Nils Bohlin se pasó años trabajando en la división de aviones a reacción de SAAB, desarrollando la tecnología de asientos eyectores antes de cambiarse a la industria automovilística. Después de media vida viendo saltar maniquíes por los aires, decidió que ya era hora de que la gente se quedase sujeta a sus asientos, y cuando se pasó a la Volvo inventó el cinturón de seguridad de tres anclajes.
Esto fue en los años cincuenta. Se sabía que la gente moría en accidentes de tráfico, luego se inventó una innovación para resolver el problema y mucho después se pusieron normas y controles en la industria.
Primero se hicieron normas que obligaban a los fabricantes a incorporar cinturones de seguridad en los asientos delanteros. Luego, en los traseros. Después se hicieron normas que obligan no solo a tenerlos, sino a usarlos. Se dividen en los de delante y los de detrás, como en el chiste de los elefantes y el 600.
El invento de Bohlin llegó al mercado en el año 59, y hemos tenido que esperar al 1 de octubre de 2026 para que sea obligatorio que los taxistas y los repartidores tengan que usar el cinturón de seguridad en ciudad. Mientras tanto, Volvo anunció en agosto de 2009 una atribución directa de 1 millón de vidas salvadas gracias al invento de Bohlin.
Ahora cambia “accidentes de tráfico” por “accidentes de la IA” y estamos en el mismo escenario. Lo de la Regulación de la Inteligencia Artificial es lo mismo que el cinturón de Bohlin. Se detecta el peligro, se inventa una forma de evitarlo, se regula para que todo el mundo lo adopte, y por el camino alguna gente se queja y otras salvan la vida.
El propósito del Reglamento Europeo de IA
El problema de leerse el Reglamento (UE) 2024/1689 de 13 de junio, el ‘Reglamento de IA’ o ‘IA Act’, es leérselo: 180 puntos y 44 páginas de consideraciones previas, 113 artículos repartidos en 13 capítulos y anexos. Más luego, el Reglamento (UE) 2026/1744 del 8 de julio, “Ómnibus digital sobre IA”. Y el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. No me extraña que la gente lo vea y diga, uf, cuánta burocracia, es que en Europa no se puede hacer nada.
El Reglamento de IA, RIA, o IA Act, es una norma que obliga a las personas que crean, despliegan y usan sistemas de inteligencia artificial o modelos en territorio europeo. Tiene un espíritu muy europeísta, porque se ha escrito pensando en evitar el perjuicio a los ciudadanos europeos, y ese perjuicio tiene muchas vertientes, desde el físico o el psicológico, a la merma de sus derechos y libertades civiles.
En 1979, Hans Jonas publicó El principio de responsabilidad. Ensayo de una ética para la civilización tecnológica (en español, lo edita Herder). Defiende justo lo contrario de move fast and break things, porque propone que la tecnología se guíe por la prudencia cuando avanza más rápido que la capacidad de predecir sus efectos.
Ante la duda, su propuesta ética es la prudencia: demos más peso a la posibilidad de desgracia que a la promesa de bonanza, de forma que, en el largo plazo, se respete siempre al ser humano y no haya daños irreversibles.
El RIA precisamente propone que exista responsabilidad y prudencia. Ciertos principios, ciertas normas de actuación, ciertos criterios que iremos detallando en este y otros artículos. De manera que si algo saliese mal (por ejemplo, IAs que generan imágenes de mujeres desnudas sin su consentimiento) se intente evitar que ese daño sea irreversible (por ejemplo, imágenes de mujeres desnudas circulando por Internet para siempre sin su consentimiento).
El Reglamento no trata sobre sistemas, sino sobre principios y derechos. No se regulan los sistemas, sino su aplicación, y el regulador es lo suficientemente abierto para que la norma no dependa de una tecnología concreta.
Así que el RIA afecta a todos los sistemas de IA que se quieran utilizar en el territorio de la UE y, por tanto, sean accesibles para sus ciudadanos. Distingue una serie de figuras jurídicas que están obligadas a su cumplimiento. Categoriza los sistemas de IA según el daño potencial que pueden hacer en las personas y sus derechos fundamentales, y de ahí se deducen ciertas normas que deben cumplirse.
¿Y en otros países?
En Estados Unidos existió una política de uso y gobernanza de IA promovida por la Administración Biden que posteriormente fue sustituida por otra política de la Administración Trump. Son, por ejemplo, las órdenes ejecutivas 14110, de 30 de octubre de 2023, Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence y la 14179, de 23 de enero de 2025, Removing Barriers to American Leadership in Artificial Intelligence.
China publicó su AI Safety Governance Framework 2.0 en 2025, que incluye una versión en inglés. E India publicó su AI Governance Guidelines: Enabling Safe and Trusted AI Innovation en 2026.
No vamos a entrar al contenido particular de estas normas, pero todas casualmente (o no) pueden interpretarse desde los modelos de estado que analizan Kieron O’Hara y Wendy Hall en Four Internets: Data, Geopolitics, and the Governance of Cyberspace. Spoiler: con los enlaces y un Gemini Notebook puedes analizarlas y compararlas a discreción.
Una aproximación basada en el riesgo y la responsabilidad
En cualquier caso, el principio fundamental es el respeto de los derechos que la UE considera que son inalienables (educación, sanidad, trabajo, seguridad, justicia, privacidad, participación democrática…), y ese principio deberán cumplirlo todos los sistemas de IA que se usen en la UE con independencia de lo rápido que avancen las novedades de Antropic o de OpenAI.
Dependiendo del análisis de cada sistema de IA que se implanta, se le asigna un nivel de riesgo por el impacto que pudiera tener en los derechos de las personas. Después, a partir del rol de la organización (proveedor, distribuidor, responsables de despliegue..) y del nivel de criticidad, devienen las medidas correspondientes, que también se desarrollan en la propia regulación y su matización en el Ómnibus digital sobre IA.
En esa línea, se consideran sistemas prohibidos, porque su riesgo es inaceptable y no se pueden usar en la UE. Sistemas de alto riesgo, que tienen un impacto potencial en los derechos y libertades. También hay sistemas de IA que están sujetos a obligaciones de transparencia hacia sus usuarios; y sistemas para los que no se identifican riesgos y tienen obligaciones básicas de formación.
Es interesante además añadir que se considera que los algoritmos basados en reglas o heurísticas no son objeto del Reglamento. Quizá este sea el principal punto de duda: determinar el riesgo del sistema que vamos a desarrollar, teniendo en cuenta lo abierto del marco legal.
Sistemas prohibidos
Los artículos 2 y 3 introducen quiénes son los sujetos de derecho de esta ley. La principal figura es la del proveedor, que es la persona física o jurídica, pública o privada, que desarrolla un sistema de IA para introducirlo en el mercado europeo, bien porque lo construya con sus propios medios o porque lo encargue a un tercero.
Los proveedores operan en Europa a través de un representante autorizado. Sin importar dónde tenga fijada su residencia fiscal; mercado europeo, reglas europeas. Junto al proveedor, aparece la figura del responsable de despliegue, que es la entidad que usa el sistema de IA de un proveedor. Y sí, se pueden acumular roles, un proveedor puede ser responsable de despliegue.
También encontramos las figuras de importador (que introduce en el mercado europeo un sistema desarrollado fuera del mismo) y el distribuidor (lo tomaría del importador y lo comercializa en el mercado europeo). A todos en general se les denomina ‘operador’.
Tomemos el caso de Gemini, de Google. El proveedor es Google LLC, con sede en Mountain View, California. En Europa tiene un representante autorizado, Google Ireland Limited, en Dublín. Un particular puede comprar una ampliación Google AI Plus, Pro o Ultra directamente a Google Ireland Limited, que actúa como importador y distribuidor. Las empresas, a un intermediario como, por ejemplo, TD Synnex Spain, que hace de distribuidor.
Cuando una empresa usa Gemini para construir sus soluciones con IA, se convierte en proveedor y responsable de despliegue. Si encarga su desarrollo a una consultora tecnológica como Sngular, entonces el proveedor es la consultora, y el cliente, responsable de despliegue.
Junto a todas ellas aparece la figura del afectado, es decir, personas ubicadas en la UE. La regulación se hace porque en Europa se exige que los sistemas de IA respeten los derechos de los afectados.
El artículo 5 establece que hay cierto tipo de sistemas que están prohibidos. En Europa no queremos sistemas:
- que manipulen a las personas para tomar decisiones que les perjudiquen y vayan en contra de sus propios intereses
- que exploten las vulnerabilidades para condicionar comportamientos
- que analicen comportamientos sociales y características personales evidenciadas o inferidas para recibir un trato desigual o desfavorable
- que realicen evaluaciones de riesgos de cara a predecir posibles acciones delictivas
- que hagan reconocimiento facial y biométrico
- que hagan análisis de emociones en centros laborales o educativos (salvo que se hagan con fines de seguridad)
- que utilicen categorización biométrica para inferir atributos de raza, orientación sexual o política
- o que hagan reconocimiento de personas en tiempo real (salvo por cuestiones de seguridad, prevención de amenazas, o localización de delincuentes, etc.)
Hay un paralelismo claro con la Declaración Universal de los Derechos Humanos.
Sistemas de alto riesgo
Después de los sistemas prohibidos entran los sistemas de alto riesgo. Desarrollados en el artículo 6 y los anexos I y III. ¿Riesgo de qué? Recordemos a Jonas. Riesgo de causar un perjuicio a un afectado.
Se consideran sistemas de alto riesgo todos los que se consideran componentes de seguridad de una serie de sistemas que recoge el anexo I (maquinaria, juguetes, ascensores, sanidad, aviación civil…) o que se use según el ámbito de un conjunto de servicios universales que recoge el Anexo III.
Entre estos encontramos sistemas de IA destinados a infraestructuras críticas (como el tráfico, suministro de agua o energía); a la educación, acceso a la misma y evaluación; al empleo, acceso al mismo y evaluación; el acceso a servicios públicos y privados esenciales; los que tengan que ver con la aplicación del derecho; la migración, control fronterizo y derecho al asilo; la administración de justicia y los procesos democráticos.
Sin embargo, el artículo 6 deja abierta la puerta a que no se considere de ‘alto riesgo’ un sistema de IA que se aplique en estos ámbitos pero no pueda causar un perjuicio a la salud, la seguridad o los derechos de los ciudadanos, ni influya en la toma de decisión. Esa es la clave y son las preguntas del consultor de este mes.
Supongamos que por lo que fuera, hacemos un sistema considerado de ‘alto riesgo’. Entonces, hay que cumplir una serie de requisitos. Resumidamente:
- El artículo 9, que recoge la necesidad de crear un sistema de gestión de riesgos, que contemple el impacto en la salud, la seguridad o los derechos. Este sistema de gestión de riesgos, como es normal en la gestión de riesgos, tiene que mantenerse vivo.
- El artículo 10, donde se indica qué datos se pueden usar para el entrenamiento y cómo deben gestionarse, así como ciertas prácticas para su gestión. Esto entronca con el GDPR y la necesidad de que los datos personales, si se usan, se usen dentro del propósito con el que fueron recogidos.
- El artículo 11, que desarrolla el tipo de documentación técnica que se debe generar, desarrollada con más detalle en el anexo IV. Quien dice generar, dice mantener actualizada. Esto es el paraíso de los programadores.
- La necesidad de mantener registros de logs, y qué tipo de información deben contener los eventos para su posterior análisis, en el artículo 12.
- En el artículo 13 se indican los criterios de transparencia que un sistema de alto riesgo debe ofrecer a las personas que interactúan con él.
- El artículo 14 trata sobre la necesidad de supervisión humana, y qué debe permitir el sistema hacer a estos supervisores.
- Y, finalmente, en el artículo 15 se habla de las medidas de precisión y seguridad para impedir la manipulación e intervención no autorizada.
Aunque estos son los requisitos que debe cumplir el sistema, en la siguiente entrega, veremos más detalladamente en qué consisten y cómo se cumplen.
Las preguntas del consultor
En esta ocasión, estas preguntas pueden ayudarte a descubrir si estás trabajando en un sistema de ‘riesgo alto’.
- ¿Se va a usar en la UE?
- ¿Se va usar en el ámbito de la defensa o la seguridad nacional, en virtud de acuerdos de defensa con terceros países o en la investigación? Entonces tampoco te aplica.
- ¿Se trata de un sistema de IA que forma parte de mecanismos o procesos de seguridad? Entonces revisa el anexo I. Si tiene que ver con la seguridad de maquinaria, juguetes, embarcaciones de recreo, ascensores, explosivos, protección individual, etc, es un sistema de alto riesgo.
- Revisa el anexo III, donde se clasifican situaciones que afectan a controles biométricos; educación; relaciones laborales y acceso al empleo; acceso a servicios esenciales; refuerzo de la ley; migración, control de fronteras y asilo; administración de justicia; procesos de participación ciudadana y democracia. Si tu sistema cae en alguna de ellas, potencialmente es de alto riesgo.
Que se considerare que tu sistema no suponga un riesgo relevante para la salud, la seguridad o los derechos y libertades de las personas dependerá de:
- ¿Afecta a una pequeña parte de un procedimiento mayor?
- ¿Está destinado a mejorar una actividad humana ya realizada?
- ¿Está destinado a detectar patrones de toma de decisión que ayuden a mejorar una decisión humana, pero no a sustituirla?
- ¿Está destinado a realizar tareas preparatorias en el ámbito del uso o decisión de esos sistemas del anexo III?
Si estás en alguno de esos casos, no se trata de un sistema de alto riesgo. Sin embargo, si aunque estés en esos casos:
- ¿Estás haciendo perfilado de personas?
Entonces, puede que tu sistema cause perjuicios en los derechos y libertades de las personas y sea de riesgo alto.
