¿Estamos realmente preparados para la Ley de Inteligencia Artificial europea?

Después de todo, es la sociedad la que determina las reglas que gobiernan el uso de la
tecnología, buscando un equilibrio adecuado entre la innovación y la protección.

La Unión Europea aprobó la histórica Ley de Inteligencia Artificial y ya finalizada, es la primera
regulación integral sobre inteligencia artificial adoptada en cualquier parte del mundo. Y hemos
visto en otros ámbitos —sobre todo en materia de privacidad— que el enfoque legislativo de la
UE ha tenido una influencia significativa en otros lugares, aunque aún es temprano para decir
si los responsables políticos de otras regiones verán esta ley como un modelo. La Ley de IA de
la UE adopta un enfoque horizontal, regulando la IA tanto si es una oferta de software
independiente como si está integrada en hardware, como en el caso de un coche autónomo.

También sigue un enfoque de ciclo de vida regulando aspectos de la IA desde la calidad de los
datos utilizados para desarrollar el servicio, hasta las pruebas de precisión y sesgo, la
supervisión humana, el desarrollo o el monitoreo posterior al mercado. Todas las partes
involucradas en el desarrollo, introducción, venta, distribución y utilización de sistemas de IA
deben cumplir con las obligaciones establecidas en dicha ley.

Dado que los sistemas de IA disponibles en el mercado de la UE a menudo también se
venderán en otras partes del mundo, y que la Ley de IA de la UE se aplicará allá donde se
utilicen los resultados de un sistema de IA en la UE, se aconseja un enfoque global coherente
para implementar sus requisitos y garantizar el cumplimiento.

Elementos clave de la Ley de IA de la UE

La Ley de IA de la UE aborda tres áreas clave de riesgo. Primero, prohíbe ciertos usos de la IA
que se consideran de riesgo inaceptable, como, por ejemplo, la identificación biométrica en
tiempo real realizada por las fuerzas del orden en espacios públicos. Segundo, adopta un
régimen regulador para los llamados casos de uso de alto riesgo, aquellos en los que el uso de
la IA podría afectar los derechos o las oportunidades significativas disponibles para las
personas (por ejemplo, en la aplicación de la ley, la educación o el empleo). Y tercero, para los
modelos fundamentales como los modelos de lenguaje grande, o la IA de propósito general
(GPAI, por sus siglas en inglés), impone obligaciones de transparencia para que los usuarios
tengan más información sobre cómo se desarrollan esos modelos y cuándo se están utilizando.

Gestión de riesgos y gobernanza de IA

La gestión de riesgos es el núcleo del enfoque de la Ley de IA de la UE. Por ello, las empresas
deben identificar quién tiene la responsabilidad general de dicha gestión. Esa persona debe
trabajar con un equipo multidisciplinario que incluya a individuos de las áreas legal, de
privacidad, de seguridad y del negocio para mapear los sistemas de IA que la empresa está
desarrollando o utilizando, y para evaluar los riesgos potenciales que plantean dichos sistemas.
Tras ese análisis, el equipo puede identificar cómo abordarlos o mitigarlos.

Existe una fuerte vinculación entre una buena gobernanza de IA y los requisitos de la Ley de IA
de la UE. En cualquier desarrollo de IA, es importante tener un proceso para identificar, evaluar
y gestionar riesgos. Asimismo, para garantizar buenos resultados, las empresas deben utilizar
datos de alta calidad. Es fundamental monitorear el rendimiento del modelo de IA para evitar
desviaciones y mitigar posibles sesgos. Y cualquier IA que realice recomendaciones debería
estar sujeta a supervisión humana. En conjunto, se requiere una estrategia de extremo a
extremo en la gobernanza de IA.

Desde una perspectiva de estrategia empresarial, las empresas deben pensar de manera
holística sobre cómo incorporar la gobernanza de IA en sus procesos de desarrollo y
cumplimiento. Al desarrollar productos de IA, necesitan evaluar si estos se encuentran dentro
del alcance de la ley y establecer procesos para asegurar el cumplimiento de sus obligaciones.
Cuando una empresa implementa sistemas de IA desarrollados por otros que están sujetos a la
ley, debe utilizar esos sistemas de acuerdo con las instrucciones proporcionadas por el
desarrollador del sistema y asegurar la supervisión humana en el uso de cualquier resultado
del sistema.

En muchos aspectos, esto es similar a las obligaciones de cumplimiento en otras áreas; sin
embargo, será importante que las empresas consideren los aspectos únicos de la IA, incluidos
nuevos riesgos no cubiertos por otros marcos legales, y desarrollen la experiencia necesaria
para utilizarlos de manera responsable. Y, al implementar la ley, puede haber disposiciones
que tengan sentido aplicar sólo para las ofertas en el mercado europeo, de la misma manera
que las empresas a veces aplican disposiciones específicas del RGPD únicamente a los datos
que se originan en Europa.

En general, construir un programa sólido de gobernanza de IA llevará gran parte del camino.
Aún será necesario considerar los detalles específicos de la Ley de IA de la UE, pero al igual
que con un programa de privacidad férreo se trata de ajustes sobre una base sólida.
¿Cuándo entrará en vigor la Ley de IA de la UE?

La Ley de IA de la UE establece diferentes plazos para implementar sus disposiciones según la
categoría de riesgo, y estos plazos comienzan con su publicación en el Diario Oficial después
de la aprobación final:

 IA de riesgo inaceptable: seis meses desde la aprobación – 2 de febrero de 2025.

 IA de propósito general: 12 meses – 2 de agosto de 2025.

 IA de alto riesgo: 24 meses – 2 de agosto de 2026.

 Todas las categorías de riesgo, con algunas excepciones: 36 meses – 2 de agosto de
2027.

Conclusión

Como ocurre con cualquier nueva ley, será importante observar cómo se aplica. Con la Ley de
IA, mucho se deja al desarrollo de estándares, por lo que será relevante ver cómo estos
impactarán el cumplimiento. Además, existen varios organismos reguladores relacionados en
los Estados miembros que serán responsables de hacer cumplir o asesorar sobre aspectos de
la ley. Observar cómo evoluciona este asesoramiento con el tiempo será informativo. Sin
embargo, estos aspectos también proporcionan flexibilidad, para que la ley pueda seguir siendo
funcional incluso a medida que la tecnología de IA continúe avanzando de maneras nuevas e
inesperadas.

Jason Albert - Global Chief Privacy Officer de ADP