Otro Hito en el Acta de IA de la UE – Publicación de la Versión Casi Final del Código de Práctica para IA de Propósito General
El 10 de julio de 2025, la Comisión Europea publicó una versión casi final del Código de Práctica para IA de Propósito General (GPAI) bajo el Reglamento (UE) 2024/1689 (Acta de IA).
Este documento tiene como objetivo delinear la finalidad, aplicabilidad y contenido del Código. Diseñado como un Mecanismo de Cumplimiento Voluntario, el Código desempeña un papel crucial en el paisaje regulatorio interino hasta que se apliquen las obligaciones para proveedores de GPAI a partir de agosto de 2025. Ofrece orientación práctica a los proveedores de IA sobre cómo cumplir con obligaciones específicas bajo el Acta de IA y es especialmente relevante para demostrar la adherencia temprana a los Artículos 53 y 55, que establecen requisitos para la transparencia, cumplimiento de derechos de autor y mitigación de riesgos sistémicos en el desarrollo y despliegue de modelos GPAI.
Antecedentes
- Obligaciones de los Proveedores de GPAI. El Acta de IA introduce obligaciones específicas para los modelos GPAI, que son capaces de realizar una amplia gama de tareas e integrarse en diversos sistemas. Los proveedores de modelos GPAI deben mantener documentación técnica detallada, publicar resúmenes de datos de entrenamiento, cumplir con la legislación de derechos de autor de la UE y compartir información con reguladores y usuarios en la cadena de suministro. El incumplimiento puede resultar en multas de hasta 15 millones de euros o el 3% de los ingresos globales, lo que sea más alto.
- Modelos con Riesgo Sistémico. Los proveedores que ofrecen modelos GPAI con riesgo sistémico enfrentan requisitos aún más estrictos, incluyendo evaluaciones de modelos, mitigación de riesgos, informes de incidentes y medidas de ciberseguridad. Un número significativo de proveedores a nivel global ya ha desarrollado modelos que superan el umbral de computación por encima del cual se presume que un modelo GPAI tiene capacidades de alto impacto y, por lo tanto, presenta un riesgo sistémico.
Objetivos y Función Legal
- Propósito. El Código de Práctica sirve como una herramienta de cumplimiento transicional. Se menciona en el Artículo 56 de la Acta de IA y está destinado a:
- Ayudar a los proveedores de modelos GPAI a cumplir con las obligaciones de transparencia, derechos de autor y seguridad bajo el Acta de IA;
- Ofrecer una forma estructurada de presentar y mantener documentación, políticas y salvaguardias técnicas;
- Permitir a las autoridades competentes, incluida la Oficina de IA, evaluar si los proveedores están cumpliendo con sus deberes legales bajo el Acta de IA.
- Aplicabilidad. El Código está estructurado en torno a dos niveles de aplicabilidad:
- Todos los proveedores de modelos GPAI se espera que cumplan con los capítulos de Transparencia y Derechos de Autor del Código.
- Solo los proveedores de modelos GPAI con riesgo sistémico están sujetos al capítulo de Seguridad y Protección del Código.
Capítulo 1 del Código: Transparencia
El Acta de IA requiere que los proveedores de GPAI mantengan documentación robusta y compartan información tanto con reguladores como con usuarios en la cadena de suministro (Artículos 53(1)(a) y (b)). El capítulo de Transparencia del Código aborda estos deberes a través de tres medidas principales:
- Requisitos de Documentación. Los proveedores pueden crear y actualizar su documentación de modelos utilizando el Formulario de Documentación Estándarizado del Código, capturando detalles como la arquitectura del modelo, métodos de entrenamiento, canales de distribución y capacidades.
- Compartición de Información. Los proveedores pueden hacer que la documentación relevante sea accesible a los usuarios en la cadena de suministro y proporcionar más información a solicitud de la Oficina de IA o autoridades nacionales competentes.
- Controles de Integridad. Se espera que los proveedores implementen controles de calidad y seguridad para preservar la precisión y la integridad de la documentación a lo largo del tiempo.
Capítulo 2 del Código: Derechos de Autor
El Acta de IA requiere que los proveedores de GPAI establezcan políticas que aseguren el cumplimiento de la legislación de derechos de autor y derechos relacionados de la UE (Artículo 53(1)(c)). El capítulo de Derechos de Autor proporciona orientación concreta para ayudar a los proveedores a desarrollar e implementar políticas que regulen el uso legal de datos de entrenamiento.
- Adopción de Políticas. Los proveedores deben implementar una política de derechos de autor que incluya responsabilidades internas y salvaguardias procedimentales.
- Uso Legal de Datos. Al recolectar datos de entrenamiento a través de la web, los proveedores deben asegurarse de no eludir restricciones tecnológicas de acceso y evitar sitios conocidos por violaciones persistentes de derechos de autor.
- Reconocimiento de Reservas de Derechos. Los proveedores deben honrar las reservas de derechos expresadas por los titulares de derechos y apoyar estándares de la industria en evolución para señalizar tales reservas.
- Mitigación de Resultados Infractores. Se espera que los proveedores implementen salvaguardias técnicas y restricciones políticas para reducir la probabilidad de que su modelo genere contenido infractor.
- Mecanismos de Queja. Debe haber un punto de contacto y un proceso para recibir y responder a las preocupaciones de los titulares de derechos.
Capítulo 3 del Código: Seguridad y Protección
Para los modelos GPAI que cumplen con el umbral de riesgo sistémico, el capítulo de Seguridad y Protección proporciona un marco comprensivo alineado con el Artículo 55 del Acta de IA.
- Desarrollo de Marcos. Los proveedores deben establecer, implementar y actualizar un marco de seguridad y protección que detalle cómo evalúan y mitigan los riesgos sistémicos a lo largo del ciclo de vida del modelo.
- Evaluación y Mitigación de Riesgos. Los proveedores deben realizar evaluaciones estructuradas, definir criterios de aceptación de riesgos e implementar medidas técnicas y organizativas para gestionar riesgos.
- Informes de Incidentes y Supervisión Externa. Se espera que los proveedores documenten incidentes graves y se involucren con evaluadores independientes, presentando informes a la Oficina de IA.
- Salvaguardias de Ciberseguridad. Deben implementarse protecciones técnicas adecuadas para prevenir el acceso no autorizado, la extracción de modelos o la manipulación, incluyendo amenazas internas.
Próximos Pasos
- ¿Es Esto Suficiente? En las próximas semanas, los Estados Miembros y la Comisión Europea examinarán si el Código es suficiente para apoyar el cumplimiento de las obligaciones relacionadas con GPAI bajo el Acta de IA.
- Primeros Firmantes. Una importante empresa estadounidense y una importante empresa de la UE que están construyendo modelos GPAI populares ya han acordado firmar el Código.
- Preguntas Pendientes. Materiales suplementarios como guías que aclaran términos y conceptos clave de GPAI y la plantilla de divulgación de datos de entrenamiento aún están pendientes, creando incertidumbre en torno a las expectativas de cumplimiento total.
