Análisis: ¿Quién puede permitirse esperar reglas claras sobre la IA?

Las empresas que compran servicios de IA necesitan saber qué requisitos incluir en los contratos. Los proveedores necesitan saber para qué reglas deben desarrollar sus servicios. Ambas partes afrontan incertidumbre mientras la tecnología avanza más rápido que la legislación. Ese dilema se debatió en una mesa redonda organizada por el centro de estudios Think.ai. Los participantes tenían experiencia en derecho, políticas públicas, administración pública y prestación de servicios digitales. Sus comentarios no se atribuyeron a personas concretas.

EU AI Act distingue entre distintos usos. La IA para seleccionar candidatos en procesos de contratación y algunas evaluaciones crediticias puede clasificarse como de alto riesgo, lo que activa requisitos como la gestión de riesgos, la documentación y la supervisión humana. El paquete de modificaciones AI Omnibus de la UE aplazó los principales requisitos para los sistemas de alto riesgo: se aplicarán a esos usos desde el 2 de diciembre de 2027 y a la IA de alto riesgo regulada como producto desde el 2 de agosto de 2028. Este último grupo incluye algunos sistemas de productos sanitarios y maquinaria.

En general, los requisitos para ciertos sistemas antiguos comercializados o puestos en servicio antes de la fecha correspondiente se aplican solo si después se producen cambios importantes en su diseño. Los sistemas de alto riesgo destinados a autoridades públicas tienen un plazo límite: los proveedores y las organizaciones usuarias deben adoptar las medidas necesarias para cumplir los requisitos antes del 2 de agosto de 2030.

El periodo transitorio puede influir en los lanzamientos y las contrataciones, pero las prohibiciones de EU AI Act y otras leyes, incluido GDPR, siguen vigentes. Los participantes dijeron que los compradores deberían aclarar en los contratos cómo se gestionarán los cambios futuros del servicio, los usos previstos y las pruebas que aportarán los proveedores. Afirmar que un producto cumple la normativa no determina por sí solo qué puede hacer el cliente con él; la clasificación de riesgo depende del uso previsto.

Los participantes pidieron orientación práctica de las autoridades y señalaron que las normas pueden ayudar. También recalcaron que certificar un sistema de gestión de IA no supone una aprobación general de todos sus usos. Advirtieron además que la documentación y las auditorías pueden suponer una carga para los proveedores pequeños y favorecer a las empresas consolidadas.

También debatieron CADA, la propuesta presentada en junio por la Comisión Europea para reforzar la capacidad de los centros de datos europeos y crear un marco para la soberanía en la nube y la IA. Todavía no es ley. Los cuatro niveles propuestos para el sector público van desde el almacenamiento y el procesamiento dentro de la UE hasta requisitos más estrictos de independencia, control y cadena de suministro de software. Los participantes advirtieron que elegir por defecto el nivel más alto podría reducir en la práctica las opciones del marco y aumentar los costes de los proveedores y las limitaciones para los clientes.

La conversación terminó con desacuerdo sobre dónde debería empezar el trabajo con IA; el texto fuente se interrumpe antes de completar ese punto.