Consideracions ètiques sobre la IA

El passat 1 de setembre de 2024 va entrar en vigor el REGLAMENT (UE) 2024/1689 DEL PARLAMENT EUROPEU I DEL CONSELL, de 13 de juny de 2024, pel qual s'estableixen normes harmonitzades en matèria d'intel·ligència artificial i pel qual es modifiquen els Reglaments (CE) núm. 300/2008, (UE) núm. 167/2013, (UE) núm. 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 i les Directives 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (Reglament d'Intel·ligència Artificial).

Davant el ràpid desenvolupament de la IA generativa, la regulació d’aquesta s'ha convertit en una qüestió clau política arreu del món. La Unió Europea ha anat progressant en aquesta qüestió durant els darrers anys. A través del seu Llibre Blanc de la IA de 2020, la Comissió Europea va apostar per fomentar l'adopció de la IA i abordar els riscos associats. Després d'un enfocament inicial basat en normes no vinculants, la Comissió va decidir impulsar la creació de regles harmonitzades per al desenvolupament i ús de sistemes d'IA.

El Parlament Europeu va impulsar el debat, sol·licitant un marc normatiu que garantís l'ètica en el desenvolupament i ús de la IA, especialment en relació amb la responsabilitat civil per l'ús de sistemes d'IA d'alt risc. El Consell també va exigir l'adopció de normes comunes sobre la IA, destacant la importància d'un enfocament basat en el risc. Posteriorment, la Comissió va llançar una consulta pública el 2020 i va publicar una avaluació d'impacte, identificant diversos problemes associats a la IA, com la seva opacitat, complexitat i dependència de la qualitat de les dades.

Quins canvis introdueix aquesta llei

Aquesta llei està dissenyada com un instrument legislatiu horitzontal aplicable a tots els sistemes d'IA del mercat o utilitzats dins de la UE. Es basa en els articles 114 i 16 del Tractat de Funcionament de la Unió Europea, i segueix la lògica del nou marc legislatiu europeu per garantir la conformitat dels productes mitjançant avaluacions i el marcatge CE.

La Comissió Europea va proposar una definició legal de sistema d'IA. Aquesta inclou tecnologies basades en programari com l'aprenentatge automàtic, els sistemes basats en lògica i coneixement, i els enfocaments estadístics. Aquesta definició requerirà actualitzar-se amb el temps, segons els avenços tecnològics.

Aquesta llei prohibeix explícitament pràctiques perilloses que suposen un risc inacceptable, com l'ús de tècniques subliminars manipulatives, l'explotació de grups vulnerables, l'ús per part de les autoritats públiques per a la puntuació social i la identificació biomètrica remota en temps real en espais públics per a l'aplicació de la llei, amb determinades excepcions.

També pretén regular els sistemes d'IA d'alt risc, els quals poden tenir un impacte advers en la seguretat o els drets fonamentals de les persones. Es distingeix entre dos tipus: aquells utilitzats com a component de seguretat de productes (per exemple, joguines, aviació, dispositius mèdics) i sistemes utilitzats en àrees específiques, com l'aplicació de la llei. Aquests sistemes han de complir una sèrie de requisits abans de ser comercialitzats, incloent-hi la gestió de riscos, la transparència i la supervisió humana.

Per altra banda, s’identifiquen sistemes d'IA amb risc limitat com, per exemple, els xatbots, el reconeixement d'emocions, o els sistemes de creació de contingut (com, per exemple, els hipertrucatges), els quals han d’estar subjectes a límits i obligacions de transparència.

Per últim, es troben els sistemes d'IA amb risc mínim, els quals no estaran subjectes a obligacions legals addicionals, tot i que es fomentarà la creació de codis de pràctiques perquè els proveïdors els apliquin voluntàriament.

Aquesta llei exigeix que els estats membres designin autoritats competents per supervisar l'aplicació i el compliment de la normativa, així com la creació d'un Consell Europeu d'Intel·ligència Artificial. També es preveuen multes administratives en cas d'incompliment.

A més, es proposen mesures per fomentar les inversions en aquest àmbit, com l'establiment d’entorns controlats de proves reguladors per a proveïdors petits i empreses emergents, els quals permetrien desenvolupar i provar sistemes d'IA sense infringir les normatives de protecció de dades.

Abast de la llei

S’inclou una definició per a sistemes d'IA, alineada amb la de l’Organització de Cooperació i Desenvolupament Econòmic, la qual descriu els sistemes d'IA com “sistemes basats en màquines capaces de funcionar amb diferents nivells d'autonomia i d'adaptar-se després del seu desplegament per generar resultats, com prediccions o recomanacions, que poden influir en entorns físics o virtuals.” Aquesta definició exclou sistemes de programari més simple. La Comissió Europea serà l’encarregada de desenvolupar guies per a la seva aplicació.

També es defineixen els models d'intel·ligència artificial per a propòsits generals com aquells que han estat entrenats amb grans volums de dades, i que són capaços d'executar diverses tasques i d'integrar-se en altres sistemes.

Pel que fa a l'àmbit d'aplicació, aquesta llei s'aplica a proveïdors i responsables de desplegament que implementen sistemes d'IA i models per a propòsits generals al mercat de la UE. Els sistemes d'IA destinats a usos militars, de defensa o seguretat nacional queden exclosos, així com els sistemes utilitzats exclusivament per a la recerca científica. També s'indica que la regulació no s'aplica abans que els sistemes estiguin en servei o al mercat, però que es poden aplicar regles de fer proves en un entorn controlat en aquest cas.

Un enfocament basat en el risc

La llei adopta un enfocament basat en el risc i es classifica els sistemes d'IA en diverses categories, les quals comporten diferents graus de regulació aplicables.

Sistemes d’IA de risc inacceptable

Es prohibeixen els següents usos:

• Ús de tècniques manipulatives o enganyoses per distorsionar el comportament de les persones o d'un grup de persones i impedir la presa de decisions informada, causant un dany significatiu.
• Explotació de vulnerabilitats derivades de l'edat, discapacitat o situacions socials o econòmiques, causant un dany significatiu.
• Categorització biomètrica que infereixen la raça, les opinions polítiques, la pertinença a sindicats, les creences religioses o filosòfiques, la vida sexual o l'orientació sexual (excepte per a etiquetatge o filtratge legal en aplicacions de la llei).
• Avaluació o classificació d’individus o grups segons el comportament social o característiques personals que condueixi a un tractament perjudicial o desproporcionat en contextos no relacionats o que sigui injustificat o desproporcionat amb el seu comportament.
• Identificació biomètrica remota en temps real en espais públics per a aplicacions de la llei (excepte per a objectius específics necessaris, com la recerca de víctimes de segrest, explotació sexual o persones desaparegudes, la prevenció d'amenaces imminents i substancials per a la seguretat, o la identificació de sospitosos en crims greus).
• Avaluació del risc de persones de cometre delictes basant-se únicament en perfils o trets de personalitat i característiques (excepte en el suport d’avaluacions humanes basades en fets objectius i verificables relacionats amb activitat criminal).
• Creació o ampliació de bases de dades de reconeixement facial mitjançant la recopilació indiscriminada d'informació d'internet o imatges de circuit tancat de televisió.
• Inferència d’emocions en llocs de treball o institucions educatives, excepte per raons mèdiques o de seguretat.

Sistemes d'IA d'alt risc

S'identifiquen diversos casos d'ús en els quals els sistemes d'IA es consideren d'alt risc perquè poden tenir un impacte advers sobre la salut, la seguretat o els drets fonamentals de les persones.

• La classificació del risc es basa en la finalitat prevista del sistema d'IA. La funció que realitza el sistema d'IA i la finalitat i modalitats específiques per a les quals s'utilitza són fonamentals per determinar si un sistema d'IA és d'alt risc o no. Els sistemes d'IA d'alt risc poden ser components de seguretat de productes coberts per la legislació sectorial de la UE (per exemple, dispositius mèdics) o sistemes d'IA que, per principi, es consideren d'alt risc quan s'utilitzen en localitzacions específiques. La comissió té l'encàrrec de mantenir una base de dades de la UE per als sistemes d'IA d'alt risc.
• Els sistemes d'IA no es consideraran d'alt risc si no presenten un risc significatiu de dany per a la salut, la seguretat o els drets fonamentals de les persones físiques. No obstant això, un sistema d'IA sempre es considerarà d'alt risc si s’utilitza per generar perfils de persones físiques.
• Els proveïdors d'aquests sistemes d'IA d'alt risc hauran de passar per un procediment d'avaluació de conformitat abans que els seus productes puguin ser venuts i utilitzats a la UE. Hauran de complir una sèrie de requisits, les quals inclouran proves, entrenament de les dades i ciberseguretat. En alguns casos, s’haurà de fer una avaluació d'impacte en drets fonamentals per garantir que els sistemes compleixen amb la legislació de la UE. L'avaluació de conformitat s'hauria de dur a terme o bé mitjançant un control intern (autoavaluació) o amb la participació d'un organisme avaluador (per exemple, en el cas de la biometria). El compliment de la normativa proporcionarà als proveïdors de sistemes d'IA d'alt risc una presumpció de conformitat. Després de la seva comercialització, els proveïdors hauran d'implementar mecanismes de seguiment i prendre mesures correctives, si escau.

Risc de transparència

Aquesta categoria agrupa sistemes d'IA destinats a interactuar amb persones físiques o a generar contingut que puguin presentar riscos específics d'usurpació d'identitat o engany, independentment de si es qualifiquen o no com a sistemes d'alt risc. Aquests sistemes estan subjectes a requisits d'informació i transparència. Cal informar els usuaris que interactuen amb xatbots. Els responsables del desplegament de sistemes d'IA que generin o manipulin contingut d'imatge, àudio o vídeo (per exemple, hipertrucatges) hauran de divulgar que el contingut ha estat generat o manipulat artificialment, excepte en casos molt limitats (per exemple, quan s'utilitza per prevenir delictes). Els proveïdors de sistemes d'IA que generen grans quantitats de contingut sintètic han d'implementar mesures (com marques d'aigua) per permetre la identificació i detecció que el resultat ha estat generat o manipulat per un sistema d'IA i no per un humà. Les empreses que utilitzin sistemes d'IA al lloc de treball han d'informar els treballadors i els seus representants.

Riscos mínims

Aquest grup inclou sistemes que presenten un risc mínim per a les persones (per exemple, filtres de correu brossa), els quals no estaran subjectes a altres obligacions més enllà de la legislació aplicable actualment (per exemple, el Reglament General de Protecció de Dades).

Normativa específica per als models per a propòsits generals

• Requisits de transparència. Aquests models hauran de preparar i mantenir documentació tècnica actualitzada i posar la informació i documentació a disposició dels proveïdors de sistemes d'IA dels quals depenguin. Tots els proveïdors d’aquests models han de tenir guies per respectar la legislació sobre drets d'autor, incloent-hi l'ús de tecnologies avançades (com, per exemple, marques d'aigua). A més, han d'elaborar i fer públic un resum detallat del contingut utilitzat per entrenar els models. Finalment, si es troben fora de la UE, hauran de designar un representant dins la UE. Els models d'IA accessibles sota codi obert i gratuït estaran exempts d'algunes obligacions (per exemple, la divulgació de documentació tècnica), ja que, en principi, tenen efectes positius en la recerca, la innovació i la competència.
• Obligacions per a models amb risc sistèmic. Els models amb "capacitats d'alt impacte" podrien suposar un risc sistèmic i tenir un impacte significatiu en el mercat intern, a causa del seu abast i als seus efectes negatius actuals o raonablement previsibles (en salut pública, seguretat, drets fonamentals o la societat en conjunt). Els seus proveïdors han de notificar a la Comissió Europea si el seu model s'entrena amb una potència de càlcul total que excedeixi els 10^25 FLOPs (operacions de coma flotant per segon). Quan es compleixi aquest llindar, es presumirà que el model planteja riscos sistèmics. A més dels requisits sobre transparència i protecció dels drets d'autor aplicables a tots aquests models, els seus proveïdors hauran d'avaluar i mitigar els riscos que plantegen, i garantir la protecció en termes de ciberseguretat. Això inclou, entre altres accions, documentar i informar els usuaris sobre incidents greus (per exemple, violacions de drets fonamentals) i implementar mesures correctives.
• Codis de pràctiques i presumpció de conformitat. Els proveïdors d’aquests models podran basar-se en codis de pràctiques per demostrar el compliment de les obligacions establertes en la normativa. La Comissió podrà decidir aprovar un codi de pràctiques i donar-li validesa general a la UE o, alternativament, proporcionar regles comunes per a la implementació de les obligacions rellevants. El compliment de la normativa atorga als proveïdors la presumpció de conformitat. Els proveïdors de models amb riscos sistèmics que no segueixin un codi de pràctiques aprovat hauran de demostrar mitjans alternatius adequats de compliment.

Implementació i supervisió

S'han reforçat les mesures per fomentar la inversió en sistemes d'IA. Les autoritats nacionals han d'establir, com a mínim, un entorn controlat de proves per facilitar el desenvolupament i la prova de sistemes d'IA amb supervisió reguladora estricta. Aquests entorns proporcionen un espai controlat per a la innovació i permeten el desenvolupament, l'entrenament, les proves i la validació de sistemes d'IA durant un temps limitat abans de la seva comercialització. També es poden fer proves en condicions reals fora d'un laboratori, sempre que es compleixin les normes de protecció de dades de la UE. Els proveïdors de sistemes d'IA d'alt risc també poden fer proves en condicions reals sense participar en un entorn controlat, sempre que compleixen determinades garanties i condicions.

La implementació de Llei recau en agents a escala nacional i de la UE. Els estats membres han d'establir, com a mínim, una autoritat de supervisió del mercat i una autoritat de notificació. Es preveuen sancions greus per a les entitats que no compleixin. A escala de la UE, diversos agents donen suport a la implementació de l'acte. L'Oficina d'IA de la UE ha estat creada per assessorar sobre l'aplicació de la nova normativa, especialment en relació amb els models per a propòsits generals, i per desenvolupar codis de pràctiques.

Els sistemes que siguin prohibits hauran de ser eliminats en els sis mesos posteriors a l'entrada en vigor de la Llei. Les disposicions relatives als models per a propòsits generals i sancions s'aplicaran 12 mesos després, i les relatives a sistemes d'IA d'alt risc, 24 mesos després (36 mesos en el cas de sistemes coberts per la legislació de productes de la UE). Els codis de pràctiques han d'estar llestos, com a màxim, nou mesos després de l'entrada en vigor. La Comissió emetrà actes d'implementació, guies i codis de pràctiques.

El model PIO

A través de l’estratègia Catalonia.ai, el govern català ha treballat proactivament per assegurar que els seus desenvolupaments en l’àmbit de la IA segueixen estàndards de la Llei per tal de promoure principis ètics, tant en el sector públic com privat.

Un dels esforços de Catalunya en aquesta direcció és el Model PIO (Principis, Indicadors i Observables), desenvolupat per l'Observatori d'Ètica en Intel·ligència Artificial de Catalunya (OEIAC). Aquest model es pot utilitzar per avaluar els riscos ètics, legals i socials dels sistemes d'IA, i ofereix recomanacions i obligacions legals. A més, facilita el compliment del Reglament Europeu d'IA, assegurant que els sistemes d'IA compleixen amb les normes europees sobre seguretat, transparència i protecció de dades.

Per saber més:

Explorador de la Llei d’IA.

Preguntes i respostes sobre la Llei d’IA.