Claves de la nueva ley de la IA: multa de hasta 35 millones por sus usos prohibidos, como el 'deepfake'

Hoy, el Consejo de Ministros ha dado luz verde al anteproyecto de ley para el buen uso y gobernanza de la IA. Ahora, el documento será remitido a las Cortes para iniciar su tramitación parlamentaria y, una vez tramitado, dará lugar a una ley orgánica. Y es que la norma tendrá este rango, subrayó tras el Consejo de Ministros Óscar López, titular de la cartera para la Transformación Digital y de la Función Pública, “porque afecta a derechos fundamentales”.

El texto establece la obligatoriedad de etiquetar los contenidos que hayan sido generados mediante sistemas de inteligencia artificial, que deberán incorporar 'marcas de agua' con las siglas (IA) en todas las imágenes que se creen y difundan con esta tecnología.

El porqué de la ley

La ley, que supone la adaptación a la legislación española del Reglamento Europeo de IA, pretende asegurar un uso ético, inclusivo y beneficioso de la IA y facilitar que los usuarios puedan diferenciar con nitidez los contenidos que son reales de los que son virtuales. El reglamento, ya en vigor, combina, en palabras de la ministra portavoz, Elma Saiz, “la regulación con la innovación segura, humanista y garantista”.

¿Qué novedades presenta?

Como recordó el ministro Óscar López, establece, entre otros aspectos, la responsabilidad para los proveedores de IA, la obligatoriedad de la supervisión humana de los modelos de esta tecnología así como la transparencia de los algoritmos, protección de los menores y privacidad de los datos.

¿En qué consiste la norma?

En primer lugar, clasifica la IA en función del riesgo. Además, establece un régimen de sanciones, una gobernanza del sistema (autoridades de vigilancia) y una “doble exigencia” -señaló el ministro López- para la Administración Pública en su uso.

Sanciones

Diferencia varios niveles de infracciones y fija sanciones que oscilan entre los 6.000 euros para los casos más leves y los 35 millones de euros -o hasta el 7% del volumen de negocio mundial de una empresa- para los casos más graves, como puede ser comercializar un sistema de inteligencia artificial que esté prohibido. La ley excluye a las administraciones públicas del pago de multas en caso de infracciones, aunque sí prevé apercibimientos y medidas de carácter disciplinario (entre otras medidas coercitivas) para los funcionarios que hagan un mal uso de la IA.

Sí permite, pero están clasificados como de “alto riesgo”, los sistemas de IA que se emplean en ámbitos como la selección de personal, la justicia, o la educación; por ejemplo, una IA que genera un borrador de sentencia sin que un juez revise el razonamiento jurídico final o el uso algoritmos de cribado que incluyan sesgos para proponer candidatos.

Aplicaciones prohibidas

Hay varias aplicaciones que prohíbe el reglamento europeo y que incorpora la ley nacional. Hasta ocho: las técnicas subliminales (imágenes o sonidos imperceptibles) para manipular decisiones sin consentimiento; explotar vulnerabilidades relacionadas con la edad, la discapacidad o situación socioeconómica para alterar sustancialmente comportamientos de modo que provoque o pueda provocar perjuicios considerables; la clasificación biométrica de las personas por raza u orientación política, religiosa o sexual; o la puntación social de individuos o grupos basándose en comportamientos sociales o rasgos personales como método de selección para, por ejemplo, denegarles la concesión de subvenciones o préstamos.

También la vigilancia predictiva, es decir, valorar el riesgo de que una persona cometa un delito basándose en datos personales como su historial familiar, nivel educativo o lugar de residencia, con excepciones legales; inferir emociones en centros de trabajo o educativos como método de evaluación para promoción o despido laboral, salvo por razones médicas o de seguridad; el scraping de rostros (recoger masivamente imágenes de caras humanas de internet o de cámaras para crear bases de datos biométricas); o la identificación en tiempo real. A petición de España -arguyó el ministro López-, se han incluido dos prohibiciones más al Reglamento Europeo: las técnicas para crear deepfakes sexuales -por ejemplo, la publicación de desnudos creados por Grok, el asistente virtual de la red social X- y pornografía infantil.

Gobernanza

Hay un organismo central en España, la Aesia (la Agencia Española de Supervisión de la IA), con sede en A Coruña, que centraliza la gobernanza de esta tecnología. No obstante, la ley determina una serie de autoridades de vigilancia del mercado. Por ejemplo, para el sistema financiero, el Banco de España; para el mercado de valores, la CNMV; para los datos, la Agencia Española de Protección de Datos; para los seguros, la Dirección General de Seguros y Fondos de Pensiones; para la Justicia, el Consejo General del Poder Judicial…

Mayor autoexigencia para la Administración

Además de redoblar las exigencias sobre los modelos de IA y de trasparencia que pueda usar la Administración Pública, en palabras del ministro López, la norma introduce además la figura de un delegado de IA. En este sentido, el ministro avanzó que la Administración va a contratar expertos en IA para que todos los organimos públicos cuenten con expertos en esta materia.