Regulación de la IA: conceptos básicos de legislación y cumplimiento

Puntos clave

• La regulación de la IA abarca cómo se desarrolla, comercializa y utiliza la inteligencia artificial, no solo cómo funciona la tecnología.
• Las leyes vigentes sobre privacidad, protección del consumidor, empleo y otras materias pueden aplicarse incluso sin una ley específica sobre IA.
• El cumplimiento comienza por saber qué herramientas de IA utilizas, qué datos manejan y cómo afectan sus resultados a las personas.

La regulación de la IA es el conjunto de normas jurídicas que rigen cómo las organizaciones desarrollan y utilizan la inteligencia artificial. Para una empresa, cumplir la normativa significa identificar las reglas aplicables a sus actividades, establecer las salvaguardas adecuadas y conservar pruebas de que esas salvaguardas funcionan.

Cómo funciona

No existe una única ley mundial sobre IA. Tus obligaciones dependen de dónde operas, a quién afecta tu IA, qué hace el sistema y cuál es tu función al proporcionarlo o utilizarlo.

Una forma útil de entender la regulación es dividirla en tres niveles.

1. Leyes vigentes que ya se aplican

Utilizar IA no elimina las responsabilidades legales habituales. Según la situación, las normas pertinentes pueden incluir:

• Privacidad y protección de datos: Cómo se recopila, comparte, protege y conserva la información personal.
• Protección del consumidor: Si la publicidad, las afirmaciones sobre productos o las comunicaciones con los clientes son engañosas.
• Empleo y discriminación: Si las decisiones de contratación o del ámbito laboral perjudican ilegalmente a las personas.
• Derechos de autor y confidencialidad: Si tienes permiso para utilizar determinados contenidos o divulgar información sensible.
• Requisitos sectoriales: Obligaciones adicionales en ámbitos como la atención sanitaria y los servicios financieros.

Por ejemplo, cargar registros de clientes en un chatbot puede generar problemas de protección de datos aunque ninguna ley específica sobre IA se aplique a ese chatbot.

2. Leyes específicas sobre IA

Algunas jurisdicciones han introducido leyes dirigidas específicamente a la IA.

El Reglamento de Inteligencia Artificial de la UE utiliza un marco basado en el riesgo: determinadas prácticas están prohibidas, algunos sistemas están sujetos a requisitos para sistemas de alto riesgo y otros usos pueden generar obligaciones de transparencia. También incluye normas para los modelos de IA de uso general. Los requisitos se aplican de forma gradual, por lo que las empresas deben comprobar tanto la disposición pertinente como su fecha de aplicación.

En Estados Unidos, las obligaciones pueden proceder de leyes federales, medidas estatales y locales, y organismos reguladores sectoriales. No des por sentado que una única lista de verificación nacional cubre todos los usos.

Estas son tendencias generales, no resúmenes jurídicos completos. Un sistema utilizado en varios países puede estar sujeto a más de un conjunto de normas.

3. Orientaciones, estándares y contratos

No todos los marcos de IA tienen rango de ley. Los estándares voluntarios y las orientaciones de los reguladores pueden ayudar a las organizaciones a gestionar los riesgos, pero su relevancia jurídica varía.

Los contratos también importan. Un cliente puede exigir controles de seguridad específicos, mientras que un proveedor de herramientas puede restringir determinados usos. Las obligaciones contractuales son distintas de las regulatorias, pero también merecen atención.

Ejemplos del mundo real

Una empresa utiliza IA para filtrar candidaturas de empleo

La empresa empleadora debe tener en cuenta la discriminación, la privacidad y cualquier norma aplicable a las decisiones laborales automatizadas. Según la jurisdicción, pueden exigirse avisos, evaluaciones, auditorías u otras salvaguardas.

Entre las preguntas prácticas figuran: ¿Qué información utiliza el sistema? ¿Podría perjudicar a determinados grupos? ¿Puede alguien impugnar un resultado? ¿La revisión humana es sustantiva o el responsable de selección simplemente acepta la puntuación?

Comprar software a un proveedor no transfiere automáticamente toda la responsabilidad a ese proveedor.

Un comercio incorpora un chatbot de atención al cliente

El comercio debe comprobar si es necesario informar a los clientes de que están interactuando con IA. También debe gestionar los datos personales, supervisar las respuestas engañosas y ofrecer una vía de acceso a la atención humana.

Un chatbot que inventa una política de reembolsos genera un problema empresarial, independientemente de que se aplique o no una ley específica sobre IA. Las fuentes de información aprobadas y unas reglas claras para derivar los casos pueden reducir ese riesgo.

Un profesional utiliza IA para redactar documentos para sus clientes

Un contable, abogado o consultor puede utilizar IA para elaborar un primer borrador. Entre los aspectos relevantes se encuentran la confidencialidad, la exactitud, los deberes profesionales y el tratamiento que hace el proveedor de la información cargada.

Un flujo de trabajo sensato utiliza una herramienta aprobada, limita la información sensible introducida y exige que una persona cualificada verifique el resultado antes de que llegue al cliente. Las citas y conclusiones jurídicas generadas por IA requieren un escrutinio especial.

Ventajas y límites

Una buena regulación de la IA puede fomentar productos más seguros, una atribución de responsabilidades más clara y una mejor protección frente a decisiones perjudiciales. Para las empresas, un proceso práctico de cumplimiento también puede reducir la divulgación accidental de datos, los resultados poco fiables y la incertidumbre sobre los usos aceptables.

Sin embargo, la regulación tiene límites:

• Las normas varían entre jurisdicciones. Un flujo de trabajo aceptable en un lugar puede requerir cambios en otro.
• Los requisitos legales evolucionan. Las nuevas normas, orientaciones y resoluciones judiciales pueden afectar a tus obligaciones.
• El cumplimiento no garantiza la exactitud. Una herramienta que cumple la normativa puede seguir generando información incorrecta.
• Las etiquetas no son pruebas. La afirmación de un proveedor de que su producto «cumple la normativa» necesita contexto y pruebas que la respalden.

La ética y el cumplimiento legal también se solapan, pero no son idénticos. Un uso de la IA puede ser técnicamente legal y, aun así, resultar injusto, invasivo o perjudicial para la confianza.

Cómo empezar

No necesitas comenzar con un programa de gobernanza complicado. Empieza con un proceso sencillo y repetible.

1. Elabora un inventario de IA.

Enumera las herramientas que utilizan los empleados, su finalidad, la información que se introduce y quién se basa en sus resultados. Incluye las funciones de IA integradas en el software existente.

2. Prioriza los usos de mayor impacto.

Presta especial atención a los sistemas que afectan al empleo, el crédito, la atención sanitaria, el acceso a servicios u otras decisiones importantes. Los datos personales sensibles y la vigilancia a gran escala también merecen una revisión más exhaustiva.

3. Identifica las normas aplicables.

Registra los países, estados, sectores y grupos de clientes pertinentes. Distingue entre ser desarrollador o proveedor y ser una organización que utiliza el sistema de un tercero. Busca asesoramiento jurídico cualificado cuando haya mucho en juego.

4. Revisa los proveedores y los contratos.

Pregunta cómo se utilizan, conservan y protegen los datos. Comprueba si la información introducida puede utilizarse para entrenar modelos, qué opciones de eliminación existen y qué documentación proporciona el proveedor. No des por sentado que la presentación de un producto como solución empresarial responde a estas preguntas.

Para los despachos de abogados que trabajan con empresas, Harvey AI es un asistente jurídico que merece la pena considerar dentro de este proceso de revisión. El público al que se dirige no hace que todos sus usos cumplan la normativa; la confidencialidad, las condiciones contractuales y la supervisión profesional siguen siendo importantes.

5. Establece normas internas claras.

Explica qué herramientas están aprobadas, qué información no debe introducirse, cuándo se requiere revisión humana y cómo debe informar el personal de los problemas.

6. Mantén registros y reevalúa las decisiones.

Documenta las evaluaciones, aprobaciones, actividades de formación e incidentes. Revisa las medidas establecidas cuando cambien la herramienta, su finalidad o la legislación aplicable.

Preguntas frecuentes

¿Se aplica la regulación de la IA a las pequeñas empresas?

Puede aplicarse. El tamaño por sí solo no determina si son aplicables los requisitos sobre privacidad, protección del consumidor, empleo o los específicos de IA. Algunas normas incluyen exenciones o disposiciones adaptadas, pero las pequeñas empresas deben comprobarlo en lugar de dar por sentado que están excluidas.

¿Basta con utilizar un proveedor de IA que cumpla la normativa?

No. Las salvaguardas de un proveedor solo cubren una parte del panorama. La información que decides introducir, la finalidad empresarial, la configuración y el grado en que te basas en los resultados pueden generar obligaciones adicionales. Pregunta qué abarca una afirmación de cumplimiento y qué responsabilidades siguen siendo tuyas.

¿Necesitamos siempre un abogado antes de utilizar IA?

No necesariamente para todas las tareas de bajo riesgo. Generar ideas con información no sensible es distinto de filtrar candidaturas o procesar historiales de pacientes. Busca asesoramiento cualificado cuando la IA afecte a derechos importantes, maneje datos sensibles, abarque varias jurisdicciones o genere incertidumbre sobre las obligaciones legales.