Ni ChatGPT ni las multas. El mayor problema de las empresas con la nueva fase de la ‘Ley IA’ es que muchas no saben toda la inteligencia artificial que utilizan. O al menos esa es una de las principales conclusiones de los expertos del sector.
La Unión Europea da este 2 de agosto un nuevo paso en la aplicación del Reglamento Europeo de Inteligencia Artificial (AI Act). Aunque la norma entró en vigor en agosto de 2024, este domingo comienza una nueva fase marcada por la aplicación de las obligaciones de transparencia para determinados sistemas de inteligencia artificial, un cambio que afectará tanto a empresas como a ciudadanos y que llega acompañado de un mensaje claro de los expertos: muchas organizaciones todavía desconocen con exactitud qué herramientas de IA utilizan realmente.
La Comisión Europea publicó hace apenas unos días las guías oficiales para ayudar a empresas y administraciones a cumplir estas obligaciones, que buscan que los usuarios sepan cuándo están interactuando con una inteligencia artificial o cuándo un contenido ha sido generado o manipulado mediante IA. Entre otras cuestiones, los proveedores deberán diseñar determinados sistemas para informar de que el usuario está hablando con una IA, mientras que también se refuerzan las exigencias para identificar determinados deepfakes (vídeo, imagen o audio manipulado mediante inteligencia artificial) y otros contenidos sintéticos.
Sin embargo, el verdadero desafío para las empresas españolas parece estar lejos de los grandes titulares sobre multas millonarias. Los especialistas consultados por EL PERIÓDICO coinciden en que el principal problema es mucho más básico: conocer, clasificar y gobernar toda la inteligencia artificial que ya utilizan en su actividad diaria.
La IA deja de ser una suma de experimentos tecnológicos y empieza a tratarse como una capacidad crítica de la compañía, igual que la ciberseguridad, la protección de datos o la gestión de riesgos
Giovanni Alessandrello, director general de la consultora multinacional de negocio y tecnología BIP Iberia, considera que muchas empresas han incorporado herramientas de inteligencia artificial de forma espontánea durante los últimos años, sin una estrategia global ni una supervisión clara. De hecho, plantea una pregunta que, a su juicio, muchas organizaciones todavía no pueden responder: “¿Sabemos realmente dónde estamos utilizando IA, con qué datos, para qué decisiones y bajo la responsabilidad de quién?”.
Para Alessandrello, el cambio que comienza este 2 de agosto es sobre todo organizativo. Las compañías deberán elaborar inventarios de los sistemas que utilizan, asignar responsabilidades, revisar proveedores, reforzar la ciberseguridad y formar a sus empleados si quieren escalar el uso de la inteligencia artificial con garantías.
Además, advierte de un fenómeno cada vez más frecuente: la llamada “IA en la sombra”, es decir, empleados que recurren a herramientas públicas de IA fuera de los canales autorizados por la empresa. «Prohibir de forma generalizada estas herramientas no elimina su uso; muchas veces simplemente lo desplaza hacia una IA que la empresa no ve y no puede controlar», señala.
Inventario y clasificación
Esa necesidad de poner orden aparece también en las respuestas de los despachos especializados.
Para Guillermo Hidalgo, asesor jurídico del despacho de abogados MAIO Legal y experto en derecho digital, el mayor riesgo para muchas empresas no está tanto en las nuevas obligaciones de transparencia como en no haber empezado todavía a clasificar sus sistemas de IA según los niveles de riesgo previstos en el Reglamento.
Su recomendación es sencilla: “Hacer un inventario”. Es decir, identificar qué sistemas utiliza la organización, quién los suministra, para qué sirven y a quién afectan. Solo a partir de ese mapa, sostiene, es posible determinar qué obligaciones corresponden a cada caso y preparar el cumplimiento del nuevo marco europeo.
Una idea en la que coincide también Marina Villalonga, socia de Asensi Abogados, quien recuerda que el Digital Omnibus ha aplazado parte de las obligaciones para los sistemas de alto riesgo hasta finales de 2027, pero no el trabajo previo de análisis. “Si no puedes explicar qué hace tu sistema de IA, probablemente estés en zona de riesgo”, resume.
Más transparencia
La principal novedad visible para el ciudadano llega precisamente con las obligaciones de transparencia del artículo 50 del AI Act.
A partir de este 2 de agosto, la normativa europea exige que, en determinados supuestos, los usuarios sean informados cuando interactúan directamente con un sistema de inteligencia artificial. También se refuerzan las obligaciones relacionadas con determinados contenidos generados o manipulados mediante IA y con la identificación de deepfakes, con el objetivo de reducir el riesgo de engaño y desinformación. La Comisión Europea sostiene que estas medidas pretenden reforzar la confianza de los ciudadanos y ofrecer una aplicación homogénea en todos los Estados miembros.
Villalonga considera que este es el cambio más perceptible para el consumidor. “Podremos exigir a las empresas saber cuándo hablamos con una máquina y cuándo un contenido ha sido generado artificialmente”, explica.
Multas de hasta 35 millones de euros
El AI Act prevé sanciones que, en los casos más graves, pueden alcanzar los 35 millones de euros o el 7% de la facturación mundial anual de la empresa, aunque los expertos creen que ese no será el principal problema a corto plazo.
Para Hidalgo, el riesgo más inmediato será reputacional y contractual, ya que clientes, grandes corporaciones o administraciones públicas comenzarán a exigir pruebas de que las herramientas de IA utilizadas cumplen la normativa. Villalonga añade que la pérdida de contratos o la obligación de retirar determinados sistemas del mercado pueden convertirse en consecuencias incluso más relevantes que una eventual sanción.
Desde BIP Iberia, Alessandrello resume el desafío con una idea que, probablemente, marcará la próxima etapa de la inteligencia artificial en las empresas europeas: “Cumplir tiene un coste, sí, pero no gobernar la IA también lo tiene. Y, en muchos casos, puede ser mucho mayor”.
Suscríbete para seguir leyendo
