La regulación de la IA explicada: cómo gobierna el mundo la inteligencia artificial

La inteligencia artificial está pasando de ser una tecnología en gran medida sin regular a una tecnología gobernada, y las normas no llegan de manera uniforme. Distintas jurisdicciones han elegido enfoques radicalmente diferentes, y las organizaciones que operan más allá de sus fronteras se enfrentan a varios regímenes a la vez.

Esta es una guía llana sobre cómo se estructura realmente la gobernanza de la IA y qué significa en la práctica.

El enfoque europeo: integral y basado en el riesgo:

La Unión Europea produjo la primera ley integral sobre IA, y su estructura se ha convertido en el punto de referencia del debate en todas partes.

La idea central es que las obligaciones deben crecer con el riesgo en lugar de aplicarse por igual a toda la IA. El marco ordena los sistemas por niveles.

Un pequeño conjunto de usos queda directamente prohibido, entre ellos la puntuación social por parte de autoridades públicas, la explotación de vulnerabilidades de grupos determinados y ciertas formas de vigilancia biométrica e inferencia de emociones en el trabajo y en los centros educativos.

Una categoría más amplia se califica de alto riesgo y abarca la IA usada en decisiones de contratación, acceso a la educación, servicios esenciales, crédito, infraestructuras críticas, seguridad pública y productos sanitarios. Estos sistemas afrontan requisitos de fondo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, supervisión humana, normas de exactitud y seguridad, y evaluación de conformidad antes del despliegue.

Los sistemas que interactúan con personas o generan contenido cargan con deberes de transparencia: hay que decir a los usuarios que están tratando con una IA, y los medios sintéticos deben etiquetarse.

Todo lo demás, que es la mayor parte de la IA de uso comercial, soporta obligaciones mínimas.

Una vía aparte regula los propios modelos de propósito general, con obligaciones de documentación y de derechos de autor para todos ellos y requisitos adicionales de riesgo sistémico para los mayores.

Dos rasgos importan en lo comercial. La ley se aplica a quien ponga sistemas en el mercado de la UE con independencia de dónde tenga su sede, y las sanciones se fijan como porcentaje de la facturación mundial. Esa combinación le da alcance mucho más allá de Europa.

El enfoque estadounidense: sectorial y guiado por la aplicación:

Estados Unidos carece de una ley federal integral sobre IA, y la postura federal ha oscilado con las administraciones entre subrayar las obligaciones de seguridad y subrayar la innovación y la desregulación.

Eso no significa que la IA estadounidense esté sin gobernar. El derecho existente se aplica. La normativa contra la discriminación laboral cubre los algoritmos de contratación discriminatorios, tanto si decidió una persona como un modelo. Las autoridades de consumo persiguen las afirmaciones engañosas sobre las capacidades de la IA y las prácticas desleales. Los supervisores financieros exigen explicabilidad en las decisiones de crédito. Las autoridades sanitarias autorizan productos médicos con IA. Los reguladores sectoriales han sido explícitos: no hay exención por IA de las normas que ya aplican.

La capa más activa es la legislación estatal. Varios estados han aprobado leyes específicas sobre IA que cubren decisiones automatizadas en el empleo y en servicios de consecuencias importantes, y exigen evaluaciones de impacto, aviso a las personas afectadas y, en algunos casos, la posibilidad de recurrir ante un humano. Leyes estatales integrales de privacidad regulan además la elaboración automatizada de perfiles. El resultado práctico es un mosaico que las empresas de ámbito nacional deben recorrer a la vez.

China: control de contenidos y algoritmos:

China regula la IA de forma activa, con un énfasis distinto al de los marcos occidentales. Hay normas sobre algoritmos de recomendación, medios sintéticos y servicios de IA generativa que exigen registrar los algoritmos ante los reguladores, etiquetar el contenido generado por IA, superar evaluaciones de seguridad antes de la publicación y alinear las salidas con los requisitos estatales de contenido. El cumplimiento es un requisito previo de licencia, no una obligación posterior a la comercialización.

El resto del mundo:

El Reino Unido ha preferido la orientación de los reguladores sectoriales existentes antes que una ley única, aunque esa dirección ha estado bajo revisión. Canadá, Brasil, India, Japón, Corea del Sur y otros han desarrollado marcos en fases diversas, tomando en general la idea de escalonar por riesgo y ajustando el alcance. Organismos internacionales han producido principios y códigos de conducta que moldean las normas sin fuerza vinculante.

Para los mercados africanos, incluidos Kenia y la región en general, la normativa de protección de datos es hoy la restricción operativa, mientras emergen estrategias y borradores de marcos propios de IA. Allí las organizaciones se topan con reglas de IA sobre todo a través de sus mercados de exportación y de reguladores de privacidad que aplican el derecho vigente a las decisiones automatizadas.

Qué se aplica sea cual sea la jurisdicción:

Bajo las diferencias, varias obligaciones se repiten casi en todas partes.

Los datos personales usados para entrenar u operar una IA siguen sujetos a la normativa de protección de datos, incluidas la base legal, la limitación de la finalidad y los derechos de las personas. Las decisiones automatizadas con efectos significativos sobre las personas exigen por lo general aviso, explicación y una vía de revisión humana. La normativa antidiscriminación se aplica a los resultados, con independencia de cómo se produjeran. Las reglas sectoriales de finanzas, sanidad, empleo y sistemas críticos para la seguridad se aplican a la IA que contienen. El derecho de consumo prohíbe exagerar lo que un sistema sabe hacer.

Una organización que gestione bien estos puntos está en buena medida preparada para casi todos los regímenes emergentes.

Prepararse sin sobredimensionar:

Empiece por un inventario. La mayoría de las organizaciones no sabe decir dónde se usa la IA en sus operaciones, incluidas las funciones integradas en software comprado. No se puede gobernar lo que no se ha catalogado.

Clasifique por consecuencias para las personas. Un modelo que programa mantenimiento y un modelo que criba candidaturas no son comparables, y el esfuerzo debe seguir al impacto.

Documente los sistemas que importan: finalidad, fuentes de datos, limitaciones, pruebas realizadas, modos de fallo conocidos y quién responde. Casi todos los marcos exigen documentación, y reconstruirla después es mucho más difícil que mantenerla.

Garantice una supervisión humana efectiva donde las decisiones afecten a personas. Efectiva significa que quien revisa tiene autoridad, información y tiempo para discrepar, no un trámite.

Mida las diferencias de resultado entre grupos. Ahí es donde se concentra la exposición legal y donde los problemas resultan menos visibles sin una medición deliberada.

Hacia dónde va todo esto:

Dos cosas están razonablemente claras. La regulación converge hacia el principio de que las obligaciones crecen con el impacto sobre las personas, y la aplicación se desplaza de los marcos anunciados a los casos reales.

Las organizaciones a las que esto les resultará manejable no son las que tienen los documentos de política más extensos. Son las que saben dónde se usa la IA en su negocio, entienden qué usos afectan a los derechos de las personas y pueden acreditar que esos usos se probaron y se supervisaron.