La Unión Europea activa sus primeros vetos y obligaciones del AI Act

Antecedentes

El 2 de febrero de 2025 constituye la primera fecha verdaderamente operativa del Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial o AI Act.

El Reglamento había entrado formalmente en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea. Sin embargo, el legislador europeo optó por un calendario escalonado: la aplicación general quedó prevista para el 2 de agosto de 2026, mientras determinadas disposiciones comenzarían a producir efectos antes. (commission.europa.eu)

La primera de esas fechas anticipadas llegó seis meses después. Conforme al artículo 113, desde el 2 de febrero de 2025 resultan aplicables los Capítulos I y II del Reglamento. Ello significa que entran en funcionamiento no solamente las prohibiciones del artículo 5, sino también disposiciones generales como el ámbito de aplicación, las definiciones —incluida la de sistema de inteligencia artificial— y la obligación de alfabetización prevista en el artículo 4.

Esta precisión impide caracterizar el día únicamente como el comienzo de los “vetos”. El primer escalón regulatorio combina límites sustantivos y obligaciones organizacionales.

Problemática jurídica

La arquitectura del AI Act responde a un modelo basado en riesgos.

La mayor parte de los sistemas de inteligencia artificial no queda prohibida. Algunos estarán sometidos posteriormente a obligaciones de transparencia; otros, clasificados como de alto riesgo, deberán cumplir requisitos sobre gestión de riesgos, documentación, calidad de datos, supervisión humana y evaluación de conformidad.

El artículo 5 ocupa una categoría distinta.

El legislador europeo identificó determinadas aplicaciones cuyo riesgo para la dignidad humana, la autonomía individual, la igualdad, la privacidad o los derechos fundamentales se consideró suficientemente grave para impedir su introducción en el mercado, puesta en servicio o utilización bajo las condiciones descritas en la norma.

Pero el término “riesgo inaceptable” no debe conducir a simplificaciones. El Reglamento no prohíbe conceptos tecnológicos completos —como reconocimiento facial, biometría o análisis del comportamiento— en cualquier circunstancia imaginable. Cada inciso contiene elementos jurídicos que delimitan exactamente cuándo aparece la prohibición.

Manipulación y explotación de vulnerabilidades

La primera categoría comprende sistemas que utilicen técnicas subliminales o técnicas deliberadamente manipuladoras o engañosas capaces de alterar sustancialmente el comportamiento de una persona o grupo, menoscabando apreciablemente su capacidad para adoptar una decisión informada y provocando, o pudiendo razonablemente provocar, un perjuicio considerable.

No basta, por tanto, con que un algoritmo influya en una decisión. La norma exige una combinación de técnica manipuladora, distorsión sustancial de la conducta y daño significativo.

Una lógica similar rige para sistemas que exploten vulnerabilidades derivadas de la edad, discapacidad o situación social o económica específica de una persona o grupo. También aquí la prohibición exige que la explotación tenga por objeto o efecto alterar sustancialmente el comportamiento de manera capaz de provocar un perjuicio considerable.

Para departamentos de mercadotecnia, servicios financieros, videojuegos, plataformas digitales y atención a consumidores, esta distinción resulta particularmente relevante.

Puntuación social y predicción delictiva

El Reglamento prohíbe asimismo determinados sistemas de puntuación social que evalúen o clasifiquen personas durante un periodo a partir de su comportamiento social o de características personales conocidas, inferidas o predichas cuando el resultado produzca un trato desfavorable en contextos no relacionados con aquel en que se obtuvieron los datos o resulte injustificado o desproporcionado.

La prohibición no está limitada expresamente a gobiernos. La formulación del artículo 5 puede alcanzar también usos privados que satisfagan sus elementos.

Otra categoría especialmente sensible son los sistemas destinados a evaluar o predecir el riesgo de que una persona cometa un delito basándose exclusivamente en su perfil o en rasgos y características de personalidad.

El Reglamento preserva, sin embargo, una distinción: no prohíbe utilizar IA para apoyar una valoración humana cuando esta ya se sustenta en hechos objetivos y verificables directamente vinculados con una actividad delictiva.

La Unión intenta así separar la asistencia tecnológica a una investigación fundada en hechos de la denominada “policía predictiva” centrada puramente en quién es o parece ser una persona.

Rostros, emociones y categorías biométricas

También queda prohibida la creación o ampliación de bases de datos de reconocimiento facial mediante la extracción indiscriminada —untargeted scraping— de imágenes faciales provenientes de internet o de grabaciones de circuitos cerrados de televisión.

La norma apunta directamente al modelo de acumulación masiva de rostros sin una selección previa de sujetos determinados.

En los ámbitos laboral y educativo se prohíben los sistemas destinados a inferir emociones de personas a partir de datos biométricos, salvo cuando el uso responda a razones médicas o de seguridad. Esto afecta potencialmente herramientas ofrecidas para valorar estados emocionales de trabajadores, candidatos, alumnos o estudiantes.

Asimismo, quedan prohibidos determinados sistemas de categorización biométrica que clasifiquen individualmente a personas para deducir o inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual. El propio artículo contempla excepciones para ciertas actividades de etiquetado o filtrado de conjuntos de datos biométricos obtenidos lícitamente y para determinados usos en aplicación de la ley.

Identificación biométrica policial: prohibida como regla, excepcionalmente autorizable

Una de las materias más controvertidas es la identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales.

Aquí no existe una prohibición absoluta.

El artículo 5 admite su utilización cuando sea estrictamente necesaria para tres finalidades delimitadas: búsqueda dirigida de determinadas víctimas —incluidas personas secuestradas, víctimas de trata o explotación sexual y personas desaparecidas—; prevención de amenazas específicas y graves para la vida o seguridad física o de determinados ataques terroristas; y localización o identificación de sospechosos de ciertos delitos graves.

A ello se añaden requisitos de necesidad, proporcionalidad, límites temporales, geográficos y personales y, como regla general, autorización previa judicial o de una autoridad administrativa independiente con decisión vinculante. En situaciones urgentes puede iniciarse excepcionalmente el uso antes de obtener autorización, pero esta debe solicitarse sin demora y dentro de las veinticuatro horas.

Por ello, la expresión “la Unión Europea prohíbe el reconocimiento facial en espacios públicos” sería jurídicamente excesiva.

Alfabetización en IA: el otro gran cambio del 2 de febrero

La fecha incorpora una obligación menos espectacular, pero probablemente mucho más extendida en la práctica empresarial.

El artículo 4 exige a proveedores y responsables del despliegue adoptar medidas para garantizar, “en la mayor medida posible”, un nivel suficiente de alfabetización en inteligencia artificial entre su personal y otras personas que operen o utilicen sistemas de IA por cuenta de la organización.

La norma exige considerar los conocimientos técnicos, experiencia, educación y formación del personal, así como el contexto en que se utilizará el sistema y las personas sobre las que este pueda emplearse.

No prescribe un curso concreto, una certificación única ni un número obligatorio de horas.

En términos de cumplimiento, ello aconseja abandonar el modelo de capacitación genérica. Un equipo que utiliza un asistente de redacción presenta necesidades distintas de quienes emplean IA para reclutamiento, análisis crediticio, decisiones sanitarias o vigilancia.

Para una empresa mexicana sometida al Reglamento por sus actividades en la Unión, resultará prudente documentar qué sistemas utiliza, quién los opera, qué riesgos presentan y qué formación fue impartida en función de esos riesgos.

Una particularidad del calendario: obligación hoy, sanciones europeas después

Existe además un detalle temporal relevante.

Aunque los artículos 4 y 5 comienzan a aplicarse el 2 de febrero de 2025, el Capítulo XII del Reglamento, relativo a sanciones, no comenzará a aplicarse hasta el 2 de agosto de 2025. El propio artículo 113 establece esa diferencia de seis meses.

Cuando ese régimen sea aplicable, el artículo 99 contempla para la infracción de las prácticas prohibidas multas administrativas de hasta 35 millones de euros o, tratándose de una empresa, hasta el 7 % de su volumen de negocios mundial anual del ejercicio precedente, bajo las reglas y matices previstos por el Reglamento.

Al 2 de febrero, por tanto, las prohibiciones ya son derecho aplicable, aunque el calendario europeo específico de multas todavía no haya alcanzado su propia fecha de aplicación.

Consecuencias prácticas y recomendaciones

Para las empresas mexicanas con productos, servicios, clientes o despliegues de IA vinculados con la Unión Europea, el primer ejercicio de cumplimiento debería ser un inventario de casos de uso.

No basta con preguntar si la compañía “utiliza inteligencia artificial”. Debe identificarse para qué la utiliza: publicidad, recursos humanos, seguridad, biometría, análisis de comportamiento, educación, evaluación de clientes o automatización de decisiones.

Después debe contrastarse cada uso con los elementos específicos del artículo 5 y documentar por qué queda fuera —o, en su caso, dentro— de una prohibición.

Paralelamente, el artículo 4 exige diseñar una política de alfabetización proporcional al riesgo. La capacitación debería abarcar, como mínimo, funcionamiento básico del sistema, limitaciones, posibles errores, datos utilizados, riesgos para terceros y condiciones bajo las cuales una decisión debe escalarse a supervisión humana.

Conclusiones

El 2 de febrero de 2025 inaugura el cumplimiento sustantivo del AI Act, pero lo hace de una forma reveladora.

Europa no comenzó exigiendo expedientes técnicos complejos para todos los sistemas ni certificaciones generalizadas. Comenzó estableciendo qué usos considera incompatibles con su ordenamiento y qué nivel mínimo de conocimiento espera de quienes utilizan inteligencia artificial profesionalmente.

Las prohibiciones del artículo 5 son severas, pero jurídicamente delimitadas. Algunas dependen de daño significativo; otras del contexto; algunas incluyen excepciones expresas y la biometría policial en tiempo real queda sometida a condiciones excepcionalmente estrictas.

Al mismo tiempo, el artículo 4 envía un mensaje menos visible y quizá más profundo: una organización no puede gobernar adecuadamente una tecnología que su personal no comprende.

El primer deber empresarial del AI Act es, por ello, doble: saber qué inteligencia artificial no puede utilizarse y asegurarse de que quienes utilizan la restante sepan qué tienen entre manos.

Fuentes consultadas —corte temporal: 2 de febrero de 2025

Parlamento Europeo y Consejo de la Unión Europea. Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, especialmente artículos 3, 4, 5, 99 y 113.

Comisión Europea. AI Act enters into force, 1 de agosto de 2024, descripción oficial del enfoque basado en riesgos y del inicio de vigencia del Reglamento.