A norma activa novas obrigas de transparencia, pero adía a protección fronte a ferramentas utilizadas no emprego ou a migración 

A lei europea de intelixencia artificial acadou este domingo unha das datas máis importantes do seu calendario. Aínda que entrou en vigor o 1 de agosto de 2024, comeza agora a aplicarse de forma xeral. Desde este domingo son obrigatorias as normas que esixen informar os usuarios cando interactúan cunha máquina ou reciben contidos creados ou manipulados con IA. Outras partes xa estaban en marcha: os usos considerados inaceptables están prohibidos desde febreiro de 2025 e as primeiras regras para os modelos de IA de uso xeral rexen desde agosto do ano pasado.

O despregamento chega, con todo, cunha protección aínda incompleta. Europa comeza a esixir que os cidadáns saiban cando intervén unha máquina, pero aprazou os controis sobre as ferramentas capaces de condicionar o acceso a un emprego, unha prestación pública, un crédito ou un permiso migratorio. A Comisión Europea sostén que os atrasos permitirán reducir cargas para as empresas e evitar inseguridade xurídica mentres se elaboran os estándares técnicos necesarios.

Para Anabel Arias, responsable de Dereitos Dixitais da Federación de Consumidores e Usuarios CECU, este escenario obriga a rebaixar as expectativas. “Non é un marco de protección de dereitos, como o Regulamento Xeral de Protección de Datos (RXPD), senón unha regulación tecnolóxica”, explica a infoLibre. A norma ordena o desenvolvemento e o uso desta tecnoloxía segundo o perigo que representa, pero non garante por si soa os dereitos fundamentais.

Un marco flexible que deixa fóra unha parte da IA

Unha das súas principais fortalezas é que Europa deixa de confiar unicamente nos compromisos voluntarios das empresas e establece obrigas legais. Prohibe prácticas como a puntuación social, a manipulación mediante técnicas ocultas, a explotación das vulnerabilidades de determinados colectivos ou algúns usos do recoñecemento biométrico.

Tamén prevé controis aos chamados sistemas de alto risco, aínda que a súa aplicación aprazouse ata decembro de 2027. Son aqueles que poden influír de xeito importante na vida dunha persoa, por exemplo, ao intervir na concesión dun emprego, unha praza educativa, un crédito, unha axuda pública ou un permiso de residencia. Estas ferramentas deberán cumprir requisitos sobre a calidade dos datos, documentar o seu funcionamento, contar con supervisión humana e garantir unhas condicións mínimas de seguridade.

Cristina Puente, enxeñeira de intelixencia artificial e profesora da Universidade Pontificia Comillas de Madrid, considera que esta clasificación busca equilibrar “a mitigación ou minimización das ameazas” co desenvolvemento responsable da tecnoloxía. Fronte a unha regulación específica para cada nova ferramenta, que podería quedar obsoleta rapidamente, o modelo baseado en riscos ofrece, segundo a enxeñeira, unha “gran capacidade de adaptación aos cambios”.

Arias valora tamén a creación dun rexistro europeo que debería permitir coñecer que ferramentas de alto risco se empregan, para que serven e quen responde por elas. O problema é que os controis máis esixentes só afectan a unha parte da intelixencia artificial dispoñible. Os algoritmos que deciden que publicacións, recomendacións ou anuncios ve cada usuario poden reforzar prexuízos, amplificar a desinformación ou condicionar o debate público, pero non entran necesariamente nesa categoría.

“O enfoque de risco é a limitación máis estrutural do Regulamento”, sostén Arias. A definición deixa marxe para distintas interpretacións e confía en que sexan as propias empresas as que clasifiquen correctamente os seus produtos. A experta sinala ademais as excepcións que permiten determinados usos da vixilancia biométrica por parte das forzas de seguridade en espazos públicos, unha protección menor da reclamada polas organizacións de dereitos fundamentais. Estas entidades temen que as excepcións faciliten unha identificación e un seguimento máis amplos da cidadanía e que afecten especialmente a colectivos xa expostos a discriminación. 

As garantías máis importantes terán que esperar

Gran parte das obrigas para as ferramentas de alto risco debía comezar a aplicarse este agosto. No entanto, o Ómnibus de Intelixencia Artificial, incluído na estratexia de desregulación da Comisión, trasladou a data ao 2 de decembro de 2027. Os requisitos para a IA incorporada a produtos como xoguetes, maquinaria ou dispositivos médicos aprázanse tamén ata agosto de 2028.

Bruxelas xustifica a demora pola falta de estándares, orientacións e ferramentas técnicas que permitan cumprir a lei con certeza xurídica. Elisa Gutiérrez García, profesora de Dereito Constitucional da Universidade Complutense de Madrid e experta en intelixencia artificial e dereitos fundamentais, recoñece a infoLibre que estes sistemas son os máis complexos de adaptar, polo que o atraso “pode ser comprensible desde esa perspectiva”. Tamén lembra que non se debería producir un baleiro legal: “O dereito previo segue sendo de aplicación, incluíndo a Carta dos Dereitos Fundamentais da Unión Europea”.

Arias cuestiona que a falta de estándares xustifique pospoñer o conxunto das obrigas. A Comisión pode aprobar especificacións comúns mentres estes se terminan e defende que medidas como avaliar os riscos, documentar o funcionamento ou garantir a supervisión humana non dependen exclusivamente dunha norma técnica. “Que non o fixese é tamén unha decisión política”, afirma. “Estamos a falar de sistemas que xa están a decidir sobre acceso a servizos sociais, procesos migratorios ou condicións laborais. Atrasar as garantías e reducir a transparencia non beneficia ás persoas, beneficia a quen desprega estes sistemas sen querer render contas” amplía.

O ex-eurodeputado socialista Iban García del Blanco, un dos negociadores da lei durante a pasada lexislatura, tampouco considera que o Ómnibus sexa unha simple corrección técnica. Aínda que recoñece a necesidade de coordinar mellor as diferentes normas e facilitar o seu cumprimento, cre que Bruxelas reabriu un equilibrio lexislativo delicado antes de comprobar os seus resultados. Resume o xiro como “algo de pragmatismo e moito de claudicación” ante a procura de competitividade tecnolóxica.

Este proceso non só afecta á intelixencia artificial. A mesma estratexia de simplificación alcanza tamén ao Regulamento Xeral de Protección de Datos e á Directiva ePrivacy. Tanto Arias como Del Blanco temen que a competitividade termine utilizándose como argumento para debilitar os límites á recompilación de datos e ao poder das grandes plataformas.

Transparencia sen poder medir a intervención da IA

A principal novidade que si se activou este 2 de agosto céntrase na transparencia. Os provedores deberán avisar cando unha persoa interactúe cun chatbot, un axente virtual ou un avatar e incorporar marcas técnicas que permitan detectar contidos sintéticos. Ademais, quen empregue estas ferramentas deberán identificar visiblemente os deepfakes e determinados textos creados con IA sobre asuntos de interese público.

Para Gutiérrez, estas medidas son “de vital importancia para combater a desinformación e outras desordes informativas”, porque poñen en alerta o destinatario sen impoñer limitacións excesivas que poidan prexudicar a liberdade de expresión ou o dereito á información.

Puente advirte de que a desinformación non sempre se comparte de forma consciente. Os sistemas de IA poden ofrecer respostas falsas ou nesgadas con aparencia de veracidade, e os usuarios poden confiar nelas sen comprobalas. “Moitas veces o propio usuario descoñecerá que o contido xerado é erróneo e pódeo dar por bo”, explica. Esa confianza pode facer que a información falsa termine difundíndose en redes sociais. Por iso, considera “moi valioso” identificar claramente os contidos creados ou modificados mediante IA. 

Unha das principais excepcións afecta os textos informativos. Non terán que identificarse cando pasasen por unha revisión humana ou un control editorial substantivo e unha persoa asuma a responsabilidade final. As directrices da Comisión aclaran que unha simple corrección ortográfica ou gramatical non basta, pero será difícil comprobar desde fóra canto foi creado por IA. 

“É unha excepción razoable en teoría, pero na práctica será difícil de verificar externamente e abre marxe a interpretacións laxas”, advirte Arias. Unha empresa, unha institución ou un partido poderá afirmar que o contido foi revisado, mentres xornalistas e cidadáns carecerán de medios para coñecer o proceso real de elaboración.

Unha vixilancia aínda incompleta

A eficacia da lei dependerá finalmente da capacidade para monitorizar e facela cumprir. A supervisión repártese entre a Oficina Europea de Intelixencia artificial e as autoridades nacionais, pero algúns países aínda non definiron por completo que organismos asumirán cada competencia, como actuarán e de que recursos dispoñerán.

En España, o proxecto de lei orgánica para o bo uso e a gobernanza da intelixencia artificial continúa na Comisión de Economía do Congreso, co prazo de emendas aberto ata o 2 de setembro. A lexislación que debe completar a repartición de competencias e o réxime sancionador non estará, por tanto, aprobada cando comecen a aplicarse as obrigas de transparencia.

Arias alerta de que unha norma común pode ofrecer niveis de protección desiguais se unhas autoridades contan con equipos capaces de auditar ferramentas complexas e outras carecen de recursos, persoal especializado ou vontade política para enfrontarse ás grandes compañías tecnolóxicas. Ademais, boa parte da aplicación dependerá de orientacións, estándares técnicos e códigos voluntarios. Estas ferramentas poden axudar ás empresas a cumprir a lei, pero non substitúen unha supervisión pública que comprobe se as medidas se aplican realmente. 

“A súa capacidade para protexer as persoas dependerá en gran medida de como interactúe con outras normas e de que as autoridades teñan recursos e vontade real de facelo cumprir”, conclúe Arias.