Esta entrada completa la publicada ayer con este mismo título, en la que comenzamos a dar cuenta sintética del Código de Prácticas de IA de Propósito General (GPAI) que desarrolla con particular detalle aspectos relevantes de la Ley Europea de IA (Reglamento (UE) 2024/1689, LEIA) y, en concreto, las obligaciones de los proveedores de modelos de IA de uso general que resultarán aplicables a partir del 2 de agosto de 2025 (art.113.b).
(…)
G) El Capítulo de Derechos de Autor aplicable a todos los modelos de IA de uso general
Este Capítulo de Derechos de Autor (“Code of Practice for General-Purpose AI Models. Copyright Chapter”) ofrece a los proveedores soluciones prácticas para cumplir con la obligación de la LEIA de establecer una política que cumpla con la legislación de la UE en materia de derechos de autor.
Se estructura en torno a 1 compromiso (“commitment 1 Copyright policy”) conforme al cual, para demostrar el cumplimiento de su obligación, de conformidad con el art.53..1.c) de la LEIA de establecer una política para cumplir con el Derecho de la Unión en materia de derechos de autor y derechos afines y, en particular, para identificar y cumplir, incluso mediante tecnologías de vanguardia, una reserva de derechos expresada de conformidad con el artículo 4, apartado 3, de la Directiva (UE) 2019/790; los proveedores adheridos al GPIA se comprometen a elaborar, mantener al día y aplicar dicha política en materia de derechos de autor.
Dicho compromiso se proyecta en 5 medidas consistentes en elaborar, mantener al día y aplicar una política de derechos de autor; reproducir y extraer únicamente contenidos protegidos por derechos de autor legalmente accesibles cuando se rastree la World Wide Web; identificar y cumplir las reservas de derechos cuando se rastree la World Wide Web; mitigar el riesgo de producciones que infrinjan los derechos de autor; designar un punto de contacto y permitir la presentación de reclamaciones en la materia.
Las medidas del CPIA son compatibles y no afectan al cumplimiento de la legislación de la UE en materia de derechos de autor y derechos afines. Establecen compromisos por los que los proveedores adheridos pueden demostrar el cumplimiento de la obligación prevista en la LEIA de establecer una política de derechos de autor para los modelos de IA de uso general que comercializan en la UE.
H) El Capítulo sobre Seguridad y Protección aplicable a los modelos de IA de uso general que plantean riesgos sistémicos
H.1) Modelos de IA de uso general que plantean riesgos sistémicos
La LEIA define el riesgo sistémico como “un riesgo específico de las capacidades de gran impacto de los modelos de IA de uso general, que tienen unas repercusiones considerables en el mercado de la Unión debido a su alcance o a los efectos negativos reales o razonablemente previsibles en la salud pública, la seguridad, la seguridad pública, los derechos fundamentales o la sociedad en su conjunto, que puede propagarse a gran escala a lo largo de toda la cadena de valor” (art.3.65).
Estos riesgos pueden manifestarse, por ejemplo, a través de la reducción de las barreras para el desarrollo de armas químicas o biológicas, o problemas no deseados de control sobre modelos autónomos de IA de propósito general (considerando 110 de la LEIA).
Los modelos más avanzados en un momento dado pueden plantear riesgos sistémicos, incluidos riesgos novedosos, ya que están impulsando el estado de la técnica. Al mismo tiempo, algunos modelos por debajo del umbral que refleja el estado de la técnica también pueden plantear riesgos sistémicos, por ejemplo, a través del alcance, la escalabilidad o el andamiaje.
En consecuencia, la LEIA clasifica un modelo de IA de propósito general como un modelo de IA de propósito general con riesgo sistémico si es uno de los modelos más avanzados en ese momento o si tiene un impacto equivalente (art.51.1). Es por ello por lo que esta noción presenta un carácter dinámico porque los modelos que se consideran modelos de IA de propósito general con riesgo sistémico pueden cambiar con el tiempo, lo que refleja la evolución del estado de la técnica y la posible adaptación de la sociedad a modelos cada vez más avanzados. En la actualidad, un número relativamente escaso de empresas desarrollan modelos de IA de propósito general con riesgo sistémico, aunque esto puede cambiar en el futuro.
Para identificar los modelos más avanzados, es decir, los modelos que igualan o superan las capacidades registradas en los modelos más avanzados hasta el momento, la LEIA establece un umbral de 10^25 operaciones de punto flotante (FLOP) utilizadas para entrenar el modelo (art.51.1.a.2). En la actualidad, se estima que entrenar un modelo que cumpla con este umbral costará decenas de millones de euros.
La Oficina de IA realiza un seguimiento continuo de los avances tecnológicos e industriales, y la Comisión Europea puede actualizar el umbral, mediante la adopción de un acto delegado (ar.51.3 LEIA), para garantizar que sigue seleccionando los modelos más avanzados a medida que evoluciona el estado de la técnica. Por ejemplo, se podría ajustar el valor del propio umbral o introducir umbrales adicionales. A estos efectos, la LEIA faculta a la Comisión para designar modelos adicionales que presenten un riesgo sistémico, sobre la base de criterios tales como las evaluaciones de las capacidades del modelo, el número de usuarios, la escalabilidad o el acceso a las herramientas (art.51.1.b y anexo XIII).
H.2) Obligaciones de los proveedores de modelos de IA de uso general que planteen riesgos sistémicos
Los proveedores de modelos de IA de uso general que planteen riesgos sistémicos deben notificar dichos modelos a la Comisión, evaluar y mitigar los riesgos sistémicos derivados de dichos modelos, en particular mediante la realización de evaluaciones de modelos. reportar incidentes graves, y asegurar una adecuada ciberseguridad de estos modelos (art.55).
Procede destacar que la exclusión antes señalada para los modelos de código abierto no se aplica a los modelos de IA de propósito general con riesgo sistémico. Por ello, tras la publicación del modelo de código abierto, las medidas necesarias para garantizar el cumplimiento de las obligaciones del artículo 55 de la LEIA pueden ser más difíciles de aplicar (considerando 112 de la Ley de IA). En consecuencia, es posible que los proveedores de modelos de IA de propósito general con riesgo sistémico deban evaluar y mitigar los riesgos sistémicos antes de lanzar sus modelos como código abierto.
H.3) Contenido del capítulo del GPIA sobre seguridad y protección
El GPAI proporciona a los proveedores de modelos de IA de uso general que planteen riesgos sistémicos criterios detallados sobre cómo garantizar el cumplimiento de sus obligaciones en las secciones que tratan de la evaluación del riesgo sistémico, la mitigación del riesgo técnico y la mitigación del riesgo de gobernanza.
En el capítulo sobreseguridad y protección(“Code of Practice for General-Purpose AI Models. Safety and Security Chapter”) se describen las prácticas concretas de última generación para la gestión de los riesgos sistémicos, es decir, los riesgos de los modelos más avanzados. Los proveedores pueden confiar en este capítulo para cumplir con las obligaciones de la LEIA para los proveedores de modelos de IA de propósito general con riesgo sistémico.
Este capítulo comienza enumerando 10 principios degestión adecuada del ciclo de vida, evaluación y mitigación de riesgos contextuales, proporcionalidad a los riesgos sistémicos, integración con la legislación vigente, cooperación, innovación en seguridad y protección de la IA, principio de cautela, pequeñas y medianas empresas («PYME») y pequeñas empresas de mediana capitalización («PYME»), interpretación y notificación de incidentes graves.
Después, el capítulo detalla los 10 compromisos siguientes:
a) Compromiso 1 Marco de seguridad y protección (“Commitment 1 Safety and Security Framework”) conforme al cual los proveedores adheridos se comprometen a adoptar un Marco de Seguridad de última generación («Marco») cuyo objetivo consiste en esbozar los procesos de gestión del riesgo sistémico y las medidas que los proveedores adheridos aplican para garantizar que los riesgos sistémicos derivados de sus modelos son aceptables; ejecutando un proceso de adopción del Marco que implica los tres pasos siguientes: (1) crear el Marco (como se especifica en la medida 1.1); (2) aplicar el Marco (según se especifica en la medida 1.2); y (3) actualizar el Marco (según lo especificado en la medida 1.3).
b) Compromiso 2 Identificación de riesgos sistémicos (“Commitment 2 Systemic risk identification”) conforme al cual los proveedores adheridos se comprometen a identificar los riesgos sistémicos derivados del modelo. Este propósito de la identificación del riesgo sistémico incluye facilitar el análisis del riesgo sistémico (de conformidad con el Compromiso 3) y la determinación de la aceptación del riesgo sistémico (de conformidad con el Compromiso 4). La identificación del riesgo sistémico implica los dos elementos siguientes: (1) seguir un proceso estructurado para identificar los riesgos sistémicos derivados del modelo (como se especifica en la medida 2.1); y (2) desarrollar escenarios de riesgo sistémico para cada riesgo sistémico identificado (como se especifica en la medida 2.2).
c) Compromiso 3 Análisis de riesgos sistémicos (“Commitment 3 Systemic risk analysis”) conforme al cual los proveedores adheridos se comprometen a analizar cada riesgo sistémico identificado (de conformidad con el Compromiso 2). El propósito del análisis del riesgo sistémico incluye facilitar la determinación de la aceptación del riesgo sistémico (de conformidad con el Compromiso 4); e implica cinco elementos para cada riesgo sistémico identificado, que pueden solaparse y que pueden tener que aplicarse de manera acumulada y son: (1) recopilación de información independiente del modelo (como se especifica en la medida 3.1); (2) realización de evaluaciones de modelos (como se especifica en la medida 3.2); (3) modelización del riesgo sistémico (como se especifica en la medida 3.3); (4) estimación del riesgo sistémico (como se especifica en la medida 3.4); y (5) seguimiento posterior a la comercialización (como se especifica en la Medida 3.5).
d) Compromiso 4 Determinación de la aceptación del riesgo sistémico (“Commitment 4 Systemic risk acceptance determination”) conforme al cual los proveedores adheridos se comprometen a especificar los criterios de aceptación del riesgo sistémico y determinar si los riesgos sistémicos derivados del modelo son aceptables (como se especifica en la medida 4.1). En concreto, se comprometen a decidir si proceden o no con el desarrollo, la puesta a disposición en el mercado y el uso del modelo basándose en la determinación de la aceptación del riesgo sistémico (como se especifica en la medida 4.2).
e) Compromiso 5 Medidas de salvaguardia (“Commitment 5 Safety mitigations”) conforme al cual los proveedores adheridos se comprometen a aplicar las medidas de seguridad adecuadas a lo largo de todo el ciclo de vida del modelo -tal como se especifica en la Medida para este Compromiso- para garantizar que los riesgos sistémicos derivados del modelo son aceptables (de conformidad con el Compromiso 4).
f) Compromiso 6 Medidas de ciberseguridad (“Commitment 6 Security mitigations”) conforme al cual los proveedores adheridos se comprometen a implementar un nivel adecuado de protección de ciberseguridad para sus modelos y su infraestructura física a lo largo de todo el ciclo de vida del modelo, tal como se especifica en las Medidas para este Compromiso, para garantizar que los riesgos sistémicos derivados de sus modelos que podrían surgir de liberaciones no autorizadas, acceso no autorizado o robo de modelos sean aceptables (de conformidad con el Compromiso 4).
g) Compromiso 7 Informes modelo de seguridad y protección (“Commitment 7 Safety and Security Model Reports”) conforme al cual los proveedores adheridos se comprometen a comunicar a la Oficina de IA información sobre su modelo y sus procesos y medidas de evaluación y mitigación de riesgos sistémicos mediante la creación de un Informe de Seguridad y Protección del Modelo («Informe del Modelo») antes de comercializar un modelo (como se especifica en las Medidas 7.1 a 7.5). Además, los proveedores adheridos se comprometen a mantener actualizado el Informe del Modelo (como se especifica en la Medida 7.6) y a notificar a la Oficina de IA su Informe del Modelo (como se especifica en la Medida 7.7).
h) Compromiso 8 Asignación de la responsabilidad del riesgo sistémico (“Commitment 8 Systemic risk responsibility allocation”) conforme al cual los proveedores adheridos se comprometen a: (1) definir responsabilidades claras para la gestión de los riesgos sistémicos derivados de sus modelos en todos los niveles de la organización (como se especifica en la medida 8.1); (2) asignar recursos adecuados a los agentes a los que se han asignado responsabilidades para la gestión del riesgo sistémico (como se especifica en la medida 8.2); y (3) promover una cultura de riesgo saludable (como se especifica en la medida 8.3).
La particular transcendencia jurídica de este compromiso nos invita a detallar el contenido de la Medida 8.1 sobre la “definición de responsabilidades claras” que compromete a los proveedores adheridos a definir de manera clara las responsabilidades para gestionar los riesgos sistémicos derivados de sus modelos en todos los niveles de la organización; incluyendo las siguientes responsabilidades: (1) supervisión del riesgo sistémico consistente en supervisar los procesos y medidas de evaluación y mitigación del riesgo sistémico de los proveedores adheridos; (2) asunción del riesgo sistémico consistente en gestionar los riesgos sistémicos derivados de los modelos, incluida la evaluación del riesgo sistémico y los procesos y medidas de mitigación, y gestionar la respuesta a incidentes graves; (3) apoyo y supervisión del riesgo sistémico: consistente en apoyar y supervisar los procesos y medidas de evaluación y mitigación del riesgo sistémico.
i) Compromiso 9 Notificación de incidentes graves (“Commitment 9 Serious incident reporting”) conforme al cual los proveedores adheridos se comprometen a implementar procesos y medidas apropiadas para hacer un seguimiento, documentar y notificar a la Oficina de AI y, si procede, a las autoridades nacionales competentes, sin demoras indebidas, la información relevante sobre incidentes graves a lo largo de todo el ciclo de vida del modelo y las posibles medidas correctivas para abordarlos, tal y como se especifica en las Medidas de este Compromiso. Además, se comprometen a proporcionar los recursos para dichos procesos y medidas apropiados para la gravedad del incidente grave y el grado de implicación de su modelo.
j) Compromiso 10 Documentación adicional y transparencia (“Commitment 10 Additional documentation and transparency”) conforme al cual los proveedores adheridos se comprometen a documentar la aplicación de este capítulo (como se especifica en la medida 10.1) y publicar versiones resumidas de sus informes marco y modelo según sea necesario (como se especifica en la medida 10.2).
Los compromisos señalados se complementan con 5 Apéndices referidos a los “Riesgos sistémicos y otras consideraciones” (1), los “Modelos igual de seguros o más seguros” (2), las “Evaluaciones de modelos” (3) y a los “Objetivos y medidas de mitigación de la seguridad” (4).
Por último, es relevante añadir que este Capítulo sobre Seguridad y Protección aplicable a los modelos de IA de uso general que planteen riesgos sistémicos añade un Glosario de términos entre los que destacan los relacionados con el riesgo sistémico tales como “criterios de aceptación del riesgo sistémico”, “evaluación del riesgo sistémico”, “gestión del riesgo sistémico», “mitigación del riesgo sistémico”, “modelización del riesgo sistémico”, etc. Además de otros términos relevantes como los de “buenas prácticas”, “validez externa”, “alto rigor científico y técnico», “amenazas internas”, “órgano de gestión”, “modelo”, “evaluación de modelos”, “tecnología punta”, etc. Advirtiendo: “Siempre que este Capítulo haga referencia a un término definido en el Artículo 3 de la Ley de AI, se aplicará la definición de la Ley de AI, y dicha definición prevalecerá en caso de cualquier interpretación alternativa y/o concurrente a la que pueda dar lugar el uso del término en este Capítulo. Por lo demás, y como complemento de lo anterior, en el presente Capítulo se utilizan los siguientes términos con los significados que se indican. Salvo que se indique lo contrario, todas las variaciones gramaticales de los términos definidos en este Glosario se considerarán cubiertas por la definición correspondiente”.
Nota bibliográfica final: El lector interesado en este GPAI puede consultar los documentos siguientes publicados por la Comisión Europea: European Commmission, “General-Purpose AI Code of Practice now available”, Brussels, 10 July 2025; “Learn more about the guidelines for providers of general-purpose AI model. The Commission published guidelines on the scope of obligations for providers of general-purpose AI models under the AI Act”; “Guidelines on obligations for General-Purpose AI providers General FAQ”, Shaping Europe’s digital future (https://digital-strategy.ec.europa.eu/en). Puede ver, asimismo, Barrio, M. «El Código de Buenas Prácticas para los modelos de IA de uso general: una visión crítica», Diario LA LEY, Nº 97, Sección Ciberderecho, 18 de Julio de 2025.
Asimismo, el interesado en el desarrollo de la LEIA puede cinsultar las entradas de este blog de 21.02.2025 sobre la “Inteligencia artificial. Las ocho prácticas prohibidas por la Ley Europea de Inteligencia Artificial: Directrices de la Comisión Europea de 4 de febrero de 2025 sobre las prácticas prohibidas” y de 19.02.2025 sobre la “Inteligencia artificial. Los siete factores capitales de la noción de sistema de IA en la Ley Europea de Inteligencia Artificial: Directrices de 6 de febrero de 2025 de la Comisión Europea sobre la definición de sistema de inteligencia artificial”.
Por último, sobre la regulación de la IA en Europa y a nivel global, puede consultar las muchas entradas que encontrará en este blog bajo el término “Inteligencia Artificial”, IA, etc. le pueden ser útiles nuestros estudios: “Sistema de IA: Concepto y prohibiciones en la Ley Europea. Revista de Derecho Digital e Innovación, n.º 23 (enero-marzo 2025) (WEB Diario LA LEY, viernes 28 de marzo de 2025), La Ley; “Riesgos paradójicos de los tecnoseguros (insurtech), incluyendo algunos derivados de la inteligencia artificial” Capítulo Decimosexto de la obra colectiva “Sostenibilidad, innovación y digitalización: nuevos retos del Derecho del seguro” (dirs. Framquet Sugrañes, T. / Girgado Perandones, P. / Gonzales Bustos, J.P.), Colección Estudios de Derecho Mercantil – Mercatura, Ed. Comares. Granada 2025, pp. 393-408; “El seguro de responsabilidad civil profesional de los operadores de sistemas de inteligencia artificial”, en la obra colectiva “Inteligencia artificial y derecho de daños: cuestiones actuales. Acorde al Reglamento (UE) 2024/1689” (coords. Moreno Martínez, J.A. / Femenía López, P.J.), Colección Derecho digital y propiedad intelectual, Ed. Dykinson. Madrid 2024, pp. 993-1009; “La responsabilidad civil derivada del uso de la inteligencia artificial y su aseguramiento” en la obra colectiva “Estudios el homenaje al profesor Luis Maria Cazorla Prieto” Volumen II, Ed. Aranzadi Thomson Reuters, Cizur Menor 2021, pp. 2407-2446; “Roboevaluación crediticia. Protección de Datos e Inteligencia Artificial. A propósito de la STJUE de 27 de febrero de 2025”, en el Diario La Ley, Sección Ciberderecho, Nº 93, 9 de abril de 2025; “Claves de la Ley europea de inteligencia artificial: Reglamento (UE) 2024/1689 de 13 de junio de 2024” en LA LEY Unión Europea, n.º 133, Sección Regulación, febrero 2025. La Ley; “Decálogo de la Ley Europea de Inteligencia Artificial. Reglamento (UE) 2024/1689” en el Diario La Ley, Sección Tribuna, 31 de enero de 2025, La Ley; “La inteligencia artificial en los mercados financieros beneficios y riesgos” en La Ley Unión Europea, n.º 129, Sección Acciones de la Unión Europea, octubre 2024; “Digitalización financiera en la Unión Europea novedades regulatorias sobre ciberresiliencia operativa, inteligencia artificial y criptoactivos” en La Ley Unión Europea, n.º 97, Sección Regulación, noviembre 2021; etc.