Hoy se empieza a aplicar progresivamente. La ´AI Act´ ya está activa pero no será hasta pasados 24 meses, es decir hasta agosto de 2026, cuando sea de obligado cumplimiento en su totalidad. Según ha planificado la Unión Europea, las obligaciones irán llegando de manera progresiva.

En seis meses, a partir del 2 de febrero de 2025, deberán cumplirse las disposiciones generales y las prohibiciones de riesgo inaceptable.

En nueve meses, a partir del 2 de mayo de 2025, deberán cumplirse los códigos de buenas prácticas.

En doce meses, a partir del 2 de agosto de 2025, deberán cumplirse las normas generales y los distintos países deberán haber actualizado sus normas en lo relativo a las sanciones y multas. Es decir, a partir del año que viene toda la legislación deberá estar preparada para empezar a multar a las empresas que no cumplan con esta normativa.

Europa da varios años de margen. Para los sistemas " de alto riesgo", como los modelos de IA más avanzados, se dará un margen mayor. Tendrán un total de 36 meses para empezar a cumplir las numerosas obligaciones. Esto es, un año desde la puesta en marcha completa. Por lo que a la práctica hasta agosto de 2027 no se obligará a estos modelos de IA a documentar todo su funcionamiento y ser totalmente transparentes sobre cómo funcionan.

Sin embargo, distintas empresas como Meta han tomado la decisión de no traer sus sistemas a Europa. Aunque todavía no tienen que cumplir con esas obligaciones, han optado por ser cautelosos y no ofrecer a los usuarios europeos modelos de IA que pueden no cumplir con lo que exige la Unión Europea.

La compleja definición de "alto riesgo". Uno de los puntos que a la práctica será más difícil de implementar es la categorización de la IA por sus niveles de riesgo. Entre ellos se establece "alto riesgo" para aquellos sistemas de IA que puedan "tener un efecto perjudicial considerable en la salud, la seguridad y los derechos fundamentales de las personas".

El texto técnico lo define a través de numerosos apartados, pero principalmente son aquellos sistemas de IA que pueden llegar a afectar a sectores críticos como la educación, los procesos democráticos o la seguridad.

Una de las críticas de los defensores de la privacidad como EDRi es que en la definición de alto riesgo no se han incluido directamente los sistemas de videovigilancia masiva. No se permite el reconocimiento facial en directo, pero sí sistemas de identificación biométrica y su uso por ejemplo para controlar el acceso fronterizo.

El foco está en los desarrolladores de grandes modelos. La normativa se centra principalmente en estos sistemas de "alto riesgo" y deja la mayoría de sistemas de IA como filtros y chatbots de "riesgo mínimo" sin regular.

El objetivo de Europa es colocar el foco en los creadores de los modelos (desarrolladores) y no tanto en quienes los aplican (implementadores). Un ejemplo sería por ejemplo Google con Gemini y empresas de telefonía móvil como Samsung u OPPO, que principalmente adaptan el modelo de Google para muchas funciones pero no lo han desarrollado ellos de cero.

Otra de las críticas a la AI Act es que los modelos "open source" no están exentos de cumplirla. Esto incluye por ejemplo a LLaMa de Meta, Stable Diffusion o Mistral.

Multas de hasta el 7 %. Si la Ley de Mercados Digitales establece multas de hasta el 10 % de la facturación anual mundial y la Ley de Servicios Digitales se queda en el 6 %, la AI Act pone el límite de las sanciones en el 7 % de la facturación anual mundial. También son multas más elevadas que el 4 % que establece el Reglamento General de Protección de Datos.

Estas multas estarán gestionadas por la Oficina Europea de Inteligencia Artificial, que deberá velar por el cumplimiento de la ley, elaborar informes, actualizar los requisitos y prestar apoyo a las empresas para poder adaptarse correctamente.

Autor