Normas de transparencia de la Ley de IA de la UE: qué significan los nuevos requisitos de etiquetado

La Ley de IA de la Unión Europea, el marco emblemático del bloque para regular la inteligencia artificial, ha comenzado a desplegar nuevas obligaciones de transparencia diseñadas para que las personas puedan saber más fácilmente cuándo están interactuando con un chatbot o viendo contenido generado o alterado por IA. Las normas entraron en vigor este mes como parte del calendario de aplicación escalonado de la ley, que introduce distintas obligaciones en distintas fechas según la categoría de riesgo asignada a cada tipo de uso de la IA.

En el centro de las nuevas normas se encuentra una distinción entre dos tipos de empresas: los proveedores, es decir, las empresas que desarrollan y comercializan sistemas de IA, y los implementadores, es decir, las plataformas y servicios que ponen esos sistemas al servicio de sus propios clientes o usuarios. Algunas empresas, en particular las grandes tecnológicas que tanto crean modelos de IA como operan productos orientados al consumidor, entran en ambas categorías simultáneamente y deben cumplir las obligaciones correspondientes a cada rol.

Los proveedores están obligados a diseñar los sistemas de IA de modo que el contenido de audio, imagen, video o texto sintético que generan pueda identificarse como producido o manipulado artificialmente, normalmente mediante marcadores legibles por máquina incorporados en el archivo, a veces llamados marcas de agua, aunque el método técnico se deja en parte a discreción de los proveedores, siempre que logre una detección fiable.

Los implementadores, por su parte, deben garantizar que las personas sean informadas claramente cuando interactúan con un sistema de IA en lugar de con un ser humano, salvo que ese hecho ya resulte evidente por el contexto. Esta obligación apunta directamente a los chatbots y asistentes de voz utilizados en atención al cliente, líneas de información sanitaria y entornos similares donde un usuario podría razonablemente suponer que habla con una persona.

Una obligación relacionada apunta a lo que la ley denomina deepfakes: contenido de imagen, audio o video generado o manipulado por IA que representa a personas, lugares o eventos reales de una manera que parecería auténtica a una persona razonable. Cualquiera que genere o comparta este tipo de contenido debe ahora revelar que fue creado o manipulado artificialmente, con excepciones más limitadas para obras claramente satíricas o artísticas, siempre que la divulgación no menoscabe la expresión de la obra.

La Comisión Europea ha publicado un conjunto de etiquetas estándar de IA que las empresas pueden adoptar directamente en lugar de diseñar su propio lenguaje e iconografía de divulgación desde cero, un enfoque destinado a crear cierta coherencia visual entre plataformas y hacer que las etiquetas resulten más reconocibles para los usuarios con el tiempo, de forma similar a cómo funcionan las etiquetas nutricionales estandarizadas en los envases de alimentos.

La aplicación de estas normas recae en los reguladores nacionales de cada Estado miembro de la UE, coordinados a nivel de la Unión por la Oficina de IA, que puede imponer multas por incumplimiento proporcionales a la facturación anual global de una empresa, reproduciendo la estructura de aplicación utilizada para el Reglamento General de Protección de Datos de la UE. Se espera que las primeras prioridades de aplicación se centren en los mayores proveedores y plataformas de IA en lugar de en desarrolladores más pequeños, aunque las obligaciones se aplican técnicamente de forma amplia.

Las normas de transparencia son solo una parte de un despliegue más amplio y escalonado bajo la Ley de IA, que además prohíbe un pequeño número de usos de la IA considerados de riesgo inaceptable, como la puntuación social por parte de los gobiernos, e impone obligaciones más estrictas a los sistemas de IA clasificados como de alto riesgo, incluidos ciertos usos en contratación, calificación crediticia, aplicación de la ley e infraestructuras críticas, obligaciones que entrarán en vigor en un calendario posterior al de las normas de transparencia vigentes desde este mes.

Las empresas que operan fuera de la UE no están exentas si sus sistemas de IA son utilizados por personas dentro del bloque, una disposición de alcance similar a cómo el RGPD se aplica a cualquier empresa que trate datos de residentes de la UE, sin importar dónde esté establecida la propia empresa. Esto ha llevado a muchos proveedores globales de IA a incorporar funciones de etiquetado y divulgación específicas para la UE en sus productos, en lugar de mantener versiones separadas para distintos mercados.

Para los usuarios habituales, el efecto práctico de las nuevas normas debería ser un número creciente de etiquetas de IA visibles en imágenes generadas, divulgaciones más claras al inicio de las conversaciones con chatbots, y avisos de divulgación adjuntos a contenido multimedia manipulado por IA que se comparte en línea, aunque la rapidez y coherencia con que las plataformas implementen estas funciones en la práctica dependerá en gran medida de cuán activamente los reguladores nacionales hagan cumplir los nuevos requisitos en los próximos meses.