AI ACT: Una nueva era de aplicación y responsabilidad para la inteligencia artificial

El Reglamento (UE) 2024/1689 de 13 de junio, conocido como AI ACT, establece, por primera vez en la Unión Europea, un marco jurídico vinculante para el desarrollo, la comercialización y el uso de los sistemas de inteligencia artificial (IA).

Así, centrándose en la mitigación de riesgos y la protección de los derechos fundamentales, el AI ACT establece un marco de obligaciones para proveedores, usuarios y otros actores en el ciclo de vida de los sistemas de IA, estableciendo un régimen de infracciones administrativas, basado en sanciones proporcionales y disuasorias por violar las normas establecidas.

El precio del incumplimiento: infracciones y multas en el AI ACT

El AI ACT define sanciones administrativas basadas en límites definidos en la ley, que reflejan la gravedad de la infracción y el tamaño económico de la entidad infractora.

Aunque no se indica expresamente, las infracciones a las normas establecidas en el AI ACT se clasifican en muy graves, graves y leves:

• Las infracciones muy graves son las que se refieren a prácticas prohibidas en virtud del artículo 5, como la comercialización de sistemas de IA que utilicen técnicas subliminales, manipuladoras o engañosas para influir sustancialmente en el comportamiento de las personas, mermando gravemente su capacidad de tomar decisiones con conocimiento de causa y haciéndolas actuar de un modo que pueda causarles un perjuicio importante.
• Los delitos graves se refieren al incumplimiento de los requisitos generales o aplicables a los modelos de IA de propósito general, distintos de los establecidos en el artículo 5. Este grupo de delitos incluye, por ejemplo, el incumplimiento de las obligaciones relativas a los sistemas de alto riesgo, incluidos los fallos en los procesos de evaluación de la conformidad, la documentación técnica o las medidas de mitigación de riesgos.
• Las infracciones leves se refieren al suministro de información incorrecta, incompleta o engañosa a las autoridades nacionales competentes.

Las multas impuestas varían en función de su clasificación, como sigue:

• Infracciones muy graves: multas de hasta 35.000.000,00 euros o, en el caso de una empresa, de hasta el 7 % de su volumen de negocios mundial anual en el ejercicio financiero anterior, si esta cifra es superior;
• Infracciones graves: multas de hasta 15.000.000,00 euros o, en el caso de una empresa, de hasta el 3 % de su volumen de negocios anual a nivel mundial en el ejercicio financiero anterior, si esta cifra es superior;
• Infracciones leves: multas de hasta 7.500.000,00 euros o, en el caso de una empresa, de hasta el 1% de su volumen de negocios anual a nivel mundial en el ejercicio financiero anterior, la cifra que sea más alta.

En el caso de las pequeñas y medianas empresas, se aplicará la menor de las dos cantidades.

¿Quién supervisa? Estructura de control del AI ACT

La aplicación práctica del AI ACT debe basarse no sólo en normas claras, sino también en un modelo de supervisión eficaz y estructurado, que garantice que todos los implicados en el ciclo de vida de los sistemas de inteligencia artificial cumplan sus obligaciones legales.

Según el reglamento, cada Estado miembro tendrá que designar a las autoridades nacionales competentes para controlar el cumplimiento del reglamento y a una autoridad nacional de supervisión, con poderes como autoridad de notificación y vigilancia del mercado.

Estos organismos se encargarán de imponer multas, investigar las infracciones y notificarlas a la Comisión Europea, que tendrá un papel de coordinación, garantizando un enfoque armonizado entre los Estados miembros.

En el caso de Portugal, 14 organismos sectoriales han sido designados como competentes a tal efecto y ya han sido notificados a la Comisión Europea: Autoridade Nacional de Comunicações (ANACOM); Inspeção-Geral das Finanças (IGF); Gabinete Nacional de Segurança (GNS); Entidade Reguladora para a Comunicação Social (ERC); Inspeção-Geral da Defesa Nacional (IGDN); Inspeção-Geral dos Serviços de Justiça (IGSJ); Polícia Judiciária (PJ); Inspeção-Geral da Administração Interna (IGAI); Inspecção-Geral da Educação e da Ciência (IGEC); Autoridade Reguladora da Saúde (ERS); Autoridade de Segurança Alimentar e Económica (ASAE); Inspecção-Geral do Ministério do Trabalho, Solidariedade e Segurança Social (IGMTSSS); Autoridade das Condições de Trabalho (ACT); Autoridade Reguladora dos Serviços Energéticos (ERSE).

El modelo de inspección de AI ACT debe combinar la supervisión nacional y la coordinación europea, tratando de garantizar un equilibrio entre la innovación y la protección de los derechos fundamentales. A partir de ahora, las empresas deberán prepararse para responder con rapidez y transparencia a las exigencias de estas entidades, concretamente mediante la aplicación de políticas internas de cumplimiento y la realización de auditorías continuas.

De la teoría a la práctica: fechas clave para la aplicación

La entrada en vigor del AI ACT marca sólo el comienzo de un proceso de aplicación por fases, cuidadosamente estructurado para permitir una adaptación progresiva por parte de los Estados miembros, las empresas y otras entidades implicadas.

Los próximos pasos en la aplicación son los siguientes:

• A partir del 2 de agosto de 2025: serán aplicables las normas relativas a las autoridades de notificación, los modelos de IA de propósito general, la gobernanza, las sanciones y la confidencialidad;
• A partir del 2 de agosto de 2026: entrada en vigor del resto de materias del reglamento.
• A partir del 2 de agosto de 2027: el pleno cumplimiento será obligatorio para los sistemas de IA de alto riesgo.

El régimen de infracciones administrativas del AI ACT no es una mera formalidad jurídica, sino una clara señal de que la Unión Europea considera la inteligencia artificial como una cuestión de interés público y de protección de los derechos fundamentales.

Las cuantiosas multas por infringir las normas establecidas en el reglamento representan un riesgo financiero real y tangible, que ya recomienda el desarrollo de una cultura interna de cumplimiento real y coherente. Sin políticas y procesos de control eficaces, será inevitable que las organizaciones que se ocupan de la IA puedan incurrir, incluso de forma no intencionada, en infracciones. Implantar mecanismos de auditoría interna, registros técnicos, control de documentos y formación continua no sólo es prudente, sino que resulta esencial para garantizar el cumplimiento y proteger la reputación de las organizaciones en un panorama normativo cada vez más exigente. Más que una obligación, el cumplimiento de la IA debe considerarse una inversión estratégica.

Prepararse a tiempo para este nuevo marco jurídico será crucial para garantizar no sólo el cumplimiento legal y evitar riesgos financieros, sino también la confianza de los ciudadanos y los operadores económicos en el uso seguro y responsable de la IA.