El passat 1 de setembre de 2024 va entrar en vigor el REGLAMENT (UE) 2024/1689 DEL PARLAMENT EUROPEU I DEL CONSELL, de 13 de juny de 2024, pel qual s'estableixen normes harmonitzades en matèria d'intel·ligència artificial i pel qual es modifiquen els Reglaments (CE) núm. 300/2008, (UE) núm. 167/2013, (UE) núm. 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 i les Directives 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (Reglament d'Intel·ligència Artificial).
Davant el ràpid desenvolupament de la IA generativa, la regulació d’aquesta s'ha convertit en una qüestió clau política arreu del món. La Unió Europea ha anat progressant en aquesta qüestió durant els darrers anys. A través del seu Llibre Blanc de la IA de 2020, la Comissió Europea va apostar per fomentar l'adopció de la IA i abordar els riscos associats. Després d'un enfocament inicial basat en normes no vinculants, la Comissió va decidir impulsar la creació de regles harmonitzades per al desenvolupament i ús de sistemes d'IA.
El Parlament Europeu va impulsar el debat, sol·licitant un marc normatiu que garantís l'ètica en el desenvolupament i ús de la IA, especialment en relació amb la responsabilitat civil per l'ús de sistemes d'IA d'alt risc. El Consell també va exigir l'adopció de normes comunes sobre la IA, destacant la importància d'un enfocament basat en el risc. Posteriorment, la Comissió va llançar una consulta pública el 2020 i va publicar una avaluació d'impacte, identificant diversos problemes associats a la IA, com la seva opacitat, complexitat i dependència de la qualitat de les dades.
Aquesta llei està dissenyada com un instrument legislatiu horitzontal aplicable a tots els sistemes d'IA del mercat o utilitzats dins de la UE. Es basa en els articles 114 i 16 del Tractat de Funcionament de la Unió Europea, i segueix la lògica del nou marc legislatiu europeu per garantir la conformitat dels productes mitjançant avaluacions i el marcatge CE.
La Comissió Europea va proposar una definició legal de sistema d'IA. Aquesta inclou tecnologies basades en programari com l'aprenentatge automàtic, els sistemes basats en lògica i coneixement, i els enfocaments estadístics. Aquesta definició requerirà actualitzar-se amb el temps, segons els avenços tecnològics.
Aquesta llei prohibeix explícitament pràctiques perilloses que suposen un risc inacceptable, com l'ús de tècniques subliminars manipulatives, l'explotació de grups vulnerables, l'ús per part de les autoritats públiques per a la puntuació social i la identificació biomètrica remota en temps real en espais públics per a l'aplicació de la llei, amb determinades excepcions.
També pretén regular els sistemes d'IA d'alt risc, els quals poden tenir un impacte advers en la seguretat o els drets fonamentals de les persones. Es distingeix entre dos tipus: aquells utilitzats com a component de seguretat de productes (per exemple, joguines, aviació, dispositius mèdics) i sistemes utilitzats en àrees específiques, com l'aplicació de la llei. Aquests sistemes han de complir una sèrie de requisits abans de ser comercialitzats, incloent-hi la gestió de riscos, la transparència i la supervisió humana.
Per altra banda, s’identifiquen sistemes d'IA amb risc limitat com, per exemple, els xatbots, el reconeixement d'emocions, o els sistemes de creació de contingut (com, per exemple, els hipertrucatges), els quals han d’estar subjectes a límits i obligacions de transparència.
Per últim, es troben els sistemes d'IA amb risc mínim, els quals no estaran subjectes a obligacions legals addicionals, tot i que es fomentarà la creació de codis de pràctiques perquè els proveïdors els apliquin voluntàriament.
Aquesta llei exigeix que els estats membres designin autoritats competents per supervisar l'aplicació i el compliment de la normativa, així com la creació d'un Consell Europeu d'Intel·ligència Artificial. També es preveuen multes administratives en cas d'incompliment.
A més, es proposen mesures per fomentar les inversions en aquest àmbit, com l'establiment d’entorns controlats de proves reguladors per a proveïdors petits i empreses emergents, els quals permetrien desenvolupar i provar sistemes d'IA sense infringir les normatives de protecció de dades.
S’inclou una definició per a sistemes d'IA, alineada amb la de l’Organització de Cooperació i Desenvolupament Econòmic, la qual descriu els sistemes d'IA com “sistemes basats en màquines capaces de funcionar amb diferents nivells d'autonomia i d'adaptar-se després del seu desplegament per generar resultats, com prediccions o recomanacions, que poden influir en entorns físics o virtuals.” Aquesta definició exclou sistemes de programari més simple. La Comissió Europea serà l’encarregada de desenvolupar guies per a la seva aplicació.
També es defineixen els models d'intel·ligència artificial per a propòsits generals com aquells que han estat entrenats amb grans volums de dades, i que són capaços d'executar diverses tasques i d'integrar-se en altres sistemes.
Pel que fa a l'àmbit d'aplicació, aquesta llei s'aplica a proveïdors i responsables de desplegament que implementen sistemes d'IA i models per a propòsits generals al mercat de la UE. Els sistemes d'IA destinats a usos militars, de defensa o seguretat nacional queden exclosos, així com els sistemes utilitzats exclusivament per a la recerca científica. També s'indica que la regulació no s'aplica abans que els sistemes estiguin en servei o al mercat, però que es poden aplicar regles de fer proves en un entorn controlat en aquest cas.
La llei adopta un enfocament basat en el risc i es classifica els sistemes d'IA en diverses categories, les quals comporten diferents graus de regulació aplicables.
Es prohibeixen els següents usos:
S'identifiquen diversos casos d'ús en els quals els sistemes d'IA es consideren d'alt risc perquè poden tenir un impacte advers sobre la salut, la seguretat o els drets fonamentals de les persones.
Aquesta categoria agrupa sistemes d'IA destinats a interactuar amb persones físiques o a generar contingut que puguin presentar riscos específics d'usurpació d'identitat o engany, independentment de si es qualifiquen o no com a sistemes d'alt risc. Aquests sistemes estan subjectes a requisits d'informació i transparència. Cal informar els usuaris que interactuen amb xatbots. Els responsables del desplegament de sistemes d'IA que generin o manipulin contingut d'imatge, àudio o vídeo (per exemple, hipertrucatges) hauran de divulgar que el contingut ha estat generat o manipulat artificialment, excepte en casos molt limitats (per exemple, quan s'utilitza per prevenir delictes). Els proveïdors de sistemes d'IA que generen grans quantitats de contingut sintètic han d'implementar mesures (com marques d'aigua) per permetre la identificació i detecció que el resultat ha estat generat o manipulat per un sistema d'IA i no per un humà. Les empreses que utilitzin sistemes d'IA al lloc de treball han d'informar els treballadors i els seus representants.
Aquest grup inclou sistemes que presenten un risc mínim per a les persones (per exemple, filtres de correu brossa), els quals no estaran subjectes a altres obligacions més enllà de la legislació aplicable actualment (per exemple, el Reglament General de Protecció de Dades).
S'han reforçat les mesures per fomentar la inversió en sistemes d'IA. Les autoritats nacionals han d'establir, com a mínim, un entorn controlat de proves per facilitar el desenvolupament i la prova de sistemes d'IA amb supervisió reguladora estricta. Aquests entorns proporcionen un espai controlat per a la innovació i permeten el desenvolupament, l'entrenament, les proves i la validació de sistemes d'IA durant un temps limitat abans de la seva comercialització. També es poden fer proves en condicions reals fora d'un laboratori, sempre que es compleixin les normes de protecció de dades de la UE. Els proveïdors de sistemes d'IA d'alt risc també poden fer proves en condicions reals sense participar en un entorn controlat, sempre que compleixen determinades garanties i condicions.
La implementació de Llei recau en agents a escala nacional i de la UE. Els estats membres han d'establir, com a mínim, una autoritat de supervisió del mercat i una autoritat de notificació. Es preveuen sancions greus per a les entitats que no compleixin. A escala de la UE, diversos agents donen suport a la implementació de l'acte. L'Oficina d'IA de la UE ha estat creada per assessorar sobre l'aplicació de la nova normativa, especialment en relació amb els models per a propòsits generals, i per desenvolupar codis de pràctiques.
Els sistemes que siguin prohibits hauran de ser eliminats en els sis mesos posteriors a l'entrada en vigor de la Llei. Les disposicions relatives als models per a propòsits generals i sancions s'aplicaran 12 mesos després, i les relatives a sistemes d'IA d'alt risc, 24 mesos després (36 mesos en el cas de sistemes coberts per la legislació de productes de la UE). Els codis de pràctiques han d'estar llestos, com a màxim, nou mesos després de l'entrada en vigor. La Comissió emetrà actes d'implementació, guies i codis de pràctiques.
A través de l’estratègia Catalonia.ai, el govern català ha treballat proactivament per assegurar que els seus desenvolupaments en l’àmbit de la IA segueixen estàndards de la Llei per tal de promoure principis ètics, tant en el sector públic com privat.
Un dels esforços de Catalunya en aquesta direcció és el Model PIO (Principis, Indicadors i Observables), desenvolupat per l'Observatori d'Ètica en Intel·ligència Artificial de Catalunya (OEIAC). Aquest model es pot utilitzar per avaluar els riscos ètics, legals i socials dels sistemes d'IA, i ofereix recomanacions i obligacions legals. A més, facilita el compliment del Reglament Europeu d'IA, assegurant que els sistemes d'IA compleixen amb les normes europees sobre seguretat, transparència i protecció de dades.