Guía completa sobre las obligaciones del AI Act para las empresas y su aplicación

El Reglamento (UE) 2024/1689, conocido popularmente por su nombre en inglés, AI Act, regula el desarrollo, la comercialización y el uso de la inteligencia artificial, y alcanza también las obligaciones del AI Act para las empresas que utilizan herramientas de IA en su actividad profesional.

El AI Act distingue entre los sistemas y modelos de inteligencia artificial según su nivel de riesgo. Algunas prácticas se prohíben expresamente, mientras que para los sistemas de alto riesgo se imponen requisitos estrictos. Se exige transparencia en chatbots y contenido sintético, se establecen obligaciones específicas para los modelos de IA de uso general, y se impone la obligación de adoptar medidas para garantizar un nivel suficiente de alfabetización en IA del personal que use estos sistemas.

El Reglamento de Inteligencia Artificial está en vigor, y las sanciones previstas pueden alcanzar los 35 millones de euros, o el 7 % del volumen de negocios. De ahí que sea fundamental conocer las obligaciones del AI Act para las empresas.

Qué es el AI Act y por qué afecta a tu empresa

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, se publicó en el Diario Oficial de la UE el 12 de julio de 2024, con un calendario de vigencia escalonado, y de forma general está en vigor desde el pasado 2 de agosto de 2026. Al tratarse de un Reglamento, la norma es directamente aplicable en España sin necesidad de transposición.

Su ámbito de aplicación es amplio y extraterritorial, puesto que alcanza a:

• Los proveedores que introduzcan sistemas de IA en el mercado de la UE, con independencia de dónde estén establecidos.
• Los responsables del despliegue establecidos en la UE.
• Los proveedores y responsables del despliegue de terceros países cuando la información de salida del sistema se utilice en la Unión.
• Importadores y distribuidores.

Según el Reglamento, será responsable de despliegue cualquier persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional. Es decir, que el Reglamento se aplica a cualquier empresa o negocio en la UE que use herramientas de IA.

El Reglamento no se aplica, entre otros, a:

• Los usos exclusivamente militares, de defensa o seguridad nacional.
• Los sistemas desarrollados y puestos en servicio con el único fin de la investigación y el desarrollo científicos.
• Las actividades de investigación y prueba previas a la comercialización, salvo las pruebas en condiciones reales.
• El uso por personas físicas en actividades puramente personales y no profesionales.

Mientras que los sistemas de código abierto gozan de exenciones parciales, que no se aplican si son de alto riesgo, prohibidos o sujetos a obligaciones de transparencia.

Clasificación basada en riesgos

Las obligaciones del AI Act para las empresas se basan en una clasificación de sus usos: a más riesgo, más obligaciones e incluso prohibiciones absolutas. Esta clasificación de los riesgos tiene cuatro categorías:

1. Riesgo inaceptable o prácticas prohibidas: está prohibido introducir en el mercado, poner en servicio o utilizar sistemas de IA destinados, entre otros, a la manipulación subliminal o la explotación de vulnerabilidades, la puntuación social, la predicción de delitos basada solo en perfiles, la extracción no selectiva de imágenes faciales, el reconocimiento de emociones en el trabajo o en centros educativos y la categorización biométrica para deducir datos sensibles. En la práctica, este riesgo suele venir de funcionalidades integradas en herramientas de terceros, por lo que conviene revisarlas y documentar que se han descartado.
2. Alto riesgo: incluye los sistemas que son productos o componentes de seguridad regulados por la legislación del Anexo I, y los destinados a los usos del Anexo III, como biometría, infraestructuras críticas, educación, empleo, solvencia crediticia, seguros de vida y salud o justicia. Estos usos tienen requisitos estrictos de gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, evaluación de la conformidad, marcado CE y registro. Un sistema del Anexo III puede excluirse de la aplicación de estos requisitos si no influye sustancialmente en la decisión (art. 6.3), salvo que elabore perfiles, pero en todo caso esa conclusión debe documentarse, y el sistema debe registrarse igualmente.
3. Riesgo de transparencia: afecta a determinados sistemas, como los que interactúan con personas, los que generan contenido sintético, o deepfakes entre otros. Los proveedores deben diseñarlos para que las personas sepan que interactúan con una IA, y los responsables del despliegue (las empresas que los usen) deben informar a las personas expuestas. Es el bloque con mayor alcance práctico para las empresas: afecta a todas las que usen herramientas de IA para atención al cliente o para generar contenidos, por ejemplo.
4. Riesgo mínimo: en estos casos se aplican las obligaciones generales: la alfabetización en IA (art. 4), el RGPD y el resto de la normativa aplicable.

Los modelos de IA de uso general siguen un régimen propio que solo se aplica a los proveedores de dichos modelos (véase el apartado 5).

Obligaciones del AI Act para las empresas según el rol: proveedor vs responsable de despliegue

Las obligaciones del AI Act para las empresas dependen de su rol respecto de cada sistema de IA: hay que distinguir si la compañía es proveedora del sistema de IA o responsable de despliegue del mismo, sin perjuicio de otros roles como importador, distribuidor o representante autorizado.

Según la definición del propio Reglamento, será proveedora aquella persona física o jurídica, autoridad pública, órgano u organismo que desarrolle un sistema de IA o un modelo de IA de uso general o para el que se desarrolle un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado o ponga en servicio el sistema de IA con su propio nombre o marca, previo pago o gratuitamente.

Obligaciones del AI Act para las empresas que son transversales

Conforme a lo anterior, para poder determinar las obligaciones del Reglamento de IA para cada empresa, habrá que analizar conjuntamente los riesgos y el rol de la compañía en cada uno de los sistemas o herramientas utilizadas.

No obstante, existen obligaciones del AI Act para las empresas de carácter transversal, que se aplican tanto a los proveedores como a los responsables de despliegue, e independientemente del nivel de riesgo (junto con otras que dependen del tipo de sistema):

• a) Alfabetización en IA (art. 4): tanto proveedores como responsables del despliegue deben adoptar medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA de su personal y de las demás personas que se encarguen en su nombre del funcionamiento y la utilización de los sistemas.
• b) Prácticas prohibidas (art. 5): ninguna empresa puede introducir en el mercado, poner en servicio ni utilizar los sistemas prohibidos.
• c) Transparencia (art. 50): los responsables de despliegue deben informar a las personas de que interactúan con una IA, marcar el contenido sintético y etiquetar los deepfakes.

Modelos de IA de uso general

El Reglamento de IA define el «modelo de IA de uso general» como:

Un modelo de IA, también uno entrenado con un gran volumen de datos utilizando autosupervisión a gran escala, que presenta un grado considerable de generalidad y es capaz de realizar de manera competente una gran variedad de tareas distintas, independientemente de la manera en que el modelo se introduzca en el mercado, y que puede integrarse en diversos sistemas o aplicaciones posteriores, excepto los modelos de IA que se utilizan para actividades de investigación, desarrollo o creación de prototipos antes de su introducción en el mercado.

En esta definición están comprendidos los sistemas de IA generativa de grandes proveedores que usamos a diario.

Los proveedores de estos modelos deben:

• Elaborar y mantener documentación técnica.
• Facilitar información a los proveedores que integren el modelo.
• Aplicar una política de respeto de los derechos de autor.
• Publicar un resumen suficientemente detallado del contenido de entrenamiento (art. 53), con exenciones parciales para los modelos de código abierto.

Como hemos visto arriba, estas obligaciones se aplican incluso si no tienen sede en la UE, cuando su producto sea comercializado en territorio UE, en cuyo caso deberán designar un representante autorizado (art. 54). Si el modelo presenta riesgo sistémico, los proveedores deberán evaluar y mitigar esos riesgos, notificar incidentes graves y garantizar la ciberseguridad (art. 55).

Sanciones por incumplir las obligaciones del AI Act para las empresas

El Reglamento de IA remite a los Estados miembros el establecimiento de un régimen de sanciones y otras medidas de ejecución aplicable a las infracciones, que deberán ser efectivas, proporcionadas y disuasorias. A la hora de sancionar el incumplimiento de las obligaciones del AI Act para las empresas, los estados miembros deberán tener en cuenta los intereses de las pymes, incluidas las empresas emergentes, así como su viabilidad económica.

En España, el Proyecto de Ley Orgánica de Gobernanza de la IA que estaba en tramitación ha decaído tras la disolución de las Cortes por la convocatoria de elecciones, siendo previsible que se apruebe en la próxima legislatura. Este proyecto preveía multas de hasta 35 millones de euros o el 7% y de hasta 500.000 euros o el 0,5%, con atenuantes para pymes.

El Reglamento sí prevé un régimen sancionador directamente aplicable para los proveedores de IA de uso general, a los que la Comisión podrá imponer multas de hasta 15 millones de euros, o equivalentes al 3% de su volumen de negocios mundial total anual correspondiente al ejercicio financiero anterior, si esta cuantía es superior.

Checklist rápido para comprobar si se cumplen todas las obligaciones del AI Act para las empresas

Para comprobar el nivel de cumplimiento del Reglamento de IA en tu empresa puedes hacerte las siguientes preguntas:

• ¿Tenemos un inventario actualizado de los sistemas de IA?
• ¿Hemos descartado documentalmente el uso de prácticas prohibidas?
• ¿Sabemos qué rol desempeñamos respecto de cada sistema?
• ¿Hemos identificado los sistemas de alto riesgo?
• ¿Existe un plan de formación en IA documentado?
• ¿Informamos a usuarios y trabajadores cuando interactúan con IA?
• ¿Nuestros contratos con proveedores de IA cubren las obligaciones del Reglamento?
• ¿Hemos coordinado el cumplimiento del AI Act con el RGPD?

Si tienes dudas sobre las obligaciones del AI Act para las empresas y su aplicación en tu compañía, puedes solicitar un diagnóstico de cumplimiento del Reglamento de IA con Vento Abogados & Asesores.