Ley de IA de la UE: obligaciones y multas para la IA de alto riesgo

La cuestión decisiva es el calendario: las obligaciones completas de la Unión Europea para los sistemas de IA de alto riesgo se han aplazado; no están ya en vigor para la mayoría de estos sistemas. Los sistemas independientes incluidos en el anexo III deberán cumplirlas desde el 2 de diciembre de 2027. Para la IA de alto riesgo que forme parte de determinados productos regulados, la fecha es posterior: 2 de agosto de 2028. 18

Para las compañías que pretendan comercializar estos sistemas en la UE, el reto práctico consiste en diseñar un proceso de cumplimiento que pueda acreditar seguridad, trazabilidad y responsabilidad antes de su puesta en el mercado.

Qué sistemas se consideran de alto riesgo

La categoría abarca dos grandes grupos:

• Sistemas de IA utilizados como componentes de seguridad de productos regulados por normas europeas concretas, cuando esos productos requieran una evaluación de conformidad por un tercero.
• Sistemas de IA destinados a determinados ámbitos del anexo III, con las salvedades y excepciones previstas por la norma. 15

La clasificación es determinante: ser considerado de alto riesgo activa obligaciones mucho más estrictas durante todo el ciclo de vida que las aplicables a herramientas de IA ordinarias.

Qué deberán preparar los proveedores

Antes de poner un sistema de alto riesgo en el mercado europeo, el proveedor deberá integrar controles en el desarrollo y la operación del producto; no bastará con reunir documentos cuando una autoridad los solicite.

Gestión de riesgos y gobernanza de datos

Los proveedores deben implantar medidas de evaluación y mitigación de riesgos. También han de utilizar conjuntos de datos de calidad suficiente para reducir el riesgo de resultados discriminatorios. El marco para IA de alto riesgo exige que los datos de entrenamiento, validación y prueba sean pertinentes, representativos y estén adecuadamente gobernados. 115

Documentación y trazabilidad

Los sistemas de alto riesgo deberán conservar registros de actividad que permitan rastrear sus resultados, además de documentación técnica detallada sobre el sistema y su finalidad prevista. Esa evidencia permite a las autoridades evaluar el cumplimiento de las reglas. 1

Supervisión humana y solidez operativa

La normativa europea exige medidas apropiadas de supervisión humana y un nivel elevado de precisión, solidez y ciberseguridad. Los proveedores deberán facilitar a quienes utilicen el sistema información clara y suficiente para emplearlo conforme a su finalidad y conocer sus límites. 1

Evaluación de conformidad, registro y seguimiento

Antes de comercializar el sistema, el proveedor tendrá que completar la evaluación de conformidad que corresponda. Cuando sea obligatorio, deberá registrarlo, supervisar su funcionamiento tras el lanzamiento y notificar incidentes graves. Por tanto, el cumplimiento será una función permanente, no una aprobación puntual del producto. 115

Lista práctica de preparación

Las organizaciones que se preparen para las fechas de 2027 y 2028 deberían poder responder a estas preguntas:

1. ¿El sistema es realmente de alto riesgo? Hay que contrastar el caso de uso con las categorías de los anexos I y III.
2. ¿Quién responde por el sistema? Deben asignarse responsabilidades sobre seguridad del producto, cumplimiento jurídico, documentación y respuesta ante incidentes.
3. ¿Pueden demostrarse y mitigarse los riesgos? Conviene mantener un proceso repetible de gestión de riesgos, con pruebas y registros de decisión.
4. ¿Los controles sobre datos son defendibles? Deben documentarse la pertinencia y representatividad de los datos, los controles de calidad y las limitaciones conocidas.
5. ¿El sistema es auditable? Es necesario conservar registros, expedientes técnicos e instrucciones para los usuarios que describan el uso previsto y las restricciones.
6. ¿La supervisión humana funciona en la práctica? Hay que definir cuándo una persona puede intervenir, anular una salida o detener el uso del sistema.
7. ¿Está listo el seguimiento posterior a la comercialización? Deben prepararse procesos de vigilancia del rendimiento, medidas correctoras y notificación de incidentes.

Multas previstas en la Ley de IA

El régimen sancionador combina importes fijos en euros con porcentajes de la facturación anual mundial. El nivel más grave, aplicable a prácticas de IA prohibidas, puede llegar a 35 millones de euros o al 7 % de la facturación anual mundial. Otros incumplimientos pueden implicar sanciones de hasta 15 millones de euros o el 3 % de la facturación anual mundial. 3

La cuantía potencial de las multas implica que un programa para IA de alto riesgo no puede limitarse a una revisión jurídica. Equipos de producto, seguridad, ciencia de datos, compras, cumplimiento y operaciones deberán poder acreditar que las salvaguardas funcionan.

Por qué conviene actuar ya pese al aplazamiento

Las fechas revisadas conceden más tiempo, pero no reducen la amplitud de las obligaciones. Una empresa que espere hasta finales de 2027 quizá todavía tenga que crear sistemas de documentación, modificar prácticas de desarrollo de modelos, implantar registros de actividad, probar la supervisión humana y establecer circuitos de información posteriores al lanzamiento.

La estrategia más útil es tratar la Ley de IA de la UE como un estándar de gobernanza de producto: detectar pronto los casos de uso de alto riesgo, recopilar evidencias durante el desarrollo e incorporar seguridad, trazabilidad y control humano al proceso de lanzamiento desde el principio. 115