Os compartimos el quinto artículo de nuestra saga quincenal titulado “Garantías para el cumplimiento del Reglamento UE 2024/1689, de IA” de Pedro Tenorio Sánchez Of Counsel del Bufete Más y Calvet y Catedrático de Derecho Constitucional de la UNED.
Estos artículos sobre el Reglamento Europeo de Inteligencia Artificial (RIA), ayudan a entender y prevenir cómo afectará el RIA a cuestiones fundamentales que impactan la actividad y organización de las empresas y a las personas en el día a día.
Introducción
El Reglamento (UE) 2024/1689 de Inteligencia Artificial (IA) establece un marco legal pionero en el ámbito mundial, cuyo objetivo es regular el desarrollo, uso y comercialización de los sistemas de IA en la Unión Europea. Este Reglamento proporciona un conjunto de garantías esenciales para asegurar que la IA se utilice de manera segura, ética y en consonancia con los derechos fundamentales. A continuación, vamos a referirnos sucintamente a algunos elementos del Reglamento, en concreto, la determinación de las personas responsables, las responsabilidades de los actores involucrados, especialmente las empresas usuarias de sistemas de IA, así como las sanciones y consecuencias del incumplimiento de sus disposiciones. También se hará una breve alusión a la intersección de estas cuestiones con la protección de datos.
Determinación de las personas responsables
El Reglamento establece la identificación de las personas responsables a lo largo del ciclo de vida de los sistemas de IA. Esto incluye tanto a los desarrolladores y proveedores de estos sistemas como a las entidades que los implementan o usan en sus actividades diarias, como empresas y administraciones públicas. La responsabilidad primaria recae sobre el proveedor del sistema de IA, quien es responsable de garantizar que el sistema cumpla con los requisitos esenciales de seguridad, transparencia y respeto de los derechos fundamentales antes de su comercialización o puesta en uso.
Además, se incluye a los distribuidores, quienes deberán actuar con diligencia si detectan irregularidades o si el sistema no cumple con los requisitos establecidos. De igual manera, las personas físicas o jurídicas que importen sistemas de IA a la Unión Europea tendrán que garantizar que los productos que introducen en el mercado cumplan con la normativa vigente. Por último, los usuarios de estos sistemas, como empresas que implementan IA en sus procesos de decisión, también asumen una parte de la responsabilidad, especialmente en lo que respecta a la utilización ética y segura de la tecnología.
Responsabilidades de los actores involucrados, con especial referencia a las empresas usuarias de sistemas de IA
Las responsabilidades de los distintos actores que intervienen en el desarrollo y uso de sistemas de IA están delimitadas. Los proveedores deben cumplir con un conjunto de obligaciones técnicas, como la realización de una evaluación de riesgos previa, la garantía de que el sistema ha sido desarrollado conforme a estándares europeos de seguridad y transparencia, y la implementación de mecanismos que permitan una supervisión humana efectiva. Además, están obligados a registrar sus sistemas en una base de datos de la UE y a notificar cualquier fallo o irregularidad grave.
Por su parte, las empresas usuarias de sistemas de IA tienen obligaciones específicas que, aunque más limitadas en comparación con los proveedores, son cruciales para la correcta implementación de la normativa. Estas empresas deben asegurarse de que los sistemas de IA que utilizan estén debidamente certificados y cumplan con las normas de transparencia, lo que incluye proporcionar información clara a los usuarios finales sobre cómo funciona el sistema y sus posibles impactos. Además, están obligadas a realizar una supervisión humana adecuada, lo que implica la posibilidad de intervención humana en procesos automatizados para evitar decisiones arbitrarias o perjudiciales para las personas.
En el caso de los sistemas de alto riesgo, definidos en el reglamento como aquellos que pueden impactar significativamente en los derechos fundamentales de las personas, las empresas deben implementar medidas adicionales, como auditorías regulares de los sistemas, una correcta gestión de los datos utilizados, y garantizar la trazabilidad de las decisiones tomadas por la IA.
Pedro Tenorio Sánchez
D. Pedro Tenorio, nuevo Of Counsel de nuestra firma Bufete Mas y Calvet.
El Catedrático aporta una vasta experiencia en el ámbito del Derecho Constitucional. Desde el 29 de enero de 2015 hasta su disolución el 5 de marzo de 2024, desempeñó el rol de Of Counsel en el Despacho Ramón Rodríguez Arribas Abogados, S.L.P., donde dejó una huella significativa con su profundo conocimiento y habilidades jurídicas.
Actualmente es Catedrático de Derecho Constitucional en la Universidad Nacional de Educación a Distancia de Madrid, posición que ha ocupado desde el 6 de diciembre de 2011.
Su carrera es larga y destacada, con una trayectoria que incluye su labor como Letrado del Tribunal Constitucional de España del 1 de septiembre de 2001 al 2 de junio de 2011.
Sanciones y consecuencias del incumplimiento
El incumplimiento de las disposiciones del Reglamento (UE) 2024/1689 sobre IA acarrea sanciones severas, en consonancia con el régimen sancionador que ya existe en el Reglamento General de Protección de Datos (RGPD). Las sanciones, reguladas principalmente en el art. 99, se dividen en tres niveles, dependiendo de la gravedad de la infracción.
- 1. Para las infracciones leves, como la presentación de información inexacta a las autoridades, las sanciones pueden alcanzar los 7.500.000 euros o el 1% del volumen de negocios anual global de la empresa.
- 2. Para infracciones graves, como el incumplimiento de las obligaciones de los proveedores conforme al art.16, las sanciones pueden llegar hasta los 15 millones de euros o el 3% del volumen de negocios global de la empresa.
- 3. Las infracciones más serias, como la utilización de sistemas de IA prohibidos, pueden conllevar sanciones aún más elevadas (pueden alcanzar 35 millones de euros o el 7% del volumen de negocios anual-global de la empresa), además de la prohibición de continuar comercializando o utilizando los sistemas infractores.
Intersección con la protección de datos
El Reglamento de IA se entrecruza de manera significativa con el Reglamento General de Protección de Datos (RGPD), ya que muchos sistemas de IA procesan grandes volúmenes de datos personales. Las empresas y desarrolladores deben garantizar que los sistemas de IA respeten el derecho a la privacidad y a la protección de datos, cumpliendo con los principios de minimización de datos, transparencia y rendición de cuentas. Además, los sistemas de IA que utilicen datos personales deberán contar con medidas de seguridad y respetar los derechos de los titulares de los datos, como el derecho al acceso, rectificación y eliminación de los mismos.
En conclusión, el Reglamento (UE) 2024/1689 establece un marco para asegurar que la IA se desarrolle y utilice de manera ética, segura y conforme con los derechos fundamentales, atribuyendo responsabilidades claras a todos los actores involucrados y estableciendo sanciones disuasorias para el incumplimiento.
