¿Cuáles son los objetivos clave y los principios fundamentales que sustentan la Ley de IA?
La Ley de IA de la UE, propuesta formalmente en abril de 2021 y promulgada el 1 de agosto de 2024, establece un marco legal uniforme para los sistemas de IA en toda la UE. Equilibra la innovación con la necesidad de proteger los derechos fundamentales y los datos personales.
Objetivos Clave:
- Salvaguarda de los Derechos Fundamentales: Garantiza que los sistemas de IA respeten los derechos fundamentales de la UE, con un enfoque en las consideraciones éticas.
- Promoción de la Innovación: Fomenta el desarrollo y la implementación de tecnologías de IA confiables.
- Fomento de la Confianza: Genera confianza pública en los sistemas de IA.
Principios Fundamentales:
La Ley de IA adopta un enfoque basado en el riesgo, categorizando los sistemas de IA según su nivel de riesgo potencial. Este enfoque dicta el nivel de supervisión regulatoria y los requisitos de cumplimiento.
- Categorización del Riesgo:
- Riesgo Inaceptable: Los sistemas de IA que violan los derechos fundamentales de la UE están prohibidos.
- Alto Riesgo: Los sistemas que impactan la salud, la seguridad o los derechos fundamentales requieren evaluaciones de conformidad y seguimiento continuo.
- Riesgo Limitado: Se aplican requisitos de transparencia, como la divulgación de la interacción con la IA.
- Riesgo Mínimo: Sin requisitos específicos.
- IA de Propósito General (GPAI): Una categoría adicional para modelos de IA entrenados en grandes conjuntos de datos, capaces de realizar diversas tareas. Los modelos GPAI considerados de «riesgo sistémico» enfrentan mayores obligaciones.
Además, la Ley de IA reconoce diferentes roles dentro de la cadena de valor de la IA, incluidos proveedores, implementadores, distribuidores, importadores y representantes autorizados. Cada rol tiene responsabilidades distintas y requisitos de cumplimiento.
Los auditores internos deben comprender la categoría de riesgo de cada sistema de IA y el rol de su organización en su cadena de valor para garantizar el cumplimiento de la Ley de IA. Estos roles pueden evolucionar, lo que afecta las obligaciones de cumplimiento.
¿Cómo deben las organizaciones abordar el logro y el mantenimiento del cumplimiento de las diversas obligaciones definidas en la Ley de IA?
La Ley de IA introduce un enfoque basado en el riesgo, que clasifica los sistemas de IA en niveles de riesgo inaceptable, alto, limitado y mínimo, junto con una categoría para la IA de propósito general (GPAI). Los esfuerzos de cumplimiento deben adaptarse a estas categorías de riesgo y al papel específico que desempeña una organización en la cadena de valor de la IA (Proveedor, Implementador, etc.). Aquí hay un desglose para profesionales legales-tecnológicos, oficiales de cumplimiento y analistas de políticas:
Comprender su función y perfil de riesgo
Primero, las organizaciones deben identificar qué función ocupan para cada sistema de IA que utilizan y determinar la categoría de riesgo aplicable. Tenga cuidado, un Implementador se convierte en Proveedor cuando realiza ediciones significativas en la IA o la renombra con su propia marca comercial. Los requisitos variarán según si se encuentra en la UE, fuera de la UE, es proveedor, implementador, distribuidor o representante.
Establecimiento de medidas fundamentales de cumplimiento
Para prepararse, los auditores internos pueden abordar el cumplimiento de la Ley de IA como cualquier otro proyecto de cumplimiento, pero con un enfoque en la evaluación, auditoría y gobernanza de procesos de IA distintos. Tome nota de los próximos plazos:
- 2 de febrero de 2025: Concéntrese en la capacitación en alfabetización de IA para el personal, cree un inventario de sistemas de IA, clasifique los sistemas por riesgo y cese el uso/elimine la IA de riesgo inaceptable.
- 2 de agosto de 2025: Aborde el cumplimiento de GPAI, incluida la comprensión de los organismos reguladores relevantes y el establecimiento de mecanismos de transparencia. (Nota: el cumplimiento se pospone hasta 2027 para los sistemas GPAI preexistentes).
- 2 de agosto de 2026: Implemente sistemas de evaluación, gestión y rendición de cuentas de riesgos para la IA de alto riesgo y políticas de transparencia para los sistemas de riesgo limitado.
- 2 de agosto de 2027: Aplique medidas GPAI a todos los sistemas y asegúrese de que los componentes de IA integrados cumplan con las obligaciones de la IA de alto riesgo.
Obligaciones y requisitos clave
Varias obligaciones se aplican según el tipo de modelo de IA:
- Alfabetización en IA: Asegúrese de que haya suficiente alfabetización en IA entre quienes tratan con sistemas de IA.
- Registro de IA: Las empresas deben crear un registro de IA que contenga todos los sistemas de IA que utilizan o introducen en el mercado. Los sistemas de IA de alto riesgo deben enviarse a un repositorio central de IA.
- Evaluación de riesgos de IA: Todos los sistemas de IA en el registro de IA deben evaluarse en cuanto al riesgo de acuerdo con el método de clasificación de riesgos utilizado en la Ley de IA. Cabe señalar que el método de clasificación está prescrito dentro de la Ley de IA.
Para los sistemas de IA de alto riesgo, las organizaciones deben implementar sistemas robustos de gestión de riesgos, centrarse en los datos y la gobernanza de los datos, mantener la documentación técnica e implementar medidas de mantenimiento de registros y transparencia. La supervisión humana debe integrarse en el diseño. Es imperativo que la precisión, la resiliencia y las medidas de ciberseguridad cumplan con los estándares requeridos para garantizar resultados de IA consistentes.
Las organizaciones deben nombrar representantes autorizados fuera de la UE para los sistemas de IA de alto riesgo. También se debe realizar una evaluación de la conformidad y un marcado CE de conformidad.
Los sistemas de IA de riesgo limitado incurren en obligaciones de transparencia, informando a los usuarios que están interactuando con una IA. Las salidas generadas (contenido de audio, imagen, video o texto sintético) deben ser legibles por máquina y revelar que el contenido fue generado artificialmente.
Similar al riesgo limitado, los modelos de IA de propósito general también requieren obligaciones de transparencia para que los proveedores informen a las personas físicas interesadas que están interactuando con un sistema de IA. También deben clasificar los modelos GPAI con riesgo sistémico.
El papel de la auditoría interna
Los departamentos de auditoría interna deben desarrollar marcos para evaluar el uso de la IA dentro de la organización, ofrecer recomendaciones para ofrecer beneficios y mitigar riesgos, y predicar con el ejemplo evaluando su propio uso de la IA. Las habilidades de auditoría generalmente se aseguran a través de capacitaciones internas y externas y el intercambio de conocimientos. Es importante que los departamentos de auditoría planifiquen e implementen actividades de capacitación dedicadas para garantizar que estén adecuadamente capacitados para brindar garantía sobre la IA.
Considerando una legislación de la UE más amplia
Los sistemas de IA también pueden estar sujetos a otras legislaciones de la UE, como DORA y CSRD/CSDDD, particularmente en lo que respecta a los proveedores externos, el impacto ambiental y la resiliencia de la ciberseguridad. Considere cómo los sistemas de IA podrían requerir que la empresa cumpla con un conjunto más amplio de regulaciones.
¿Qué requisitos principales están asociados con la utilización y la auditoría de los sistemas de IA dentro de las organizaciones?
La Ley de IA de la UE introduce un marco escalonado de requisitos para las organizaciones que utilizan sistemas de IA, cuya rigurosidad depende del nivel de riesgo asociado a la IA en cuestión. Por lo tanto, los auditores internos serán fundamentales para garantizar el cumplimiento de las nuevas normativas por parte de sus empresas.
Obligaciones basadas en el riesgo:
Esto es lo que implican los diferentes niveles de riesgo:
- Riesgo inaceptable: Los sistemas de IA que se considera que violan los derechos y valores fundamentales de la UE están prohibidos. Estos incluyen la IA utilizada para manipular a las personas, causar daños significativos o crear resultados discriminatorios.
- Alto riesgo: Los sistemas de IA que afectan a la salud, la seguridad o los derechos fundamentales se enfrentan a requisitos rigurosos. Los proveedores deben establecer sistemas de gestión de riesgos, garantizar la calidad y la gobernanza de los datos, mantener la documentación técnica y proporcionar transparencia a los implementadores. La supervisión humana y la resiliencia de la ciberseguridad también son esenciales.
- Riesgo limitado: Los chatbots o los generadores de contenido de IA (texto o imágenes) entran en esta categoría. Los requisitos de transparencia son clave aquí, informando a los usuarios de que están interactuando con un sistema de IA.
- Riesgo mínimo: Videojuegos habilitados para IA o filtros de spam—no se aplican requisitos específicos.
Más allá de estas categorías, los modelos de IA de propósito general (IAPG) que son fundamentales para otros sistemas se enfrentan a distintos requisitos de transparencia. Si se considera que tienen un «riesgo sistémico» (basado en la potencia computacional o el impacto), los modelos de IAPG están sujetos a un escrutinio adicional, incluidas las evaluaciones del modelo y las medidas de ciberseguridad.
Obligaciones basadas en el rol en la cadena de valor de la IA:
Las obligaciones también varían según el rol de una organización:
- Proveedores: Aquellos que desarrollan y colocan sistemas de IA en el mercado de la UE son los que tienen la mayor responsabilidad. Se aseguran de que se cumplan los estrictos requisitos de la Ley de IA.
- Implementadores: Las organizaciones que utilizan sistemas de IA son responsables del uso adecuado y del cumplimiento de las directrices del proveedor, lo que incluye garantizar la supervisión humana y mantener la calidad de los datos.
Puntos clave de acción para los auditores internos:
Para garantizar el cumplimiento integral de la ley de IA, hay elementos críticos que las organizaciones de auditoría interna deben tener en cuenta:
- Alfabetización en IA: Asegúrese de que el personal posea suficiente alfabetización en IA para comprender el funcionamiento y el uso de los sistemas de IA de forma adecuada.
- Inventario de IA: Establezca y mantenga un registro exhaustivo de los sistemas de IA utilizados en toda la organización, incluidas las filiales.
- Clasificación de riesgos: Clasifique todos los sistemas de IA según las categorías de riesgo definidas en la Ley de IA.
- Evaluaciones de impacto: Realice evaluaciones de impacto de los derechos fundamentales para sistemas de IA específicos, que describan los posibles daños y las estrategias de mitigación.
- Monitoreo posterior a la comercialización: Implemente un plan para la recopilación continua de datos, la documentación y el análisis del rendimiento del sistema de IA.
En última instancia, la integración de los procedimientos apropiados es clave para navegar por el riesgo y garantizar el cumplimiento de su organización.
