La importància de l'alfabetització en IA malgrat la simplificació reguladora de la RIA per l'Omnibus Digital Europeu

El Reglament d'Intel·ligència Artificial i el seu sistema d'alfabetització

Reglament (UE) 2024/1689 del Parlament Europeu i del Consell, de 13 de juny de 2024 – (en endavant, el «Reglament Europeu d'Intel·ligència Artificial» o «REIA») estableix un marc regulador sòlid, fixa els nivells de risc associats als sistemes d'intel·ligència artificial (IA) i determina les mesures necessàries per a la protecció de la salut, la seguretat i els drets fonamentals consagrats per la UE.

Per assolir aquests objectius, i tenint en compte el context volàtil i d'evolució exponencial de la IA, la RIA estableix un sistema d'accions destinat a formar les persones implicades en el cicle de vida de la IA i els seus resultats.

La regulació vigent adopta un enfocament holístic per promoure l'alfabetització en IA, que s'ha d'implementar en tres àrees interdependents:

• A escala europea: la Comissió Europea i el Consell Europeureben competències per promoure l'alfabetització en intel·ligència artificial mitjançant accions destinades a augmentar la consciència pública en l'exercici de les seves funcions de governança, d'acord amb l'article 66 del RIA.
• A nivell nacional: l'Oficina d'IA i els Estats membres haurien de facilitar el desenvolupament de còdis de conducta per a la implementació voluntària de mesures per promoure l'alfabetització en IA, d'acord amb l'article 95 de la LIA.
• Internament per part de les empreses i entitats: L'article 4 de la Llei d'IA estableix que els proveïdors i els responsables de desplegar sistemes d'IA han de prendre, a partir del 2 de febrer de 2025, mesures per garantir que tant el seu personal intern com els tercers que actuïn en nom seu tinguin un nivell suficient de competència en IA, tenint en compte el context d'ús previst d'aquesta tecnologia.

Aquestes àrees estan interrelacionades, ja que les directrius a escala europea haurien de guiar les estratègies dirigides a empreses i entitats, mentre que els resultats de les accions preses a escala nacional haurien d'alimentar la presa de decisions estratègiques de la Comissió i del Consell.

La simplificació proposada en l'Omnibus Digital i la persistència de l'alfabetització

En el marc del paquet normatiu europeu Digital Omnibus, destinat a la simplificació reguladora en l'àmbit de la tecnologia i a una major harmonització de les normes a escala de la Unió Europea, es proposa esmenar l'article 4 de la RIA, que estableix obligacions d'alfabetització a escala organitzativa i que actualment té la redacció següent:

Article 4. Els proveïdors i els responsables de la implementació dels sistemes d'IA adoptaran mesures per garantir que, en la mesura del possible, el seu personal i altres persones responsables en el seu nom de l'operació i l'ús de sistemes d'IA tinguin un nivell suficient de competència en IA, tenint en compte els seus coneixements tècnics, experiència, educació i formació, així com el context d'ús previst dels sistemes d'IA i les persones o grups de persones per a les quals estan destinats els sistemes.

L'esmena proposada a la Llei d'IA, presentada el novembre de 2025 i actualment pendent d'aprovació, té com a objectiu eliminar el requisit de competència interna en IA, amb la finalitat de reduir les càrregues administratives per a les empreses, i substituir-lo per mesures de promoció a escala nacional i europea. A continuació es detalla el redactat proposat de l'article 4 inclòs a la Digital Omnibus:

Redacció proposada de l'article 4. La Comissió i els Estats membres fomentaran que els proveïdors i els responsables de la implementació dels sistemes d'IA adoptin mesures per garantir un nivell suficient de coneixement sobre la IA per part del seu personal i d'altres persones implicades en el funcionament i l'ús dels sistemes d'IA en nom seu, tenint en compte els seus coneixements tècnics, experiència, educació i formació, així com el context en què s'han d'utilitzar els sistemes d'IA, i tenint en compte les persones o grups de persones als quals s'adrecen aquests sistemes.

No obstant això, fins i tot si s'aprova aquesta simplificació, les accions d'alfabetització en IA continuaran sent necessàries perquè les empreses i entitats garanteixin el compliment de diverses obligacions legals en virtut de la RIA de la UE, així com per garantir la gestió adequada dels sistemes d'IA i l'atenuació eficaç dels riscos associats.

Rols organitzatius que requereixen formació per al compliment normatiu de l'AIAR

Les activitats de formació en IA, ja sigui per a la intervenció en el desplegament i l'ús dels resultats, o en activitats de disseny i desenvolupament tecnològic, així com en la implementació, el seguiment i la millora dels sistemes de gestió de riscos, són essencials per garantir un nivell adequat de compliment de la Llei d'IA.

Alguns exemples de càrrecs la formació dels quals, adaptada a la realitat de l'organització, és necessària per al compliment de la RIA són els següents:

• Alta direcció, per orientar la presa de decisions i la gestió d'un pla de digitalització que tingui en compte la IA, així com per conscienciar i facilitar el seguiment dels riscos associats a la tecnologia.
• Directors d'implementació i adquisicions, per anticipar els riscos associats a la implementació de sistemes d'IA, amb l'objectiu d'evitar l'avanç de projectes que estiguin prohibits o presentin un nivell de risc inacceptable per a l'entitat.
• Els responsables de la governança de la IA, per garantir un coneixement adequat de la metodologia de classificació i de la possible reclassificació dels sistemes com a d'alt risc, així com el seguiment de les avaluacions internes de compliment.
• Els responsables de productes i serveis que incorporen sistemes d'IA, per garantir l'aplicació correcta dels procediments de gestió de riscos, especialment pel que fa als controls de revisió humana, la gestió postcomercialització i la identificació i gestió d'incidents.
• Els responsables de comunicació i experiència d'usuari (UX) externa, per a la correcta implementació de les mesures de transparència relatives a la interacció amb els sistemes d'IA i la comunicació de les seves característiques, capacitats i limitacions.
• Usuaris interns dels sistemes d'IA,  per a l'aplicació correcta de les instruccions d'ús creades tant pel proveïdor del sistema d'IA com, si s'escau, per la persona responsable del desplegament, així com pel compliment de les limitacions relatives a la informació proporcionada com a entrada i al contingut generat com a sortida.
• Departament jurídic, per a la identificació de riscos transversals (com ara els relacionats amb la protecció de dades personals, la ciberseguretat, la normativa de consum, la informació confidencial, la propietat intel·lectual, etc.) així com per a la negociació de contractes amb els proveïdors de sistemes d'IA.
• Funció d'auditoria interna i compliment, per entendre els controls establerts per les normes nacionals i internacionals (com ara la ISO 42001) i verificar l'eficàcia dels sistemes de governança de la IA.

A més d'aquestes funcions clau, una estratègia adequada d'alfabetització i formació en IA ha de tenir en compte les característiques específiques de cada empresa o entitat, que ha de rebre assessorament adequat per identificar els sistemes d'IA en ús o en desenvolupament, determinar la posició de l'organització dins de la cadena de subministrament de l'IA, avaluar i abordar els riscos de l'IA, definir les responsabilitats legals associades a cada sistema i dissenyar l'estructura de governança necessària.

Conclusions

Les activitats de conscienciació i formació relacionades amb el desenvolupament i l'ús de sistemes d'IA són essencials, independentment de si constitueixen o no una obligació legal expressa, amb l'objectiu de prevenir els riscos derivats de l'ús d'aquesta tecnologia i com a part d'un sistema integral de gestió de la conformitat.

En aquest sentit, independentment de l'aprovació de la Digital Omnibus, és necessari que les empreses i entitats defineixin i integrin mesures de conscienciació i formació com a element essencial dels seus sistemes de gestió de riscos, amb l'objectiu d'evitar sancions administratives i mitigar possibles conseqüències negatives amb els clients, proveïdors i personal intern.

Nota informativa elaborada per Guilherme Sicuto, consultor sènior en governança de la IA, privacitat i ciberseguretat, departament TMT, ECIJA Madrid.