El Reglamento europeo de IA de la UE es la primera ley integral en materia de inteligencia artificial del mundo. Su objetivo es mitigar el impacto negativo significativo de la IA en la salud, la seguridad y los derechos fundamentales. Con este reglamento, como ya ocurrió con el Reglamento de Protección de Datos, la Unión Europea se posiciona como líder mundial en derechos digitales, pero ahora en un nuevo ámbito: la inteligencia artificial

El Reglamento introduce un marco uniforme en todos los países de la UE, basado en una definición prospectiva de la inteligencia artificial y un enfoque basado en el riesgo, regulando los usos de la tecnología, pero no la tecnología en sí. Este marco normativo se aplicará a los agentes tanto públicos como privados, de dentro y fuera de la UE, en la medida en que el sistema de inteligencia artificial se introduzca en el mercado de la Unión o su uso afecte a personas establecidas en ella.

No entran dentro del ámbito de aplicación de este Reglamento los sistemas de inteligencia artificial diseñados exclusivamente con fines militares, de defensa o de seguridad nacional, así como las actividades de investigación, desarrollo y de prototipos que tengan lugar antes de la comercialización de un sistema de inteligencia artificial.

El Reglamento de IA establece:

• Normas armonizadas para la introducción en el mercado, la puesta en servicio y la utilización de sistemas de inteligencia artificial en la UE
• Prohibiciones de determinadas prácticas de IA en el entorno de la Unión.
• Requisitos específicos para los sistemas de IA de alto riesgo y obligaciones para los operadores de dichos sistemas.
• Normas armonizadas de transparencia aplicables a determinados sistemas de IA de riesgo limitado.
• Normas armonizadas para la introducción en el mercado de modelos de IA de uso general, bien sean de riesgo sistémico o no.
• Normas sobre el seguimiento del mercado, la vigilancia de mercado, la gobernanza y una serie de garantías de cumplimiento.
• Por primera vez, un reglamento europeo también introduce medidas de apoyo a la innovación, prestando especial atención a las pymes, incluidas las empresas emergentes o startups.

Será aplicable a:

• Los proveedores que introduzcan en el mercado o pongan en servicio sistemas de IA o modelos de IA de uso general en la UE, con independencia de si están o no establecidos en la UE o en un tercer estado.
• Los responsables del despliegue de sistemas de IA que estén establecidos o ubicados en la UE o cuando los resultados de salida generados por el sistema de IA se utilicen en la Unión.
• Los importadores y distribuidores de sistemas de IA.
• Los fabricantes de productos que introduzcan en el mercado o pongan en servicio un sistema de IA junto con su producto y con su propio nombre o marca.
• Los representantes autorizados de los proveedores que no estén establecidos en la Unión.
• Las personas afectadas que estén ubicadas en la Unión.

El Reglamento establece unos niveles de riesgo en función del uso de la IA y, sobre las categorías detectadas, establece una serie de obligaciones.

El Reglamento impone una serie de obligaciones que los sistemas de IA de alto riesgo deben cumplir:

• Sistema de Gestión de Riesgos
  

  El proveedor de un sistema de IA de alto riesgo deberá establecer, aplicar, documentar y mantener un sistema de gestión de riesgos. Se identificarán y valorarán amenazas, se adoptarán medidas de mitigación, y se monitorizarán sus efectos, en un ciclo de mejora continua que se prolongará durante todo el ciclo de vida del sistema.

• Datos y Gobernanza de Datos
  

  Los sistemas de IA de alto riesgo que utilizan técnicas de entrenamiento de modelos con datos se desarrollarán a partir de conjuntos de datos de entrenamiento, validación y prueba que se someterán a prácticas adecuadas de gobernanza y gestión de datos. Entre estas prácticas destacan:

  • Elegir un diseño adecuado.
  • Adoptar los procesos adecuados de recopilación de datos.
  • Operaciones de tratamiento de datos oportunas, como anotación, etiquetado, depuración, enriquecimiento y agregación.
  • Análisis y depuración de los posibles sesgos.
  • Evaluación previa de disponibilidad, cantidad y adecuación de los datasets necesarios.
• Documentación Técnica
  

  Los proveedores deben suministrar a los usuarios y a las autoridades documentación técnica del sistema de IA. La documentación demostrará que se cumplen los requisitos del Reglamento que estamos comentando, y explicará cómo comprobarlo. El AIA describe la información mínima que deberá proveer un sistema de IA.

• Registros
  

  Los sistemas generarán permanentemente registros, o logs, que tienen que garantizar un nivel de trazabilidad de su funcionamiento adecuado para su finalidad prevista.

  

  Además, durante toda la vida del sistema, se recogerán y analizarán evidencias para asegurar que el sistema funciona normalmente y cumple las disposiciones del Reglamento, a través de un proceso continuo de monitorización post-comercialización.

• Transparencia y Comunicación de Información a los Usuarios
  

  Los sistemas deben diseñarse de una forma que se garantice a los usuarios un funcionamiento suficientemente transparente, es decir, que les permita comprenderlo y utilizarlo adecuadamente. Con el sistema, el proveedor tendrá que proporcionar instrucciones de uso con información concisa, completa, correcta y clara que sea pertinente, accesible y comprensible para los usuarios.

• Vigilancia Humana
  

  Los sistemas se diseñarán y desarrollarán de forma que su uso pueda ser supervisado por personas físicas. Esta vigilancia debe prevenir o minimizar los riesgos para la salud, la seguridad o los derechos fundamentales que pueden surgir tanto si el HRAIS se utiliza conforme a su finalidad prevista como si se le da un uso indebido razonablemente previsible, en particular cuando dichos riesgos persisten a pesar de aplicar los demás requisitos.

• Precisión, Solidez y Ciberseguridad
  

  Los sistemas de IA de alto riesgo se diseñarán, desarrollarán y mantendrán de forma que alcancen, según su finalidad prevista, un nivel adecuado de precisión de los resultados. Las instrucciones de uso que los acompañarán indicarán los niveles de precisión y los parámetros de precisión pertinentes.

  

  Los sistemas deberán ofrecer un grado adecuado de resiliencia ante las limitaciones en los sistemas o en el entorno en el que estos funcionan (p. ej., errores, fallos, incoherencias o situaciones inesperadas.

  

  Los sistemas han de diseñarse de forma que sean resistentes a los intentos de terceros de aprovechar las vulnerabilidades del sistema, en particular de las vulnerabilidades específicas de los sistemas de IA, como pueden ser la corrupción intencionada de los datos de entrenamiento para manipular las salidas que producen.

Previo a la comercialización de un sistema de inteligencia artificial de alto riesgo en el mercado de la UE, los proveedores deberán someterlo a una evaluación de conformidad o de manera alternativa a una autoevaluación. Esto les permitirá demostrar que su sistema cumple con los requisitos obligados de una inteligencia artificial de confianza. Adicionalmente también deben de cumplir con las siguientes obligaciones:

• Contar con un sistema de gestión de calidad
• Mantener la documentación del sistema
• Custodiar los registros de actividad
• Colaborar con las autoridades demostrando cumplimiento, y notificando incumplimientos y riesgos detectados.

Las obligaciones de los usuarios (responsables del despliegue según la nomenclatura del Reglamento) son: supervisión humana, monitorizar los sistemas, guardar registros y colaborar con las autoridades.

Las obligaciones de Importadores y distribuidores son: conservar la documentación técnica, asegurar que los productos han superado la evaluación de conformidad, y colaborar con las autoridades.