La UE reconfigura la Ley de IA por la vía rápida y despierta críticas sobre su tramitación

Espaldarazo a la reforma de la Ley de IA de la Unión Europea. Las comisiones del Mercado Interior y de Libertades Civiles del Parlamento Europeo han dado luz verde a los cambios pactados la semana pasada por el Consejo, en un trámite exprés que ha encendido las alarmas dentro de la propia maquinaria comunitaria.

“Es un desastre para la democracia”, resume Kai Zenner, involucrado en las negociaciones como jefe de oficina y asesor de Política Digital del eurodiputado Axel Voss (PP europeo).

“No hubo evaluación de impacto por parte del servicio jurídico, ni tiempo para analizar los problemas con detenimiento, ni una consulta real. Mi opinión personal es que es un desastre para nuestro procedimiento legislativo. A la Comisión [Europea] no le importa la calidad. Solo les importa aprobarlo lo antes posible” asegura el asesor, en referencia al segundo paquete de simplificación normativa -el Ómnibus Digital- de la CE, centrado en la Ley de IA.

Zenner cree que esto “contradice la idea misma de introducir los procedimientos ómnibus y mejorar las leyes”, por lo que acepta las críticas en este sentido. Desde la asociación europea de derechos digitales EDRi, consideran que ha sido un proceso “increíblemente acelerado”, que puede estar “violando las propias directrices de la Comisión en cuanto a la creación de buenas leyes, dejando de lado la supervisión democrática”, señala Blue Duangdjai Tiyavorabun.

Más allá del aspecto procedimental del Digital Ómnibus de la Ley de IA (AI Omnibus), ¿cuáles son sus principales reformas? ¿Qué puntos han sido más difíciles negociar? ¿Y cuál es la hoja de ruta a partir de ahora?

‘Deepfakes’ sexuales prohibidos

La gran novedad del AI Omnibus es una nueva disposición que prohíbe las prácticas de IA relacionadas con la generación de contenido sexual e íntimo no consentido, o material de abuso sexual infantil. Ha sido un añadido de última hora, a raíz de la polémica con la herramienta de IA Grok, que permitía generar desnudos no consentidos (deepfakes) de cualquier persona, incluso menores, en X. Una propuesta que a priori podría haber generado consenso, pero que en la práctica fue una de las más debatidas, según Zenner.

“Contó con el acuerdo de todos los grupos en lo que respecta a la moral y la ética, pero teníamos algunas dudas sobre si encajaría realmente en la Ley de IA”. En especial, se planteaban posibles duplicidades o choques con otras normas digitales, y con las legislaciones nacionales vigentes en materia de contenido sexual o de abuso infantil. No contar con tiempo para investigaciones previas ni evaluaciones de impacto jugó en su contra, y también la ausencia de supervisión jurídica, ya que “las propuestas redactadas no eran del todo sólidas desde el punto de vista legal”. Si bien finalmente se pudo llegar a un texto consensuado.

Otro punto caliente fue el restablecimiento de la obligación de los proveedores de registrar los sistemas de IA en la base de datos de la UE para sistemas de alto riesgo (que la CE había propuesto eliminar) y modificar el criterio de estricta necesidad para el tratamiento de categorías especiales de datos personales con el fin de garantizar la detección y corrección de sesgos.

Esto último daría lugar a un nuevo punto en la Ley de IA, el 4a, que establece una excepción para el uso de datos sensibles con el fin de corregir el sesgo algorítmico. “Esto es peligroso, porque las garantías son demasiado débiles”, asegura Duangdjai Tiyavorabun. Se refiere a los problemas de efectividad de la pseudonimización, y a que el consentimiento podría utilizarse para solicitar a los usuarios que autoricen explícitamente el uso de datos sensibles [con el riesgo de mal uso, daño no intencionado o abuso].

Solapamiento de normas

El cuarto acuerdo más complicado de alcanzar fue el de que, en caso de conflicto o solapamiento de la Ley de IA y las leyes europeas de seguridad de productos (que pueden cubrir parcialmente tecnologías de IA), prevalezcan las leyes sectoriales. Eso sí, considerando que esto puede crear vacíos legales, que la Comisión tendrá que corregir si aparecen.

Este es un punto clave para DigitalEurope (patronal digital europea) que advierte en un comunicado de que muchas empresas “se encuentran atrapadas en una doble o incluso triple capa de regulación”. Una superposición, “potencialmente contradictoria”, de la documentación y las evaluaciones de conformidad que “corre el riesgo de retrasar la certificación y ralentizar el despliegue de productos innovadores”.

DigitalEurope también señala que las empresas que desarrollan e implementan servicios digitales con IA se enfrentan a la incertidumbre sobre cómo se aplicarán en la práctica la clasificación y las normas de alto riesgo. Además, piden que se armonicen los plazos y ciertos aspectos de contenido de los dos paquetes del ómnibus “dado que el contenido de estos marcos está estrechamente interconectado”. “La Ley de IA interactúa directamente con el RGPD, la Ley de Protección de Datos y la legislación sobre ciberseguridad”, añaden.

Parar el reloj

Una discusión “sorprendentemente breve” -de acuerdo con Zenner- fue la relativa a suspender los plazos de la propuesta original de la Ley de IA. Las nuevas fechas de aplicación serían el 2 de diciembre de 2027 para los sistemas de IA de alto riesgo independientes, y el 2 de agosto de 2028 para los sistemas de IA de alto riesgo integrados en productos. Es decir, que entrarían en vigor con un año y 4 meses de retraso, en el primer caso, y con un año de aplazamiento en el segundo.

También se postpone la obligación de incluir marcas de agua en los contenidos sintéticos de audio, imagen, vídeo o texto (aunque hasta el 2 de noviembre de 2026, en lugar del 2 de febrero de 2027, como proponían la CE y el Consejo). Por último, se aplaza hasta el 2 de diciembre de 2027 el periodo para la creación de entornos de pruebas regulatorios de IA por parte de las autoridades competentes a nivel nacional. Asimismo, se obliga a la CE a proporcionar orientación para ayudar a los operadores económicos de sistemas de IA de alto riesgo a cumplir con los requisitos de la Ley de IA, “para minimizar la carga administrativa”.

“El debate sobre la alfabetización en IA también se resolvió, para mi sorpresa, bastante rápido”, asegura Zenner. Se refiere a la propuesta de la CE de rebajar los requerimientos de alfabetización en IA para los proveedores y desplegadores de sistemas de IA, pasando de ser una obligación a algo simplemente a fomentar. A pesar de que algunos europarlamentarios la defendieron, se decidió no aceptarla y mantener la obligación.

Supervisión, en cuestión

De igual modo se cerraron sin demasiada fricción -según Zenner- las discusiones sobre cooperación entre los estados miembros, centralización y cambios técnicos. Entre otras cosas, en la nueva versión se “aclaran”, según el Consejo, las competencias de la Oficina de IA para la supervisión de sistemas de IA basados ​​en modelos de IA de propósito general.

Las excepciones en las que las autoridades nacionales conservan la competencia (las fuerzas de seguridad, gestión de fronteras, autoridades judiciales e instituciones financieras) no gustan a EDRi. “Esta medida convierte la Ley Ómnibus de IA en un instrumento para que los gobiernos debiliten la supervisión sobre su propio uso de sistemas de IA de alto riesgo, fragmentándose su fiscalización”, afirma Duangdjai Tiyavorabun.

Lamenta también que persistan muchas de sus preocupaciones clave, “entre ellas el debilitamiento de los organismos de supervisión de los derechos fundamentales, una demora de más de un año, exenciones para grandes empresas y el uso arriesgado de datos sensibles sin salvaguardias adecuadas, así como la modificación sustancial de la estructura de la ley al excluir de las normas relativas a los sistemas de IA de alto riesgo a un amplio sector”.

Acuerdo entre partidos

Así será casi con total seguridad -afirma Zenner- ya que todo apunta a que la votación plenaria del Parlamento Europeo -prevista para el próximo 26 de marzo- será a favor del texto actual. “Es una situación muy interesante porque los partidos conservadores, los de extrema derecha y los liberales están a favor de un procedimiento rápido porque dicen que necesitamos una señal política para la industria de que estamos mejorando la situación”, explica.

“Por otra parte -prosigue- la izquierda y los Verdes también están a favor de un procedimiento rápido porque así quienes quieren aprobar o debilitar la Ley de IA no tendrán tiempo para hacerlo”. Esto hace más probable que haya una gran mayoría favorable. “Las motivaciones para cada cual son completamente diferentes, pero están alineados en el objetivo”, apunta el experto.

Siendo así, lo siguiente será cerrar los detalles de la versión final de la Ley en los trílogos entre la CE, El Parlamento Europeo y el Consejo de la UE, que comenzarán en abril. Zenner continuará presente en las negociaciones. Y concluye enfatizando una idea: que si Europa quiere una mejor regulación, procedimientos tan apresurados como el del AI Omnibus “no deberían estar sucediendo en absoluto”.

A pesar de ello, el asesor europarlamentario se declara “bastante satisfecho” con el resultado obtenido: “Logramos salvaguardar los principios clave que la UE quería promover con la IA, pero al mismo tiempo hicimos algunas mejoras bastante útiles en el texto. En dos semanas, no podríamos haber pedido más”.

El resultado final deja un sabor agridulce: avances relevantes en algunos frentes, a costa de un procedimiento que deja mucho que desear para una norma de este calibre. Cómo conjugar la agilidad legislativa con las garantías democráticas y la solidez jurídica es uno de los retos más complejos de la agenda europea. El fin no justifica los medios y, en una democracia, el proceso importa tanto como los resultados.