El próximo 2 de febrero, la Agencia Española de Supervisión de la Inteligencia Artificial (Aesia) comenzará a ejercer sus funciones de inspección sobre el uso de Inteligencia Artificial en los negocios de los autónomos. Y a partir del 2 de agosto a sancionará a quienes se extralimiten en el uso de la misma para vulnerar derechos.
Declaraciones como las efectuadas por la ministra Yolanda Díaz y el Secretario de Estado de Trabajo, Joaquín Pérez Rey, destacando la importancia de las auditorías algorítmicas para garantizar la transparencia y evitar discriminaciones en el uso de algoritmos en las relaciones laborales, ya vaticinaban que la Administración se propone vigilar el empleo de la IA a todos los niveles.
Lo cierto es que la entrada en funcionamiento del nuevo organismo, dependiente del Ministerio de Asuntos Económicos y Transformación Digital, ha marcado un hito en la regulación de las nuevas tecnologías. Y no sólo en España, sino también en Europa. De modo que será la entidad pública encargada de garantizar que los desarrollos basados en IA cumplan con los requisitos éticos, legales y de seguridad establecidos por las regulaciones marcadas por la UE.
Además, después del verano, la Aesia asumirá plenamente sus competencias sancionadoras. Esto significa que podrá imponer multas de hasta 30 millones de euros o el 6% de la facturación anual a quienes infrinjan las reglas. Unas reglas que, de momento, se recogen en el Reglamento (UE) 2024/1689, más conocido como la Ley de IA. Se trata de una normativa que busca equilibrar el desarrollo tecnológico con la protección de los derechos fundamentales, un aspecto que afecta directamente al tejido empresarial, incluyendo a autónomos y pequeños de todo el ámbito europeo.
Cuatro niveles de riesgo que la Aesia tendrán en cuenta para sancionar a los autónomos
El marco de esta ley determina qué prácticas y sistemas de IA estarán sujetos a vigilancia. En este sentido, el reglamento europeo clasifica las herramientas de IA según el “riesgo que representan”, en tanto a su efecto en “la seguridad, los medios de subsistencia y los derechos de las personas”. Esta clasificación permite un enfoque más preciso en la regulación.
El texto parte de una definición amplia de lo que se entiende por inteligencia artificial, lo que permite abarcar una gran diversidad de aplicaciones tecnológicas, desde servicios de “puntuación social” de los gobiernos hasta los juguetes que utilizan asistencia de voz.
Sin embargo, quedan fuera del ámbito de regulación algunos sistemas específicos, como los destinados exclusivamente a fines militares, de defensa o de seguridad nacional. Así como aquellos desarrollados únicamente con fines de investigación y desarrollo científico que no se utilicen en entornos reales.
Así, la normativa distingue cuatro niveles de riesgo para los sistemas de inteligencia artificial: inadmisible, alto, bajo y nulo. Cada nivel está diseñado para reflejar el impacto potencial del sistema.
- En el nivel de riesgo inadmisible, se agrupan prácticas que se consideran contrarias a los valores de la UE por su impacto negativo en los derechos fundamentales. Estas prácticas están expresamente prohibidas. Ejemplos de ellas son el uso de técnicas subliminales para manipular conductas, el aprovechamiento de vulnerabilidades de personas en situación de especial sensibilidad, la puntuación social tanto con fines públicos como privados, y el uso del reconocimiento emocional en entornos laborales o educativos (excepto por razones médicas o de seguridad).
- Los sistemas de alto riesgo son aquellos que pueden tener un impacto significativo en la seguridad de las personas o en sus derechos fundamentales. Incluyen desde dispositivos médicos hasta herramientas de selección de personal. Estos incluyen, por un lado, productos que ya están regulados por normativas europeas específicas, como los dispositivos médicos, los vehículos, los juguetes o las máquinas. Por otro lado, también abarca sistemas como los empleados en políticas sociales, extranjería, seguros de vida y salud o en procesos de selección de personal. Estos sistemas deberán cumplir con estrictos requisitos técnicos y operativos para ser considerados conformes a la ley, incluyendo evaluaciones de seguridad, transparencia, calidad de datos, trazabilidad, supervisión humana y resistencia frente a errores o ataques cibernéticos.
- Los sistemas clasificados como de riesgo bajo representan la mayor parte de los usos actuales de la IA. Aunque están sujetos a menores obligaciones legales, se establecen medidas específicas relativas a la transparencia, para evitar la manipulación o confusión de los usuarios. Los chatbots deberán informar claramente que son máquinas. Por ejemplo, en el caso de los sistemas que empleen robots conversacionales (como un chatbot) o generen contenido manipulado de forma artificial, se deberá informar claramente de que se trata de interacciones con máquinas o de materiales creados mediante IA. Mientras que los textos sobre “asuntos de interés público” que estén generados por IA deberán estar marcados como tal.
- Por último, la Ley de IA permite el uso libre de aquellos sistemas considerados de riesgo mínimo o nulo. Ejemplos de los mismos incluyen aplicaciones como videojuegos habilitados para IA o filtros de spam. Estas aplicaciones tendrán un impacto menor en la regulación.
Los modelos generativos se consideran potencialmente peligrosos si no se controlan
El reglamento también contempla los riesgos derivados de los sistemas de IA de uso general, como los grandes modelos generativos, como ChatGPT de Open IA o Gemini, que pueden emplearse en tareas diversas. Estos sistemas, debido a su potencia y capacidad de impacto masivo, se consideran potencialmente peligrosos si no se controlan adecuadamente. Esto implica un mayor nivel de supervisión para evitar riesgos.
Se les exige, por tanto, una evaluación exhaustiva de riesgos, medidas de mitigación y protocolos de comunicación ante posibles incidentes. Además, deberán demostrar que cumplen con altos estándares de ciberseguridad y buenas prácticas para evitar su uso indebido en contextos como ciberataques o aplicaciones malintencionadas.
Bajo este marco, la Aesia no sólo vigilará el cumplimiento de estas disposiciones, sino que también coordinará con los actores implicados en la cadena de valor de los sistemas de IA: desde los proveedores hasta los distribuidores. Esta coordinación será clave para garantizar el cumplimiento.
Es decir, que la aplicación de estas normativas tendrá un impacto directo en los pequeños y medianos negocios, muchos de las cuales ya utilizan sistemas de IA para mejorar sus procesos y servicios.
La Comisión Europea recomienda ayudar a los negocios a adaptarse a las normativas de IA
Para estos negocios, el cumplimiento de las nuevas exigencias puede suponer un desafío, especialmente en lo que respecta a la inversión en actualizaciones tecnológicas y en formación para garantizar que sus sistemas se adapten a los estándares exigidos.
Por ejemplo, en los negocios que operan en sectores como la sanidad, donde se utilizan algoritmos para el diagnóstico médico, deberán demostrar que estos sistemas son seguros y precisos. En educación, las plataformas que personalizan el aprendizaje tendrán que evitar sesgos y garantizar la igualdad de oportunidades. En el ámbito de los recursos humanos, los sistemas que automatizan procesos de selección deberán ser transparentes y no discriminatorios, lo que podría requerir auditorías regulares para verificar su cumplimiento. Estas obligaciones demandan recursos adicionales para los negocios.
De ahí que, desde la Comisión Europea, se haya señalado la importancia de apoyar a los pequeños negocios en este proceso de adaptación, con el objetivo de que puedan cumplir con la normativa sin perder competitividad. El apoyo externo será crucial para afrontar estos cambios. Así, en este sentido, a la espera de que se publiquen directrices específicas y que se ofrezcan herramientas que faciliten la transición hacia un marco tecnológico más regulado, la Aesia ofrecerá formación y asesoramiento a pymes y startups.
