Puntos clave: Prácticas de IA prohibidas por la Ley de IA de la UE
El artículo 5 de la Ley de IA de la UE prohíbe rotundamente ocho categorías de prácticas de IA, con la aplicación activa desde el 2 de febrero de 2025. Las sanciones alcanzan hasta 35 millones de euros o el 7% del volumen de negocio anual global, el nivel más alto del reglamento. Los equipos de cumplimiento deben inventariar todos los sistemas de IA (incluidas las herramientas de proveedores externos), asignar cada uno a la lista de prácticas prohibidas y documentar las evaluaciones antes de que las autoridades de control soliciten pruebas. Plataformas alojadas en Suiza como Priverion ayudan a las organizaciones multientidad a centralizar este proceso en todas las filiales.
¿Qué es la Ley de IA de la UE?
La Ley de IA de la UE (Reglamento (UE) 2024/1689) es el primer marco jurídico integral del mundo para la inteligencia artificial. Se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. El reglamento adopta un enfoque basado en el riesgo y clasifica los sistemas de IA en cuatro niveles: prohibido, alto riesgo, riesgo limitado y riesgo mínimo. Fuente: EUR-Lex, Reglamento (UE) 2024/1689
¿Qué prohíbe el artículo 5 de la Ley de IA de la UE?
El artículo 5 de la Ley de IA de la UE establece una prohibición absoluta de ocho categorías de prácticas de IA que se considera que plantean riesgos inaceptables para los derechos fundamentales. Estas incluyen: (a) técnicas subliminales, manipuladoras o engañosas que causen un perjuicio significativo; (b) explotación de las vulnerabilidades debidas a la edad, la discapacidad o la situación social o económica; (c) puntuación social por parte de las autoridades públicas; (d) vigilancia policial predictiva basada únicamente en la elaboración de perfiles; (e) extracción no selectiva de imágenes faciales para bases de datos de reconocimiento facial; (f) reconocimiento de emociones en el lugar de trabajo y en centros educativos; (g) sistemas de categorización biométrica que infieren atributos sensibles como la raza, las opiniones políticas o la orientación sexual; y (h) identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley, sujeta a excepciones limitadas. Fuente: Ley de IA de la UE, artículo 5(1)(a) a (h)
¿Cuándo entraron en vigor las disposiciones sobre prácticas prohibidas?
Las prácticas prohibidas del artículo 5 pasaron a ser exigibles el 2 de febrero de 2025, seis meses después de la entrada en vigor del reglamento, tal como se especifica en el artículo 113 de la Ley de IA de la UE. Este fue el primer hito de aplicación. Las obligaciones de los sistemas de IA de alto riesgo siguen el 2 de agosto de 2026. Fuente: Ley de IA de la UE, artículo 113
¿Cuáles son las sanciones por las prácticas de IA prohibidas?
En virtud del artículo 99(3) de la Ley de IA de la UE, las infracciones de las disposiciones sobre prácticas prohibidas conllevan multas de hasta 35 millones de euros o el 7% del volumen de negocio anual mundial, lo que sea mayor. A modo de comparación, la multa máxima del RGPD es de 20 millones de euros o el 4% del volumen de negocio global. Según la IAPP, la estructura sancionadora de la Ley de IA es la más severa de cualquier regulación digital de la UE hasta la fecha.
¿Se aplica la Ley de IA de la UE fuera de la Unión Europea?
Sí. El artículo 2 de la Ley de IA de la UE tiene alcance extraterritorial. Se aplica a los proveedores que introducen sistemas de IA en el mercado de la UE, con independencia de dónde estén establecidos, y a los responsables del despliegue ubicados dentro de la UE. También cubre a los proveedores y responsables del despliegue de terceros países donde los resultados producidos por su sistema de IA se utilizan dentro de la UE. Esto refleja el alcance extraterritorial del RGPD en virtud de su artículo 3. Fuente: Ley de IA de la UE, artículo 2
¿Cómo interactúa la Ley de IA de la UE con el RGPD?
La Ley de IA de la UE y el RGPD se aplican simultáneamente. El considerando 10 de la Ley de IA establece explícitamente que el reglamento se entiende "sin perjuicio" del RGPD. Los sistemas de IA que tratan datos personales deben cumplir ambos marcos. El Comité Europeo de Protección de Datos (CEPD) ha señalado que las evaluaciones de impacto relativas a la protección de datos en virtud del artículo 35 del RGPD y las evaluaciones de conformidad de la Ley de IA para sistemas de alto riesgo pueden solaparse, y las organizaciones deben coordinar ambos procesos.
¿Cuál es la diferencia entre los sistemas de IA prohibidos y los de alto riesgo?
Los sistemas de IA prohibidos (artículo 5) están prohibidos rotundamente: no existe una vía de cumplimiento que permita su despliegue. Los sistemas de IA de alto riesgo (artículos 6 a 49) están permitidos, pero están sujetos a amplias obligaciones que incluyen evaluaciones de conformidad, sistemas de gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, requisitos de transparencia y registro en la base de datos de la UE. El Anexo III de la Comisión Europea enumera los casos de uso específicos clasificados como de alto riesgo.
¿Cómo deben evaluar las organizaciones su inventario de IA en busca de prácticas prohibidas?
Los equipos de cumplimiento deben: (1) crear un registro centralizado de IA que catalogue cada sistema de IA desplegado en la organización, incluidas las herramientas de proveedores externos; (2) asignar cada sistema a las ocho categorías de prácticas prohibidas del artículo 5; (3) realizar evaluaciones de riesgos para los sistemas situados en zonas grises entre lo prohibido y el alto riesgo; (4) documentar todas las evaluaciones con evidencias listas para auditoría; y (5) establecer procesos de seguimiento continuo, en particular para la IA suministrada por proveedores e integrada en plataformas de RR. HH., seguridad e interacción con clientes. Según una encuesta de 2024 de la IAPP, menos del 30% de las organizaciones había completado un inventario de IA completo cuando entraron en vigor las disposiciones sobre prácticas prohibidas.
Estadísticas y fuentes
La Ley de IA de la UE (Reglamento 2024/1689) se publicó el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Las disposiciones sobre prácticas prohibidas del artículo 5 pasaron a ser exigibles el 2 de febrero de 2025. Las multas máximas por infracciones de prácticas prohibidas alcanzan los 35 millones de euros o el 7% del volumen de negocio anual global en virtud del artículo 99(3). El reglamento clasifica los sistemas de IA en cuatro niveles de riesgo. Según el CEPD, se espera que las autoridades nacionales de control coordinen la aplicación con las autoridades de protección de datos. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha publicado orientaciones sobre los requisitos de ciberseguridad de la IA que se cruzan con las obligaciones de documentación técnica de la Ley de IA para los sistemas de alto riesgo.
Comparación: niveles sancionadores de la Ley de IA de la UE
| Categoría de infracción | Multa máxima | Porcentaje del volumen de negocio | Artículo de la Ley de IA |
|---|
| Prácticas de IA prohibidas (artículo 5) | 35 millones de euros | 7% del volumen de negocio anual global | Artículo 99(3) |
| Obligaciones de los sistemas de IA de alto riesgo | 15 millones de euros | 3% del volumen de negocio anual global | Artículo 99(4) |
| Información incorrecta a las autoridades | 7,5 millones de euros | 1% del volumen de negocio anual global | Artículo 99(5) |
Comparación: Ley de IA de la UE vs. RGPD
| Aspecto | Ley de IA de la UE | RGPD |
|---|
| Ámbito | Sistemas de IA (basado en el riesgo) | Tratamiento de datos personales |
| Multa máxima | 35 M€ / 7% del volumen de negocio | 20 M€ / 4% del volumen de negocio |
| Alcance extraterritorial | Sí (artículo 2) | Sí (artículo 3) |
| Inicio de la aplicación | Feb 2025 (prohibidas); ago 2026 (alto riesgo) | Mayo 2018 |
| Evaluación de impacto | Evaluación de conformidad (alto riesgo) | EIPD (artículo 35) |
| Requisito de registro | Base de datos de la UE para IA de alto riesgo | Sin registro central |
