Nueva Ley de IA: normativa, sanciones e implicaciones para empresas

El pasado martes se aprobó el Anteproyecto de ley para el buen uso y la gobernanza de la inteligencia artificial (IA). Esta nueva normativa regula la aplicación práctica de la IA para garantizar un mayor control y un uso ético de la misma. Entre otras cosas, la nueva Ley de Inteligencia Artificial obligará a etiquetar aquellos contenidos que hayan sido creados con IA, algo que supondrá un gran cambio en el empleo de esta tecnología.

El documento presentado por el Consejo de Ministros desarrolla el Reglamento Europeo de Inteligencia Artificial, convenido por las instituciones comunitarias el 8 de diciembre de 2023 y aprobado por el Parlamento Europeo el 13 de marzo de 2024.

El texto del anteproyecto de ley adapta a nuestro ordenamiento jurídico las principales cuestiones del Reglamento Europeo de IA. Esta normativa preliminar especifica qué aplicaciones de la IA estarán prohibidas, cuáles se podrán utilizar con permisos y cuáles podrán usarse sin supervisión.

El documento, abierto a consulta pública desde este martes por la tarde, también establece un régimen sancionador y un esquema de sanciones, y especifica qué organismos se encargarán de verificar el adecuado cumplimiento de la normativa.

Como empresario, director financiero (CFO) o autónomo, es clave conocer cómo esta ley afectará la adopción de soluciones de inteligencia artificial en tu negocio. ¿Qué nuevas obligaciones supone esta nueva ley? ¿Cuándo entrará en vigor? ¿Qué multas se impondrán a quienes incumplan la normativa?

Te contamos todas las novedades y repercusiones legales que va a provocar el anteproyecto de Ley de Inteligencia Artificial cuando se apruebe. Estar informado sobre la regulación de la inteligencia artificial te permitirá invertir en IA y aprovechar esta tecnología de una manera mucho más segura y adaptada a las exigencias actuales y futuras.

¿Cuándo entrará en vigor la Ley? ¿Cuándo habrá que cumplir la normativa?

El Anteproyecto de ley para el buen uso y la gobernanza de la inteligencia artificial se tramitará por la vía de urgencia. Tras el periodo de consulta pública, que termina el 26 de marzo, volverá al Consejo de Ministros y luego deberá ser ratificado en las Cortes. Durante el proceso, el texto puede incorporar modificaciones, aunque lo previsible es que no se introduzcan cambios en lo esencial. Se espera que entre en vigor durante la primera mitad de este año 2025.

Qué regula esta nueva ley de IA?

El anteproyecto adapta al ordenamiento jurídico español el Reglamento Europeo de Inteligencia Artificial aprobado en 2024. Entre sus principales objetivos están:

Establecer qué usos de la IA están prohibidos, restringidos o libres.
Imponer la obligación de etiquetar contenidos generados por IA, como texto, imágenes, vídeos o audios.
Clasificar los sistemas según niveles de riesgo (inaceptable, alto o bajo).
Definir un régimen sancionador para usos indebidos.

Niveles de riesgo en las aplicaciones de IA. ¿Qué se prohíbe?

La nueva normativa, como ya hizo el Reglamento Europeo de IA, clasifica las aplicaciones de IA según el riesgo que suponen para la sociedad.

Riesgo inaceptable

En el escalón más alto encontramos las aplicaciones de “riesgo inaceptable”, las cuales quedan prohibidas. Tendrán esta consideración:

Los sistemas que trasciendan la conciencia de una persona y las técnicas deliberadamente manipuladoras, como las subliminales, que utilizan imágenes o sonidos imperceptibles para modular las decisiones sin consentimiento.
Las aplicaciones que exploten las vulnerabilidades de las personas, como la edad, la discapacidad o la situación económica para influir en el comportamiento de las personas.
Las técnicas que infieran emociones, raza, religión, orientación sexual u opiniones políticas de las personas para clasificar a las personas.

Alto riesgo

En la categoría de “alto riesgo” se encuadran aquellas aplicaciones que podrán usarse con la supervisión constante de las autoridades. Entre ellas:

Los sistemas de identificación biométrica remota en diferido.
Los sistemas de categorización biométrica.
Los sistemas de reconocimiento de emociones.
Los sistemas que afecten a la seguridad de las infraestructuras críticas.
Los que afecten a la educación, como la evaluación de comportamientos, sistemas de admisión y exámenes.
Los que afecten al empleo (selección de personal, evaluación de empleados).
Los que afecten a la prestación de servicios públicos esenciales, la aplicación de la ley o la gestión de la migración.

Estos sistemas deberán cumplir una serie de prácticas obligatorias de control y evaluación, como disponer de un sistema de gestión de riesgos y de supervisión humana, documentación técnica, un sistema de calidad, una adecuada gobernanza de datos y conservación de registros y garantías de transparencia y comunicación de información a los responsables del despliegue.

Asimismo, se prohibirá la puntuación de personas o colectivos según sus comportamientos sociales o características personales como criterio de selección. Esto incluye prácticas como la denegación de subvenciones o préstamos en función de dicha puntuación, la valoración de la probabilidad de que alguien cometa un delito basándose en su historial familiar, nivel educativo o lugar de residencia (salvo en casos permitidos por la ley) o analizar emociones en entornos laborales y educativos para decidir ascensos o despidos, excepto por motivos de seguridad o salud.

Bajo riesgo

Se consideran “de bajo riesgo” el resto de aplicaciones, lo cual significa que estas podrán utilizarse sin limitaciones ni restricciones.

¿Cómo impacta esta ley a las empresas y CFOs?

Para muchas compañías que ya utilizan IA (por ejemplo, en RRHH, marketing, automatización de procesos, scoring financiero o predicción de demanda), será necesario revisar el cumplimiento de la norma.

Obligaciones para las empresas:

Etiquetar los contenidos generados por IA (deepfakes, vídeos sintéticos, texto, etc.).
Documentar el uso de sistemas de alto riesgo e inscribirlos en el nuevo Registro Nacional de Sistemas de IA.
Implementar procesos de control, gobernanza de datos, gestión de riesgos y supervisión humana.
Comunicar claramente al usuario cuándo está siendo evaluado o interactúa con un sistema de IA.

Reconocimiento facial en tiempo real: ¿en qué casos se podrá usar?

En España, el uso de sistemas automáticos de reconocimiento facial está permitido en ciertos casos, siempre que se cuente con el consentimiento de los ciudadanos afectados. El anteproyecto de ley aborda un capítulo específico, donde en principio, su uso está prohibido, salvo en situaciones en las que resulte estrictamente necesario.

El Anexo II del texto legislativo establece los supuestos en los que esta tecnología podría aplicarse, como la búsqueda de víctimas de secuestro, trata de seres humanos o explotación sexual, así como de personas desaparecidas.

La obligación de etiquetar los contenidos generados por IA

La nueva norma sancionará la falta de etiquetado en contenidos generados o manipulados con IA, como los deepfakes, que muestran recreaciones de personas diciendo o haciendo cosas que nunca han ocurrido, ahora deberán marcarse los resultados de salida de manera que no haya duda de su naturaleza artificial. No obstante, por el momento no se especifica cómo debe ser este etiquetado.

Sanciones por incumplimiento

Las multas previstas oscilan entre:

6.000 y 500.000 € para infracciones leves.
Por otro lado, las infracciones “graves” serán castigadas con sanciones de entre 7,5 y 15 millones de euros, o entre el 2 % y el 3 % del volumen de negocios anual mundial.
Hasta 35 millones € o el 7% del volumen de negocio anual para infracciones muy graves (como uso de IA prohibida o manipulación de datos biométricos sin consentimiento).

¿Qué deben hacer los responsables financieros y tecnológicos de una empresa?

Realizar una auditoría interna de los sistemas de IA actuales.
Clasificar su nivel de riesgo según la normativa.
Documentar los procesos, asegurar trazabilidad de los datos y establecer mecanismos de control.
Coordinarse con departamentos legales y de IT para definir un plan de cumplimiento.

Entidades supervisoras encargadas de controlar que se cumpla la normativa

Las autoridades encargadas de vigilar los sistemas prohibidos serán la Agencia Española de Protección de Datos (para sistemas biométricos y gestión de fronteras); el Consejo General del Poder Judicial (para sistemas de IA que puedan incidir en la aplicación de la justicia), la Junta Electoral Central (para sistemas que IA que afecten a procesos electorales) y la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) en el resto de los casos.

Cuando la entidad supervisora determine que un sistema de IA que no está clasificado como de alto riesgo lo pueda ser, se llevará a cabo un proceso de revisión que deberá completarse en 72 horas. Además, cualquier ciudadano podrá iniciar un expediente sancionador dando parte de forma anónima. En estos casos, será AESIA la encargada de gestionar estas denuncias.

La IA sí, pero con gobernanza

La inteligencia artificial seguirá siendo una aliada clave para la eficiencia empresarial, pero con un marco normativo más estricto. Esta ley no frena la innovación, pero obliga a implementarla con responsabilidad y transparencia.

Tener una estrategia clara para el uso ético y legal de la IA no solo evitará sanciones, sino que aumentará la confianza de clientes, inversores y empleados. En este nuevo entorno regulado, la gobernanza de la IA será tan importante como su potencial tecnológico.