Las claves sobre el Reglamento de Inteligencia Artificial de la UE: «Hay prohibiciones y obligaciones concretas»

La Inteligencia Artificial ya no es una tendencia futura, sino una realidad y una herramienta que las empresas están integrando progresivamente en sus estrategias económicas y empresariales.

Por ello, cuando se habla de IA, aparecen con frecuencia conceptos como seguridad y transparencia. Y desde el punto de vista jurídico, la primera cuestión es cómo pueden las empresas utilizar esta herramienta con seguridad jurídica.

Conocemos más sobre el Reglamento de la Inteligencia Artificial en este A Fondo del Área de Sostenibilidad de Cámara de Comercio de Zaragoza en una entrevista protagonizada por María Cristina Martínez, Directora Jurídica en Integra Tecnología, y Rocío López, directora del Departamento Jurídico de Levitec.

Reglamento de IA de la UE: lo que toda empresa debe saber

María Cristina Martínez: El Reglamento de Inteligencia Artificial es una norma de principios, muy inspirada en la lógica del Reglamento General de Protección de Datos. La Unión Europea ha seguido una tendencia similar: no establece siempre el “cómo”, sino el “qué” debe cumplirse. Esto da margen a las empresas para adaptar la norma a su realidad concreta, porque no tiene las mismas necesidades una empresa industrial que una empresa de servicios.

El reglamento sí entra con mucho detalle en determinados aspectos, especialmente en las prácticas prohibidas y en los sistemas de alto riesgo. Pero, en términos generales, deja libertad a la hora de construir la forma en que cada organización va a cumplir con sus obligaciones.

El reglamento se aplica a los sistemas de inteligencia artificial. A nivel normativo se habla de “sistemas”, no tanto de proyectos o algoritmos. Esto incluye desde herramientas como ChatGPT o Copilot hasta sistemas complejos integrados en maquinaria, productos físicos o procesos productivos. Por tanto, se aplica a prácticamente cualquier uso de inteligencia artificial dentro de una organización.

En cuanto a los sujetos obligados, se aplica a todos: administraciones públicas, empresas privadas y también usuarios, aunque en este último caso las personas físicas son principalmente el objeto de protección de la norma. El objetivo último es proteger los derechos fundamentales de los ciudadanos.

• ¿Desde cuándo se aplica el reglamento y cuáles son las principales fechas que deben tener en cuenta las empresas?

M. C. Martínez: El reglamento está en vigor desde 2024, aunque su aplicación es progresiva. Esto tiene sentido porque la inteligencia artificial evoluciona muy rápido y algunas obligaciones requieren tiempo para ser implementadas correctamente.

Una de las obligaciones más relevantes es la de transparencia, que entra en vigor en agosto. Esta obligación es especialmente importante porque abre la puerta a una aplicación más clara del régimen sancionador. Hasta ahora las empresas ya tenían obligaciones, pero la obligación de transparencia refuerza la posibilidad de exigir responsabilidades.

Además, existen obligaciones específicas para los sistemas de inteligencia artificial de alto riesgo. En estos casos, el reglamento es mucho más exhaustivo, porque se quiere evitar que la IA se utilice sin controles, sin seguridad o sin supervisión. Estas obligaciones afectan tanto a empresas desarrolladoras como a empresas usuarias.

En relación con los sistemas de alto riesgo, parece que algunas obligaciones podrían posponerse hasta 2027. Sin embargo, eso no significa que las empresas deban esperar hasta el último momento. Adaptarse requiere tiempo, especialmente si se necesitan políticas internas, formación, medidas técnicas y sistemas de supervisión.

• Y si una empresa no cumple, ¿a qué consecuencias se enfrenta?

M. C. Martínez: El reglamento prevé un régimen sancionador importante, similar al del Reglamento General de Protección de Datos. Las sanciones pueden llegar hasta los 35 millones de euros o el 7% de la facturación mundial, dependiendo del tipo de incumplimiento.

Además, habrá canales de denuncia específicos relacionados con la inteligencia artificial. Cualquier persona que sospeche que una empresa o institución no está cumpliendo con el reglamento podrá presentar una queja o denuncia para que se investigue.

La investigación estará coordinada desde la Oficina Europea de Inteligencia Artificial, aunque en cada país se designarán organismos responsables. En España, todo apunta a que la Agencia Española de Protección de Datos asumirá un papel relevante, porque ya cuenta con experiencia en procedimientos de supervisión y sanción.

El incumplimiento no solo puede derivar en una multa. También puede implicar que una empresa tenga que dejar de utilizar un sistema de inteligencia artificial del que ya depende en su actividad diaria.

Riesgos y oportunidades de la Inteligencia Artificial en el plano jurídico

• ¿Cuál es el bien jurídico que pretende proteger este reglamento?

M.C. Martínez: El reglamento busca proteger principalmente los derechos fundamentales de los ciudadanos de la Unión Europea. Esto se ve con claridad en la regulación de las prácticas prohibidas.

También pretende crear un marco jurídico único en Europa. La finalidad es dar seguridad jurídica a empresas e instituciones y garantizar que cualquier organización que trabaje con la Unión Europea, para la Unión Europea o con datos de ciudadanos europeos cumpla unos mínimos de seguridad, transparencia y control.

En definitiva, el reglamento intenta que todos los operadores jueguen con las mismas reglas dentro del mercado europeo.

• Has mencionado la diferencia entre sistemas desarrollados internamente y sistemas de terceros que una empresa puede utilizar. ¿Cómo debe actuar una empresa en cada caso para evitar riesgos?

M.C. Martínez: El reglamento no diferencia de forma excesivamente detallada entre desarrolladores, implementadores o usuarios, pero sí establece obligaciones que afectan a todos.

Cuando una empresa desarrolla inteligencia artificial debe contar con un marco de gobernanza. Esto implica disponer de una política de uso de IA que refleje qué ha decidido la empresa que se puede hacer y qué no. Esa política debe ir acompañada de medidas técnicas. Por ejemplo, si una empresa decide que no se puede utilizar ChatGPT o una IA pública, debería establecer mecanismos técnicos para impedir ese uso.

Además, la política debe recoger los principios éticos que rigen el uso de la inteligencia artificial en la organización. También debe comunicarse adecuadamente y la empresa debe poder acreditar que sus empleados la conocen.

Aquí aparece una obligación clave: la formación. El reglamento utiliza el concepto de alfabetización en inteligencia artificial, porque parte de la idea de que todavía existe mucho desconocimiento sobre la materia. Toda la plantilla debe recibir al menos formación de concienciación, y quienes trabajen directamente con sistemas de IA o los supervisen deben recibir formación específica sobre riesgos.

La tercera pata es la supervisión. La empresa debe supervisar el uso de la inteligencia artificial. Para ello, puede constituir un comité o, en organizaciones más pequeñas, nombrar a una persona responsable de supervisión. Esta figura debe conocer los riesgos concretos que la IA puede generar en la organización, teniendo en cuenta el sector, los productos, los procesos y los datos utilizados.

Si la empresa compra una solución de IA desarrollada por un tercero, también debe cumplir. No basta con decir que el proveedor es confiable o que ha firmado un documento garantizando el cumplimiento normativo. La empresa usuaria también necesita su política interna, formación y sistema de supervisión.

• Si una empresa tuviera que empezar desde cero, ¿qué debería incluir su código de conducta o política interna de inteligencia artificial?

M. C. Martínez: En primer lugar, debe estar alineado con el código ético de la organización y con su sistema de compliance. No puede ser un documento aislado.

Después, debe establecer compromisos claros por parte de la organización y de sus trabajadores. Por ejemplo, debe definir qué se considera información confidencial y dejar claro que esa información no puede introducirse en sistemas de inteligencia artificial, aunque el trabajador tenga acceso autorizado a ella dentro de la empresa.

También puede establecer que la empresa auditará los sistemas de IA utilizados para comprobar que no se están incorporando datos confidenciales o sensibles. Otra medida puede ser prohibir el uso de sistemas de IA gratuitos desde equipos corporativos si eso puede generar riesgos de seguridad o pérdida de control de la información.

La política debe anticiparse tanto a usos que ya se estén produciendo como a situaciones que puedan darse en el futuro. El objetivo no es frenar la innovación ni limitar el desarrollo empresarial, sino garantizar que la inteligencia artificial se utiliza con seguridad.

IA y empresas: claves legales para no perder el control

• En muchas empresas se trabaja con información sensible, documentos internos, datos de clientes o proyectos técnicos. Si un trabajador sube esa información a una IA pública, ¿la empresa pierde el control sobre esos datos?

M. C. Martínez: Si se utiliza una herramienta pública, la empresa debe asumir que pierde el control. La mayoría de las empresas ya han vivido esta situación en algún momento, porque es muy probable que algún trabajador haya usado una IA pública.

Estas herramientas pueden indicar que anonimizan los datos, pero eso no significa necesariamente que no los utilicen para entrenar el modelo o que no queden almacenados en algún entorno que la empresa no controla.

Por eso, una opción más segura es utilizar licencias empresariales o corporativas, en las que se pueda controlar mejor el tratamiento de los datos, impedir que alimenten el modelo y limitar el uso de la información. Otra opción recomendable es crear sistemas o agentes propios basados en motores de IA potentes, pero integrados dentro del entorno de la empresa y configurados para acceder solo a la información que la organización autorice.

• También existe el riesgo contrario: no solo qué información subimos a la IA, sino qué hacemos con la información que recibimos. ¿Cómo puede una empresa controlar la fiabilidad del resultado generado por una IA y evitar responsabilidades?

M. C. Martínez: La responsabilidad es de la empresa o de la persona que utiliza el resultado. Si una IA genera una respuesta y la empresa la publica, la incorpora a una demanda, la utiliza en una campaña o la aplica en una decisión interna sin revisarla, la responsabilidad recae en quien ha validado y utilizado ese contenido.

No se puede evitar completamente esa responsabilidad. Lo que sí se puede hacer es reducir el riesgo mediante formación y supervisión. Hay que aprender a preguntar correctamente a la IA y, sobre todo, a contrastar sus respuestas.

Una recomendación básica es pedir siempre las fuentes. La IA debe indicar de dónde ha extraído la información y proporcionar enlaces o referencias concretas que permitan comprobarla. Si la herramienta no puede facilitar esas fuentes, hay que sospechar que puede tratarse de una alucinación, es decir, de una respuesta inventada o no verificable.

•  La formación parece una de las claves principales para las empresas. ¿Hacia dónde vamos una vez que avance la implementación del reglamento?

M. C. Martínez: Probablemente veremos que otros países acaban tomando como referencia el modelo europeo, igual que ocurrió con el Reglamento General de Protección de Datos. Aunque se diga que Europa es burocrática, también es cierto que ha sido pionera en generar seguridad y confianza en los mercados.

La inteligencia artificial va a seguir avanzando y las empresas europeas podrán competir, pero sobre unas bases de seguridad, transparencia y responsabilidad. Además, cualquier empresa de fuera de Europa que quiera operar en este mercado tendrá que ajustarse a estas reglas.

El futuro pasa por utilizar la inteligencia artificial de forma consciente, responsable y supervisada. Las empresas deben aprovechar esta herramienta porque es muy útil y puede aportar mucho valor, pero sin olvidar la necesidad de cumplimiento, formación, seguimiento y control. De lo contrario, corren el riesgo de quedarse atrás tanto desde el punto de vista tecnológico como estratégico.