Con esta entrada ponemos punto final a la serie de ellas en las que hemos venido dando cuenta de las modificaciones relevantes delReglamento (UE) 2024/1689 (RIA 1) que ha operado el nuevo Reglamento (UE) 2026/1744 (RIA 2) publicado en el DOUE del pasado 24 de julio de 2026 (Serie L).
(…)
G) Ciberseguridad
En este ámbito, el RIA 2 modifica los siguientes aspectos del RIA 1:
a) Sustituye la definición de “componente de seguridad” en el art.3.14 del RIA 1 para dejarla establecida del siguiente modo: “un componente de un producto o un sistema de IA que cumple una función de seguridad para dicho producto o sistema de IA, o cuyo fallo o defecto de funcionamiento pone en peligro la salud y la seguridad de las personas o los bienes; a efectos de la presente definición, un componente cumple una función de seguridad cuando su finalidad prevista es prevenir o mitigar los riesgos para la salud y la seguridad de las personas o los bienes” (apartado 4 del art.1 del RIA 2).
b) Excluye de la definición de “componente de seguridad” a los “sistemas de IA que se utilicen únicamente para aspectos no relacionados con la seguridad en los ámbitos de la asistencia al usuario, la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad”; sin perjuicio de que “los sistemas de IA cuyo fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad se considerarán componentes de seguridad” (art.6.1.bis y ter del RIA 1 añadido por el art.1.8 del RIA 2).
c) Excluye de la clasificación como sistemas de IA de alto riesgo -por no cumplir la condición establecida en la letra b) del apartado 1 del art.6 del RIA sobre productos en los que el sistema de IA sea componente de seguridad- “los productos que deban someterse a una evaluación de la conformidad de terceros únicamente debido a riesgos distintos de los riesgos para la salud y la seguridad, en particular los riesgos relacionados con la distribución del espectro radioeléctrico o las interferencias electromagnéticas que no afecten a la salud y la seguridad” (art.6.1.quater del RIA 1 añadido por el art.1.8 del RIA 2).
d) Presume que un sistema de IA de alto riesgo que entre en el ámbito de aplicación del Reglamento (UE) 2024/2847 relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y cumpla las condiciones establecidas en el artículo 12, apartado 1, de dicho Reglamento de Ciberresiliencia; dicho sistema cumple los requisitos de ciberseguridad establecidos en el artículo 15 del RIA 1(apartado 3 del art.42 del RIA 1 añadido por el art.1.18 del RIA 2).
e) Establece un punto de entrada único donde las empresas pueden cumplir con todas las obligaciones de notificación de incidentes; solventando la dispersión actúa de las obligaciones de las empresas de notificar incidentes de ciberseguridad con arreglo a varias leyes, incluida, entre otras, la Directiva SRI 2, el Reglamento General de Protección de Datos (RGPD) y la Ley de Resiliencia Operativa Digital en el sector financiero (DORA). En este sentido procede recordar que el RIA 1 establece un sistema de vigilancia poscomercialización por parte de los proveedores de los sistemas de IA quienes deberán establecer y documentar un sistema de vigilancia poscomercialización de forma proporcionada a la naturaleza de las tecnologías de IA y a los riesgos de los sistemas de IA de alto riesgo y que la finalidad material de los sistemas de vigilancia poscomercialización consiste en posibilitar las debidas alarmas que se articularán mediante el mecanismo de notificación de incidentes graves por los proveedores de sistemas de IA de alto riesgo introducidos en el mercado de la Unión a las autoridades de vigilancia del mercado de los Estados miembros en los que se haya producido dicho incidente.
(el lector interesado en disponer de un panorama general del seguimiento posterior a la comercialización de los sistemas de IA en el RIA 1 puede consultar el epígrafe III del Capítulo 5 de nuestra monografía sobre “La Ley Europea de inteligencia Artificial. Reglamento (UE) 2024/1689 de 13 de junio de 2024”, pág.106 y ss.).
H) Datos personales
a) Importancia de los datos personales en el RIA 1
Resulta de todo punto evidente que los datos personales constituyen uno de los principales tipos de unidades atómicas sobre los que descansan los sistemas de IA como sistemas que son, básicamente, mecanismos de procesamiento masivo de datos, en gran medida, personales. Es por ello por lo que el RIA 1 dedica una atención especialísima a los datos personales, que se refleja, entre otros muchos aspectos, en los dos siguientes:
a.1) En la definición de los datos personales, por remisión al artículo 4, punto 1, del Reglamento general de protección de datos) (art. 3.50 RIA) que recordemos dice que los datos personales son “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Además, el RIA (art. 3.37) define las categorías especiales de datos personales, por remisión a “las categorías de datos personales a que se refieren el artículo 9, apartado 1, del Reglamento (UE) 2016/679, el artículo 10 de la Directiva (UE) 2016/680 y el artículo 10, apartado 1, del Reglamento (UE) 2018/1725”.
a.2) En la identificación de los sistemas de IA de riesgo inaceptable y, por lo tanto, inicialmente prohibidos por ser sistemas de IA subliminales, manipuladores o engañosos; conductualmente perjudiciales o de clasificación humana (de cuya ampliación por el RIA 2 nos ocupábamos en la entrada del pasado día 1).
b) Establecimiento por el RIA 2 de un “tratamiento de categorías especiales de datos personales para la detección y corrección de sesgos”
El RIA 2 -en el apartado 5 de su art.1- introduce en el RIA 1 un nuevo artículo 4 bis que lleva por título “Tratamiento de categorías especiales de datos personales para la detección y corrección de sesgos”-; y que dispone, entre otras cosas, que, en la medida en que sea estrictamente necesario para garantizar la detección y corrección de los sesgos asociados a los sistemas de IA de alto riesgo, los proveedores de dichos sistemas podrán tratar excepcionalmente las categorías especiales de datos personales; siempre que ofrezcan las garantías adecuadas en relación con los derechos y las libertades fundamentales de las personas físicas.
Para que se produzca dicho tratamiento, los proveedores de dichos sistemas de IA de alto riesgo podrán tratar excepcionalmente las categorías especiales de datos personales cuando cumplan dos tipos de requisitos:
a) Los establecidos en las disposiciones generales sobre datos personales y a la libre circulación de estos datos establecidas en el Reglamento (UE) 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos; en el Reglamento (UE) 2018/1725, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la UE; y en la Directiva (UE) 2016/680, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales.
b) Los establecidos en el nuevo artículo 4 bis del RIA 1 que consisten en que el tratamiento de otros datos, como los sintéticos o los anonimizados, no permita efectuar de forma efectiva la detección y corrección de sesgos; que las categorías especiales de datos personales estén sujetas a limitaciones técnicas relativas a la reutilización de los datos personales y a medidas punteras en materia de seguridad y protección de la intimidad, incluida la pseudonimización; que las categorías especiales de datos personales estén sujetas a medidas para garantizar que los datos personales tratados estén asegurados, protegidos y sujetos a garantías adecuadas, incluidos controles estrictos y documentación del acceso, a fin de evitar el uso indebido y garantizar que solo las personas autorizadas tengan acceso a dichos datos personales con obligaciones de confidencialidad adecuadas; que las categorías especiales de datos personales no se transmitan ni transfieran a terceros y que estos no puedan acceder de ningún otro modo a ellos; que las categorías especiales de datos personales se eliminen una vez que se haya corregido el sesgo o los datos personales hayan llegado al final de su período de conservación, si esta fecha es anterior, y que los registros de las actividades de tratamiento en virtud de los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva (UE) 2016/680 incluyan las razones por las que el tratamiento de categorías especiales de datos personales era estrictamente necesario para detectar y corregir sesgos, y por las que ese objetivo no podía alcanzarse mediante el tratamiento de otros datos.
El apartado 2 del nuevo art.4 bis del RIA 1 añade que los proveedores y responsables del despliegue de otros sistemas y modelos de IA y los responsables del despliegue de sistemas de IA de alto riesgo podrán excepcionalmente tratar categorías especiales de datos personales en la medida en que dicho tratamiento sea estrictamente necesario para garantizar la detección y corrección de sesgos atendiendo a posibles sesgos que afecten probablemente a la salud y la seguridad de las personas, tengan consecuencias negativas para los derechos fundamentales o den lugar a una discriminación prohibida por el Derecho de la Unión, especialmente cuando las salidas de datos influyan en las informaciones de entrada de futuras operaciones, y se apliquen todas las condiciones y garantías previstas.
L) Gobernanza privada de los sistemas de IA: los códigos de conducta
L.1) Los códigos de conducta para la aplicación voluntaria de requisitos específicos del RIA 1
Podemos distinguir dos tipos de gobernanza de los sistemas de IA: la gobernanza pública que se articula en un doble nivel de las autoridades nacionales encargadas de garantizar el cumplimiento del RIA y de las autoridades de la UE, comenzando por la propia Comisión y siguiendo por los organismos especiales de la UE en materia de IA, como son la Oficina de IA, el Comité Europeo de Inteligencia Artificial, la Comisión Técnica Científica y el Foro Consultivo; y la gobernanza privada, que parte del Código de buenas prácticas que se elaborará mediante un proceso inclusivo y transparente mediante una redacción iterativa, en la que participarán todos los proveedores de modelos de IA de uso general interesados y elegibles y que, si obtiene finalmente la aprobación de la Comisión y esta le confiere validez general dentro de la UE mediante actos de ejecución, permitirá que los proveedores de modelos de IA de uso general puedan basarse en dicho Código de buenas prácticas para demostrar el cumplimiento de las obligaciones establecidas en la Ley de IA.
En este segundo ámbito de la gobernanza privada destacan los códigos de conducta y las directrices. En efecto, el capítulo X del RIA 1 -que lleva por título “códigos de conducta y directrices” (arts. 95 y 96)- regula tanto el “Código de conducta para la aplicación voluntaria de requisitos específicos” como las “Directrices de la Comisión “sobre la aplicación del RIA 1 que deberán abarcar la aplicación de los requisitos y obligaciones a que se refieren los artículos 8 a 15 y el artículo 25; las prácticas prohibidas a que se refiere el artículo 5; la aplicación práctica de las disposiciones relacionadas con modificaciones sustanciales; la aplicación práctica de las obligaciones de transparencia establecidas en el artículo 50; información detallada sobre la relación entre el presente Reglamento y la lista de actos legislativos de armonización de la Unión enumerados en el anexo I, así como otras disposiciones de Derecho de la Unión pertinentes, también por cuanto se refiere a la coherencia en su aplicación; y la aplicación de la definición de sistema de IA que figura en el artículo 3.1. Téngase en cuenta que, al publicar estas directrices, la Comisión debe prestar especial atención a las necesidades de las pymes, incluidas las empresas emergentes, de las autoridades públicas locales y de los sectores que tengan más probabilidades de verse afectados por el RIA 1.
(el lector interesado en disponer de un panorama general de los mecanismos de gobernanza de los sistemas de IA en el RIA 1 puede consultar nuestra monografía sobre “La Ley Europea de inteligencia Artificial. Reglamento (UE) 2024/1689 de 13 de junio de 2024”, pág.105 y ss.).
L.2) Las modificaciones del RIA 2 referidas a los códigos de buenas prácticas
Los apartados 20 y 21 del art.1 del RIA 2 sustituyen los apartados 50.7 y 56.6 del RIA 1 para introducir previsiones normativas de desarrollo de los códigos de buenas prácticas mediante la atribución a la Comisión Europea y al Consejo de IA de las siguientes funciones regulatorias:
a) De fomento, porque la Comisión deberá fomentar y facilitar la elaboración de códigos de buenas prácticas en el ámbito de la UE para promover la aplicación efectiva de las obligaciones relativas a la detección, el marcado y el etiquetado de contenidos generados o manipulados de manera artificial.
b) De evaluación, ya que la Comisión -teniendo en cuenta en la mayor medida posible el dictamen del Consejo de IA- evaluará si la observancia de dichos códigos de buenas prácticas es adecuada para garantizar el cumplimiento de las obligaciones previstas en aquellos preceptos por parte de los participantes y, en general, su contribución a la correcta aplicación del Reglamento.
c) De corrección, puesto que, si la Comisión considera que el código de buenas prácticas es inadecuado, podrá adoptar un acto de ejecución que especifique normas comunes para el cumplimiento.
M) Alfabetización y asesoramiento de la Comisión Europea
El RIA 2 -en el apartado 5 de su art.1- sustituye el texto del art.4 del RIA 1 para añadir una nueva obligación para la Comisión de proporcionar asesoramiento para ayudar a los operadores económicos de sistemas de IA de riesgo alto abarcados por la legislación de armonización sectorial a cumplir los requisitos de alto riesgo de manera que se minimice la carga normativa. En concreto, el nuevo artículo 4 del RIA 1, referido a la “alfabetización en materia de IA” establece dos tipos de obligaciones -que operarán de forma coordinada entre ambos- para dos tipos de sujetos que operan en el mercado de la IA que son:
a) Por una parte, los operadores privados; puesto que los proveedores y responsables del despliegue de sistemas de IA quienes deberán adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas. Esta obligación es limitada porque no exigirá que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.
b) Por otra parte, las entidades públicas de control ya que la Comisión y los Estados miembros deberán apoyar y facilitar los esfuerzos de los proveedores y responsables del despliegue de sistemas de IA y, en particular de las pymes, en el cumplimiento de su obligación de alfabetización en materia de IA. En particular, fin, la Comisión publicará ejemplos prácticos de cómo cumplir dicha obligación en la plataforma única de información. Por su parte, el Consejo de IA adoptará recomendaciones, teniendo en cuenta los marcos europeos de competencias, con vistas a apoyar a la Comisión y a los Estados miembros en la promoción de la alfabetización.
Nota bibliográfica final: El lector interesado en la regulación de la IA establecida en el RIA 1 al que nos hemos referido en estas 4 últimas entradas puede consultar nuestra monografía sobre “La Ley Europea de Inteligencia Artificial. Reglamento (UE) 2024/1689 de 13 de junio de 2024”, Ed. American Publishers Inc. ((226 páginas, ISBN-10 1972989502, ISBN-13 978-1972989500) disponible en AMAZON, en versión digital y en papel.