El valor de la interpretación práctica
La entrada en vigor del Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial) ha generado una necesidad de adaptación para el tejido empresarial y administrativo europeo. En este escenario, la Secretaría de Estado de Digitalización e Inteligencia Artificial ha impulsado un sandbox cuyo objetivo, así como el de todos los materiales desarrollados y puestos a disposición de forma pública, es ayudar al tejido empresarial español a avanzar en el cumplimiento normativo de la IA, proporcionando soporte a las empresas para la comercialización de sistemas de IA de gran calidad, aumentando la confianza ciudadana en el uso de esta tecnología. Hoy nos referimos a la Guía práctica y ejemplo para entender el Reglamento de Inteligencia Artificial que, aunque carece de carácter vinculante y no sustituye la norma armonizada pendiente de aprobación, constituye una fuente de primer orden al ofrecer recomendaciones alineadas con los requisitos regulatorios vigentes y validadas por expertos y autoridades nacionales competentes.
El Concepto Jurídico de Sistema de IA y la Calificación de Alto Riesgo
El punto de partida para cualquier operador jurídico es la correcta subsunción de una tecnología en la definición de «Sistema de Inteligencia Artificial». Siguiendo la exégesis del Artículo 3 del Reglamento, nos encontramos ante sistemas basados en máquinas diseñados para funcionar con autonomía, capacidad de adaptación y que infieren, a partir de datos de entrada, resultados como predicciones o decisiones que influyen en entornos físicos o virtuales.
La guía establece varios ejemplos de uso de la iA como la identificación biométrica en el trabajo o de detección de denuncias falsas y los categoriza conforme al Reglamento, así mismo ofrece una serie de definiciones apoyadas en ejemplos de uso de la inteligencia artificial.
La guía ilustra esta definición mediante ejemplos con una referencia central al riesgo, elemento vertebrador de la regulación atendiendo al uso y no a la tecnología y, una categoría central para el cumplimiento normativo. Resulta paradigmático el análisis de un sistema supuesto de identificación biométrica en el entorno laboral. Este sistema trasciende la mera verificación de acceso; al utilizar cámaras y modelos analíticos para registrar tiempos de entrada y salida sin participación activa del empleado, se configura como un sistema de alto riesgo bajo el Anexo III, apartado 1, del Reglamento.
De igual gravedad jurídica es el análisis de los productos sanitarios. Un sistema de IA integrado en una bomba de insulina inteligente, que determina dosis basándose en la monitorización de glucosa y antecedentes del paciente, no solo es un sistema de IA, sino que su fallo implica un riesgo directo para la vida. Por tanto, se regula bajo el Anexo I y la legislación sectorial de productos sanitarios, donde el software actúa como un componente de seguridad crítico.
Distinciones Conceptuales en el Tratamiento de Datos y Biometría
El rigor técnico del Reglamento exige diferenciar con precisión la naturaleza de los datos utilizados en el ciclo de vida de la IA. No es lo mismo el dato de entrenamiento, utilizado para ajustar los parámetros del modelo, que el dato de validación, destinado a evitar el subajuste o sobreajuste durante el desarrollo. Más crítica aún es la definición de datos de prueba: un conjunto independiente y no utilizado previamente, esencial para confirmar el funcionamiento previsto antes de la introducción en el mercado. En sistemas de predicción de riesgo de exclusión social utilizados por la administración pública, esta distinción es vital para evitar sesgos discriminatorios en la concesión de ayudas.
En el ámbito biométrico, la guía clarifica una distinción jurídica fundamental que a menudo se confunde en la práctica comercial. La identificación biométrica implica un reconocimiento «uno a muchos» para determinar la identidad de una persona comparándola con una base de datos, mientras que la verificación biométrica es un proceso «uno a uno» de autenticación. Esta diferencia es sustancial: un sistema de verificación para acceso a recintos puede no ser de alto riesgo, mientras que un sistema de identificación biométrica remota en espacios públicos conlleva cargas regulatorias mucho más estrictas debido a su impacto en los derechos fundamentales.
El Régimen de Responsabilidad: Proveedores frente a Responsables del Despliegue
La arquitectura del cumplimiento normativo descansa sobre la clara delimitación de roles. El proveedor —quien desarrolla o hace desarrollar el sistema con su marca— asume el grueso de las obligaciones técnicas. Esto incluye el cumplimiento de los requisitos de gestión de riesgos, gobernanza de datos, precisión, solidez y ciberseguridad, así como la instauración de un sistema de gestión de calidad y la evaluación de conformidad prevista en el artículo 16 del Reglamento.
Por el contrario, el responsable del despliegue (la entidad que utiliza el sistema, como un hospital o una comisaría) tiene obligaciones de supervisión activa. De acuerdo con el artículo 26.2 del Reglamento, debe asignar la vigilancia humana a personas con la competencia y autoridad necesarias. Además, recae sobre ellos el deber de informar al proveedor y a la autoridad de vigilancia de mercado ante la detección de incidentes graves, entendidos estos como aquellos que causan muerte, daños a la salud, perjuicios a infraestructuras críticas o violaciones de derechos fundamentales.
La Importancia de la «Modificación Sustancial»
Finalmente, es imperativo para la seguridad jurídica de las empresas comprender el concepto de modificación sustancial. Un sistema legalmente introducido en el mercado puede perder su presunción de conformidad si sufre cambios no previstos que afecten a su finalidad. Si un sistema diseñado para detectar denuncias falsas (finalidad original) se reorienta para evaluar la veracidad de declaraciones de investigados o analizar redes sociales, estaríamos ante una modificación sustancial que activa nuevamente todo el proceso de evaluación de conformidad. Este dinamismo regulatorio obliga a las organizaciones a mantener una vigilancia poscomercialización continúa, integrando la revisión legal en el ciclo de vida técnico del producto.
