Para complementar la entrada que publicamos ayer, en la que dábamos cuenta de nuestra monografía -publicada el pasado 12 de mayo con American Publishers Inc.- sobre el Reglamento (UE) 2024/1689 de 13 de junio de 2024 de inteligencia artificial, que denominados Ley Europea de Inteligencia Artificial (LEIA); nos parece que puede resultar útil para los lectores de este blog ofrecer una síntesis telegráfica en forma de decálogo de tan relevante -al tiempo que compleja- regulación. Este esfuerzo de concisión y claridad resulta particularmente recomendable cuando contemplamos que los medios de comunicación y de formación inundan la opinión pública con mensajes sobre la IA tan reiterativos como inanes.
I. La inteligencia artificial: el alambique prodigioso
Resulta oportuno comenzar esta síntesis regulatoria exponiendo la noción de sistema de inteligencia artificial (IA) sirviéndonos de la metáfora del alambique -a la que ya hemos recurrido en anteriores ocasiones- para ofrecer una imagen extremadamente sencilla de una regulación sumamente compleja. Para ello, hemos de partir de la definición de sistema de IA sita en el art.3.1) de la LEIA como “un sistema basado en una máquina diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras el despliegue y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar información de salida, como predicciones, contenidos, recomendaciones o decisiones, que puede influir en entornos físicos o virtuales”.
Dado que esta definición alude a máquinas y nos sugiere espacios físicos, líquidos y gaseosos, transitamos hacia la imagen del alambique porque nos parece que puede ofrecer una metáfora útil para exponer y comprender el método de gestión de información que subyace al fenómeno de la IA y a los sistemas que la generan. Si precisamos algo más nuestro raciocinio, percibimos que nos encontramos en el mundo de la regulación de la información, y, por ello, nada nos parece más seguro que acudir a la definición de alambique que nos ofrece el Diccionario de la Rel Academia de la Lengua como “utensilio que sirve para destilar una sustancia volátil, compuesto fundamentalmente de un recipiente para calentar el líquido y de un conducto por el que sale la sustancia destilada”.
Si damos un paso más en nuestro razonamiento, podemos concluir definiendo ideográficamente los sistemas de IA como “alambiques que procesan grandes cantidades de datos o información bruta que se alojan en el canal de entrada para generar -mediante un método de transformación algorítmica que le permite interactuar con su entorno y aprender en consecuencia- un producto de salida en forma de información neta o destilada”.
II. Los riesgos de la IA: La “IApendencia” y la “IAdicción”
En los últimos tiempos, la psicología social de las sociedades desarrolladas muestra un nuevo síndrome patológico que cursa como enfermedad leve como “IApendencia” (“necesidad compulsiva de la IA para experimentar sus efectos o calmar el malestar producido por su privación”) o grave como “IAdicción” (“dependencia de la IA que opera como actividad nociva para la salud o el equilibrio psíquico”) que afecta principalmente a los jóvenes que depositan en las aplicaciones de IA -como el ChatGPT- unas expectativas para las que no están diseñadas ni son su finalidad, como por ejemplo, servir de confidentes médicos, alimenticios o sentimentales, y que pueden conducir a su alienación por su propia capacidad de manipular los sentimientos.
III. ¿Debe regularse la IA?
Una vez definida la IA, procede preguntarse: ¿Debe regularse la IA? Nuestra respuesta debe ser afirmativa porque la regulación de la IA y sus usos es necesaria para que las evidentes ventajas que esta tecnología ya está reportando a la humanidad no se vean ensombrecidas por los abusos que también están acaeciendo. En efecto, la omnipresencia de la IA en nuestra sociedad global resulta tan útil como peligrosa cuando su uso degenera en abuso en forma de manipulación de la conducta de los ciudadanos mediante sistemas y modelos de IA contrarios a los derechos humanos elementales de pensamiento y expresión.
La siguiente pregunta que debemos hacer y responder es: ¿Cómo debe regularse la IA? En el escenario global, encontramos dos maneras básicas de regular la IA que pueden convivir. En efecto, la plasticidad de la propia IA requiere que las normas de “hard law” se vean completadas por regulaciones de “soft law” que, en forma de códigos de conducta voluntarios, precisen los criterios para el buen uso de la IA entre grupos de población homogéneos (por ejemplo, los profesionales de un mismo oficio, como los médicos o los abogados). Podemos citar como ejemplo el “Informe y recomendaciones del Grupo de Trabajo sobre Inteligencia Artificial” aprobado el 6 de abril de 2024 por la Cámara de Delegados del Colegio de Abogados del Estado de Nueva York (NYSBA).
IV. Los cuatro modelos de regulación de la IA
En el contexto internacional cabe diferenciar cuatro modelos de regulación de la IA que son: a) El modelo europeo de regulación imperativa unificada basado en la Ley Europea de Inteligencia Artificial (LEIA) (Reglamento (UE) 2024/1689), por el que se establecen normas armonizadas en materia de inteligencia artificial. b) El modelo chino de control estatal basado, desde el año 2022, en tres clases de mecanismos de intervención contundente: la regulación de los algoritmos, las reglas contra los -supuestos- bulos y un sistema sofisticado de autorizaciones públicas. c) El modelo de algunos miembros del G7, de adhesión voluntaria a determinados Códigos de Conducta. d) El modelo estadounidense de regulación dispersa mediante leyes de algunos Estados, ordenes ejecutivas del Presidente, guías de algunas agencias federales y controles de exportación de chips. La Orden ejecutiva de 11 de diciembre de 2025 del Presidente de los EEUU sobre la Inteligencia Artificial impacta sobre este último modelo para desregularlo, liberalizarlo y evitar la atomización de las leyes estatales
V. La Ley Europea de Inteligencia Artificial: una regulación prudencial
La denominada Ley Europea de Inteligencia Artificial (LEIA) este integrada en el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial.
El objetivo de la LEIA es doble porque consiste en: a) Estimular los beneficios de la IA mejorando el funcionamiento del mercado interior, promoviendo la adopción de una inteligencia artificial (IA) centrada en el ser humano y fiable. Prevenir los riesgos que el uso de los sistemas de IA presenta en forma de los efectos perjudiciales en la UE.
El ámbito de aplicación de la LEIA se establece -en su artículo 2- mediante las tres operaciones siguientes:
a) Establece la inclusión de sujetos y sistemas de dos modos: Establece la inclusión subjetiva plena que abarca a los operadores de los sistemas de IA que son los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA o que introduzcan en el mercado modelos de IA de uso general en la UE; los responsables del despliegue de sistemas de IA que estén establecidos o ubicados en la UE; los importadores y distribuidores de sistemas de IA; los fabricantes de productos que introduzcan en el mercado o pongan en servicio un sistema de IA junto con su producto y con su propio nombre o marca; los representantes autorizados de los proveedores que no estén establecidos en la UE; y las personas afectadas que estén ubicadas en la UE. También prevé la inclusión objetiva parcial abarca algunos sistemas de IA de alto riesgo porque se les aplicará la LEIA con un alcance limitado.
b) Fija las exclusiones que responden a dos tipos de criterios de clasificación de los sistemas de IA de tal modo que: Establece las exclusiones funcionales, porque la LEIA no se aplicará a los sistemas de IA aplicados con las siguientes finalidades: fines militares, de defensa o de seguridad nacional; fines de investigación y desarrollo científicos de carácter general; fines de investigación, prueba o desarrollo relativa a los propios sistemas de IA o modelos de IA. La LEIA establece también exclusiones subjetivas, porque la LEIA no se aplicará a las siguientes categorías de sujetos: las autoridades públicas de terceros países ni a las organizaciones internacionales que entren dentro de su ámbito de aplicación, los prestadores de servicios intermediarios y los particulares.
c) Añade las compatibilidades porque la aplicación de la LEIA será compatible con el Derecho de la Unión en materia de protección de los datos personales, la intimidad y la confidencialidad de las comunicaciones; con las normas establecidas por otros actos jurídicos de la Unión relativos a la protección de los consumidores y a la seguridad de los productos; y con las disposiciones legales, reglamentarias o administrativas tanto de la UE como de sus Estados Miembros que sean más favorables a los trabajadores.
VI. La estructura de la LEIA
La estructura de la LEIA se asienta sobre tres tipos de elementos: subjetivos, objetivos y funcionales que define su artículo 3. Esto es, metafóricamente hablando, el alambique de la IA se basa en que unos sujetos gestionan unos objetos desarrollando unas funciones.
1. Elementos subjetivos
Podemos diferenciar dos tipos de elementos subjetivos sobre los que se asienta la estructura de la LEIA: a) Los operadores, categoría general que abarca los proveedores, incluidos los proveedores posteriores y sus representantes autorizados; los fabricantes del producto; los responsables del despliegue; los importadores; y los distribuidores. b) Las autoridades que, en función de la posición que ocupan en cuanto a la garantía del cumplimiento de la regulación europea de la IA y en el proceso de evaluación de la conformidad del sistema de IA de alto riesgo, podemos clasificar en los siguientes tipos de autoridades y organismos: La Oficina de IA, las autoridades nacionales competentes, las autoridades garantes del cumplimiento del Derecho, las autoridades notificantes, los organismos de evaluación de la conformidad y los organismos notificados.
2. Elementos objetivos
Es posible distinguir cuatro tipos de elementos objetivos sobre los que se asienta la estructura de la LEIA: a) Los datos que, a su vez, podemos clasificar según los siguientes criterios: a.1) Su función, que nos permite diferenciar entre los datos de entrenamiento, los datos de validación y los datos operativos sensibles. a.2) El momento en el que operan que nos permiten diferenciar entre los datos de entrada y los datos de prueba. a.3) Su referencia biométrica que nos permite distinguir entre los datos biométricos y sus derivados, como son la identificación biométrica y la verificación biométrica. a.4) La afección personal que nos permite diferenciar entre los datos personales y los datos no personales, amén de las categorías especiales de datos personales. b) Los factores que operan en la estructura de los sistemas de IA y que define la LEIA como son los componentes de seguridad, las instrucciones de uso y las especificaciones comunes; amén de las nociones de ultrasuplantación y de la operación de coma flotante. c) Las circunstancias como los espacios de acceso público que define la LEIA. d) Los distintivos, que son la última categoría de los elementos objetivos sobre los que se asienta la estructura de la LEIA y que abarcan el marcado CE y la norma armonizada.
3. Elementos funcionales
Podemos diferenciar seis tipos de elementos funcionales sobre los que se asienta la estructura de la LEIA: a) Los sistemas que se pueden ordenar conforme a los cuatro criterios siguientes: su importancia básica, su nivel de riesgo y su sesgo emocional o biométrico. b) Los modelos de IA de uso general que podemos diferenciar según generan un riesgo normal o bien un riesgo sistémico. c) Los planes que pueden ser planes de prueba en condiciones reales o planes de espacios controlados de pruebas. d) Las propiedades, donde destaca la noción de alfabetización en materia de IA impuesta a los proveedores y responsables del despliegue de sistemas de IA. e) Las funciones cronológicas que operan en la fase inicial, como son la introducción en el mercado; la comercialización; y la puesta en servicio; y en las fases sucesivas donde se puede producir la recuperación de un sistema de IA o su modificación sustancial. f) Las patologías e infracciones que podemos clasificar en las tres categorías siguientes, por el momento en que se producen y por su significado: el uso indebido razonablemente previsible de un sistema de IA, el incidente grave y la infracción generalizada.
VII. El funcionamiento de la LEIA
El funcionamiento de la ordenación de los sistemas de IA por la LEIA puede exponerse en las dos fases siguientes: a) La regulación de la IA que veremos opera sobre la base de su respectivo nivel de riesgo, de modo tal que la LEIA clasifica los sistemas de IA en varias categorías -inaceptable, alto, medio y mínimo- que determinan los deberes que se imponen a los distintos operadores implicados en cada una de ellas y se asigna el nivel de transparencia exigible. b) La supervisión de los sistemas de IA que abarca desde la gobernanza pública y privada, hasta el seguimiento posterior a su comercialización alcanzando las actividades de fomento o apoyo a la innovación.
1. Regulación de los sistemas de IA
La primera fase de regulación de los sistemas de IA opera sobre la base de su respectivo nivel de riesgo para diferenciar cuatro niveles de riesgo: a) El riesgo inaceptable de los sistemas de IA prohibidos. En este primer nivel de las prácticas prohibidas por la LEIA procede distinguir tres aspectos que son: a.1) La regla general de prohibición de los sistemas de IA subliminales, manipuladores o engañosos; conductualmente perjudiciales o de clasificación humana. a.2) Las excepciones de las prácticas permitidas en ciertos casos de sistemas de IA de predicción delictiva, de inferencia emocional y de categorización biométrica inmediata o remota. a.3) La posible autorización pública -judicial o administrativa- de prácticas inicialmente prohibidas. b) El riesgo alto de los sistemas de IA de alto riesgo permitidos y controlados específicamente. En lo relativo a este segundo tipo de sistemas conviene diferenciar los aspectos regulatorios siguientes: b.1) Su clasificación, para diferenciar entre sistemas de IA de alto riesgo por estar integrados en determinados productos o por impactar en determinados ámbitos. b.2) Los requisitos exigibles que se condensan en el sistema de gestión de riesgos. b.3) Las obligaciones que deben cumplir sus operadores, bien sean sus proveedores, condensadas en el sistema de gestión de la calidad; o bien se trate de los otros operadores (representantes autorizados, importadores, distribuidores y responsables del despliegue). b.4) La supervisión pública específica. c) El riesgo medio de los sistemas de IA de medio riesgo que integran modelos de IA de uso general que generan riesgos sistémicos. En la regulación por la LEIA de este tercer tipo de sistemas conviene diferenciar los aspectos siguientes: c.1) Su noción. c.2) Las obligaciones especiales que deben cumplir sus proveedores. d) El riesgo mínimo de los sistemas de IA de mínimo riesgo permitidos y controlados genéricamente y de los modelos de IA de uso general que no generan riesgos sistémicos. En la regulación de este tercer tipo de sistemas conviene diferenciar los aspectos siguientes: d.1) Su noción. d.2) Las obligaciones que han de cumplir sus proveedores.
2. Supervisión de los sistemas de IA
La segunda fase del funcionamiento de los sistemas de IA por la LEIA reside en su supervisión y abarca, en primer lugar, su régimen de transparencia, donde procede distinguir entre las obligaciones de transparencia que se imponen a los proveedores y a los responsables del despliegue de determinados sistemas de IA; amén de identificar determinados factores regulatorios comunes a dichas obligaciones de transparencia.
El segundo aspecto de supervisión del funcionamiento de los sistemas de IA por la LEIA reside en su gobernanza que se articula en un doble nivel de las autoridades nacionales encargadas de garantizar el cumplimiento de la LEIA y de las autoridades de la UE, comenzando por la propia Comisión y siguiendo por los organismos especiales de la UE en materia de IA, como son la Oficina de IA, el Comité Europeo de Inteligencia Artificial, la Comisión Técnica Científica y el Foro Consultivo.
3. El Código de buenas prácticas
En la ordenación de la supervisión y el control del funcionamiento de los sistemas de IA por la LEIA tiene una especial importancia el Código de buenas prácticas que se elaborará mediante un proceso inclusivo y transparente mediante una redacción iterativa, en la que participarán todos los proveedores de modelos de IA de uso general interesados y elegibles y que, si obtiene finalmente la aprobación de la Comisión y esta le confiere validez general dentro de la UE mediante actos de ejecución, permitirá que los proveedores de modelos de IA de uso general puedan basarse en dicho Código de buenas prácticas para demostrar el cumplimiento de las obligaciones establecidas en la LEIA.
4. Los sistemas de seguimiento posterior a la comercialización
Dado que los sistemas de IA pueden ser contemplados como organismos vivos que se desarrollan en el tiempo y -metafóricamente hablando- nacen, crecen y pueden reproducirse y morir; la supervisión de los sistemas de IA no puede circunscribirse al momento inicial de su comercialización, sino que debe extenderse a lo largo de toda su existencia abarcando el periodo posterior mediante sistemas de seguimiento posterior a la comercialización de los sistemas de IA por parte de sus proveedores que se basará en un plan de vigilancia que formará parte de la documentación técnica a que se refiere el anexo IV de la LEIA y que incluirá el intercambio de información sobre incidentes graves para posibilitar las debidas alarmas que se articularán mediante el mecanismo de notificación de incidentes graves por los proveedores de sistemas de IA de alto riesgo introducidos en el mercado de la Unión a las autoridades de vigilancia del mercado de los Estados miembros en los que se haya producido dicho incidente.
VIII. Las medidas de apoyo a la innovación
La ordenación de la supervisión y el control del funcionamiento de los sistemas de IA por la LEIA abarca las medidas de apoyo a la innovación que son: a) Los espacios controlados de pruebas para la IA respecto de los cuales la LEIA regula su noción, documentación, establecimiento, finalidades, contenido y responsabilidades; incluyendo un régimen especial para las PYMES, las empresas emergentes y las microempresas. b) Las pruebas de sistemas de IA de alto riesgo en condiciones reales respecto de los cuales la LEIA regula su noción, documentación y realización, con especial atención al consentimiento informado de los sujetos que participen en las pruebas.
IX. La garantía del cumplimiento efectivo de la LEIA
La ordenación de la supervisión y el control del funcionamiento de los sistemas de IA por la LEIA incluye la garantía del cumplimiento efectivo de la LEIA que parte de la base de asumir la compatibilidad de la LEIA con el Reglamento (UE) 2019/1020 relativo a la vigilancia del mercado y la conformidad de los productos.
La garantía del cumplimiento efectivo de la LEIA se estructura como un sistema biunívoco entre las autoridades vigilantes con referencias generales y especiales al ámbito financiero; y los sujetos controlados que son, en general, los operadores de los sistemas de IA.
La garantía del cumplimiento efectivo de la LEIA, al aplicarse en los Estados miembros de la UE como Estados de Derecho, implica las denominadas vías de recurso que comprenden los derechos a presentar reclamaciones, a obtener explicaciones y a gozar del sistema de protección de los denunciantes.
X. Las responsabilidades por incumplimiento de la LEIA
El incumplimiento de la LEIA se reflejará directamente en dos tipos de responsabilidades (amén de las penales cuando la IA sirva para la comisión de delitos):
1. Responsabilidades administrativas
Los Estados miembros deberán establecer el régimen de sanciones -efectivas, proporcionadas y disuasorias que tengan en cuenta los intereses de las pymes, incluidas las empresas emergentes, así como su viabilidad económica- y otras medidas de ejecución aplicable a las infracciones del RIA que cometan los operadores y adoptar todas las medidas necesarias para garantizar que se aplica de forma adecuada.
De esta manera, la ordenación de la supervisión y el control del funcionamiento de los sistemas de IA por la LEIA culmina con el régimen sancionador que opera a modo de precipitado lógico-jurídico del elenco de obligaciones que la LEIA impone a los operadores y que se traducirá en el deber de los Estados miembros establecer sanciones efectivas, proporcionadas y disuasorias para las infracciones de las normas aplicables a los sistemas de IA; dentro de los umbrales establecidos en la LEIA para las infracciones de prácticas prohibidas o incumplimientos relacionados con los requisitos en materia de datos, para el suministro de información incorrecta, incompleta o engañosa a los organismos notificados y a las autoridades nacionales competentes en respuesta a una solicitud, etc.
2. Responsabilidades civiles
Estas responsabilidades civiles se acomodarán a las especialidades sustanciales y procesales que establecerá la futura Directiva sobre responsabilidad en materia de IA que derive de la aprobación de la Propuesta de Directiva relativa a la adaptación de las normas de responsabilidad civil extracontractual a la inteligencia artificial presentada el 28 de septiembre de 2022 por la Comisión Europea. En particular:
a) Los aspectos sustanciales se basan en la aplicación en el ámbito de la responsabilidad civil extracontractual derivada de la IA del triángulo clásico de requisitos que requieren que se produzca un acto negligente y un daño causado vinculados por una relación de causalidad eficiente.
b) Los aspectos procesales afectarán tanto a la legitimación activa, que ostentarán los perjudicados, sus sucesores y sus representantes, como a la legitimación pasiva diferenciándose entre las demandas relativas a sistemas de IA de alto riesgo que podrán interponerse contra el proveedor o el usuario, las demandas relativas a sistemas de IA de riesgo no elevado y demandas interpuestas contra el usuario de un sistema de IA en el transcurso de una actividad personal y no profesional; demás de las reglas sobre la prueba mediante presunciones.
La responsabilidad civil de los operadores de sistemas de inteligencia artificial y su aseguramiento muestran, en los últimos tiempos y mostrarán con mayor intensidad en un futuro inmediato, su relación natural en forma de interferencia recíproca directamente proporcional ya que, a mayor número de reclamaciones, mayor necesidad del seguro de responsabilidad civil.
3. El seguro de responsabilidad civil de los operadores de sistemas de inteligencia artificial
El aseguramiento de la responsabilidad civil de los operadores de sistemas de inteligencia artificial se realizará mediante un seguro de responsabilidad civil que presentará tres características esenciales: será un seguro voluntario; será un seguro de responsabilidad civil empresarial o profesional; y podrá estructurarse como un seguro individual o colectivo.
Este seguro de responsabilidad civil de los de los operadores de sistemas de inteligencia artificial se regirá, en España, por la Ley de Contrato de Seguro, que se aplicará con carácter imperativo por regla general o dispositivo si se trata de un seguro por grandes riesgos. Todo ello sin perjuicio de que el asegurador deba cumplir con las normas de conducta –especialmente en materia de documentación e información-que le impone la LOSSEAR.
Los puntos críticos del seguro de responsabilidad civil de los operadores de sistemas de IA serán: la delimitación material de la cobertura, con las inclusiones y exclusiones pactadas en la póliza; la delimitación temporal de la cobertura, con la precisión de las reclamaciones cubiertas; el régimen de la defensa jurídica del operador demandado y de la acción directa del usuario perjudicado frente a la aseguradora.
Es más que previsible que las reclamaciones de responsabilidad civil contra los operadores de sistemas de IA se incrementen en su número y cuantía tanto por razones generales, como es la denominada “cultura de la reclamación” que rige en las sociedades desarrolladas respecto de las actividades económicas y las profesiones en general; como por razones específicas, como son la digitalización creciente de la economía y, en particular, de las tecnofinanzas (Fintech) con el empleo masivo de algoritmos (que generarán mayor riesgo de siniestralidad conforme a la ecuación de función – obligación – responsabilidad).
Valga como ejemplo reciente el seguro que ofrece algún sindicato del mercado Lloyds de Londres para cubrir las consecuencias económicas de las denominadas “alucinaciones” o “espejismos”, esto es, resultados de sistemas de IA que, siendo aparentemente certeros, esconden mensajes erróneos que pueden resultar particularmente dañinos si impactan, por ejemplo, en la salud hmana en forme de diagnósticos equivocados.
El diseño adecuado del seguro de responsabilidad civil de los operadores de sistemas de IA deberá producir un doble y recíproco beneficio: para los operadores, cuyo patrimonio se mantendrá indemne frente a las reclamaciones de los usuarios perjudicados; y para los usuarios, que contarán con la garantía preventiva y adicional prestada por el asegurador