Cómo difiere la regulación de la IA en el mundo, y por qué le afecta

Han surgido tres grandes enfoques para regular la inteligencia artificial, y la mayoría de los demás países toman prestado de alguno de ellos. Las diferencias son sustantivas y determinan qué pueden construir y desplegar las empresas.

El modelo europeo: integral y basado en el riesgo:

La Unión Europea legisló de forma amplia y clasifica los sistemas de IA por riesgo. Algunos usos están directamente prohibidos. Un conjunto definido de aplicaciones de alto riesgo, entre ellas el empleo, el acceso a la educación, el crédito, los servicios esenciales, la actuación policial y las infraestructuras críticas, conlleva obligaciones sustanciales: gestión de riesgos, gobernanza de datos, documentación, registro, supervisión humana y evaluación de conformidad antes del despliegue.

Los sistemas que interactúan con personas deben revelar que son IA, y el contenido sintético debe etiquetarse. Los modelos de uso general tienen sus propias obligaciones de documentación y derechos de autor, con requisitos adicionales para los mayores.

Dos rasgos le dan alcance global: se aplica a quien introduzca sistemas en el mercado de la Unión con independencia de dónde tenga su sede, y las sanciones se escalan con la facturación mundial.

El modelo estadounidense: sectorial y guiado por la aplicación:

Estados Unidos no tiene una ley federal integral sobre IA, y la postura federal cambia entre administraciones. El derecho existente se aplica igualmente: la normativa contra la discriminación laboral cubre los algoritmos de contratación sesgados, el derecho de consumo cubre las afirmaciones engañosas sobre IA, la regulación financiera exige decisiones de crédito explicables, y las autoridades sanitarias aprueban los dispositivos médicos con IA.

La capa más activa es el derecho estatal. Varios estados regulan las decisiones automatizadas en el empleo y en servicios de gran impacto, y exigen evaluaciones de impacto y aviso previo. Las leyes estatales integrales de privacidad rigen la elaboración automatizada de perfiles. Las normas de California funcionan como estándares nacionales de hecho, porque las empresas rara vez construyen productos específicos para un estado.

El modelo chino: licencia y control de contenidos:

China regula de forma activa con otras prioridades. Hay normas sobre los algoritmos de recomendación, los medios sintéticos y los servicios de IA generativa, que exigen registro ante las autoridades, etiquetado del contenido generado por IA, evaluación de seguridad antes de la puesta a disposición del público y coherencia con los requisitos de contenido.

El cumplimiento precede a la entrada en el mercado en lugar de seguirla.

Todos los demás:

El Reino Unido optó por que los reguladores sectoriales apliquen las normas existentes en lugar de una ley única. Canadá, Brasil, Corea del Sur, Japón y otros tienen marcos en distintas fases, que en general toman prestada la escala de riesgos ajustando el alcance. Singapur prima los conjuntos de herramientas prácticas de gobernanza sobre las normas vinculantes. La mayoría de las jurisdicciones africanas, latinoamericanas y asiáticas regulan la IA principalmente a través del derecho de protección de datos.

Lo que se aplica casi en todas partes:

Bajo las diferencias, varias obligaciones se repiten globalmente. Los datos personales usados en el entrenamiento o en la inferencia siguen sujetos al derecho de privacidad. Las decisiones automatizadas de gran impacto sobre las personas suelen exigir aviso, explicación y una vía de revisión humana. El derecho contra la discriminación se aplica a los resultados, sea cual sea el modo en que se produzcan. Las normas sectoriales de finanzas, salud y sistemas críticos para la seguridad se aplican a la IA que opera dentro de ellos. El derecho de consumo prohíbe exagerar las capacidades.

Una organización que gestione bien estos puntos está en general preparada para la mayoría de los regímenes.

Qué significa en la práctica:

Para una empresa que opera internacionalmente, la restricción determinante suele ser el régimen aplicable más estricto, que para la mayoría es el marco europeo combinado con las normas estatales estadounidenses más exigentes.

Las implicaciones prácticas son: saber dónde se usa la IA en toda su operación, clasificar según el impacto sobre las personas, documentar los sistemas que importan, garantizar una supervisión humana efectiva allí donde las decisiones afecten a derechos, y comprobar si hay resultados dispares.

Ese último punto es donde se concentra la exposición jurídica y donde los problemas resultan invisibles sin una medición deliberada.

La dirección:

La regulación converge en el principio de que las obligaciones deben crecer con el impacto sobre las personas, y la aplicación pasa de los marcos anunciados a los casos reales. Las organizaciones a las que esto les resultará manejable son las que tengan un inventario y pruebas, no las que tengan los documentos de política más largos.