Así quiere protegerte la UE frente a la inteligencia artificial, pero se queda corta

Cuando la inteligencia artificial ha invadido ya el espacio digital —con desarrollos más o menos asombrosos, pero indudablemente importantes—, la Unión Europea cuenta ya con una normativa en forma de reglamento. Lo bueno es que establece "líneas rojas", o sea, una serie de prohibiciones para los sistemas recogidas en el artículo 5. Lo malo es que no se aplicará obligatoriamente hasta 2026, no establece mecanismos para evaluar cómo se deben mitigar los riesgos y, sobre todo, deja sin apenas restricciones la IA Fundacionales (como las generativas, OpenAI), a las que considera, de entrada, de "riesgo mínimo".

El Reglamento Europeo de Inteligencia Artificial, la primera ley sobre este tipo de tecnología en todo el mundo, será de aplicación directa obligatoria en todos los países comunitarios dentro de dos años, con algunas excepciones para ciertas disposiciones.

Tras más de cuatro años de debates tanto académicos como políticos, esta nueva normativa afectará a las empresas que usen este tipo de tecnologías, que se enfrentarán a multas —millonarias en los casos más graves— si no cumplen con el nuevo marco legal.

"Les ha pilado el toro"

Su principal problema es que nace desfasada porque el panorama tecnológico es muy diferente al que había hace cinco años, cuando arrancó la tramitación del Reglamento. "Les ha pillado el toro, ya que esta norma se comenzó a discutir en primer borrador cuando ni siquiera existían las Inteligencias Artificiales Fundacionales", comenta Paloma Llaneza, conocida abogada y consultora especializada en tecnología. De hecho, para proteger a los ciudadanos, la Unión Europea establece una escala de "riesgos" en función de la finalidad concreta de un producto que use IA, "pero es que eso ya no funciona así", remarca esta experta.

"Ahora, los sistemas de IA se basan en modelos fundacionales diseñados para múltiples tareas (por ejemplo, GTP de OpenAI) sobre los que se incrustan capas o interfaces, de modo que estas IA fundacionales son más bien los motores detrás de cada solución o producto", apunta Llaneza, "de modo que las compañías usan esos motores para desarrollar herramientas; son éstas las que tienen una finalidad concreta, no los motores de IA". Y añade: "Por esa razón, por ejemplo, no se puede hacer una evaluación de riesgos sobre un sistema de IA, ya que estará usando un motor ajeno, un software que no puede analizar ya que no es suyo".

Las Inteligencias Artificiales Fundacionales (de propósito general), como las generativas basadas en el lenguaje, quedan situadas en la parte más baja de la escala de riesgos que propone el Reglamento cuando, en realidad, son ya nucleares en cualquier producto con IA. Así las cosas, por ejemplo, los desarrollos de OpenAI se considerarán, de entrada, de riesgo mínimo; luego, en función del uso dado por una empresa europea que contrate sus motores de IA, el nivel de riesgo puede incrementarse, pero dicha empresa en cuestión no podrá realizar una evaluación de riesgo real sencillamente porque ese sistema contratado es una caja negra a la que no tiene acceso.

Por otro lado, la norma es menos restrictiva con los desarrolladores de lo que inicialmente pretendía, en parte por imposición del Gobierno francés para defender sus propios intereses empresariales nacionales.

RIESGOS DE LA INTELIGENCIA ARTIFICIAL PARA LA UE

1. Riesgo inaceptable (Sistemas de IA Prohibidos):

Algunos sistemas o usos de la IA están prohibidos porque contradicen los valores de la UE, incluidos los derechos a la no discriminación, la protección de datos y la privacidad. En concreto:

-Los sistemas que se sirvan de técnicas subliminales que trasciendan la conciencia de una persona o de técnicas deliberadamente manipuladoras o engañosas con el objetivo o el efecto de alterar de manera sustancial el comportamiento de una persona o sus decisiones.

- Los sistemas que exploten alguna de las vulnerabilidades de una persona física o un determinado colectivo de personas derivadas de su edad o discapacidad, o de una situación social o económica específica para perjudicarlas.

- Los sistemas que realicen tareas de "puntuación ciudadana", es decir, que evalúen o clasifiquen a personas o colectivos en función de su comportamiento social o a características personales o de su personalidad conocidas, inferidas o predichas.

- Los sistemas que se dediquen a la "predicción delictiva" basándose en un perfilado previo o en los rasgos y características de su personalidad.

- Los sistemas de IA que extraigan masivamente y de forma no selectiva bases de datos de reconocimiento facial de internet o cámaras de seguridad.

- Los sistemas que infieran las emociones de una persona física en los lugares de trabajo y en los centros educativos, salvo que existan motivos médicos o de seguridad.

- Los sistemas de categorización que clasifiquen a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual (salvo que los datos biométricos fuesen adquiridos lícitamente).

- Los sistemas de identificación biométrica "en tiempo real" en espacios públicos sólo se podrán emplear, con carácter general, en casos específicos tales como la búsqueda selectiva de una persona desaparecida o la prevención de un atentado terrorista. Recurrir a estos sistemas requerirá, salvo urgencia, de autorización judicial o de la autoridad administrativa independiente pertinente.

2. Riesgo Alto (Sistemas de AI de Alto Riesgo):

Son aquellos que pueden presentar un riesgo potencialmente alto para los derechos y libertades de las personas físicas y, por lo tanto, están sujetos a obligaciones estrictas.

Algunos ejemplos de usos de alto riesgo de la IA son las infraestructuras críticas o la educación y la formación profesional, y el empleo. Estos sistemas deben evaluar y reducir los riesgos, mantener registros de uso, ser transparentes y precisos, y contar obligatoriamente con mecanismos de supervisión humana.

Curiosamente, la verificación humana no es obligatoria en los sistemas para controles de fronteras, migración y asilo cuando se entienda este requisito como "desproporcionado" (art. 14.5).

En el área del empleo, se consideran de alto riesgo los sistemas destinados a ser utilizados para el reclutamiento o la selección de empleados, o para supervisar y evaluar su rendimiento y comportamiento. También los que se utilicen para evaluar la solvencia de las personas físicas o establecer su puntuación crediticia.

En el ámbito de la educación, entran en esta categoría los sistemas que se usen para determinar el acceso a las instituciones educativas o para supervisar y detectar el comportamiento prohibido de los estudiantes durante los exámenes.

Paloma Llaneza explica que en todos estos casos la supervisión humana obligatoria no garantiza la eliminación de sus propios sesgos, "esencialmente porque estas personas no han analizado la información, sino que es la IA la que ha hecho el trabajo sucio". Y además, como sucede en algunos sectores como la banca, las personas que usan herramientas de IA para determinar la solvencia o la puntuación crediticia de los ciudadanos están incentivados para tomar decisiones en la misma línea que la IA que utilizan.

3. Riesgo Limitado (Sistemas de IA con requisitos de transparencia):

Sus responsables deben cumplir requisitos e informar para no engañar a los consumidores haciéndoles creer que interactúan con personas reales o con contenidos creados por ellas. Por ejemplo, entrarían en esta categoría los propietarios de chatbots o creadores de deepfakes.

4. - Riesgo Mínimo (Sistemas IA de Propósito General):

No tienen un propósito previsto inicial, pero pueden ser entrenados o modificados para cumplir un propósito que podría convertirlos en sistemas de alto riesgo. Aquí entran, por definición, los sistemas o motores de Inteligencia Artificial Fundacionales, como las generativas que desarrollan OpenIA, Google, Meta o Amazon, entre otras.

Las empresas que lancen productos basados en estos motores deberán cumplir ciertos requisitos, que serán los que se aplican a los Sistemas de Inteligencia Artificial de Alto Riesgo, pero adaptados.

Terreno desconocido

La inteligencia artificial ha abierto un campo sensible donde, desde hace ya años, surgen dudas y cuestiones que han de ser respondidas. Por ejemplo, a principios de 2022 la Oficina Europea de Patentes tuvo que aclarar que un algoritmo no puede ser sujeto de una patente, es decir, sólo un inventor humano puede ser inventor.

Esta nueva normativa hace hincapié en la protección del ciudadano y trata de imponer ciertos límites a un sector que está creciendo de forma exponencial. Organizaciones de defensa de los derechos digitales como EDRi o OdiseIA reconocen lagunas.

Unas lagunas que se pueden explicar porque, como dice Paloma  Llaneza, a la UE "le ha pillado el toro" de la inteligencia artificial.