Derechos humanos y laborales
Tipo de empresa al que afecta
- Las empresas proveedoras que introduzcan en el mercado o pongan en servicio sistemas de IA o que introduzcan en el mercado modelos de IA de uso general en la Unión, con independencia de si dichos proveedores están establecidos o ubicados en la Unión o en un tercer país.
- Las empresas responsables del despliegue de sistemas de IA que estén establecidos o ubicados en la Unión.
- Las empresas proveedoras y responsables del despliegue de sistemas de IA que estén establecidos o ubicados en un tercer país, cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión.
- Las empresas importadoras y distribuidoras de sistemas de IA.
- Las empresas fabricantes de productos que introduzcan en el mercado o pongan en servicio un sistema de IA junto con su producto y con su propio nombre o marca.
- Los representantes autorizados de los proveedores que no estén establecidos en la Unión.
Grupo de interés al que afecta
- Administraciones públicas
- Personas empleadas
- Sociedad civil
Ambito de la normativa
- Europeo
Fecha de entrada en vigor
01 de agosto de 2024
*Aplicación general: 2 de agosto de 2026. Excepciones destacadas:
- 2 febrero 2025: Alfabetización en IA y sistemas de IA prohibidos.
- 2 agosto 2025: Obligaciones para modelos de IA de uso general. Si estaban ya en el mercado, deben adaptarse antes del 2 de agosto de 2027.
- 2 agosto 2027: Sistemas de IA de alto riesgo. Si fueron introducidos antes del 2 agosto 2026, solo deberán adaptarse si sufren modificaciones significativa
Objetivo de la normativa
El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial busca mejorar el funcionamiento del mercado interior y promover la adopción de una inteligencia artificial (IA) centrada en el ser humano y fiable, garantizando al mismo tiempo un elevado nivel de protección de la salud, la seguridad y los derechos fundamentales de los y las ciudadanas de la UE frente a los riesgos potenciales de la IA. Para lograrlo, se establecen una serie de requisitos y obligaciones tanto para los desarrolladores como para los usuarios de sistemas de IA. Estos requisitos se estructuran en función del nivel de riesgo que representan las aplicaciones de IA, categorizándolas en cuatro niveles: riesgo inaceptable, alto riesgo, riesgo limitado y riesgo mínimo.
Resumen de obligaciones para la empresa
El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial distingue distintos tipos de riesgo, que cuentan con mayores obligaciones según aumenta su grado. Estos son:
Riesgo inaceptable
Se establece una prohibición absoluta para varias prácticas que conllevan riesgos inaceptables. Para mayor detalle, se puede consultar el artículo 5, capítulo II, del RIA.
Riesgo alto
Sistemas que plantean un riesgo significativo de daño para la salud, la seguridad o los derechos fundamentales, abarcando sectores críticos (educación, empleo, salud, justicia, entre otros) listados en los Anexos I y III. Para mayor detalle sobre la clasificación, se puede consultar el artículo 6, sección 1, capítulo III, del RIA.
Las obligaciones técnicas para estos sistemas son: gestión de riesgos durante todo el ciclo de vida, calidad y gobernanza de datos, documentación técnica y archivos de registro, supervisión humana efectiva, y transparencia y robustez del sistema. Más información sobre los requisitos técnicos en la sección 2, capítulo III, del RIA.
En cuanto a las obligaciones específicas, los proveedores cumplirán los requisitos y garantizarán la conformidad, contarán con un sistema de gestión de calidad documentado y mantendrán documentación completa del sistema; custodiarán los registros del sistema que estén bajo su control; y colaborarán con las autoridades, aplicando medidas en caso de no conformidad.
Los importadores y distribuidores deben conservar la documentación técnica, asegurarse de que los productos han atravesado la evaluación de conformidad y cuentan con el marcado CE y que colaboran con las autoridades cuando sea necesario. Los importadores se asegurarán de que exista en la UE un representante autorizado del proveedor.
Los usuarios o responsables de despliegue deben practicar las labores de supervisión humana cualificada, monitorizar los sistemas, comunicar los incidentes y conservar los registros, adoptar medidas técnicas y organizativas adecuadas para seguir las instrucciones de uso, verificar la calidad de los datos, informar a todas las personas que puedan verse afectadas por el uso de sistemas, y cooperar con las autoridades.
Más información sobre estas y otras obligaciones en la sección 3, capítulo III, del RIA.
Riesgo limitado
Para determinados sistemas de IA existen obligaciones de transparencia, independientemente de si se consideran de alto riesgo. Los proveedores se asegurarán de que las personas físicas sean informadas de que están interactuando con un sistema IA y velarán por que la información de salida del sistema de IA esté marcada en un formato legible por máquina y que sea posible detectar que ha sido generada o manipulada de manera artificial.
Los usuarios de sistemas de categorización biométrica o de reconocimiento de emociones deberán informar del funcionamiento del sistema a las personas físicas expuestas a él. Además, aquellos que generen o manipulen imagen o sonido que parezcan personas, lugares u objetos, deberán informar de ello.
Más información sobre estas obligaciones en el capítulo IV, del RIA.
Riesgo mínimo
No tienen requisitos regulatorios específicos, pero están sujetos a buenas prácticas voluntarias.
Por otro lado, el Reglamento de IA define los modelos de IA de uso general como aquellos que tienen un grado considerable de generalidad; son capaces de realizar una gran variedad de tareas; y pueden integrarse en diversos sistemas o aplicaciones de IA. Los proveedores de estos modelos deben cumplir ciertas obligaciones, como documentar el proceso de entrenamiento y sus resultados de evaluación, informar a los proveedores de sistemas de IA que tengan previsto integrar en sus sistemas el modelo de IA de uso general, cumplir con la normativa de derechos de autor, y divulgar públicamente el contenido utilizado para entrenar el modelo de IA de uso general.
Si el modelo tiene riesgo sistémico (por tamaño, alcance o recursos) se le exigirán más controles (evaluaciones adversariales, gestión de incidentes, requisitos de ciberseguridad).
Más información sobre estas y otras obligaciones en el capítulo V del RIA.
Información adicional
En cuanto al ámbito de aplicación en concreto, el Reglamento de IA establece un código normativo único para proveedores, representantes autorizados de proveedores, importadores, distribuidores, responsables del despliegue, fabricantes, y particulares afectados por los sistemas de IA en el mercado europeo.
No se aplicará a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y, en cualquier caso, no afectará a las competencias de los Estados miembros en materia de seguridad nacional.
Además, quedan excluidos:
- Sistemas utilizados exclusivamente con fines militares, de defensa o de seguridad nacional, así como aquellos puestos en servicio únicamente con fines de investigación y desarrollo científicos.
- Actividades de investigación, prueba o desarrollo relativas a sistemas o modelos de IA antes de su introducción en el mercado o puesta en servicio.
- Personas físicas que utilicen sistemas de IA en el ejercicio de una actividad puramente personal de carácter no profesional.
Este reglamento no impedirá que la Unión o los Estados miembros mantengan o introduzcan disposiciones legales, reglamentarias o administrativas que sean más favorables a las personas trabajadoras en lo que atañe a la protección de sus derechos respecto al uso de sistemas de IA por parte de empleadores ni que fomenten o permitan la aplicación de convenios colectivos que sean más favorables a las personas trabajadoras.
Por otra parte, el reglamento conllevará un régimen sancionador que variará en función de la infracción, y que estará vigente a partir del 2 de agosto de 2025.
La gobernanza y supervisión de este reglamento cuenta con una doble dimensión. En el plano europeo, existe el Comité Europeo de Inteligencia Artificial (Consejo de IA), como órgano consultivo clave que incluye a representantes de cada Estado miembro de la UE y que cuenta con el apoyo de la Oficina de IA de la Comisión Europea. En paralelo, esta oficina coordina la aplicación del reglamento, publica guías y ofrece orientación, centraliza incidentes, fomenta la cooperación entre organismos y promueve la investigación y el desarrollo en IA responsable.
En España, se crea en consecuencia la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), principal autoridad supervisora a nivel nacional que cuenta con potestad sancionadora. Además, realiza tareas de asesoramiento, concienciación y formación sobre uso y desarrollo de sistemas de inteligencia artificial en España.
Para mayor detalle sobre las definiciones de todos los conceptos que incluye el reglamento, se puede consultar el artículo 3, capítulo I, del RIA.