El día 4 del presente mes de febrero, la Comisión Europea publicó su Comunicación sobre la Aprobación del contenido del proyecto de Comunicación de la Comisión – Directrices de la Comisión sobre prácticas prohibidas de inteligencia artificial establecidas por el Reglamento (UE) 2024/1689 (Ley de IA) (“Communication to the Commission. Approval of the content of the draft Communication from the Commission – Commission Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act)” Ref. Brussels, 4.2.2025 C (2025) 884 final). Esta Comunicación lleva un Anexo extenso (136 folios) que describe pormenorizadamente los antecedentes y objetivos de las Directrices y las prácticas prohibidas.
Damos cuenta en este entrada de su contenido, porque nos parece que resulta particularmente oportuna si advertimos que las prohibiciones del art.5 de la LEIA se aplicarán, en principio, a todos los sistemas de IA, independientemente de que hayan sido comercializados o puestos en servicio antes o después del 2 de febrero de 2025.
Dada la entrada en vigor simultánea el 2 de febrero de 2025 de los preceptos de la LEIA que regulan la noción del sistema de IA y las prácticas prohibidas, esta entrada complementa la publicada el pasado miércoles día 19 sobre “Los siete factores capitales de la noción de sistema de IA en la Ley Europea de Inteligencia Artificial: Directrices de 6 de febrero de 2025 de la Comisión Europea sobre la definición de sistema de inteligencia artificial”.
A) Contexto regulatorio de las Directrices: las cuatro categorías de riesgo de los sistemas de IA
El Anexo a la Comunicación de la Comisión de 4 de febrero destaca que la LEIA sigue un “enfoque basado en el riesgo, clasificando los sistemas de IA en cuatro categorías de riesgo diferentes: (i) Riesgo inaceptable: Los sistemas de IA que plantean riesgos inaceptables para los derechos fundamentales y los valores de la Unión están prohibidos en virtud del artículo 5 de la Ley de IA. (ii) Riesgo elevado: Los sistemas de IA que plantean riesgos elevados para la salud, la seguridad y los derechos fundamentales están sujetos a una serie de requisitos y obligaciones. Estos sistemas se clasifican como de «alto riesgo» de conformidad con el artículo 6 de la Ley de IA en relación con los anexos I y III de la Ley de IA. (iii) Riesgo de transparencia: Los sistemas de IA que plantean un riesgo de transparencia limitado están sujetos a las obligaciones de transparencia previstas en el artículo 50 de la Ley de IA. (iv) Riesgo mínimo o nulo: Los sistemas de IA que plantean un riesgo mínimo o nulo no están regulados, pero los proveedores e implantadores pueden adherirse voluntariamente a códigos de conducta voluntarios” (apartado 2).
Por nuestra parte, nos parece más certera en pura y adecuada al texto de la LEIA una clasificación ligeramente alternativa que proponemos desde nuestra modestia y distingue también una clasificación de los sistemas de IA en función del riesgo que representan que nos permite diferenciar también cuatro niveles de riesgo en orden decreciente que son: (i) El riesgo inaceptable de los sistemas de IA prohibidos, (ii) el riesgo alto de los sistemas de IA de alto riesgo permitidos y controlados específicamente, (iii) el riesgo medio de los sistemas de IA de medio riesgo que integran modelos de IA de uso general que generan riesgos sistémicos y (iv) el riesgo mínimo de los sistemas de IA de mínimo riesgo permitidos y controlados genéricamente y de los modelos de IA de uso general que no generan riesgos sistémicos.
B) Base normativa
Con la publicación del proyecto de directrices que obra como Anexo a su Comunicación de 4 de febrero; la Comisión Europea cumple el deber que le impone el artículo 96.1.b de la LEIA de adoptar directrices sobre la aplicación práctica de las prácticas prohibidas por el artículo 5. Por lo tanto, la Comunicación dice que proyecto de directrices adjunto ·tiene por objeto aumentar la claridad jurídica y ofrecer una visión de la interpretación que hace la Comisión de las prohibiciones del artículo 5 de la Ley AI, con vistas a garantizar su aplicación coherente, eficaz y uniforme” (pfo.1º Comunicación).
C) Finalidad
La Comisión señala que las Directrices “deben servir de orientación práctica para ayudar a las autoridades competentes en virtud de la Ley de IA en sus actividades de aplicación, así como a los proveedores y a los implantadores de sistemas de IA a garantizar el cumplimiento de sus obligaciones en virtud de la Ley de IA”. Por ello, “se esfuerzan por interpretar las prohibiciones de una manera proporcionada que logre los objetivos de la Ley de IA de proteger los derechos fundamentales y la seguridad, al tiempo que promueven la innovación y proporcionan seguridad jurídica” (apartado 4 del Anexo). En concreto, las Directrices “constituyen una primera interpretación con ejemplos prácticos de las prohibiciones del artículo 5 de la Ley de IA. La Comisión proporcionará apoyo adicional a los operadores y a las autoridades sobre cómo entender las prohibiciones y recopilará nuevos casos prácticos de uso de forma continua con la aportación de los proveedores y los implantadores de sistemas de IA, el Consejo de IA y otras partes interesadas pertinentes” (apartado 433 del Anexo).
D) Eficacia
Desde el punto de vista jurídico, es decisivo recordar que la Comisión recuerda que “las Directrices no son vinculantes. En última instancia, sólo el Tribunal de Justicia de la Unión Europea («TJUE») podrá dar una interpretación autorizada de la Ley de IA” (apartado 5 del Anexo).
E) Ámbito de aplicación
Las Directrices tienen un ámbito de aplicación doble:
1. Objetivo
Su ámbito de aplicación material se delimita por las prácticas relacionadas con la «comercialización», la «puesta en servicio» o el «uso» de un sistema de IA. En concreto, la Comisión dice: “Las prácticas prohibidas por el artículo 5 de la Ley de la IA se refieren a la comercialización, la puesta en servicio o el uso de sistemas específicos de IA. Por lo que se refiere a los sistemas de identificación biométrica remota en tiempo real («RBI»), la prohibición del artículo 5, apartado 1, letra h), de la Ley de la IA sólo se aplica a su uso. El artículo 3, apartado 1, de la Ley sobre IA define lo que constituye un sistema de IA. Las Directrices sobre la definición de un sistema de IA proporcionan la interpretación de la Comisión de dicha definición” (apartado11 del Anexo).
b) Subjetivo
Su ámbito de aplicación personal radica en los “agentes responsables” de tal manera que “la Ley de IA distingue entre diferentes categorías de operadores en relación con los sistemas de IA: proveedores, implantadores, importadores, distribuidores y fabricantes de productos. Las presentes Directrices se centrarán únicamente en los proveedores e implantadores, dado el alcance de las prácticas prohibidas en el artículo 5 de la Ley de IA” (apartado15 del Anexo).
F) Vigencia
En la entrada de este blog del pasado miércoles, día 19, dábamos cuenta de cómo la Comunicación de la Comisión de 6 de febrero constataba que la definición de sistema de IA entró en vigor el 2 de febrero de 2025, junto con otras disposiciones establecidas en los capítulos I y II de la Ley de IA, en particular el artículo 5 de la Ley de IA sobre prácticas de IA prohibidas (art.113 LEIA). Por ello, las Directrices sobre la definición de sistema de inteligencia artificial se adoptaron de forma paralela a las Directrices de la Comisión sobre prácticas prohibidas porque ambas resultan decisivas. En este sentido, la Comisión realiza algunas precisiones que nos parecen particularmente interesantes:
a) Las prohibiciones del art.5 LEIA se aplicarán, en principio, a todos los sistemas de IA, independientemente de que hayan sido comercializados o puestos en servicio antes o después del 2 de febrero de 2025 (apartado 430 del Anexo).
b) Los capítulos sobre gobernanza, ejecución y sanciones serán aplicables a partir del 2 de agosto de 2025. Por consiguiente, las disposiciones sobre sanciones por incumplimiento de las prohibiciones del artículo 5 de la Ley IA no se aplicarán antes del 2 de agosto de 2025. En este periodo intermedio, tampoco habrá autoridades de vigilancia del mercado que controlen si las prohibiciones se cumplen correctamente (apartado 431 del Anexo).
c) No obstante lo anterior, la Comisión recuerda que “incluso en este periodo transitorio, las prohibiciones son plenamente aplicables y obligatorias para los proveedores e implantadores de sistemas de IA. Por lo tanto, estos operadores deben adoptar las medidas necesarias para garantizar que no comercializan, ponen en servicio o utilizan sistemas de IA que puedan constituir prácticas prohibidas en virtud del artículo 5 de la Ley de IA. Aunque las disposiciones sobre control y multas no se apliquen hasta una fecha posterior, las propias prohibiciones tienen efecto directo y, por tanto, permiten a las partes afectadas hacerlas cumplir ante los tribunales nacionales y solicitar medidas cautelares contra las prácticas prohibidas” (apartado 432 del Anexo).
G) El triple mecanismo de regulación de las prácticas prohibidas en la LEIA: regla general de prohibición, excepción de prácticas permitidas y autorización
En todo caso, las Directrices de la Comisión Europea a las que nos referimos en esta entrada desarrollan las nociones de las prácticas de IA prohibidas se describen en el artículo 5 de la LEIA -único constitutivo de su Capítulo II- que opera mediante un triple mecanismo de regla general de prohibición, excepción de prácticas permitidas y autorización pública -judicial o administrativa- de prácticas inicialmente prohibidas.
H) Las prácticas de IA prohibidas
1. Sistemas de IA subliminales, manipuladores o engañosos
a) Prohibición
Se prohíben los sistemas de IA que se sirvan de técnicas subliminales que trasciendan la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas con el objetivo o el efecto de alterar de manera sustancial el comportamiento de una persona o un colectivo de personas, mermando de manera apreciable su capacidad para tomar una decisión informada y haciendo que tomen una decisión que de otro modo no habrían tomado, de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona, a otra persona o a un colectivo de personas (art.5.1.a).
2. Sistemas de IA conductualmente perjudiciales
a) Prohibición
Se prohíben los sistemas de IA que exploten alguna de las vulnerabilidades de una persona física o un determinado colectivo de personas derivadas de su edad o discapacidad, o de una situación social o económica específica, con la finalidad o el efecto de alterar de manera sustancial el comportamiento de dicha persona o de una persona que pertenezca a dicho colectivo de un modo que provoque, o sea razonablemente probable que provoque, perjuicios considerables a esa persona o a otra (art.5.1.b).
b) Directrices
La Comisión dice: “Las dos primeras prohibiciones del artículo 5, apartado 1, letras a) y b), de la Ley de la IA tienen por objeto proteger a las personas y a las personas vulnerables de los efectos significativamente nocivos de la manipulación y explotación permitidas por la IA. Estas prohibiciones se refieren a los sistemas de IA que despliegan técnicas subliminales, manipuladoras o engañosas a propósito que son significativamente perjudiciales e influyen materialmente en el comportamiento de personas físicas o grupos de personas (artículo 5, apartado 1, letra a), de la Ley de IA) o explotan vulnerabilidades debidas a la edad, la discapacidad o una situación socioeconómica específica (artículo 5, apartado 1, letra b), de la Ley de IA) (epígrafe 3 del Anexo sobre el “artículo 5, apartado 1, letras a) y b), de la Ley sobre la inteligencia artificial – manipulación, engaño y explotación perjudiciales, apartado 58 y ss., pp.18 y ss.).
3. Sistemas de IA de clasificación humana
a) Prohibición
Se prohíben los sistemas de IA diseñados para evaluar o clasificar a personas físicas o a colectivos de personas durante un período determinado de tiempo atendiendo a su comportamiento social o a características personales o de su personalidad conocidas, inferidas o predichas, de forma que la puntuación ciudadana resultante provoque una o varias de las situaciones siguientes: un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas en contextos sociales que no guarden relación con los contextos donde se generaron o recabaron los datos originalmente (…) (art.5.1.c).
b) Directrices
La Comisión dice: “Aunque la puntuación basada en la IA puede ser beneficiosa para orientar el buen comportamiento, mejorar la seguridad, la eficiencia o la calidad de los servicios, hay determinadas prácticas de «puntuación social» que tratan o perjudican a las personas injustamente y equivalen a control y vigilancia social. La prohibición establecida en el artículo 5, apartado 1, letra c), de la Ley de la IA se refiere a esas prácticas inaceptables de «puntuación social» basadas en la IA que evalúan o clasifican a personas o grupos en función de su comportamiento social o sus características personales y dan lugar a un trato perjudicial o desfavorable, en particular cuando los datos proceden de múltiples contextos sociales no relacionados o el trato es desproporcionado en relación con la gravedad del comportamiento social. La prohibición del «escrutinio social» tiene un amplio ámbito de aplicación tanto en contextos públicos como privados y no se limita a un sector o ámbito específico (epígrafe 4 del Anexo sobre el ¨artículo 5, apartado 1, letra c), de la ley de inteligencia artificial – puntuación social” Apartado 146 y ss., pp.50 y ss.).
4. Sistemas de IA de reconocimiento facial
a) Prohibición
Se prohíbe “la introducción en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de IA que creen o amplíen bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión” (art.5.1.e).
b) Directrices
La Comisión señala: “El artículo 5, apartado 1, letra e), de la Ley de IA prohíbe la comercialización, la puesta en servicio para este fin específico o el uso de sistemas de IA que creen o amplíen bases de datos de reconocimiento facial mediante la recogida no dirigida de imágenes faciales de Internet o de grabaciones de CCTV (epígrafe 6 del Anexo sobre el “artículo 5, apartado 1, letra e), Ley deIA – recogida no orientada de imágenes faciales”, apartado 222 y ss., pp.77 y ss.).
I) Las prácticas inicialmente prohibidas pero admitidas en determinadas condiciones
En algunos supuestos, conviven las descripciones de las prohibiciones con sus inmediatas excepciones como ocurre con la introducción en el mercado, la puesta en servicio para este fin específico o el uso de determinados sistemas de IA.
1. Sistemas de IA de predicción delictiva
a) Prohibición
Se prohíben, inicialmente, los sistemas de IA diseñados para realizar evaluaciones de riesgos de personas físicas con el fin de valorar o predecir el riesgo de que una persona física cometa un delito basándose únicamente en la elaboración del perfil de una persona física o en la evaluación de los rasgos y características de su personalidad (art.5.1.d).
b) Admisión
Esta prohibición no se aplicará a los sistemas de IA utilizados para apoyar la valoración humana de la implicación de una persona en una actividad delictiva que ya se base en hechos objetivos y verificables directamente relacionados con una actividad delictiva (art.5.1.d).
b) Directrices
La Comisión dice: “El artículo 5, apartado 1, letra d), de la Ley de IA prohíbe que los sistemas de IA evalúen o predigan el riesgo de que una persona física cometa un delito basándose únicamente en la elaboración de perfiles o en la evaluación de rasgos y características de la personalidad” (epígrafe 5 del Anexo sobre el “artículo 5, apartado 1, letra d), de la ley de inteligencia artificial – evaluación del riesgo individual y predicción de infracciones penales”, apartado 184 y ss., pp´64 y ss.).
2. Sistemas de IA de inferencia emocional
a) Prohibición
Se prohíben, inicialmente, los sistemas de IA diseñados para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos (art.5.1.f);
b) Admisión
Se exceptúan de la prohibición anterior los sistemas de IA destinados a ser instalados o introducidos en el mercado por motivos médicos o de seguridad (art.5.1.f)
c) Directrices
La Comisión señala: “El artículo 5, apartado 1, letra f), de la Ley de IA prohíbe que los sistemas de IA infieran las emociones de una persona física en los ámbitos del lugar de trabajo y de los centros de enseñanza, salvo cuando el uso del sistema esté destinado a fines médicos o de seguridad. Los sistemas de reconocimiento de emociones que no entran en el ámbito de la prohibición se consideran de alto riesgo con arreglo al punto 1) c) del anexo III de la Ley de IA. El artículo 50, apartado 3, de la Ley de IA establece determinados requisitos de transparencia para el uso de los sistemas de reconocimiento de emociones (epígrafe 7 del Anexo sobre el “artículo 5, apartado 1, letra f), ley de inteligencia artificial reconocimiento de emociones”, apartado 239 y ss., pp.80 y ss.).
3. Sistemas de IA de categorización biométrica
a) Prohibición
Se prohíben, inicialmente, los sistemas de IA de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual (art.5.1.g).
b) Admisión
Esta prohibición no incluye el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente, como imágenes, basado en datos biométricos ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho (art.5.1.g).
c) Directrices
La Comisión precisa: “El artículo 5, apartado 1, letra g), de la Ley AI prohíbe los sistemas de categorización biométrica que clasifiquen individualmente a personas físicas basándose en sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual. Esta prohibición no cubre el etiquetado, filtrado o categorización de conjuntos de datos biométricos adquiridos de conformidad con el Derecho de la Unión o nacional, que pueden utilizarse, por ejemplo, con fines policiales” (epígrafe 8 del Anexo sobre el “artículo 5(1)(g) Ley IA: categorización biométrica para determinadas características sensibles”, apartado 271 y ss., pp. 90 y ss.).
4. Sistemas de IA de identificación biométrica remota
a) Prohibición
Se prohíben, inicialmente, los sistemas de IA de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho (art.5.1.h).
b) Admisión
Esta prohibición no se aplicará en la medida en que dicho uso sea estrictamente necesario para alcanzar uno o varios de los objetivos siguientes: la búsqueda selectiva de víctimas concretas de secuestro, trata de seres humanos o explotación sexual de seres humanos, así como la búsqueda de personas desaparecidas; la prevención de una amenaza específica, importante e inminente para la vida o la seguridad física de las personas físicas o de una amenaza real y actual o real y previsible de un atentado terrorista; o la localización o identificación de una persona sospechosa de haber cometido un delito a fin de llevar a cabo una investigación o un enjuiciamiento penales o de ejecutar una sanción penal por alguno de los delitos mencionados en el Anexo II -que son terrorismo, trata de seres humanos, explotación sexual de menores y pornografía infantil, tráfico ilícito de estupefacientes o sustancias psicotrópicas, tráfico ilícito de armas, municiones y explosivos, homicidio voluntario, agresión con lesiones graves, tráfico ilícito de órganos o tejidos humanos, tráfico ilícito de materiales nucleares o radiactivos, secuestro, detención ilegal o toma de rehenes, delitos que son competencia de la Corte Penal Internacional, secuestro de aeronaves o buques, violación, delitos contra el medio ambiente, robo organizado o a mano armada, sabotaje y participación en una organización delictiva implicada en uno o varios de los delitos enumerados en esta lista- que en el Estado miembro de que se trate se castigue con una pena o una medida de seguridad privativas de libertad cuya duración máxima sea de al menos cuatro años (art.5.1.h).
c) Directrices
La Comisión señala: “El artículo 5, apartado 1, letra h), de la Ley sobre IA prohíbe el uso de sistemas de RBI en tiempo real en espacios accesibles al público con fines policiales, salvo excepciones limitadas que se establecen exhaustivamente en la Ley sobre IA. En concreto, el artículo 5, apartado 1, letra h), incisos i) a iii), de la Ley AI contempla tres situaciones en las que puede permitirse el uso de dichos sistemas cuando lo autorice la legislación nacional y cuando se cumplan las condiciones y salvaguardias del artículo 5(2) a (7) de la Ley AI (epígrafe 9 del Anexo sobre “art.5(1)(h). Identificación biométrica a distancia (RBI) en tiempo real con fines policiales” apartado 289 y ss., pp.95 y ss.).
J) La autorización pública -judicial o administrativa- de prácticas inicialmente prohibidas
1. Previsiones de la LEIA
La LEIA contempla la eventual autorización pública -judicial o administrativa- de prácticas inicialmente prohibidas consistentes en el uso de un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho. Porque este uso estará supeditado a la concesión de una autorización previa por parte de una autoridad judicial o una autoridad administrativa independiente cuya decisión sea vinculante del Estado miembro en el que vaya a utilizarse dicho sistema, que se expedirá previa solicitud motivada y de conformidad con las normas detalladas del Derecho nacional (art.5.3).
En la hipótesis previsible de que los Estados miembros contemplen la posibilidad de autorizar, ya sea total o parcialmente, el uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho dentro de los límites y en las condiciones que se indican en el apartado 1, párrafo primero, letra h), y los apartados 2 y 3; los Estados miembros de que se trate deberán establecer en sus respectivos Derechos nacionales las normas detalladas necesarias aplicables a la solicitud, la concesión y el ejercicio de las autorizaciones a que se refiere el apartado 3, así como a la supervisión y la presentación de informes relacionadas con estas (art.5.5).
2. Directrices
Respecto de la necesidad de autorización previa, el Documento señala. “El artículo 5, apartado 3, de la Ley IA exige la autorización previa de cada uso individual de un sistema RBI en tiempo real y prohíbe la toma de decisiones automatizada basada únicamente en el resultado de dicho sistema que produzca un efecto jurídico adverso” Después, se ocupa de la “notificación a las autoridades de cada uso de sistemas de identificación biométrica a distancia «en tiempo real» en espacios de acceso público para el cumplimiento de la ley”, de la “necesidad de leyes nacionales dentro de los límites de las excepciones de la Ley IA”, del principio de que “es necesario que la legislación nacional proporcione la base jurídica para la autorización de todas o algunas de las excepciones” y de los “informes anuales de las autoridades nacionales de vigilancia del mercado y de las autoridades nacionales de protección de datos de los Estados miembros” (epígrafe 10 del Anexo sobre las “salvaguardias y condiciones para las excepciones (artículo 5(2)-(7) de la Ley IA, pp.112 y ss.).