|
Getting your Trinity Audio player ready...
|
La Unión Europea ha dado un paso decisivo en la regulación de la inteligencia artificial. El Reglamento Europeo de Inteligencia Artificial —conocido como AI Act, el primer marco legal integral del mundo sobre esta tecnología— comenzó a desplegar sus efectos con la entrada en aplicación del capítulo más contundente: la lista de prácticas prohibidas. Desde ese momento, quedan vetadas en los 27 Estados miembros aplicaciones como el reconocimiento facial indiscriminado en espacios públicos, los sistemas de puntuación social al estilo chino o las herramientas que manipulan el comportamiento de las personas aprovechando sus vulnerabilidades.
Un calendario escalonado
El reglamento fue aprobado definitivamente por el Parlamento Europeo y el Consejo en 2024 y entró formalmente en vigor el 1 de agosto de ese año. Sin embargo, sus obligaciones no se activaron de golpe: los legisladores diseñaron un calendario escalonado para dar margen de adaptación a empresas, administraciones y desarrolladores.
La primera fase, aplicable desde el 2 de febrero de 2025, incluye dos bloques. Por un lado, las prohibiciones absolutas sobre los sistemas considerados de «riesgo inadmisible». Por otro, la obligación de alfabetización en IA: proveedores y usuarios profesionales deben garantizar que su personal cuente con un nivel suficiente de conocimientos para manejar estas herramientas de forma responsable, teniendo en cuenta su formación previa y el contexto en que se utilicen.
En agosto de 2025 entraron en juego las normas sobre modelos de IA de propósito general (los grandes modelos fundacionales que sustentan servicios como ChatGPT, Gemini o Claude), junto con el régimen de gobernanza y sanciones. La última gran fase, prevista para agosto de 2026, afectará a los llamados sistemas de alto riesgo, con extensiones hasta 2027 para determinados productos regulados.
Qué queda prohibido
El artículo 5 del reglamento enumera las prácticas que la UE considera incompatibles con sus valores fundamentales. Entre ellas destacan:
El «scoring» social. Queda prohibido evaluar o clasificar a personas o grupos durante un periodo determinado en función de su comportamiento social o de características personales, cuando ello derive en un trato perjudicial o desproporcionado en contextos ajenos a aquellos en los que se recabaron los datos. Es el modelo de crédito social que se asocia habitualmente a China.
La identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales. Es decir, el reconocimiento facial «en la calle». La prohibición, no obstante, admite excepciones tasadas: la búsqueda selectiva de víctimas de secuestro, trata o explotación sexual; la prevención de una amenaza específica, sustancial e inminente para la vida o de un atentado terrorista; y la localización de sospechosos de delitos graves recogidos en una lista cerrada. En esos casos se exige autorización judicial o administrativa previa —salvo urgencia justificada—, una evaluación de impacto sobre derechos fundamentales y notificación a la autoridad de vigilancia del mercado.
El raspado masivo de imágenes faciales de internet o de circuitos de videovigilancia para crear o ampliar bases de datos de reconocimiento facial, una práctica asociada a empresas como Clearview AI.
El reconocimiento de emociones en el lugar de trabajo y en centros educativos, salvo por motivos médicos o de seguridad.
La categorización biométrica que infiera raza, opiniones políticas, afiliación sindical, creencias religiosas, vida sexual u orientación sexual.
La policía predictiva individual, entendida como la evaluación del riesgo de que una persona cometa un delito basándose únicamente en la elaboración de perfiles o en rasgos de su personalidad.
Las técnicas manipulativas o subliminales y la explotación de vulnerabilidades derivadas de la edad, la discapacidad o la situación socioeconómica, cuando puedan causar un perjuicio significativo.
Para orientar a empresas y administraciones, la Comisión Europea publicó unas directrices —de más de un centenar de páginas— que precisan cómo interpretar cada supuesto, con ejemplos prácticos y delimitación de zonas grises. No son jurídicamente vinculantes, pero sirven de referencia para las autoridades nacionales.
La supervisión humana como principio
Uno de los pilares transversales de la norma es la exigencia de supervisión humana. El reglamento obliga a que los sistemas de alto riesgo se diseñen y desarrollen de modo que las personas encargadas de vigilarlos puedan comprender sus capacidades y limitaciones, detectar anomalías, interpretar correctamente los resultados y, sobre todo, intervenir para interrumpir el funcionamiento del sistema cuando resulte imprescindible, mediante un botón de parada u otro procedimiento equivalente.
La norma advierte además contra el llamado «sesgo de automatización»: la tendencia a confiar acríticamente en la salida de una máquina. Los supervisores deben poder desestimar o revertir una decisión algorítmica. En el caso de la identificación biométrica remota, se exige una doble verificación humana: ninguna acción o decisión puede adoptarse sin que al menos dos personas con la formación y competencia adecuadas confirmen por separado la identificación.
Sanciones y gobernanza
El incumplimiento de las prohibiciones acarrea las multas más elevadas del reglamento: hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial, la cifra que sea mayor. Para otras infracciones, los topes bajan a 15 millones o el 3 %, y a 7,5 millones o el 1,5 % en caso de suministrar información engañosa a las autoridades.
La aplicación corresponde a las autoridades nacionales de vigilancia del mercado —en España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña—, coordinadas por la Oficina Europea de IA y un Comité Europeo de Inteligencia Artificial.
Críticas y presiones
El reglamento no ha estado exento de polémica. Organizaciones de derechos digitales como EDRi, Access Now o Amnistía Internacional han denunciado que las excepciones concedidas a las fuerzas de seguridad y al ámbito migratorio vacían de contenido buena parte de las prohibiciones, y lamentan que el texto no vete la exportación de sistemas prohibidos a terceros países.
Desde el lado opuesto, la industria tecnológica y varios gobiernos —encabezados por Francia y Alemania— han presionado para relajar o retrasar la aplicación de la norma, alegando que lastra la competitividad europea frente a Estados Unidos y China. La Comisión ha respondido con un paquete de simplificación digital que contempla aplazamientos en algunas obligaciones de alto riesgo y ajustes en los requisitos de transparencia, movimiento que ha generado inquietud entre quienes temen un debilitamiento del estándar europeo.
Con todo, la UE mantiene su apuesta por un enfoque basado en el riesgo que pretende convertirse en referencia global, replicando el llamado «efecto Bruselas» que ya se produjo con el Reglamento General de Protección de Datos. La incógnita, ahora, es si la aplicación práctica estará a la altura de la ambición del texto.
Generado por Claude Opus 5 low
