La Ley de IA de la UE (EU AI Act, Reglamento 2024/1689) entró en vigor el 1 de agosto de 2024. Es el primer marco regulatorio comprehensive para IA a nivel global. Implementation gradual: prohibitions desde febrero 2025, general-purpose AI obligations agosto 2025, high-risk systems agosto 2026+. Este artículo cubre lo que importa para empresas.
Enfoque risk-based
AI Act clasifica systems en niveles de riesgo:
Prohibidos (desde feb 2025)
- Social scoring tipo China.
- Behavioral manipulation explotando vulnerabilities.
- Biometric real-time en público (con exceptions law enforcement).
- Emotion recognition en workplace/education.
Alto riesgo (agosto 2026+)
Systems usados en:
- Infraestructura crítica.
- Educación (admissions, grading).
- Empleo (hiring, monitoring).
- Servicios públicos esenciales.
- Law enforcement, immigration.
- Justice administration.
- Biometric identification.
Obligations: risk management, data quality, logging, transparency, human oversight, accuracy, robustness, cybersecurity.
Riesgo limitado
- Chatbots: deben revelar son IA.
- Deepfakes: label obligatorio.
- Content generado IA: disclosure.
Riesgo mínimo
Videojuegos, filtros spam, etc. Sin obligations mayores.
General-Purpose AI (GPAI)
Models como GPT-4, Claude, Llama:
Tier base (todos)
- Technical documentation.
- Info para downstream deployers.
- Respect copyright.
- Publish training data summary.
Tier “systemic risk”
Models con compute >10^25 FLOPs (GPT-4, Claude 3, etc):
- Model evaluation before release.
- Risk assessment.
- Adversarial testing.
- Cybersecurity protections.
- Report serious incidents.
Plazos clave
- Feb 2025: prohibitions effective.
- Aug 2025: GPAI obligations.
- Aug 2026: high-risk systems.
- Aug 2027: algunas excepciones finalizan.
Compliance gradual.
¿Aplica a mi empresa?
Si:
- Desarrollas AI system en UE: probably.
- Deployeas AI system en UE: obligations per risk tier.
- Vendes a clientes UE aunque estés fuera: applies.
- Tienes empleados UE usando AI systems: obligations downstream.
Territorial scope broad — como GDPR.
Sanciones
- Prohibited AI: hasta €35M o 7% turnover.
- High-risk non-compliance: €15M o 3%.
- Incorrect info to authority: €7.5M o 1%.
Significantly higher que GDPR.
¿Qué hacer ahora?
Q4 2024
- Inventory AI systems en uso/desarrollo.
- Classify risk tier por sistema.
- Gap analysis vs requirements.
2025
- Prohibited systems: remove before feb 2025.
- Documentation para GPAI (agosto 2025).
- Training de staff.
2026
- High-risk compliance por agosto 2026.
- Conformity assessments con notified bodies.
Interplay con GDPR
AI Act complementa pero no reemplaza GDPR:
- Processing de personal data por AI sigue GDPR.
- DPIA obligatorio para high-risk AI processing personal data.
- Right to explanation en automated decisions (GDPR Art. 22).
- Data minimization.
Compliance holístico requerido.
Open-weight exemption
Open-source AI models tienen algunas exemptions:
- Training data: algunas obligations lighter.
- Not for profit: reduced burden.
- But: si hosted-as-service, obligations como closed.
Matiz importante para proyectos como Llama, Mistral.
Code of Practice
Comisión facilita voluntary Code of Practice para GPAI:
- Interim compliance path antes de plazos.
- Inputs del industry (OpenAI, Google, Anthropic, Meta).
- Sirve como guidance.
Empresas pueden firmar y mostrar good-faith compliance.
Coordination con UK, US
- UK AI Safety Institute: cooperation UE.
- US Executive Order: some alignment.
- Bletchley Declaration: international summit track.
AI Act es standard que influye global — similar GDPR effect.
Sandbox regulatorio
Member states crean regulatory sandboxes para AI:
- Testing compliance en controlled environment.
- Consulting con regulators.
- Reduced enforcement risk.
Para startups, oportunidad de navegar complejidad.
Impacto en startups
- High-risk AI: significant compliance cost ($$M).
- GPAI obligations: manageable con documentation discipline.
- Limited-risk: minimal impact.
Startups en AI deben factor compliance desde diseño — retrofit costs mucho más.
Criticism
AI Act recibe críticas:
- Too broad: general-purpose scope may hinder innovation.
- Enforcement unclear: notified bodies scaling.
- Competitive disadvantage: EU empresas vs US unregulated competitors.
Balance innovation vs protection es debate continuo.
Conclusión
EU AI Act es realidad regulatoria que empresas con operations EU no pueden ignorar. Plazos gradual permiten prep sensato — pero iniciar ahora es prudente. Consult legal, inventario sistemas AI, classify risk, plan compliance. Para startups, buildar desde diseño compliant es más barato que retrofit. La ley marca pauta: regulación IA es global trend. Quienes se preparen temprano tienen ventaja competitiva.
Síguenos en jacar.es para más sobre regulación IA, compliance europeo y estrategia AI.
