En el marco de la colección de artículos relativos a la regulación de la IA en distintas jurisdicciones, se analizará en esta ocasión la respuesta regulatoria de la UE (de acuerdo con un estudio de la Universidad de Standford, que analiza 42 variables organizadas en 8 bloques de información según su compromiso y capacidades respecto: la investigación y desarrollo, uso responsable de IA, la economía, la educación, la diversidad, la política y gobernanza, la opinión pública y la infraestructura).
Para poder valorar una respuesta regulatoria adecuada, se establecerán 4 parámetros de análisis para considerar que un marco normativo es eficaz e internacional, de acuerdo con la recomendación del comité de expertos de IA de la ONU. Estos son: (i) la existencia de una regulación específica; (ii) el carácter vinculante de la normativa; (iii) la existencia de organismos de supervisión y control normativo; y (iv) los esfuerzos regulatorios internacionales de la IA por parte de dicho país.
Introducción
La tercera jurisdicción que se analizará en la presente colección de artículos será la Unión Europea (“UE”), como se ha indicado El estudio de Stanford anteriormente citado que señala como jurisdicciones relevantes en materia de implementación de IA a Francia, España y Alemania. En este sentido, se analizará de forma conjunta la regulación de la UE, no solo porque ofrecerá una visión completa del estado regulatorio comunitario, sino porque el bloque regulatorio de dichos países se desarrolla principalmente desde el Derecho de la Unión.
La UE es un mercado único integrado por veintisiete Estados miembros, cuyo acceso exige a los operadores económicos cumplir con los requisitos esenciales armonizados por el Derecho comunitario para poder comercializar sus productos y servicios en el mercado común. Del mismo modo, debe considerarse a la UE como una jurisdicción relevante debido a que conjuntamente supera la barrera de 500 millones de ciudadanos, posicionándose además como uno de los principales mercados económicos a nivel mundial.
Sin embargo, la consideración de la UE como jurisdicción relevante, no radica solo en su mercado interno, población o incluso su moneda, sino principalmente en su influencia diplomática y de fijación de estándares globales. A través de sus históricos vínculos comerciales, geoestratégicos y de influencia, la UE consigue tener un impacto significativo en los ordenamientos jurídicos de otros países, conocido como el “efecto Bruselas”, el cual puede tener un gran impacto en la implementación de la IA.
Es una tendencia destacable que, cuando la regulación europea ha destacado por su alta calidad jurídico-técnica y su carácter vanguardista, esta ha sido emulada por varios países. Un ejemplo notable sucedió en materia de protección de datos con el Reglamento 2016/679, de 27 de abril de 2016 (“RGPD”), por el Reino Unido, India o Brasil como se detallará posteriormente.
Esta característica es relevante en el análisis de la internacionalidad de la respuesta normativa europea, ya que, en el desarrollo del Derecho comunitario, también se impulsa indirectamente a otros países hacia unos estándares de gobernanza de la IA. De hecho, esta aspiración de liderazgo geopolítico se refleja en la propia narrativa institucional europea, donde se busca posicionar a la UE para que desempeñe un papel de liderazgo a escala global en su regulación.
En vista de lo anterior, el presente artículo busca analizar el tracto normativo que ha seguido la UE en materia de IA, y si estos pasos han conseguido crear un marco normativo eficaz, a la vez que han demostrado esfuerzos internacionales para una adopción global. En la misma línea, se analizarán los desafíos que esta regulación plantea, fundamentalmente en la tendencia de sobrerregulación que existe en el seno de la UE, y qué consecuencias puede tener esta política.
El camino a una regulación armonizada europea
La Unión Europea se sitúa a la vanguardia de la regulación mundial de la IA, habiendo avanzado hacia una regulación completa y específica en la materia a través del Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (el “RIA”).
La política regulatoria europea que ha culminado con el RIA ha sido objeto de una respuesta coordinada y multilateral. Ya en agosto de 2021 la Comisión Europea recopiló más de 300 propuestas en un período de consultas públicas para sus primeros borradores. Ese mismo mes, el Parlamento Europeo publicó un estudio que analizaba las consecuencias éticas y jurídicas del uso de técnicas biométricas. Ya a finales de año, la presidencia del Consejo de la UE compartió el primer borrador negociado para lo que se convertiría el RIA, con precisiones relevantes respecto las áreas de puntuación social, sistemas de reconocimiento biométrico y aplicaciones de alto riesgo.
En 2022, el foco de la regulación europea de la IA estaba centrado en la estandarización y armonización de estándares de gobernanza y seguridad. Bajo la presidencia francesa del Consejo de la UE, se propusieron modificaciones al texto borrador del RIA para los artículos 16 a 29, y posteriormente del 40 al 52, cubriendo las obligaciones de usuarios y proveedores de sistemas de alto riesgo, y de estándares de conformidad y transparencia respectivamente. Posteriormente, también se impulsó una modificación del artículo 4a en referencia con los sistemas de IA general con capacidades generativas. Finalmente, ese año, ya bajo la presidencia checa del Consejo de la UE, se adoptó una posición de acercamiento común para la redacción final del RIA.
A finales del año siguiente, el Parlamento Europeo y el Consejo de la UE llegaron a un acuerdo provisional, y el 21 de mayo de 2024 el Consejo Europeo formalmente adoptó el RIA. Este se publicó en el Diario oficial de la Unión Europea el 12 de julio de 2024.
La regulación modelo en materia de IA
El RIA es el primer marco regulatorio integral de IA, ofreciendo una respuesta normativa que responde de forma proactiva a los desafíos que genera esta nueva tecnología. A diferencia de los enfoques sectoriales o basados en principios adoptados por otras jurisdicciones analizadas en esta colección, la regulación europea presenta una vocación horizontal, siendo aplicable con independencia del sector o la actividad concreta en que se emplee la tecnología, y comprendiendo tanto la IA analítica como la IA generativa.
Por otra parte, la normativa europea además de ser específica e innovar el ordenamiento jurídico creando legislación ad hoc, esta es de carácter vinculante. En este sentido, el RIA es un Reglamento europeo, y por lo tanto de aplicación directa en todos los Estados miembros sin necesidad de transposición. Por ello, desde su entrada en vigor, la cual se ha aplazado para una serie de categorías y obligaciones, toda persona física o jurídica que desarrolle sistemas o modelos de IA, o su destinatario final, quedan vinculados por sus disposiciones. Es destacable, que el RIA ha sido complementado por el Reglamento (UE) 2026/1744, de 8 de julio de 2026 (“Reglamento Ómnibus”), con el objeto de simplificar su aplicación práctica. A estos efectos, reajusta el calendario de entrada en vigor de diversas obligaciones para sistemas de alto riesgo, añade nuevas prohibiciones respecto deepfakes sexuales y material de abuso sexual infantil.
El RIA impone, en concreto, un catálogo de obligaciones graduadas en función del riesgo, exigiendo a los proveedores de sistemas de alto riesgo la implementación de un sistema de gestión de riesgos, una gobernanza adecuada de los datos de entrenamiento, la elaboración de documentación técnica y la habilitación de mecanismos de supervisión humana. Asimismo, el reglamento establece un régimen sancionador aplicable en caso de incumplimiento. En particular, las empresas que no respeten las prohibiciones del artículo 5 o determinadas obligaciones específicas de transparencia, podrán ser sancionadas con multas de hasta 35 millones o el 7% del volumen de negocios mundial total, o de hasta 15 millones y del 3% respectivamente.
La UE ha dotado a esta regulación de una arquitectura institucional propia de supervisión. La Comisión Europea creó, mediante Decisión de 24 de enero de 2024, la Oficina Europea de Inteligencia Artificial (“OEIA”), encargada de centralizar y reforzar las capacidades de la Unión en la materia. El Reglamento Ómnibus ha ampliado las competencias de esta oficina, en concreto respecto sus competencias de ejecución, pudiendo requerir información a las empresas responsables de los sistemas de IA de uso general, acceder a ellos para su evaluación, ordenar medidas correctoras e incluso restringir su disponibilidad en caso de incumplimiento.
Este control se ejerce de forma compartida con las autoridades nacionales de vigilancia del mercado y notificantes que cada Estado miembro debe designar, entre las que destaca la Agencia Española de Supervisión de la Inteligencia Artificial (“AESIA”), que convirtió a España en el primer país de la Unión en contar con una autoridad dedicada específicamente a esta función.
Los esfuerzos regulatorios internacionales de la UE
En relación con el último requisito para conseguir una regulación adecuada, la UE ha realizado esfuerzos para impulsar una regulación internacional. Si bien la regulación europea, vertebrada principalmente por el RIA, no puede ser considerada internacional, sino de aplicación regional, han existido esfuerzos significativos para avanzar hacia un marco normativo internacional. Esta vocación ha sido vertebrada directamente a través de compromisos internacionales, así como de forma indirecta debido al soft law o más específicamente el efecto Bruselas o la extraterritorialidad del RIA.
En primer lugar, respecto de los compromisos internacionales, la UE ha combinado la firma de un instrumento jurídicamente vinculante, con la participación en declaraciones e iniciativas de carácter voluntario. Respecto el primer caso, la Comisión Europea negoció en representación de los estados miembros de la unión, el Convenio Marco sobre Inteligencia Artificial, Derechos Humanos, Democracia y Estado de Derecho del Consejo de Europa, un instrumento que complementa al RIA y que, a diferencia de este, se dirige a los Estados y no directamente a los operadores privados. Este es el primer tratado internacional jurídicamente vinculante dedicado específicamente a la IA, impulsando principios de transparencia, supervisión y no discriminación, así como recursos y garantías procesales para personas afectadas por decisiones de sistemas de IA.
Junto a ello, la UE ha suscrito compromisos de naturaleza voluntaria. Uno de los principales a nivel multilateral fue en 2023 en el marco del Proceso de IA de Hiroshima en el seno del G7, estableciendo principios rectores y un código de conducta internacional para organizaciones que desarrollan sistemas avanzados de IA. Por otra parte, ha habido acuerdos bilaterales como es la Hoja de Ruta Conjunta de UE y Estados Unidos sobre IA fiable y gestión de riesgos, aprobada en diciembre de 2022 en el seno del Consejo de Comercio y Tecnología entre la UE y EE. UU. Algunos de alcance significativo han sido Declaración de Bletchley, de 2 de noviembre de 2023, centrada en los riesgos de los sistemas de IA transfronterizos, y la Declaración de Seúl, de 21 de mayo de 2024, que dio continuidad a dicho proceso en torno a los objetivos de seguridad, innovación e inclusión.
En segundo lugar, además de todos estos compromisos y acuerdos internacionales, la propia política regulatoria interna de la UE tiene indirectamente afectación a nivel internacional. Esto se debe a dos factores: el efecto Bruselas y la cláusula de extraterritorialidad del RIA.
El efecto Bruselas es una expresión acuñada por la profesora Anu Bradford para describir el fenómeno por el que los estándares regulatorios europeos terminan expandiéndose más allá de sus fronteras e influyendo en la legislación de terceros estados. Un caso ejemplificativo fue respecto el RGPD, el cual fue transcrito de forma prácticamente idéntica por el legislador británico con posterioridad al brexit, así como ha sido implementado casi sin modificaciones en otros ordenamientos jurídicos, como es el caso de India o Brasil.
En el caso del RIA, este efecto puede manifestarse tanto de facto, cuando las empresas globales optan por adaptar sus productos a los exigentes estándares europeos, y de iure, cuando terceros países adoptan voluntariamente un marco regulatorio inspirado en el europeo. Países como Corea del Sur, a través de la Ley Básica sobre el Desarrollo y el Establecimiento de la IA Basado en la Confianza, o Brasil se han inspirado ampliamente en el enfoque basado en el riesgo y en las obligaciones de transparencia del RIA. No obstante, la doctrina ha relativizado el alcance de este fenómeno, señalando que solo cabe predicarlo respecto de aquellas disposiciones que establecen los estándares más estrictos, y advirtiendo que algunas grandes tecnológicas han optado por retrasar o limitar el lanzamiento de sus sistemas de IA en la Unión ante la incertidumbre regulatoria, en lugar de adaptarse a ella.
Por otra parte, la citada dimensión extraterritorial del RIA se articula, en concreto, a través de su artículo 2.1.c). A través de este precepto, el legislador europeo ha buscado extender la aplicación del RIA a los proveedores y responsables del despliegue de sistemas de IA establecidos en un tercer país cuando los resultados generados por dichos sistemas se utilicen en el territorio de la Unión.
Esta cláusula sigue la estela del artículo 3 del RGPD, si bien con un alcance considerablemente más amplio, ya que mientras el primero exige que el operador extranjero dirija u oriente sus servicios a personas físicas de la Unión, el RIA puede llegar a aplicarse aunque el proveedor no haya pretendido dirigir su actividad al mercado europeo, bastando con que el resultado de su sistema de IA acabe utilizándose en la Unión.
Los riesgos de la sobrerregulación europea
De los apartados anteriores puede comprobarse que la regulación europea ha buscado adecuar su marco normativo de IA a los criterios establecidos por el comité de expertos de IA de la ONU. Sin embargo, el acercamiento normativo también extraña una serie de desafíos debido a la técnica de excesiva regulación del legislador europeo.
La UE busca atender a los riesgos de una forma altamente proactiva y generalista, lo cual reduce enormemente los riesgos, pero no balancea correctamente la innovación, reduciendo su competitividad ante otras potencias. Esta práctica regulatoria es habitual en la UE, aprobando de media aprueba 1.200 reglamentos, 80 directivas y 700 decisiones cada año. Eurochambres, la Asociación de Cámaras de Comercio e Industria Europeas, que representa a más de 19 millones de empresas en Europa a través de 46 miembros y una red europea de 2.000 cámaras regionales y locales, analizó durante 11 años el coste estimado de la sobrerregulación europea que deben pagar las empresas, y determinó que es cercano al 1 billón europeo de euros, lo que supone entre el 3,7% y el 12,3% del GDP.
De hecho, esta situación se puede observar más allá de la teoría, en la práctica. Empresas como Meta o UBS, ya han publicado informes destacando que la sobrerregulación europea está comprometiendo la capacidad europea de ser competitiva y la previene de la innovación tecnológica. En el mismo sentido se posiciona un informe de OpenAI, desarrolladora del conocido modelo de IA generativa ChatGPT, el cual determina que la sobrerregulación europea frena la innovación, ralentiza el crecimiento económico y debilita la competitividad de la UE. El informe defiende una simplificación y armonización del marco normativo, de manera que la protección frente a los riesgos de la IA no imponga cargas desproporcionadas ni provoque el traslado de la investigación fuera de Europa. Esta posición parece que ha sido escuchada parcialmente por el legislador europeo con la introducción del Reglamento Ómnibus respecto los plazos de adaptación y simplificación de la normativa, pero no respecto la reducción de las restricciones y la competitividad europea.
Esta falta de competitividad y productividad no es una situación desconocida dentro de la UE, habiendo solicitado el Comité Económico y Social Europeo a solicitar reformas urgentes, basados en los Informes Letta y Draghi respecto la necesidad de simplificar la burocracia europea y mantener la UE competitiva. De hecho, el Informe Draghi destaca que “la innovación se ve bloqueada en la siguiente etapa: no logramos traducir la innovación en comercialización, y las empresas innovadoras que desean crecer en Europa se ven obstaculizadas en cada fase por regulaciones inconsistentes y restrictivas”.
En la misma línea se posiciona el Fondo Monetario Internacional (“FMI”) en un informe sobre la brecha de competitividad y productividad de la Unión Europea en inteligencia artificial frente a Estados Unidos y China. El organismo advierte que existe la sobrerregulación y la carga burocrática amenazan con agravar la competitividad general y en concreto respecto de la IA. El FMI considera que el RIA establece umbrales de supervisión más estrictos que los de otras jurisdicciones, afectando a un conjunto más amplio de modelos, e imponiendo obligaciones adicionales de documentación, información y control tanto para los sistemas de propósito general como para las aplicaciones consideradas de alto riesgo. Estos costes regulatorios pueden desincentivar la adopción de la IA precisamente en las tareas más complejas y con mayor potencial económico.
De acuerdo con las simulaciones del citado informe, los beneficios europeos de productividad derivados de la IA serían ya modestos, situándose alrededor del 1,1 % acumulado a medio plazo. El RIA podría reducirlos en aproximadamente un 15 %, cifra que, combinada con las restricciones profesionales nacionales y las normas de privacidad, elevaría el impacto negativo por encima del 30 %. Aunque se trata de escenarios hipotéticos, los resultados ponen de manifiesto que un marco regulatorio excesivamente complejo puede frenar la innovación, elevar los costes de cumplimiento y limitar la capacidad de las empresas europeas para desarrollar, adoptar y escalar soluciones de IA.
Conclusiones
De acuerdo con el análisis realizado, la regulación de la IA de la Unión Europea responde de la siguiente manera sobre los parámetros preestablecidos:
- La Unión Europea se sitúa a la vanguardia de la regulación mundial de la IA, habiendo desarrollado el primer marco regulatorio integral y específico a través del RIA. A diferencia de los enfoques sectoriales o basados en principios adoptados por otras jurisdicciones analizadas en esta colección, la regulación europea presenta una vocación horizontal, siendo aplicable con independencia del sector o la actividad concreta en que se emplee la tecnología, y comprendiendo tanto la IA analítica como la IA generativa. Asimismo, el RIA ha sido complementado por el Reglamento Ómnibus, con el objeto de simplificar su aplicación práctica, reajustar el calendario de entrada en vigor de diversas obligaciones y añadir nuevas prohibiciones. Por lo tanto, la UE cuenta con una regulación específica, completa e innovadora en materia de IA.
- La normativa europea, además de ser específica, es de carácter vinculante. El RIA es un Reglamento europeo, y por lo tanto de aplicación directa en todos los Estados miembros sin necesidad de transposición. Desde su entrada en vigor, toda persona física o jurídica que desarrolle sistemas o modelos de IA, o su destinatario final, queda vinculada por sus disposiciones. El reglamento impone un catálogo de obligaciones graduadas en función del riesgo y establece un régimen sancionador riguroso, con multas de hasta 35 millones de euros o el 7% del volumen de negocios mundial total para las infracciones más graves. Este carácter vinculante contrasta de forma significativa con los enfoques predominantemente voluntarios adoptados por otras jurisdicciones como Estados Unidos o el Reino Unido.
- La UE ha dotado a su regulación de una arquitectura institucional propia de supervisión. La Comisión Europea creó la OEIA, encargada de centralizar y reforzar las capacidades de la Unión en la materia, cuyas competencias han sido ampliadas por el Reglamento Ómnibus, pudiendo requerir información a las empresas, acceder a los sistemas para su evaluación, ordenar medidas correctoras e incluso restringir su disponibilidad en caso de incumplimiento. Este control se ejerce de forma compartida con las autoridades nacionales de vigilancia del mercado que cada Estado miembro debe designar, entre las que destaca la AESIA, que convirtió a España en el primer país de la Unión en contar con una autoridad dedicada específicamente a esta función.
- En relación con el último parámetro, la UE ha realizado esfuerzos significativos para impulsar una regulación internacional de la IA. A nivel directo, ha combinado la firma de instrumentos jurídicamente vinculantes, como el Convenio Marco sobre Inteligencia Artificial del Consejo de Europa, con la participación en declaraciones e iniciativas de carácter voluntario, como el Proceso de IA de Hiroshima en el seno del G7, la Declaración de Bletchley, la Declaración de Seúl, y la Hoja de Ruta Conjunta con Estados Unidos.
A nivel indirecto, la propia política regulatoria interna de la UE tiene afectación internacional a través de dos factores. En primer lugar el efecto Bruselas, por el cual los estándares regulatorios europeos terminan expandiéndose más allá de sus fronteras e influyendo en la legislación de terceros estados, como ya sucedió con el RGPD y como ya se observa en países como Corea del Sur o Brasil respecto al RIA. En segundo lugar, la cláusula de extraterritorialidad del artículo 2.1.c) del RIA, que extiende su aplicación a proveedores establecidos en terceros países cuando los resultados generados por sus sistemas de IA se utilicen en el territorio de la Unión.
No obstante, pese a que la UE cumple satisfactoriamente los cuatro parámetros establecidos por el comité de expertos de IA de la ONU, el análisis realizado pone de manifiesto que la respuesta normativa europea no está exenta de desafíos. La tendencia de sobrerregulación del legislador europeo, evidenciada por los informes de Eurochambres, Draghi, Letta, de organismos o empresas como el FMI o OpenAI, plantea riesgos significativos para la competitividad y la productividad europeas. De acuerdo con las simulaciones del FMI, el RIA podría reducir los ya modestos beneficios de productividad derivados de la IA en aproximadamente un 15%, cifra que, combinada con las restricciones profesionales nacionales y las normas de privacidad, elevaría el impacto negativo por encima del 30%.
Un marco normativo adecuado debe ser sostenible a largo plazo, lo cual exige que la protección frente a los riesgos de la IA no imponga cargas desproporcionadas ni provoque el traslado de la investigación y la innovación fuera de Europa. La introducción del Reglamento Ómnibus refleja una voluntad parcial de atender estas preocupaciones, pero la práctica regulatoria europea deberá seguir evolucionando para alcanzar un equilibrio efectivo entre la protección de los derechos fundamentales y la competitividad del mercado único.
Autor: Pol de Viguera Pascual (Graduate en Cuatrecasas, Programa PPAI)
