Redactado por Diego Fierro Rodríguez, quien es letrado de la Administración de Justicia Letrado en el Ministerio de Justicia de España. Imparte cursos para cuerpos generales como formador en el Instituto Andaluz de Administración Pública y colabora habitualmente con revistas de investigación y difusión jurídica, como Economist & Jurist, Law & Trends, Legaltoday y Confilegal, estando enfocado en el estudio de aspectos vinculados con la Administración de Justicia y las nuevas tecnologías, entre otras materias. Igualmente, es codirector de la Revista Acta Judicial (…).
I.-) Introducción:
El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, conocido como Reglamento de Inteligencia Artificial, constituye un hito normativo en la regulación de una tecnología que redefine las fronteras de la innovación, la ética y el derecho. Su entrada en vigor parcial, programada para el 2 de agosto de 2025, conforme al artículo 113 y el considerando 179, marca un punto de inflexión en la gobernanza de la inteligencia artificial, al introducir obligaciones específicas para los proveedores de modelos de uso general, establecer estructuras de supervisión y fijar un régimen sancionador robusto. Este Reglamento no solo busca mitigar los riesgos asociados a esta tecnología, sino también promover un ecosistema de innovación responsable, equilibrando la protección de los derechos fundamentales con el desarrollo económico y tecnológico. Lo anterior me sugiere que la Unión Europea aspira a liderar globalmente la regulación de la inteligencia artificial, estableciendo un estándar que podría influir en jurisdicciones más allá de sus fronteras.
Debe tenerse presente que la complejidad del Reglamento radica en su enfoque escalonado, que distingue entre sistemas de inteligencia artificial de alto riesgo, modelos de uso general y aquellos con riesgos sistémicos, asignando obligaciones proporcionales al impacto potencial de cada categoría. Este análisis, estructurado en varias secciones, examina exhaustivamente las implicaciones jurídicas de las disposiciones aplicables a partir del 2 de agosto de 2025, con un enfoque particular en las autoridades notificantes, los organismos notificados, los proveedores de modelos de inteligencia artificial de uso general y el régimen de sanciones. La premura de la fecha límite, combinada con las señales de falta de preparación en varios Estados miembros, plantea serias dudas sobre la viabilidad de una implementación efectiva. Entiendo que el éxito del Reglamento dependerá de la capacidad de las instituciones europeas y nacionales para coordinarse, así como de la adaptabilidad de los operadores económicos frente a un marco normativo de tal envergadura.
La estructura del Reglamento refleja un esfuerzo deliberado por anticipar los desafíos inherentes a la regulación de una tecnología en rápida evolución. Al priorizar la aplicación de ciertas disposiciones, como las prohibiciones de prácticas inaceptables desde el 2 de febrero de 2025, y las obligaciones de los proveedores de modelos de uso general desde el 2 de agosto de 2025, la Unión Europea reconoce la urgencia de abordar riesgos inmediatos mientras se construye una infraestructura de gobernanza a largo plazo. Concretamente, el artículo 113 del Reglamento de Inteligencia Artificial dispone lo siguiente:
«El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Será aplicable a partir del 2 de agosto de 2026.
No obstante:
a) los capítulos I y II serán aplicables a partir del 2 de febrero de 2025;
b) el capítulo III, sección 4, el capítulo V, el capítulo VII y el capítulo XII y el artículo 78 serán aplicables a partir del 2 de agosto de 2025, a excepción del artículo 101;
c) el artículo 6, apartado 1, y las obligaciones correspondientes del presente Reglamento serán aplicables a partir del 2 de agosto de 2027.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.»
Sin embargo, la falta de textos complementarios, como las orientaciones detalladas sobre incidentes graves, y la demora en la designación de autoridades nacionales competentes en países como España, Alemania e Irlanda, me obligan a deducir que la implementación enfrenta obstáculos estructurales significativos. Este escenario sugiere que la Unión Europea debe equilibrar su ambición normativa con la realidad práctica de la diversidad administrativa y legislativa entre sus Estados miembros, un desafío que podría requerir ajustes transitorios o una reevaluación de los plazos establecidos.
II.-) Gobernanza de la inteligencia artificial:
1.) Autoridades notificantes:
El capítulo tercero, sección cuarta, del Reglamento establece un marco detallado para las autoridades notificantes, responsables de designar y supervisar los organismos de evaluación de la conformidad. El artículo 28 exige que cada Estado miembro designe al menos una autoridad notificante, encargada de evaluar, notificar y monitorear a los organismos que certifican el cumplimiento de los sistemas de inteligencia artificial de alto riesgo. Estas autoridades deben operar con estricta imparcialidad, evitando conflictos de intereses, y contar con personal altamente cualificado en áreas como tecnologías de la información, derecho y protección de derechos fundamentales. Esta exigencia refleja la necesidad de una supervisión técnica y jurídica robusta, capaz de abordar la complejidad de los sistemas de inteligencia artificial, cuyo impacto trasciende los límites tradicionales del derecho administrativo.
La organización de las autoridades notificantes debe garantizar la separación funcional entre quienes evalúan y quienes toman decisiones sobre la notificación, un mecanismo que refuerza la objetividad del proceso. Además, el artículo 28 prohíbe a estas autoridades ofrecer servicios de consultoría o realizar actividades propias de los organismos de evaluación, lo que asegura su neutralidad. La confidencialidad, regulada por el artículo 78, es un pilar clave, protegiendo los derechos de propiedad intelectual y los secretos comerciales, salvo en casos de divulgación exigida por la ley. Este enfoque me sugiere que el Reglamento busca un equilibrio delicado entre la transparencia necesaria para la supervisión y la protección de los intereses comerciales de los proveedores, un desafío particularmente relevante en un sector donde la innovación depende de la protección de datos sensibles.
La implementación efectiva de estas disposiciones enfrenta obstáculos significativos. La diversidad en los sistemas administrativos de los Estados miembros, junto con la falta de recursos en algunos países, podría dificultar la designación de autoridades notificantes competentes antes del 2 de agosto de 2025. Por ejemplo, en España, la ausencia de una ley nacional de inteligencia artificial plantea interrogantes sobre la capacidad de la Agencia Española de Protección de Datos para asumir estas funciones. En Alemania, el proceso legislativo se ha visto ralentizado por la inestabilidad política tras la caída del gobierno en 2024, mientras que en Irlanda, el organismo Enforce ha señalado deficiencias en la supervisión. Estas limitaciones me obligan a deducir que la coordinación entre los Estados miembros y la Comisión Europea será crucial para evitar disparidades en la aplicación del Reglamento, lo que podría socavar su objetivo de armonización.
2.) Organismos notificados:
Los organismos notificados, regulados por los artículos 29 a 39, son esenciales para garantizar que los sistemas de inteligencia artificial de alto riesgo cumplan con los requisitos del Reglamento. El artículo 31 establece condiciones estrictas, como la independencia del proveedor, la competencia técnica y la suscripción de un seguro de responsabilidad. Estos organismos deben contar con personal cualificado, procedimientos documentados y medidas de ciberseguridad adecuadas, lo que refleja una intención de profesionalizar la evaluación de conformidad. La presunción de conformidad, prevista en el artículo 32, se activa cuando los organismos cumplen normas armonizadas publicadas en el Diario Oficial de la Unión Europea, simplificando el proceso de acreditación. Este mecanismo me sugiere que el Reglamento busca estandarizar la evaluación, pero también impone una carga significativa a los organismos para mantener altos estándares de calidad.
El procedimiento de notificación, regulado por el artículo 30, requiere que las autoridades notificantes informen a la Comisión Europea y a los demás Estados miembros sobre los organismos designados, proporcionando pruebas detalladas de su competencia. Si no se presentan objeciones en un plazo de dos semanas (o dos meses, en ausencia de certificado de acreditación), el organismo puede iniciar sus actividades. Este sistema de control cruzado fomenta la confianza mutua, pero también plantea desafíos administrativos, especialmente para países con recursos limitados. La posibilidad de que organismos de terceros países actúen como notificados, según el artículo 39, está sujeta a acuerdos internacionales, lo que sugiere una apertura al comercio global con salvaguardas estrictas para garantizar el cumplimiento.
Los artículos 33 y 34 regulan la subcontratación y las obligaciones operativas, exigiendo que los subcontratistas cumplan los mismos requisitos de competencia y que los organismos minimicen las cargas administrativas para las pequeñas y medianas empresas. La obligación de los organismos notificados de participar en actividades de coordinación, prevista en el artículo 38, refuerza la armonización a nivel europeo. Sin embargo, la falta de claridad sobre la capacidad de los Estados miembros para implementar estas disposiciones, combinada con la presión del plazo del 2 de agosto de 2025, me obliga a deducir que la efectividad de los organismos notificados dependerá de la inversión en recursos humanos y técnicos, así como de la cooperación transfronteriza. La complejidad de estas disposiciones subraya la necesidad de una planificación meticulosa para evitar lagunas en la supervisión.
III.-) Obligaciones de los proveedores de modelos de inteligencia artificial de uso general:
1. Obligaciones generales:
El capítulo quinto del Reglamento introduce un régimen específico para los proveedores de modelos de inteligencia artificial de uso general, cuyas obligaciones entrarán en vigor el 2 de agosto de 2025, conforme al artículo 113, apartado b). El artículo 53 exige que estos proveedores elaboren y mantengan actualizada una documentación técnica detallada, incluyendo información sobre el proceso de entrenamiento, pruebas y resultados, conforme al anexo XI. Esta documentación debe estar disponible para la Oficina de Inteligencia Artificial y las autoridades nacionales competentes, garantizando la trazabilidad de los modelos. Además, los proveedores deben proporcionar a los desarrolladores de sistemas de inteligencia artificial que integren sus modelos información suficiente para comprender sus capacidades y limitaciones, respetando los derechos de propiedad intelectual y los secretos comerciales. Este enfoque dual me sugiere que el Reglamento busca equilibrar la transparencia con la protección de la innovación, un desafío complejo en un sector altamente competitivo.
Los proveedores también deben establecer directrices para cumplir con el derecho de autor de la Unión Europea, detectando reservas de derechos expresadas conforme a la Directiva (UE) 2019/790. Esto implica el uso de tecnologías avanzadas para identificar contenido protegido, lo que plantea cuestiones sobre la viabilidad técnica y los costos asociados. Además, deben publicar un resumen detallado del contenido utilizado para el entrenamiento, siguiendo un modelo proporcionado por la Oficina de Inteligencia Artificial. Esta obligación refleja una preocupación por la transparencia en el uso de datos, pero su implementación podría generar tensiones con los derechos de propiedad intelectual. La excepción para los modelos de código abierto, prevista en el artículo 53, apartado 2, alivia estas obligaciones, salvo para aquellos con riesgos sistémicos, lo que considero que fomenta la innovación abierta mientras mantiene controles estrictos sobre los modelos de mayor impacto.
La cooperación con la Comisión Europea y las autoridades nacionales, exigida por el artículo 53, apartado 3, subraya la importancia de un diálogo continuo entre los proveedores y los reguladores. Sin embargo, la falta de orientaciones detalladas sobre cómo implementar estas obligaciones, especialmente en relación con la protección de datos sensibles, podría generar incertidumbre. La experiencia de países como Irlanda, donde el organismo Enforce ha señalado deficiencias en la supervisión, me obliga a deducir que los proveedores podrían enfrentar desafíos significativos para cumplir con estas obligaciones en ausencia de una infraestructura regulatoria sólida. La necesidad de adaptar los procesos internos de las empresas, especialmente las pequeñas y medianas, añade otra capa de complejidad, lo que sugiere que la transición hacia el cumplimiento requerirá un esfuerzo coordinado entre los sectores público y privado.
2. Modelos con riesgo sistémico:
El artículo 55 impone obligaciones adicionales a los proveedores de modelos de inteligencia artificial de uso general con riesgo sistémico, definidos en el artículo 51 como aquellos con capacidades de gran impacto o un cómputo de entrenamiento superior a 10^25 operaciones de coma flotante. Estos proveedores deben realizar pruebas de simulación de adversarios para detectar y mitigar riesgos sistémicos, evaluar los posibles impactos a escala de la Unión Europea y notificar incidentes graves a la Oficina de Inteligencia Artificial. La exigencia de un nivel adecuado de ciberseguridad para los modelos y su infraestructura física responde a la necesidad de proteger estos sistemas contra amenazas externas, un aspecto crítico dado el potencial disruptivo de los modelos de gran escala. Entiendo que estas medidas buscan anticipar y neutralizar riesgos que podrían tener consecuencias económicas, sociales o políticas significativas.
El proceso de clasificación, regulado por el artículo 52, permite a la Comisión Europea designar un modelo como de riesgo sistémico de oficio o tras una alerta del grupo de expertos científicos. Los proveedores pueden argumentar que su modelo no presenta riesgos sistémicos, pero la decisión final recae en la Comisión, lo que refleja un enfoque centralizado. La publicación de una lista de modelos con riesgo sistémico, prevista en el artículo 52, apartado 6, busca aumentar la transparencia, aunque con salvaguardas para proteger información confidencial. Este mecanismo me sugiere que el Reglamento prioriza la seguridad pública sobre la flexibilidad de los proveedores, lo que podría generar tensiones en un sector donde la rapidez de innovación es clave.
La implementación de estas obligaciones plantea desafíos técnicos y administrativos. La realización de pruebas de simulación de adversarios requiere herramientas y metodologías avanzadas, cuya estandarización está aún en desarrollo. Además, la notificación de incidentes graves exige sistemas robustos de monitoreo y respuesta, lo que podría ser particularmente oneroso para empresas con recursos limitados. La falta de claridad sobre los criterios específicos para identificar riesgos sistémicos, combinada con la presión del plazo del 2 de agosto de 2025, me obliga a deducir que los proveedores podrían enfrentar dificultades significativas para cumplir con estas obligaciones, especialmente en ausencia de orientaciones detalladas de la Comisión Europea. Este escenario subraya la necesidad de una colaboración estrecha entre los reguladores y la industria para garantizar una transición efectiva.
3. Códigos de buenas prácticas:
El artículo 56 establece que los códigos de buenas prácticas, cuya finalización está prevista para el 2 de mayo de 2025, son herramientas clave para demostrar el cumplimiento de las obligaciones de los artículos 53 y 55. La Oficina de Inteligencia Artificial desempeña un papel central en su elaboración, invitando a proveedores, autoridades nacionales, la sociedad civil, la industria y el mundo académico a participar. Estos códigos deben abordar cuestiones como la actualización de la documentación técnica, la identificación y mitigación de riesgos sistémicos y el establecimiento de indicadores clave de rendimiento que reflejen las diferencias entre los participantes. La posibilidad de que la Comisión apruebe estos códigos mediante actos de ejecución, otorgándoles validez general, refuerza su relevancia jurídica y su potencial para armonizar prácticas en toda la Unión Europea.
Si los códigos no se finalizan a tiempo o resultan inadecuados, la Comisión puede establecer normas comunes mediante actos de ejecución, lo que me sugiere que el Reglamento anticipa posibles retrasos o discrepancias entre los actores involucrados. La participación voluntaria de los proveedores, especialmente aquellos cuyos modelos no presentan riesgos sistémicos, fomenta la autorregulación, pero la supervisión de la Oficina de Inteligencia Artificial garantiza que no se comprometa el cumplimiento normativo. Este enfoque híbrido entre regulación y autorregulación es innovador, pero su éxito dependerá de la capacidad de la Oficina para coordinar un proceso inclusivo y efectivo, así como de la disposición de los proveedores a adoptar estas prácticas.
La elaboración de los códigos enfrenta desafíos significativos, especialmente en un contexto de rápida evolución tecnológica. La inclusión de indicadores clave de rendimiento requiere un consenso sobre métricas que sean aplicables a una amplia gama de modelos, desde los desarrollados por grandes corporaciones hasta los creados por startups. Además, la participación de la sociedad civil y el mundo académico añade complejidad al proceso, ya que sus prioridades podrían divergir de las de la industria. La experiencia reciente, como la oleada de peticiones para retrasar la aplicación del Reglamento tras la publicación del Código de Buenas Prácticas para modelos de uso general, me obliga a deducir que la finalización de estos códigos podría requerir un esfuerzo adicional de coordinación y compromiso. Este escenario destaca la importancia de un enfoque flexible pero riguroso para garantizar que los códigos sean prácticos y efectivos.
IV.-) Régimen sancionador:
El capítulo duodécimo del Reglamento, aplicable a partir del 2 de agosto de 2025, establece un régimen sancionador diseñado para garantizar el cumplimiento de las disposiciones normativas. El artículo 99 exige que los Estados miembros adopten normas sobre sanciones administrativas, efectivas, proporcionadas y disuasorias, considerando las necesidades de las pequeñas y medianas empresas. Las multas por incumplir las prohibiciones del artículo 5, que abordan prácticas inaceptables de inteligencia artificial, pueden alcanzar los 35 millones de euros o el 7% del volumen de negocios mundial anual, lo que refleja la gravedad de estas infracciones. Otras violaciones, como el incumplimiento de las obligaciones de los proveedores o los organismos notificados, conllevan multas de hasta 15 millones de euros o el 3% del volumen de negocios, mientras que la presentación de información engañosa está sancionada con multas de hasta 7,5 millones de euros o el 1% del volumen de negocios.
La determinación de la cuantía de las multas considera factores como la naturaleza, gravedad y duración de la infracción, el número de personas afectadas, el grado de cooperación con las autoridades y la intencionalidad del infractor. Este enfoque contextual me sugiere que el Reglamento busca sanciones que no solo castiguen, sino que también incentiven la corrección de conductas y la mitigación de daños. Para las instituciones de la Unión Europea, el artículo 100 establece multas menores, impuestas por el Supervisor Europeo de Protección de Datos, con un máximo de 1,5 millones de euros por violar las prohibiciones del artículo 5. La confidencialidad de la información obtenida durante la imposición de sanciones, regulada por el artículo 78, protege los intereses comerciales y de seguridad, aunque permite el intercambio de información entre autoridades bajo estrictas condiciones.
La implementación del régimen sancionador enfrenta desafíos significativos. Los Estados miembros deben notificar sus normas sancionadoras a la Comisión Europea antes del 2 de agosto de 2025, pero países como España aún no han adaptado su legislación nacional, lo que podría retrasar la aplicación efectiva. En Alemania, el proceso legislativo se ha visto obstaculizado por la inestabilidad política, mientras que en Irlanda, el organismo Enforce ha señalado deficiencias en la supervisión. La falta de orientaciones detalladas sobre la gestión de incidentes graves, combinada con la demora en la designación de autoridades nacionales competentes, me obliga a deducir que el régimen sancionador podría enfrentar lagunas significativas en su implementación inicial. Este escenario subraya la necesidad de una acción coordinada para garantizar que las sanciones sean aplicadas de manera consistente y efectiva en toda la Unión Europea.
V.-) Desafíos de implementación:
La aplicación del Reglamento de Inteligencia Artificial a partir del 2 de agosto de 2025 enfrenta obstáculos estructurales, administrativos y operativos que podrían comprometer su efectividad. La falta de preparación de los Estados miembros, evidenciada por la ausencia de legislación nacional en países como España y la demora en la designación de autoridades competentes en Alemania e Irlanda, plantea serias dudas sobre la capacidad de la Unión Europea para implementar un marco normativo armonizado. La Comisión Europea, por su parte, enfrenta la presión de finalizar textos clave, como las orientaciones para proveedores de sistemas de alto riesgo y la revisión de las prohibiciones del artículo 5, en un plazo extremadamente ajustado. La ausencia de estos documentos, combinada con la complejidad de coordinar 27 sistemas administrativos, me sugiere que la implementación podría requerir medidas transitorias o ajustes en los plazos establecidos.
La creación de la Oficina de Inteligencia Artificial y el Consejo Europeo de Inteligencia Artificial, regulados por los artículos 64 y 65, es un paso crucial hacia una gobernanza centralizada. Sin embargo, su operatividad depende de la cooperación entre los Estados miembros, que deben designar representantes con competencias adecuadas y garantizar recursos suficientes. El foro consultivo y el grupo de expertos científicos, establecidos por los artículos 67 y 68, aportan diversidad de perspectivas, pero su impacto estará condicionado por la capacidad de integrar sus recomendaciones en la práctica regulatoria. La demora en la publicación de los códigos de buenas prácticas, cuya finalización está prevista para el 2 de mayo de 2025, añade otra capa de incertidumbre, especialmente para los proveedores de modelos de uso general, que dependen de estos códigos para demostrar cumplimiento.
La experiencia reciente, como la oleada de peticiones para retrasar la aplicación del Reglamento tras la publicación del Código de Buenas Prácticas para modelos de uso general, me obliga a deducir que la Unión Europea podría necesitar flexibilizar los plazos o adoptar enfoques más graduales. La diversidad de capacidades entre los Estados miembros, junto con la rápida evolución de la tecnología de inteligencia artificial, requiere un equilibrio entre la ambición normativa y la viabilidad práctica. A pesar de estos desafíos, el Reglamento establece un estándar global para la regulación de la inteligencia artificial, promoviendo un modelo basado en la protección de los derechos fundamentales, la transparencia y la responsabilidad. Su éxito dependerá de la capacidad de la Unión Europea para superar las barreras administrativas y garantizar una aplicación coherente en todos los Estados miembros.
VI.-) Conclusión:
El día 2 de agosto de 2025 marcará el inicio de una nueva era en la regulación de la inteligencia artificial en la Unión Europea, con la entrada en vigor de disposiciones clave del Reglamento (UE) 2024/1689. Las obligaciones impuestas a los proveedores de modelos de inteligencia artificial de uso general, la estructura de gobernanza liderada por las autoridades notificantes y los organismos notificados, y el régimen sancionador configuran un marco normativo ambicioso, diseñado para mitigar riesgos y fomentar la innovación responsable.
No obstante, los desafíos de implementación, derivados de la falta de preparación de los Estados miembros y la demora en la publicación de textos clave, plantean interrogantes sobre su viabilidad inmediata. La coordinación entre las instituciones europeas y nacionales, junto con la adaptabilidad de los operadores económicos, será crucial para garantizar que este esfuerzo regulatorio consolide a la Unión Europea como líder en la gobernanza de la inteligencia artificial.