El Reglamento sobre IA de la UE: obligaciones para las empresas

A partir del 2 de febrero de 2025, las empresas alemanas deberán cumplir la normativa general y las prohibiciones de la Ley de IA si utilizan sistemas de IA como ChatGPT, Copilot o el filtro de spam de IA de Outlook. Esto incluye una prueba de experiencia en IA y una evaluación de riesgos de la IA utilizada. Un resumen con recomendaciones.

Introducción

Las empresas alemanas tendrán que hacer algo a partir del 2 de febrero de 2025 si utilizan IA:

En el artículo 113 de la Ordenanza AI, se regula que algunas disposiciones de esta ordenanza serán aplicables a partir del 02 de febrero de 2025. La ordenanza AI se abrevia como AI-VO y en inglés se conoce como Acto AI.

Los artículos 1 a 4 de la AI-VO forman el primer capítulo. En él se establecen disposiciones generales.

El artículo 5 de la VIGC forma el capítulo II y contiene Prohibiciones.

Por lo tanto, a partir del 2 de febrero de 2025, las empresas alemanas deberán cumplir la normativa general y las prohibiciones si se utilizan sistemas de IA en la empresa. El uso de ChatGPT, Copilot o sistemas de IA de otros proveedores ya es un uso relevante en el sentido del Reglamento sobre IA.

Según el Artículo 113, letra a del Reglamento de la Unión Europea sobre Inteligencia Artificial (AI-VO), las normas generales (Artículos 1 a 4) y los prohibiciones (Artículo 5) del AI-VO serán aplicables a partir del 2 de febrero de 2025.

¿Cuándo se aplican las obligaciones?

A partir del 2 de agosto de 2025, entrarán en vigor otras disposiciones del Reglamento sobre IA, que afectan especialmente a los modelos de IA con finalidad general. Estos últimos incluyen sistemas de IA bien conocidos, como ChatGPT, Microsoft Copilot o los modelos de IA de Mistral.

Si se toma como referencia el considerando 12 del Reglamento sobre IA, los sistemas informáticos que utilizan IA también deben considerarse sistemas de IA. Ejemplos de ello son los motores de búsqueda que generan recomendaciones basadas en IA o los filtros de spam basados en IA. En lo que respecta a los filtros de spam, la formación necesaria debería ser mínima; no obstante, al menos se debería instruir a los empleados. Los grandes motores de búsqueda, en cambio, están cubiertos por otro reglamento, el de Servicios Digitales, según el considerando 118 del Reglamento sobre IA.

¿Qué obligaciones se aplican a partir del 2 de febrero de 2025?

Las obligaciones se derivan de los artículos 4 y 5 del Reglamento AI. El artículo 3 contiene importantes definiciones de términos. Los dos primeros artículos contienen información sobre el ámbito de aplicación y el objeto del Reglamento.

Prueba de competencia en IA

El artículo 4 del Reglamento sobre IA trata exclusivamente de la prueba de la competencia en IA. Esto significa que todas las empresas cuyos empleados vayan a trabajar con sistemas de IA deben aportar esta prueba.

Los empleados deben recibir las instrucciones pertinentes de la empresa. Esto incluye también la formación. No está prescrito el modo en que una empresa debe demostrar su experiencia en IA. A este respecto, hay buenas maneras de hacerlo de forma sensata y eficiente.

Un ejemplo de la demostración de competencia en Inteligencia Artificial es el Dr. RGPD. La demostración está compuesta por:

• Conocimientos técnicos
• Experiencia

Los conocimientos técnicos deben estar al menos disponibles y ser plausibles si se ofrecen sistemas de IA o si tiene lugar la programación de IA. Esto último ya puede hacerse utilizando una interfaz de programación de aplicaciones (API), como la que ofrece ChatGPT.

Categorización de los sistemas de IA utilizados

El artículo 5 del Reglamento sobre IA contiene numerosas prohibiciones, es decir, los fines para los que pueden o no utilizarse los sistemas de IA. Por ejemplo, está prohibida la influencia subliminal sobre las personas mediante IA. También está prohibida la evaluación o clasificación de personas físicas o grupos de personas durante un determinado periodo de tiempo en función de su comportamiento social. El artículo 5 contiene otras muchas prohibiciones.

Para excluir los fines prohibidos de un sistema de IA en uso, debe analizarse y describirse el sistema de IA. A continuación, puede clasificarse y cotejarse con las disposiciones del Reglamento sobre IA.

También se puede aclarar en ese sentido si una empresa es solo la operadora de un sistema de inteligencia artificial o incluso el proveedor. Proveedores de sistemas de inteligencia artificial deben cumplir con muchas más obligaciones que operadores.

Recomendaciones

Las empresas deben familiarizar a sus empleados con el trabajo con sistemas de IA y darles instrucciones en su propio interés. La forma de proceder de las empresas depende de ellas.

Una iniciación es una instrucción de los empleados. Puede ser escrita o en forma de una capacitación personal o digital. La iniciación tiene como objetivo capacitar a los empleados. Finalmente, la Inteligencia Artificial (IA) para las empresas es un medio al fin. En consecuencia, debe asegurarse de que los sistemas de IA generen beneficios para la empresa.

Una Instrucción por el contrario es más una medida regulatoria. Sirve para guiar a los empleados en su trabajo con sistemas de Inteligencia Artificial en rutas ordenadas. Pues no toda utilización de IA es deseada o lógica.

Para una sesión informativa se recomienda información general enriquecida con información específica. Concretamente, esto significa:

• Formación in situ de los empleados, ya sea en sus instalaciones o en un centro de formación
• La formación inicial también puede impartirse en línea, por ejemplo en forma de seminario web
• Creación de una guía que puede formar parte de Instrucciones de Organización de Inteligencia Artificial. La guía apoya a los empleados. También puede ser viva, es decir, actualizada regularmente. Por lo tanto, se debe considerar el uso de un recurso en línea.

Las instrucciones para los empleados que trabajan con IA en la empresa incluyen, en particular:

• Requisitos para el uso profesional autorizado de la IA
• Directrices para el uso profesional no autorizado de la IA
• Persona de contacto (por ejemplo, el responsable de la protección de datos)
• La instrucción también puede ser parte de una instrucción de organización de Inteligencia Artificial

Por lo tanto, una instrucción organizativa de IA como documento completo contiene

• Información para los empleados y
• Información para la instrucción de los empleados.

Tipos de utilización de la IA

Los sistemas de IA pueden utilizarse para diferentes tareas. También hay diferentes sistemas de IA, como diferentes tipos de modelos de IA. Los más conocidos son los modelos de voz ("chatbots"). También hay generadores de imágenes, generadores de vídeo, modelos de audio, etc.

Las empresas deben definir los fines para los que los empleados están autorizados a utilizar cada sistema de IA.

En particular, es importante comprender que todos los resultados generados con IA deben comprobarse antes de seguir utilizándolos. Esto se debe a que no es el sistema de IA, sino el usuario de los resultados de la IA quien es responsable (inicialmente y a menudo en última instancia) de los resultados de la IA.

Las publicaciones de AI pueden infringir los derechos de autor de terceros. Esto es válido tanto para imágenes como para cualquier otro tipo de medio, como por ejemplo textos o archivos de audio. Por lo tanto, no se deben utilizar simplemente a discreción imágenes generadas por AI entre los empleados. Regule esto en su instrucción de organización de AI!

Además, disfrutan de ningún derecho de autor los contenidos generados con inteligencia artificial hasta la fecha actual. La IA no puede ser considerada como creador. Si ha creado un logo o texto excelente con IA, asegúrese de que el correspondiente imagen o texto sean manualmente editados. Sólo así podrá invocar su autoría y evitar que otros utilicen su obra sin su consentimiento.

Protección y seguridad de los datos

Los sistemas de IA procesan más datos que cualquier otro tipo de sistema informático convencional.

Por eso es importante que el proveedor goce de la confianza del usuario de la IA (¿su empresa?). El proveedor también incluye el país de la sede. Es bien sabido que en EE.UU. existen numerosas leyes de inteligencia que autorizan el espionaje tanto de extranjeros como de nacionales. Entre ellas se encuentran la Ley de la Nube, las Órdenes Ejecutivas Presidenciales 12333 y 14086 y la Sección 702 de la FISA.

Los datos sensibles de las empresas incluyen, en particular:

• Secretos comerciales: las empresas pueden hacer con ellos lo que quieran. Si es razonable desvalorizar secretos compartiendo información, es decisión de cada empresa.
• Datos confidenciales: Estos datos fueron declarados como confidenciales de manera subjetiva, aproximadamente a través de un acuerdo de confidencialidad (NDA). El socio del contrato podrá hacer valer pasos legales si sus datos son compartidos con terceros (ChatGPT?).
• Datos personales: Si no se trata de un procesamiento de datos legitimado por el artículo 6 (1) RGPD , las personas afectadas pueden tomar medidas legales. ([1])

Para datos personales también deben cumplirse las obligaciones de información según el artículo 12 RGPD . Debería saberse exactamente qué sucede en un sistema de inteligencia artificial utilizado. Esto se puede hacer mejor si el sistema de inteligencia artificial es autogestionado . ([1])

Prueba de competencia en IA

La prueba debe presentarse de forma adecuada a la forma de IA explotada u ofrecida.

Si se ofrece una inteligencia artificial en una página web, el testimonio debería darse allí mismo, es decir en la página web.

Si el acceso a un chatbot se proporciona a los empleados a través de la intranet, entonces la información debe proporcionarse allí o adicionalmente a través de un boletín de noticias.

El contenido del certificado demuestra la competencia en IA de la empresa o de sus empleados. Se trata de hacer verosímil la competencia. En cualquier caso, no es obligatorio contar con un responsable de IA. Contar con una persona que se dedique al importante tema de la IA en empresas de cierto tamaño no es, desde luego, nada malo.

Evaluación de riesgos de los sistemas de IA

Debe llevarse a cabo una evaluación de riesgos para cada sistema de IA y cada herramienta de IA utilizada en su empresa.

Cuanto más general sea la herramienta de IA utilizada, más difícil será evaluar el riesgo. Como sabemos, ChatGPT también puede utilizarse para crear instrucciones para la construcción de bombas (con un poco de esfuerzo en las indicaciones). Por otra parte, se plantea la cuestión de qué sentido tiene un sistema de IA sin una finalidad específica para su empresa. Por estas dos razones, su empresa sólo debería permitir el uso de sistemas de IA para fines específicos y significativos. Lo que puede hacerse con un motor de búsqueda no tiene por qué realizarse con un chatbot.

La llamada IA de alto riesgo no debe utilizarse. Quien, a pesar de todo, tenga la intención de hacerlo, necesita un asesoramiento en profundidad que vaya mucho más allá de los consejos escritos.

Limitar el riesgo

Las empresas son responsables ante el exterior (inicialmente y a menudo de forma definitiva) del comportamiento de sus empleados en nombre de la empresa.

Un empresa debería tener un interés propio en asegurarse de que los empleados no utilicen los sistemas de Inteligencia Artificial (IA) liberados para su uso de manera arbitraria. En el caso de ChatGPT u otros sistemas de IA generales, esto puede lograrse mejor mediante una página de acceso previo con el chatbot. El acceso directo a ChatGPT a través de la superficie de chat propia no ofrece ninguna control para la empresa.

Una página preliminar de este tipo recibe las consultas de los empleados a la IA y las reenvía a ésta en segundo plano. La respuesta de la IA se devuelve al empleado en sentido inverso.

Un efecto secundario positivo es la posibilidad de controlar los costes y la intensidad de uso. También se pueden bloquear determinadas peticiones. Para algunas consultas a la IA, puede tener sentido remitir directamente a un documento interno de la empresa en lugar de que ChatGPT proporcione la respuesta a partir del conocimiento del mundo.

Conclusión

El Reglamento sobre IA introduce obligaciones moderadas para las empresas si sólo son operadores de sistemas de IA o proveedores de sistemas de IA no peligrosos.

Sin embargo, estas obligaciones exigen un esfuerzo que debe realizarse en interés de la propia empresa.

Cuanto antes se inicien las actividades para capacitar e instruir a los empleados de la empresa, antes se alcanzará un estado resiliente y practicable. El objetivo principal del primer paso será limitar la responsabilidad de la empresa instruyendo a los empleados para que no desarrollen actividades con IA peligrosas para la empresa.

Si las empresas desean utilizar sistemas de Inteligencia Artificial General como ChatGPT o Copilot, deberían pensar también en el beneficio de estos sistemas. En particular Copilot destaca por su mala calidad. ChatGPT, por otro lado, es un sistema universal que no conoce el vocabulario de una empresa ni está optimizado para casos de uso concretos.

Estas cuestiones pueden aclararse al crear una directiva organizativa de IA, que también puede nombrar los sistemas de IA aprobados.