La Ley de Inteligencia Artificial de la UE es un paso importante para el futuro de la inteligencia artificial, pero solo una estrategia de cumplimiento eficaz permitirá a las organizaciones aprovechar las ventajas que traerá consigo, afirma Ana Paula Assis de IBM
La Ley de Inteligencia Artificial de la UE ha marcado el comienzo de una nueva era para la inteligencia artificial en Europa, creando un marco legal largamente esperado que todas las organizaciones que operan en la UE pronto deberán cumplir. Como primer marco legal integral del mundo para la IA, la ley tiene por objeto garantizar la seguridad y la transparencia de los sistemas de IA en toda la UE, y su implementación sentará un precedente fundamental para países y organizaciones de todo el mundo.
Para aquellas organizaciones que actualmente implementan aplicaciones de IA en sus operaciones, estas nuevas regulaciones pueden parecer desalentadoras y, sin duda, requerirán un aumento inicial de la inversión para garantizar que las evaluaciones técnicas y de riesgos se completen en los plazos establecidos. Sin embargo, el nuevo marco debe considerarse enormemente beneficioso para las empresas, ya que aporta certidumbre y límites claros para las estrategias de IA por primera vez.
Al seguir una serie de pasos críticos, las organizaciones pueden invertir en sus estrategias de IA y acelerarlas con confianza, creando marcos sólidos que garanticen el cumplimiento de la Ley de IA ahora y las preparen para desarrollos futuros.
Un enfoque basado en el riesgo
El primer paso crucial para que las empresas logren cumplir con la ley es comprender el enfoque basado en el riesgo de la ley, que ayudará a las empresas a determinar el nivel de preparación necesario. El enfoque basado en el riesgo dicta que los sistemas de IA utilizados en diferentes aplicaciones se analizarán y clasificarán según el riesgo que presenten, y esos niveles de riesgo requerirán menos o más regulación.
El nivel de riesgo más alto, “prohibitivo”, incluye prácticas como la calificación social. El nivel de “riesgo alto” abarca áreas como la infraestructura, el reclutamiento y la calificación crediticia. Los casos de uso de “riesgo medio” involucran tecnologías como chatbots y deepfakes. Finalmente, el nivel de “riesgo bajo” incluye juegos habilitados por IA y filtros de spam.
Es importante destacar que la IA generativa en sí no se clasificará como de alto riesgo, pero su uso deberá cumplir con los requisitos de transparencia y la legislación de derechos de autor de la UE, como revelar que el contenido fue generado por la IA y publicar resúmenes de los datos protegidos por derechos de autor utilizados para el entrenamiento. Además, los modelos de IA de propósito general de alto impacto que podrían representar un riesgo sistémico, como el modelo más avanzado ChatGPT GPT-4, tendrán que someterse a evaluaciones adicionales.
Al igual que ocurre con la mayoría de las leyes importantes, la Ley de Inteligencia Artificial de la UE incluye un período de aplicación, lo que otorga a las organizaciones un plazo en el que deben cumplir todos los requisitos. La UE ha adoptado un enfoque gradual, en el que las prohibiciones entran en vigor en seis meses y la mayoría de las disposiciones se aplican en dos años.
En IBM, consideramos que este enfoque y este marco son adecuados para garantizar la transparencia, la rendición de cuentas y la supervisión humana en el desarrollo y la implementación de la IA, al tiempo que se fomenta la innovación y la competitividad saludables en Europa. Se alinea con nuestro compromiso con las prácticas éticas de IA y servirá para promover la confianza en un panorama de IA abierto, algo de lo que todos podemos beneficiarnos.
Pasos críticos para el cumplimiento
Por supuesto, con plazos establecidos ahora, las organizaciones deberían comenzar a prepararse para cumplir con los estándares lo antes posible.
El primer paso es completar un inventario de modelos exhaustivo. La mayoría de las empresas ya tendrán varias aplicaciones de IA en funcionamiento en diversas áreas de su empresa, pero es probable que estén aisladas y operen en diferentes sistemas. Muchas empresas también habrán subestimado el alcance de sus casos de uso en funcionamiento. Es fundamental poner orden en su casa completando un inventario interno de todas las aplicaciones de IA y aprendizaje automático (ML) dentro de su empresa.
El segundo paso es realizar una evaluación de riesgos. Una vez completado el inventario, las organizaciones deberán establecer su nivel de riesgo para asegurarse de que cumplen con todas las obligaciones pertinentes. Por ejemplo, los casos de uso de alto riesgo vienen con siete requisitos esenciales relacionados con la supervisión humana, la solidez técnica, la privacidad y la gobernanza de datos, la transparencia, la diversidad y la equidad, el bienestar social y la rendición de cuentas. Una evaluación de riesgos completa también considerará los riesgos operativos y de reputación, elevando la evaluación más allá del cumplimiento de la Ley de Inteligencia Artificial y adoptando un enfoque holístico a largo plazo para la gobernanza de la IA.
El tercer paso del proceso es la implementación de las diez normas técnicas que se están desarrollando para cumplir con los requisitos de la Ley. Las organizaciones de normalización europeas están desarrollando actualmente nuevas normas técnicas para facilitar esto, como lo ha hecho la Organización Internacional de Normalización (ISO), que recientemente publicó una nueva norma llamada ISO42001, que será adoptada por la UE como marco para los sistemas de gestión de riesgos. Las empresas estarán obligadas a implementarlas y realizar una autoevaluación de conformidad. Alternativamente, pueden optar por una evaluación de conformidad por parte de un tercero. Es un proceso complicado, por lo que las empresas deben comenzar a familiarizarse con las normas ahora para asegurarse de que están listas para la implementación.
Construyendo un ecosistema confiable
Las organizaciones que atraviesan el proceso de cumplimiento normativo deberían aprovechar esta oportunidad para reforzar las estrategias de gobernanza de la IA al mismo tiempo. La creación de un marco para una IA responsable y gobernada permitirá a las organizaciones operar con confianza, gestionar el riesgo y la reputación, generar confianza entre los empleados y satisfacer las demandas de las partes interesadas.
Gran parte de esto depende de la introducción de herramientas de gestión del flujo de trabajo en toda la empresa. Hasta ahora, la IA ha pertenecido principalmente a los equipos de ciencia de datos. Pero la aparición de nuevas regulaciones, en Europa y en jurisdicciones de todo el mundo, significa que el cumplimiento de la IA se infiltrará en más áreas de una organización, como la evaluación legal y de riesgos. Estos departamentos pueden ser nuevos en el ciclo de vida de la IA, por lo que la creación de estructuras de gestión del flujo de trabajo garantizará que las partes interesadas estén alineadas y que la transparencia siga siendo lo más importante.
Una vez que las aplicaciones y los procesos de IA de su organización hayan pasado por un inventario modelo, la creación de una serie de flujos de trabajo de gobernanza automatizados en línea con los requisitos de cumplimiento establecerá una solidez y agilidad integradas, lo que impulsará el cumplimiento de la IA y garantizará que tenga todo en su lugar a medida que las cosas evolucionen en el futuro.
Tal vez la parte más importante de la creación de un programa de IA exitoso sea la creación de un comité de ética de IA. El cumplimiento de la propia ley exige un cierto nivel de consideración ética, pero las empresas también deben definir su propio enfoque ético de la IA, estableciendo un conjunto de directrices para dictar su implementación y la innovación futura. Este enfoque ha respaldado nuestro propio desarrollo de IA en IBM, donde nuestro estricto marco ético dicta qué casos de uso promovemos, con qué clientes trabajaremos y nuestro enfoque de confianza en materia de datos y derechos de autor. Al crear su propio marco ético, las organizaciones pueden crear una alineación con todas las partes interesadas desde el comienzo de su viaje hacia la IA y mitigar cualquier riesgo reputacional que pueda aparecer más adelante.
Desafíos potenciales
Por supuesto, nos encontramos en las primeras etapas de la Ley de Inteligencia Artificial de la UE, y no se prevé que este enfoque basado en el riesgo plantee desafíos significativos en materia de cumplimiento normativo. Dicho esto, algunos sectores pueden enfrentar una curva de aprendizaje más pronunciada hacia el cumplimiento normativo que otros. Por ejemplo, las empresas de servicios financieros están acostumbradas a regulaciones estrictas y exhaustivas y ya contarán con los marcos legales y de riesgo establecidos para incorporar esta nueva regulación. Es posible que los sectores menos regulados, como el ocio y las artes, o incluso los departamentos de recursos humanos dentro de las empresas, deban tomar medidas adicionales para cumplir con las normas, como la creación de nuevos flujos de trabajo regulatorios o la capacitación adicional del personal.
Desafíos de la armonización
Otro desafío que podría surgir es la aparición de marcos globales divergentes. La UE ha sido clara en su deseo de que la Ley proporcione un estándar global, con la esperanza de que, con el tiempo, las organizaciones multinacionales solo necesiten cumplir con un conjunto de estándares en todas sus operaciones. La Organización Mundial del Comercio también ha alentado a las personas a adoptar las normas ISO, que están en línea con las de la UE. Sin embargo, hay indicios tempranos de que esto puede no suceder de inmediato. Por ejemplo, para impulsar la innovación, la competitividad y atraer a las empresas de IA, el Reino Unido ha elegido un enfoque diferente para la regulación y puede estar respaldado por diferentes estándares técnicos. Es muy probable que las regulaciones del Reino Unido estén en cierta medida alineadas con las de la UE debido a las prioridades compartidas y al deseo de facilitar los negocios transfronterizos, pero puede haber algunas diferencias clave que las organizaciones deberán abordar.
Máxima prioridad
La Ley de IA de la UE supone un paso importante y responsable para el futuro de la IA. Para las organizaciones que quieran sacar provecho de la seguridad regulatoria y la mayor competitividad que traerá consigo, establecer una hoja de ruta para el cumplimiento lo antes posible debería ser una prioridad máxima en 2024.
Acerca del autor
Ana Paula Assis es presidenta y directora general de IBM para EMEA.