El Govern ha donat hui llum verda a l'avantprojecte de llei de governança de la Intel·ligència Artificial (IA), que busca garantir un ús de la Intel·ligència Artificial que siga ètic, inclusiu i beneficiós per a les persones. Este instrument normatiu adaptarà la legislació espanyola al reglament europeu de IA, ja en vigor, baix un enfocament regulador que impulsa la innovació.
“La IA és una ferramenta molt poderosa, que pot servir per a millorar les nostres vides o atacar a la democràcia; pot tindre bons usos o roïns usos. La IA pot ser utilitzada per a investigar el càncer o l'Alzheimer, per a previndre catàstrofes naturals, per a descobrir nous medicaments; o pot ser usada per a difondre bulos i mentides, escampar odi i atacar a la nostra democràcia. Per això és oportú el seu bon ús i governança”, ha destacat el ministre per a la Transformació Digital i de la Funció Pública, Óscar López, en la roda de premsa posterior al Consell de Ministres.
L'avantprojecte de llei, que es tramitarà per la via d'urgència, seguirà ara els tràmits preceptius abans de tornar al Consell de Ministres per a la seua aprovació definitiva com a projecte de llei i enviament a les Corts per a la seua aprovació.
Amb l'objectiu que la Unió Europea dispose d'un marc legal comú per al desenvolupament, comercialització i ús de sistemes de IA que eviten els riscos per a les persones, el reglament prohibix determinats usos maliciosos de la IA, introduïx obligacions més rigoroses per a sistemes considerats d'alt risc i establix uns requisits mínims de transparència per a la resta.
Incorpora, a més, un nou dret digital de retirada provisional del mercat espanyol de sistemes de IA per l'autoritat de vigilància competent quan hagen provocat un incident greu, com la defunció d'una persona.
Pràctiques prohibides de la IA
Les pràctiques prohibides van entrar en vigor el 2 de febrer de 2025 i des del 2 d'agost de 2025 es podran sancionar mitjançant multes o altres mesures addicionals (requerir la seua adaptació al sistema perquè siga conforme, impedir que es comercialitze…) aplicant el règim sancionador que incorpora l'avantprojecte de llei, dins de les forquetes que fixa el reglament europeu. A manera d'exemple, són pràctiques prohibides:
- L'ús de tècniques subliminals (imatges o sons imperceptibles) per a manipular decisions sense consentiment, causant un perjuí considerable a la persona (addiccions, violència de gènere o menyscapte de la seua autonomia). (Ej: un chatbot que identifica usuaris amb addicció al joc i els incita a entrar, amb tècniques subliminals, en una plataforma de joc online).
- Explotar vulnerabilitats relacionades amb l'edat, la discapacitat o situació socioeconòmica per a alterar substancialment comportaments de manera que els provoque o puga provocar perjuís considerables (Ej: Un joguet infantil habilitat amb IA que anima als xiquets a completar reptes que els produïxen o poden produir-los danys físics greus).
- La classificació biomètrica de les persones per raça o orientació política, religiosa o sexual. (Ej: Un sistema de categorització facial biomètrica capaç de deduir l'orientació política o sexual d'un individu mitjançant anàlisi de les seues fotos en xarxes socials).
- La puntuació d'individus o grups basant-se en comportaments socials o trets personals com a mètode de selecció per a, per exemple, denegar-los la concessió de subvencions o préstecs.
- Valorar el risc que una persona cometa un delicte basant-se en dades personals com el seu historial familiar, nivell educatiu o lloc de residència, amb excepcions legals.
- Inferir emocions en centres de treball o educatius com a mètode d'avaluació per a promoció o acomiadament laboral, salve per raons mèdiques o de seguretat.
Les sancions que es posaran per a este tipus de sistemes oscil·len entre els 7,5 i els 35 milions d'euros, o entre el 2% i el 7% del volum de negoci mundial de l'exercici anterior, si esta última xifra és superior, excepte en el cas de pimes, que podrà ser la menor de les dos quanties.
Les autoritats encarregades de vigilar els sistemes prohibits seran l'Agència Espanyola de Protecció de Dades (per a sistemes biomètrics i gestió de fronteres); el Consell General del Poder Judicial (per a sistemes de IA en l'àmbit de la justícia), la Junta Electoral Central (per a sistemes que IA que afecten a processos democràtics) i l'Agència Espanyola de Supervisió de la Intel·ligència Artificial en la resta dels casos.
Sistemas d'alt risc
Els sistemes de IA d'alt risc són, segons el reglament, els següents:
- Tots els que puguen afegir-se com a elements de seguretat a productes industrials (màquines, ascensors, sistemes de protecció-EPIS, equips a pressió o aparells a gas), joguets, equips radioelèctrics, productes sanitaris incloent diagnòstics in vitro, productes de transports (aviació, ferrocarril, equips marins i vehicles a motor de 2 i 3 rodes i agrícoles, embarcacions i transport per cable).
- Sistemas que formen part dels següents àmbits: biometria, infraestructures crítiques, educació i formació professional, ocupació, accés a servicis privats essencials (com a servicis crediticis o d'assegurances) i a servicis i prestacions públics essencials (com a servicis d'emergències o triajes) i gaudi d'estos servicis i prestacions.
- Sistemas per a la garantia del dret, migració, asil i gestió del control fronterer
- Sistemes per al seu ús en l'administració de justícia i en processos democràtics.
Estos sistemes hauran de complir una sèrie d'obligacions, com disposar d'un sistema de gestió de riscos i de supervisió humana, documentació tècnica, una governança de dades, conservació de registres, transparència i comunicació d'informació als responsables del desplegament, sistema de qualitat, etc. En cas d'incompliment, s'exposen a sancions en funció de la seua gravetat:
- S'entendrà com una infracció molt greu quan l'operador d'un sistema de IA no comunica un incident greu (com la mort d'una persona, un dany que haja compromès una infraestructura crítica o un dany al medi ambient), o quan incomplisca els ordes d'una autoritat de vigilància de mercat. Les sancions en este cas oscil·laran entre els 7,5 i els 15 milions d'euros o fins al 2% i el 3% del volum de negoci mundial de l'exercici anterior.
- Exemples d'infraccions greus són el no introduir supervisió humana en un sistema de IA que incorpore la biometria en el treball per a controlar la presencialitat dels treballadors o no disposar d'un sistema de gestió de qualitat en robots amb IA que desenvolupen les tasques d'inspecció i manteniment en sectors industrials, entre uns altres. Les sancions oscil·laran en estos casos entre 500.000 euros i 7,5 milions d'euros o entre el 1% i el 2% del volum de negoci mundial.
També es considerarà com una infracció greu no complir amb l'obligació d'etiquetar correctament qualsevol imatge, àudio o vídeo generat o manipulat amb IA i que mostren a persones reals o inexistents dient o fent coses que mai han fet o en llocs on mai han estat, la qual cosa constituïx una ultrasuplantación (deepfake). Estos continguts hauran d'identificar-se com a continguts generats per IA “de manera clara i distingible a tot tardar en ocasió de la primera interacció o exposició”, tal com especifica el reglament europeu.
Es consideraran infraccions lleus no incorporar el marcat CE en el sistema de IA d'alt risc o, quan no siga possible, en el seu embalatge o en la documentació que ho acompanye, per a indicar la conformitat amb el Reglament de IA.
Les autoritats encarregades de vigilar els sistemes d'alt risc seran les que per defecte ja estiguen supervisant al sector afectat quan es tracte de productes subjectes a legislació harmonitzada. Addicionalment, seran competents l'Agència Espanyola de Protecció de Dades (per a sistemes de gestió de migracions i asil associats a les Forces i Cossos de Seguretat de l'Estat); el CGPJ per a sistemes de IA en administració de justícia i la Junta Electoral Central (per a sistemes de processos electorals); el Banc d'España per a sistemes de classificació de solvència crediticia; la Direcció general d'Assegurances (per a sistemes d'assegurances) i la CNMV per a sistemes de mercats de capitals. En la resta dels casos, l'autoritat competent serà l'AESIA.
Suport a la innovació en IA
A partir del 2 d'agost de 2026, el reglament europeu obliga als països membres a establir almenys un sandbox de IA (entorn controlat de proves) que fomente la innovació i facilite el desenvolupament, la formació, les proves i la validació de sistemes innovadors de IA durant un temps limitat abans de la seua comercialització o posada en servici, i de manera acordada entre els proveïdors o possibles proveïdors i l'autoritat competent.
Espanya s'ha avançat a este requisit amb el llançament al desembre passat d'una convocatòria per a seleccionar fins a un total de 12 sistemes de IA d'alt risc que, durant un any, participaran en un entorn controlat de proves. L'experiència acumulada i les lliçons apreses serviran per a publicar unes guies tècniques sobre el compliment dels requisits aplicables als sistemes d'alt risc.
