Ley de IA de la UE & AI Compliance

Overview

La Ley de IA de la UE es el primer marco jurídico integral redactado específicamente para los sistemas de inteligencia artificial. Entró en vigor el 1 de agosto de 2024 y sus obligaciones se aplican por etapas: las prohibiciones desde febrero de 2025, las normas para los modelos de IA de uso general desde agosto de 2025 y la mayoría de las obligaciones de alto riesgo desde agosto de 2026, con algunas en agosto de 2027. En noviembre de 2025 la Comisión Europea propuso aplazar algunas fechas de alto riesgo, así que consulte el calendario que se aplica hoy a su sistema. El Reglamento establece un sistema de clasificación de las aplicaciones de IA basado en el riesgo e impone las obligaciones correspondientes a los proveedores, responsables del despliegue e importadores de sistemas de IA que operan en la Unión Europea.

La Ley clasifica los sistemas de IA en cuatro niveles de riesgo: riesgo inaceptable (prohibidos), alto riesgo (muy regulados), riesgo limitado (obligaciones de transparencia) y riesgo mínimo (prácticamente sin regular). Los sistemas de IA de alto riesgo, entre ellos los usados en el empleo, la educación, la calificación crediticia, la aplicación de la ley y las infraestructuras críticas, afrontan los requisitos más estrictos, como las evaluaciones de la conformidad, los sistemas de gestión de la calidad y el seguimiento continuo posterior a la comercialización.

Para los desarrolladores de IA y las organizaciones que entrenan sus propios modelos, la Ley de IA de la UE introduce requisitos detallados sobre la gobernanza de los datos de entrenamiento, la documentación y la transparencia. El artículo 10 establece obligaciones sobre la calidad, la pertinencia y la representatividad de los datos de entrenamiento, y sobre el examen de posibles sesgos. El artículo 11 exige una documentación técnica que describa la finalidad prevista del sistema de IA, sus especificaciones de diseño, las metodologías de entrenamiento y los resultados de validación. Estos requisitos suponen un cambio de fondo en la forma de documentar y gobernar el desarrollo de IA.

AI-Specific Requirements

Los requisitos de gobernanza de los datos de entrenamiento del artículo 10 de la Ley de IA de la UE están entre las disposiciones con más impacto para los equipos de desarrollo de IA. Los proveedores de sistemas de IA de alto riesgo deben garantizar que los conjuntos de datos de entrenamiento, validación y prueba se sometan a prácticas adecuadas de gobernanza y gestión de datos. Esto incluye examinar los datos en busca de posibles sesgos, detectar lagunas o deficiencias en los datos y aplicar medidas para corregir los problemas de representación. Los conjuntos de datos de entrenamiento deben ser pertinentes, suficientemente representativos y, en la mayor medida posible, carecer de errores y estar completos.

El artículo 13 establece requisitos de transparencia según los cuales los sistemas de IA de alto riesgo deben diseñarse y desarrollarse de modo que su funcionamiento sea lo bastante transparente para que los responsables del despliegue puedan interpretar los resultados y usar el sistema de forma adecuada. Esto incluye una documentación clara de las capacidades del sistema, sus limitaciones, los riesgos conocidos y las características de los datos de entrenamiento. Para los modelos de IA de uso general (incluidos los modelos fundacionales), el artículo 53 añade obligaciones sobre la documentación de los datos de entrenamiento, entre ellas un resumen suficientemente detallado del contenido utilizado para el entrenamiento.

La Ley también exige sistemas de gestión de la calidad (artículo 17) que abarquen los procedimientos de gestión de riesgos, los protocolos de gobernanza de datos, los planes de seguimiento posterior a la comercialización y los mecanismos de notificación de incidentes. Los sistemas de alto riesgo deben diseñarse para registrar eventos automáticamente a lo largo de su vida útil (artículo 12), y los responsables del despliegue deben conservar esos registros al menos seis meses (artículo 26). Los proveedores deben mantener la documentación técnica durante todo el ciclo de vida del sistema de IA y cooperar con las autoridades nacionales de vigilancia del mercado. Las sanciones son severas: multas de hasta 35 millones de euros o el 7 por ciento del volumen de negocios anual mundial por prácticas de IA prohibidas, y de hasta 15 millones de euros o el 3 por ciento por la mayoría de las demás infracciones.

How Ertas Helps

La mayoría de las obligaciones de la Ley recaen en el proveedor de un sistema de IA, y cuando usted entrena un modelo a medida para su propio caso de uso, ese proveedor suele ser usted. Ertas le ofrece un proceso de entrenamiento que usted controla. En Ertas Studio elige el modelo base, crea o sube el conjunto de datos, y ejecuta y compara las ejecuciones de entrenamiento. Studio almacena el conjunto de datos de cada ejecución para que pueda repetirse, lo que le da material de partida para el registro de gobernanza de datos que pide el artículo 10 y para la documentación técnica que exige el artículo 11. El entrenamiento se realiza en las GPU en la nube de Ertas, por lo que el conjunto de datos se sube a Ertas; minimice antes los datos personales que contiene, ya que el RGPD se aplica junto con la Ley.

El modelo entrenado es suyo. Expórtelo en GGUF o safetensors y ejecútelo en su propio entorno, donde podrá incorporar el registro de eventos del artículo 12 y la supervisión humana del artículo 14 a sistemas que usted opera, y donde los datos de inferencia nunca llegan a Ertas. La versión del modelo no cambia hasta que vuelva a entrenarlo, de modo que el modelo que documentó y evaluó es el que se despliega. El endpoint de modelo adaptativo y los desarrollos empresariales a medida también pueden ejecutar el modelo en su propia nube o en sus propias instalaciones (on-premise).

La clasificación del riesgo, el sistema de gestión de riesgos, el examen de sesgos de sus datos, la evaluación de la conformidad, el seguimiento posterior a la comercialización y la notificación de incidentes quedan a su cargo. Ertas no clasifica su sistema ni elabora documentación de conformidad para él.

Compliance Checklist