Una vez aprobado por el Parlamento Europeo el pasado 13 de marzo el último texto de Reglamento de IA, la Unión Europea está a punto de disponer de una normativa sobre el uso de esta tecnología pionera en todo el mundo por su ambición y amplio alcance. El Reglamento europeo se propone algo tan difícil como promover la adopción de una inteligencia artificial centrada en las personas y fiable, que garantice un alto nivel de protección de la salud, la seguridad y los derechos fundamentales, así como de la democracia, el Estado de derecho y la protección del medio ambiente contra los posibles efectos nocivos de esta tecnología, sin que ello suponga un freno a su desarrollo e, incluso, promoviendo la innovación en este ámbito.

Contribuir al conocimiento y análisis de esta importante norma ha sido el objetivo de una sesión monográfica sobre El reglamento europeo de Inteligencia Artificial, organizada por la Cátedra ICADE-Fundación Notariado Seguridad Jurídica en la Sociedad Digital celebrada recientemente en la Facultad de Derecho (ICADE) de la Universidad Pontificia Comillas.

Así como en el congreso internacional IA y Derecho, también promovido por Cátedra en el pasado mes de noviembre, se abordó la cuestión de si es técnicamente posible y también social y políticamente aceptable, que la tarea de los juristas y jueces pueda ser automatizada y asumida en todo o en parte por dispositivos y aplicaciones de IA, en esta sesión se trataba de enfocar la IA como un fenómeno social que puede ser en sí mismo objeto de regulación.

Tal y como indicó en su presentación el director de la Cátedra, el notario Manuel González-Meneses, la normativa contenida en el Reglamento europeo es muy extensa, muy técnica y extraordinariamente compleja. “Se trata de una norma que afecta a cuestiones de gran relevancia económica. Son muchos los intereses económicos, pero también políticos e ideológicos que están en juego, y, sin conocer todo su trasfondo, es muy difícil entender muchas partes de esta regulación”, declaró.

La sesión se contó con la participación de dos jóvenes investigadores expertos en las cuestiones jurídicas planteadas por las nuevas tecnologías de la información que han seguido especialmente el proceso de elaboración del Reglamento: Gustavo Gil Gasiola (Senior Researcher en el Karlsruhe Institute of Technology) y Paul Friedl (Senior Researcher en el Karlsruhe Institute of Technology y Affiliate Researcher del Information Law Institute de Nueva York).  

Dificultades de una regulación basada en la diferenciación de niveles de riesgo

En su ponencia Replanteamiento del enfoque basado en el riesgo de la Ley de IA, Gustavo Gasiola comenzó haciendo referencia a cómo apareció y fue evolucionando el modelo regulatorio basado en diferentes niveles de riesgo a lo largo del proceso legislativo desde las primeras iniciativas en el año 2018 hasta llegar al sistema que instaura el Reglamento aprobado por el Parlamento Europeo. En su opinión, en esta última versión se distinguen unas “prácticas de IA” prohibidas, unos “sistemas de IA de alto riesgo” -cuyos proveedores y distribuidores están sometidos a unas determinadas obligaciones-, unos sistemas de “riesgo limitado” o afectados por un riesgo específico de transparencia, y unos sistemas de riesgo mínimo, que quedarían fuera de la regulación.  

Para el investigador, este modelo se ve afectado por algunas incongruencias y desajustes, que generan dudas de interpretación para los sujetos afectados por la regulación y que también pueden facilitar su elusión, en particular cuando sistemas empleados en áreas de actividad clasificadas en abstracto en el Anexo III como de alto riesgo (selección de personal, educación, migración, crédito, seguros) pueden quedar exentos cuando concurren determinadas circunstancias en virtud de una valoración por los propios proveedores.

Gasiola cree que la actual clasificación “prácticamente genera más preguntas que respuestas y deberá seguir estudiándose y evolucionando”.

El reto de los “modelos fundacionales” o la IA de propósito general

Por su parte, Paul Friedl dedicó su ponencia al tratamiento de los “modelos fundacionales” en el Reglamento UE de IA. Los modelos fundacionales (foundation models) son aludidos en el Reglamento como sistemas de IA de propósito general (GPAI), cuya manifestación más conocida son los modelos de large language processing como el ChatGPT de OpenAI, sistemas de aprendizaje automático que se entrenan con grandes cantidades de datos para desarrollar capacidades con diferentes aplicaciones. Esta modalidad de IA.apenas se conocía en el momento de iniciarse el proceso legislativo que contemplamos, de manera que ha sido necesario introducir una regulación ad hoc para este fenómeno que plantea problemas específicos para su ajuste en el sistema de regulación basado en la clasificación del riesgo por áreas de actividad.

Friedl comenzó exponiendo la peculiar cadena de suplido que afecta a esta modalidad de AI, en la que se generan varias capas de desarrollo y aplicación sobre el modelo computacional de base suministrado por el proveedor último; para aludir a continuación a los diferentes riesgos que presentan estos sistemas de GPAI para los usuarios como defectos de rendimiento y robustez; sesgo y discriminación; incidencias en privacidad y ciberseguridad; mal uso; y falta de transparencia.

Derechos de autor y protección de datos

El ponente también se ocupó detenidamente de la posible incidencia de esta modalidad de IA en la protección de los derechos de autor, así como en la protección de los datos personales.

En lo relativo a los derechos de autor, Friedl considera que lo más destacado es la normativa que especifica que no se podrá entrenar a los sistemas de GPAI con materiales sujetos a copyright siempre y cuando sus autores hayan expresado de forma específica que estos no pueden ser utilizados para el entrenamiento de sistemas de IA.

Sin embargo, Friedl expresó muchas dudas sobre la aplicación práctica de esta norma, ya que no queda claro cómo los autores de las obras deben expresar sus reservas a que estas sean utilizadas para estos fines y, sobre todo, no hay un protocolo para obligar a las empresas proveedoras de estos sistemas para su cumplimiento.

En cuanto a la protección de datos, pese a que en Europa ya existe una normativa bastante extensa sobre esta cuestión, Friedl considera que la IA puede acentuar los problemas actuales, especialmente en lo relativo a memorización y filtración de datos privados, apropiación indebida de datos, tergiversación y violación de la intimidad. Además de estos problemas, para Friedl la gran preocupación es que, debido al aprendizaje constante que realizan los sistemas fundacionales, con una pequeña cantidad de datos y una interacción suficientemente prolongada con el usuario, el sistema es capaz de intuir otros datos de este y registrarlos sin su consentimiento.

Al igual que Gasiola, Friedl considera que la incidencia real de este Reglamento va a depender mucho de las normas técnicas de desarrollo que todavía tiene que ir elaborando la Comisión Europea.