplir las normas relativas a los sistemas de IA, mientras que el nivel de la UE es responsable de regular los modelos de IA de uso general”.
Más adelante, el Documento de la Comisión precisa que “para garantizar la coherencia y la cooperación a escala de la UE, se creará el Comité Europeo de Inteligencia Artificial (Comité de IA), compuesto por representantes de los Estados miembros, con subgrupos especializados para los reguladores nacionales y otras autoridades competentes. La Oficina de IA, el organismo de ejecución de la Ley de IA de la Comisión, proporcionará orientación estratégica al Comité de IA. Además, la Ley de Inteligencia Artificial establece dos órganos consultivos para aportar opiniones de expertos: la Comisión Técnica Científica y el Foro Consultivo. Estos organismos ofrecerán información valiosa de las partes interesadas y de las comunidades científicas interdisciplinarias, que servirán de base para la toma de decisiones y garantizarán un enfoque equilibrado del desarrollo de la IA”.
En particular, el Documento de la Comisión se pregunta: “¿Por qué es necesario un Comité Europeo de Inteligencia Artificial y qué hará?” respondiendo que “el Comité Europeo de Inteligencia Artificial está compuesto por representantes de alto nivel de los Estados miembros y del Supervisor Europeo de Protección de Datos. Como asesor clave, el Comité de IA proporciona orientaciones sobre todas las cuestiones relacionadas con la política de IA, en particular la regulación de la IA, la política de innovación y excelencia y la cooperación internacional en materia de IA. El Comité de IA desempeña un papel crucial a la hora de garantizar una aplicación fluida, eficaz y armonizada de la Ley de IA. El Comité servirá de foro en el que los reguladores de la IA, a saber, la Oficina de IA, las autoridades nacionales y el EPDS, puedan coordinar la aplicación coherente de la Ley de IA”.
J.2) El Código de buenas prácticas
El Documento de la Comisión se ocupa de este segundo aspecto de la gobernanza de la LEIA al preguntarse: “¿Cómo se redactará el Código de buenas prácticas para la IA de uso general?” y responder: “La elaboración del primer Código sigue un proceso inclusivo y transparente. Se establecerá un pleno del Código de Buenas Prácticas para facilitar el proceso de redacción iterativa, compuesto por todos los proveedores de modelos de IA de uso general interesados y elegibles, los proveedores posteriores que integren un modelo de IA de uso general en su sistema de IA, otras organizaciones del sector, otras organizaciones de partes interesadas, como la sociedad civil o las organizaciones de titulares de derechos, así como el mundo académico y otros expertos independientes”.
El Documento de la Comisión precisa el proceso de elaboración del Código cuando señala: “La Oficina de IA ha puesto en marcha una convocatoria de manifestaciones de interés para participar en la elaboración del primer Código de buenas prácticas. Paralelamente a la presente convocatoria de manifestaciones de interés, se pone en marcha una consulta multilateral para recabar opiniones y aportaciones de todas las partes interesadas sobre el primer Código de buenas prácticas. Las respuestas y presentaciones constituirán la base de la primera redacción del Código de buenas prácticas, Desde el principio, el Código se basa, por tanto, en una amplia gama de perspectivas y conocimientos especializados. El pleno se estructurará en cuatro grupos de trabajo para permitir debates centrados en temas específicos pertinentes para detallar las obligaciones de los proveedores de modelos de IA de uso general y modelos de IA de uso general con riesgo sistémico. Los participantes en el pleno son libres de elegir uno o más grupos de trabajo en los que deseen participar. Las reuniones se celebran exclusivamente en línea. La Oficina de IA nombrará presidentes y, en su caso, vicepresidentes para cada uno de los cuatro grupos de trabajo del pleno, seleccionados entre expertos independientes interesados. Los presidentes sintetizarán las contribuciones y los comentarios de los participantes en el Pleno para redactar iterativamente el primer Código de buenas prácticas. Como principales destinatarios del Código, se invitará a los proveedores de modelos de IA de uso general a talleres específicos para contribuir a informar a cada ronda de redacción iterativa, además de su participación en el Pleno. Transcurridos 9 meses, la versión final del primer Código de buenas prácticas se presentará en un pleno de clausura, cuya celebración está prevista para abril, y se publicará. El pleno de clausura ofrece a los proveedores de modelos de IA de uso general la oportunidad de expresarse si tienen previsto utilizar el Código”.
El Documento de la Comisión acaba sus referencias al Código de buenas prácticas contestando a una pregunta retórica sobre su utilidad y las dos alternativas de vigencia (aplicación del Código aprobado o elaboración de normas comunes por la Comisión) cuando señala: ”Si se aprueba, ¿cómo sirve el Código de buenas prácticas para los proveedores de modelos de IA de uso general como herramienta central para el cumplimiento?” y respondiendo: “Al final del proceso de elaboración del Código de Buenas Prácticas, la Oficina de IA y el Comité de IA evaluarán la adecuación del Código y publicarán su evaluación. Tras dicha evaluación, la Comisión podrá decidir aprobar un Código de buenas prácticas y conferirle validez general dentro de la Unión mediante actos de ejecución. Si, en el momento en que el Reglamento es aplicable, la Oficina de IA no considera adecuado el Código de Buenas Prácticas, la Comisión podrá establecer normas comunes para el cumplimiento de las obligaciones pertinentes.
El Documento de la Comisión insiste en exponer las alternativas de vigencia del Código de buenas prácticas (aplicación por los proveedores de modelos de IA de uso general del Código finalmente aprobado o de las normas comunes redactadas por la Comisión) cuando concluye: “Por lo tanto, los proveedores de modelos de IA de uso general pueden basarse en el Código de buenas prácticas para demostrar el cumplimiento de las obligaciones establecidas en la Ley de IA. Con arreglo a la Ley de IA, el Código de buenas prácticas debe incluir objetivos, medidas y, en su caso, indicadores clave de rendimiento (ICR). Los proveedores que se adhieran al Código deben informar periódicamente a la Oficina de IA sobre la aplicación de las medidas adoptadas y sus resultados, también medidos con respecto a los indicadores clave de rendimiento, según proceda. Esto facilita la ejecución por parte de la Oficina de IA, que se basa en las competencias conferidas a la Comisión por la Ley de IA. Esto incluye la capacidad de llevar a cabo evaluaciones de modelos de IA de uso general, solicitar información y medidas a los proveedores de modelos y aplicar sanciones. La Oficina de IA fomentará y facilitará, según proceda, la revisión y la adaptación del Código para reflejar los avances en la tecnología y el estado de la técnica. Una vez que se publique una norma armonizada y se considere adecuada para cubrir las obligaciones pertinentes de la Oficina de IA, el cumplimiento de una norma armonizada europea debe conceder a los proveedores la presunción de conformidad. Además, los proveedores de modelos de IA de uso general deben poder demostrar el cumplimiento utilizando medios alternativos adecuados, si no se dispone de códigos de buenas prácticas o normas armonizadas, o deciden no basarse en ellos”.
J.3) Régimen sancionador
El Documento de la Comisión se ocupa de este tercer y último aspecto de la gobernanza de la LEIA -que opera a modo de precipitado lógico-jurídico del elenco de obligaciones que la LEIA impone a los operadores- cuando se pregunta “¿Cuáles son las sanciones por las infracciones?” y responde: “Los Estados miembros tendrán que establecer sanciones efectivas, proporcionadas y disuasorias para las infracciones de las normas aplicables a los sistemas de IA. El Reglamento fija umbrales que deberán tenerse en cuenta: Hasta 35 millones EUR o el 7 % del volumen de negocios total anual mundial del ejercicio financiero anterior (si esta cifra es superior) en el caso de infracciones de prácticas prohibidas o incumplimientos relacionados con los requisitos en materia de datos; hasta 15 millones EUR o el 3 % del volumen de negocios total anual mundial del ejercicio financiero anterior en caso de incumplimiento de cualquiera de los demás requisitos u obligaciones del Reglamento; hasta 7.5 millones EUR o el 1,5 % del volumen de negocios total anual mundial del ejercicio financiero anterior por el suministro de información incorrecta, incompleta o engañosa a los organismos notificados y a las autoridades nacionales competentes en respuesta a una solicitud. Para cada categoría de infracción, el umbral sería el más bajo de los dos importes para las pymes y el más elevado para las demás empresas.
El Documento de la Comisión completa esta referencia al régimen sancionador diciendo: “La Comisión también puede hacer cumplir las normas sobre los proveedores de modelos de IA de uso general mediante multas, teniendo en cuenta el siguiente umbral: Hasta 15 millones EUR o el 3 % del volumen de negocios total anual mundial del ejercicio financiero anterior en caso de incumplimiento de cualquiera de las obligaciones o medidas solicitadas por la Comisión en virtud del Reglamento”.
El Documento de la Comisión acaba esta referencia al régimen sancionador diciendo: “Se espera que las instituciones, agencias u organismos de la UE den ejemplo, por lo que también estarán sujetos a las normas y a posibles sanciones. El Supervisor Europeo de Protección de Datos estará facultado para imponerles multas en caso de incumplimiento”.
K) Vigencia de la LEIA
El Documento de la Comisión aborda este aspecto cuando se pregunta: “¿Cuándo será plenamente aplicable la Ley de Inteligencia Artificial?” y responde: “La Ley de IA se aplicará dos años después de su entrada en vigor el 2 de agosto de 2026, con excepción de las siguientes disposiciones específicas: Las prohibiciones, definiciones y disposiciones relacionadas con la alfabetización en materia de IA se aplicarán 6 meses después de su entrada en vigor el 2 de febrero de 2025; las normas sobre gobernanza y las obligaciones relativas a la IA de uso general serán aplicables 12 meses después de su entrada en vigor el 2 de agosto de 2025. Las obligaciones de los sistemas de IA de alto riesgo que se clasifican como de alto riesgo porque están integrados en productos regulados, enumerados en el anexo II (lista de legislación de armonización de la Unión), se aplican 36 meses después de su entrada en vigor el 2 de agosto de 2027”.
L) Evolución futura, actualización y versatilidad de la LEIA
L.1) Actualización y versatilidad
En este sentido, el Documento de la Comisión se pregunta: “¿Está preparada la Ley de IA para el futuro?” y responde: “La Ley de IA establece un marco jurídico que responde a los nuevos avances, fácil y rápido de adaptarse y permite una evaluación frecuente. La Ley de IA establece requisitos y obligaciones orientados a los resultados, pero deja las soluciones técnicas concretas y la puesta en práctica a normas y códigos de prácticas impulsados por la industria que sean flexibles para adaptarse a los diferentes casos de uso y permitir nuevas soluciones tecnológicas. Además, la propia legislación puede modificarse mediante actos delegados y de ejecución, por ejemplo para revisar la lista de casos de uso de alto riesgo del anexo III. Por último, se llevarán a cabo evaluaciones frecuentes de determinadas partes de la Ley de IA y, en última instancia, de todo el Reglamento, garantizando que se detecte cualquier necesidad de revisión y modificación”.
El Documento de la Comisión se pregunta a este respecto: “¿Cómo podrán apoyar la innovación las nuevas normas?” y responde: “La normativa podrá mejorar la aceptación de la IA de dos maneras. Por una parte, la mayor confianza de los usuarios aumentará la demanda de IA utilizada por las empresas y las autoridades públicas. Por otra parte, al aumentar la seguridad jurídica y armonizar las normas, los proveedores de IA accederán a mercados más grandes, con productos que los usuarios y consumidores apreciarán y adquirirán. Las normas solo se aplicarán cuando sea estrictamente necesario y de manera que se reduzca al mínimo la carga para los agentes económicos, con una estructura de gobernanza ligera”.
El Documento de la Comisión completa la referencia a este aspecto del apoyo a la innovación por la LEIA diciendo que “también permite la creación de espacios controlados de pruebas y pruebas en el mundo real, que proporcionan un entorno controlado para probar tecnologías innovadoras durante un tiempo limitado, fomentando así la innovación por parte de las empresas, las pymes y las empresas emergentes de conformidad con la Ley de IA. Estas, junto con otras medidas, como las redes adicionales de centros de excelencia en IA y la asociación público-privada sobre inteligencia artificial, datos y robótica, y el acceso a centros de innovación digital y a instalaciones de ensayo y experimentación contribuirán a crear las condiciones marco adecuadas para que las empresas desarrollen y desplieguen la IA”
Más adelante, el Documento de la Comisión precisa que “las pruebas en condiciones reales de sistemas de IA de alto riesgo pueden llevarse a cabo durante un máximo de 6 meses (que pueden prolongarse otros 6 meses). Antes del ensayo, debe elaborarse y presentarse un plan a la autoridad de vigilancia del mercado, que debe aprobar el plan y las condiciones específicas de ensayo, con aprobación tácita por defecto si no se ha dado respuesta en un plazo de 30 días. Los ensayos podrán ser objeto de inspecciones sin previo aviso por parte de la autoridad. Las pruebas en el mundo real solo pueden llevarse a cabo con salvaguardias específicas, por ejemplo, los usuarios de los sistemas sometidos a pruebas en el mundo real deben dar su consentimiento informado, las pruebas no deben tener ningún efecto negativo en ellos, los resultados deben ser reversibles y sus datos deben suprimirse una vez concluidos los ensayos. Debe concederse una protección especial a los grupos vulnerables, es decir, debido a su edad, discapacidad física o mental”.
L.3) El Pacto sobre la IA: la creación de una comunidad colaborativa entre los pilares regulatorios I y II para incentivar la aplicación efectiva de la LEIA
Podemos acabar las referencias del Documento de la Comisión a la evolución futura, la actualización y la versatilidad de la LEIA con la pregunta retórica que dice: “¿Qué papel desempeña el Pacto sobre la IA en la aplicación de la Ley de IA?” y responde: “Iniciado por el comisario Breton en mayo de 2023, el Pacto sobre la IA tiene por objeto reforzar el compromiso entre la Oficina y las organizaciones de IA (primer pilar) y fomentar el compromiso voluntario de la industria de empezar a aplicar los requisitos de la Ley de IA antes del plazo legal (pilar II)”.
A continuación, el Documento de la Comisión se refiere a cada uno de los dos pilares regulatorios diciendo: “En particular, en el marco del primer pilar, los participantes contribuirán a la creación de una comunidad colaborativa, compartiendo sus experiencias y conocimientos. Esto incluye talleres organizados por la Oficina de IA que proporcionan a los participantes una mejor comprensión de la Ley de IA, sus responsabilidades y la manera de prepararse para su aplicación. A su vez, la Oficina de IA puede recabar información sobre las mejores prácticas y los retos a los que se enfrentan los participantes”.
Por último, el Documento de la Comisión finaliza su referencia al Pacto sobre la IA diciendo: “En el marco del segundo pilar, se anima a las organizaciones a divulgar de forma proactiva los procesos y prácticas que están aplicando para anticipar el cumplimiento, a través de compromisos voluntarios. Los compromisos se conciben como «declaraciones de compromiso» y contendrán acciones (previstas o en curso) para cumplir algunos de los requisitos de la Ley de IA. La mayoría de las normas de la Ley de IA (por ejemplo, algunos requisitos sobre los sistemas de IA de alto riesgo) se aplicarán al final de un período transitorio (es decir, el período comprendido entre la entrada en vigor y la fecha de aplicabilidad). En este contexto, y en el marco del Pacto sobre la IA, la Oficina de IA pide a todas las organizaciones que anticipen y apliquen de forma proactiva algunas de las disposiciones clave de la Ley de IA, con el fin de mitigar los riesgos para la salud, la seguridad y los derechos fundamentales lo antes posible. Más de 700 organizaciones ya han manifestado su interés por adherirse a la iniciativa del Pacto de IA, a raíz de una convocatoria publicada en noviembre de 2023. El 6 de mayo se celebró una primera sesión informativa en línea, con 300 participantes. La firma oficial de los compromisos voluntarios está prevista para otoño de 2024. En la primera semana de septiembre se celebrará un taller sobre el Pacto sobre la IA”.