El reglamento europeo de IA llega a su aplicación general con sus principales garantías aplazadas
La ley europea de inteligencia artificial alcanza este domingo una de las fechas más importantes de su calendario. Aunque entró en vigor el 1 de agosto de 2024, comienza ahora a aplicarse de forma general. Desde este domingo serán obligatorias las normas que exigen informar a los usuarios cuando interactúan con una máquina o reciben contenidos creados o manipulados con IA. Otras partes ya estaban en marcha: los usos considerados inaceptables están prohibidos desde febrero de 2025 y las primeras reglas para los modelos de IA de uso general rigen desde agosto del año pasado.
El despliegue llega, sin embargo, con una protección todavía incompleta. Europa comienza a exigir que los ciudadanos sepan cuándo interviene una máquina, pero ha aplazado los controles sobre las herramientas capaces de condicionar el acceso a un empleo, una prestación pública, un crédito o un permiso migratorio. La Comisión Europea sostiene que los retrasos permitirán reducir cargas para las empresas y evitar inseguridad jurídica mientras se elaboran los estándares técnicos necesarios.
Para Anabel Arias, responsable de Derechos Digitales de la Federación de Consumidores y Usuarios CECU, este escenario obliga a rebajar las expectativas. “No es un marco de protección de derechos, como el Reglamento General de Protección de Datos (RGPD), sino una regulación tecnológica”, explica a infoLibre. La norma ordena el desarrollo y el uso de esta tecnología según el peligro que representa, pero no garantiza por sí sola los derechos fundamentales.
Un marco flexible que deja fuera una parte de la IA
Una de sus principales fortalezas es que Europa deja de confiar únicamente en los compromisos voluntarios de las empresas y establece obligaciones legales. Prohíbe prácticas como la puntuación social, la manipulación mediante técnicas ocultas, la explotación de las vulnerabilidades de determinados colectivos o algunos usos del reconocimiento biométrico.
También prevé controles a los llamados sistemas de alto riesgo, aunque su aplicación se ha aplazado hasta diciembre de 2027. Son aquellos que pueden influir de manera importante en la vida de una persona, por ejemplo, al intervenir en la concesión de un empleo, una plaza educativa, un crédito, una ayuda pública o un permiso de residencia. Estas herramientas deberán cumplir requisitos sobre la calidad de los datos, documentar su funcionamiento, contar con supervisión humana y garantizar unas condiciones mínimas de seguridad.
Cristina Puente, ingeniera de inteligencia artificial y profesora de la Universidad Pontificia Comillas de Madrid, considera que esta clasificación busca equilibrar “la mitigación o minimización de las amenazas” con el desarrollo responsable de la tecnología. Frente a una regulación específica para cada nueva herramienta, que podría quedar obsoleta rápidamente, el modelo basado en riesgos ofrece, según la ingeniera, una “gran capacidad de adaptación a los cambios”.
Arias valora también la creación de un registro europeo que debería permitir conocer qué herramientas de alto riesgo se emplean, para qué sirven y quién responde por ellas. El problema es que los controles más exigentes solo afectan a una parte de la inteligencia artificial disponible. Los algoritmos que deciden qué publicaciones, recomendaciones o anuncios ve cada usuario pueden reforzar prejuicios, amplificar la desinformación o condicionar el debate público, pero no entran necesariamente en esa categoría.
“El enfoque de riesgo es la limitación más estructural del Reglamento”, sostiene Arias. La definición deja margen para distintas interpretaciones y confía en que sean las propias empresas las que clasifiquen correctamente sus productos. La experta señala además las excepciones que permiten determinados usos de la vigilancia biométrica por parte de las fuerzas de seguridad en espacios públicos, una protección menor de la reclamada por las organizaciones de derechos fundamentales. Estas entidades temen que las excepciones faciliten una identificación y un seguimiento más amplios de la ciudadanía y que afecten especialmente a colectivos ya expuestos a discriminación.
Las garantías más importantes tendrán que esperar
Gran parte de las obligaciones para las herramientas de alto riesgo debía comenzar a aplicarse este agosto. No obstante, el Ómnibus de Inteligencia Artificial, incluido en la estrategia de desregulación de la Comisión, ha trasladado la fecha al 2 de diciembre de 2027. Los requisitos para la IA incorporada a productos como juguetes, maquinaria o dispositivos médicos se aplazan también hasta agosto de 2028.
Bruselas justifica la demora por la falta de estándares, orientaciones y herramientas técnicas que permitan cumplir la ley con seguridad jurídica. Elisa Gutiérrez García, profesora de Derecho Constitucional de la Universidad Complutense de Madrid y experta en inteligencia artificial y derechos fundamentales, reconoce a infoLibre que estos sistemas son los más complejos de adaptar, por lo que el retraso “puede ser comprensible desde esa perspectiva”. También recuerda que no se debería producir un vacío legal: “El derecho previo sigue siendo de aplicación, incluyendo la Carta de los Derechos Fundamentales de la Unión Europea”.
Arias cuestiona que la falta de estándares justifique posponer el conjunto de las obligaciones. La Comisión puede aprobar especificaciones comunes mientras estos se terminan y defiende que medidas como evaluar los riesgos, documentar el funcionamiento o garantizar la supervisión humana no dependen exclusivamente de una norma técnica. “Que no lo haya hecho es también una decisión política”, afirma. “Estamos hablando de sistemas que ya están decidiendo sobre acceso a servicios sociales, procesos migratorios o condiciones laborales. Retrasar las garantías y reducir la transparencia no beneficia a las personas, beneficia a quienes despliegan estos sistemas sin querer rendir cuentas” amplía.
El ex eurodiputado socialista Iban García del Blanco, uno de los negociadores de la ley durante la pasada legislatura, tampoco considera que el Ómnibus sea una simple corrección técnica. Aunque reconoce la necesidad de coordinar mejor las diferentes normas y facilitar su cumplimiento, cree que Bruselas ha reabierto un equilibrio legislativo delicado antes de comprobar sus resultados. Resume el giro como “algo de pragmatismo y mucho de claudicación” ante la búsqueda de competitividad tecnológica.
Este proceso no sólo afecta a la inteligencia artificial. La misma estrategia de simplificación alcanza también al Reglamento General de Protección de Datos y a la Directiva ePrivacy. Tanto Arias como Del Blanco temen que la competitividad termine utilizándose como argumento para debilitar los límites a la recopilación de datos y al poder de las grandes plataformas.
Transparencia sin poder medir la intervención de la IA
La principal novedad que sí se activa este 2 de agosto se centra en la transparencia. Los proveedores deberán avisar cuando una persona interactúe con un chatbot, un agente virtual o un avatar e incorporar marcas técnicas que permitan detectar contenidos sintéticos. Además, quienes empleen estas herramientas deberán identificar visiblemente los deepfakes y determinados textos creados con IA sobre asuntos de interés público.
Para Gutiérrez, estas medidas son “de vital importancia para combatir la desinformación y otros desórdenes informativos”, porque ponen en alerta al destinatario sin imponer limitaciones excesivas que puedan perjudicar la libertad de expresión o el derecho a la información.
Puente advierte de que la desinformación no siempre se comparte de forma consciente. Los sistemas de IA pueden ofrecer respuestas falsas o sesgadas con apariencia de veracidad, y los usuarios pueden confiar en ellas sin comprobarlas. “Muchas veces el propio usuario desconocerá que el contenido generado es erróneo y lo puede dar por bueno”, explica. Esa confianza puede hacer que la información falsa termine difundiéndose en redes sociales. Por eso, considera “muy valioso” identificar claramente los contenidos creados o modificados mediante IA.
Una de las principales excepciones afecta a los textos informativos. No tendrán que identificarse cuando hayan pasado por una revisión humana o un control editorial sustantivo y una persona asuma la responsabilidad final. Las directrices de la Comisión aclaran que una simple corrección ortográfica o gramatical no basta, pero será difícil comprobar desde fuera cuánto ha sido creado por IA.
“Es una excepción razonable en teoría, pero en la práctica será difícil de verificar externamente y abre margen a interpretaciones laxas”, advierte Arias. Una empresa, una institución o un partido podrá afirmar que el contenido ha sido revisado, mientras periodistas y ciudadanos carecerán de medios para conocer el proceso real de elaboración.
Una vigilancia todavía incompleta
La eficacia de la ley dependerá finalmente de la capacidad para monitorizar y hacerla cumplir. La supervisión se reparte entre la Oficina Europea de Inteligencia Artificial y las autoridades nacionales, pero algunos países todavía no han definido por completo qué organismos asumirán cada competencia, cómo actuarán y de qué recursos dispondrán.
Bruselas institucionaliza el uso de la IA en el Parlamento pese al riesgo para el juego democrático
Ver más
En España, el proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial continúa en la Comisión de Economía del Congreso, con el plazo de enmiendas abierto hasta el 2 de septiembre. La legislación que debe completar el reparto de competencias y el régimen sancionador no estará, por tanto, aprobada cuando comiencen a aplicarse las obligaciones de transparencia.
Arias alerta de que una norma común puede ofrecer niveles de protección desiguales si unas autoridades cuentan con equipos capaces de auditar herramientas complejas y otras carecen de recursos, personal especializado o voluntad política para enfrentarse a las grandes compañías tecnológicas. Además, buena parte de la aplicación dependerá de orientaciones, estándares técnicos y códigos voluntarios. Estas herramientas pueden ayudar a las empresas a cumplir la ley, pero no sustituyen una supervisión pública que compruebe si las medidas se aplican realmente.
“Su capacidad para proteger a las personas dependerá en gran medida de cómo interactúe con otras normas y de que las autoridades tengan recursos y voluntad real de hacerlo cumplir”, concluye Arias.
