Regulación de la IA: qué cambios se producen a principios de agosto..

Si bien el reglamento europeo sobre inteligencia artificial (IA) entró en vigor el 1 de agosto de 2024, estamos llegando a una etapa crucial en su implementación.

En la página web de la Comisión Europea se puede encontrar un recordatorio útil del calendario de aplicación de las disposiciones del Reglamento, que tiene en cuenta las recientes modificaciones introducidas por la "Ley Ómnibus Digital".

• Las disposiciones generales del reglamento (definiciones y cultura de la IA) y la prohibición de los sistemas de IA que presenten riesgos inaceptables están en vigor desde el 2 de febrero de 2025.
• Desde el 2 de agosto, la mayoría de las disposiciones han entrado en vigor: las normas de transparencia y las medidas de apoyo a la innovación ya son aplicables, y se puede realizar un seguimiento de la implementación en lo que respecta a los modelos de IA de propósito general, las prohibiciones, las normas de transparencia y la cultura de la IA. La Oficina de IA de la Comisión Europea será la responsable de ello, en colaboración con las autoridades nacionales.
• A partir del 2 de diciembre, se regularán los sistemas de IA que generen "deepfakes" sexuales no consensuales y pornografía infantil, y desde finales de 2027 y mediados de 2028, los sistemas de IA de alto riesgo incluidos respectivamente en el Anexo III (áreas sensibles como el empleo y la policía) y el Anexo I (productos como dispositivos médicos).

Más concretamente, desde este verano, las nuevas normas de transparencia del artículo 50 exigen que determinados sistemas de IA, como los chatbots, informen a los usuarios cuando interactúan con la IA y cuando el contenido ha sido generado o modificado por ella.

Además, los proveedores de contenido editado o generado mediante inteligencia artificial deberán ser identificados como tales.

Este contenido también debe llevar marcadores legibles por máquina para poder detectarlo más fácilmente.

Se han previsto ciertas excepciones en el ámbito penal, así como para textos cuyo contenido está controlado por un ser humano, y existen adaptaciones para creaciones artísticas.

La Comisión también propuso tres iconos para identificar el contenido generado total o parcialmente mediante inteligencia artificial.

Para ayudar a las empresas a cumplir con estas obligaciones, la Comisión Europea publicó el 20 de julio unas directrices que aclaran a quién afectan estas normas y qué contenido debe divulgarse.

Un "código de buenas prácticas sobre transparencia del contenido generado por IA", ya firmado por más de 180 organizaciones, entre ellas OpenAI y Google, tiene como objetivo ayudar a las empresas a demostrar su cumplimiento con el Reglamento.

¿Quién es el responsable en Francia de implementar y supervisar el cumplimiento de la normativa?

La supervisión se extiende a numerosas entidades, bajo el liderazgo de la DGE y la DGCCRF, que supervisarán las obligaciones generales de información y trazabilidad.

• La CNIL desempeña un papel fundamental en los sistemas de IA que implican el tratamiento de datos personales, incluidos datos sensibles y biométricos. La autoridad ofrece guías prácticas y una herramienta de autoevaluación para ayudar a las empresas a verificar su cumplimiento con los requisitos legales, y brinda asesoramiento a las pymes y a las microempresas.
• ARCOM interviene en contenidos digitales y audiovisuales, incluidos los "deepfakes".
• ANSSI intervendrá en aspectos de ciberseguridad.
• La HAS será competente en el manejo de sistemas de IA utilizados en el campo médico.

Este conjunto de responsabilidades, que inevitablemente generará solapamientos, exige una mayor cooperación entre las partes interesadas. La DGCCRF actúa como punto de contacto único a nivel operativo.

Los riesgos en caso de delito pueden ser significativos.

Las sanciones varían según el nivel de riesgo: hasta 35 millones de euros o 71 TP4T de facturación global por IA prohibida, 15 millones de euros o 31 TP4T por IA de alto riesgo que no cumpla con la normativa, y 7,5 millones de euros o 11 TP4T por falta de transparencia.

Para las pymes y las empresas muy pequeñas, las sanciones están limitadas al menor de los siguientes valores: el umbral absoluto o el porcentaje de la facturación.

La normativa se aplica de forma gradual a cada sistema de IA utilizado por una organización, y no a la organización en su conjunto.

Por lo tanto, se recomienda mapear todos los sistemas utilizados (incluida la IA de terceros y la subcontratación) y evaluar su nivel de riesgo para adaptar el cumplimiento normativo.

En Francia

Francia es el primer país europeo en adoptar una ley que prohíbe el acceso a las redes sociales a los menores de 15 años.

El texto de compromiso aprobado por el parlamento el 21 de julio impone a los proveedores de servicios la obligación de implementar un sistema fiable de verificación de edad, sin imponer un mecanismo específico.

A partir del 1 de septiembre de 2026, los menores de quince años ya no podrán crear nuevas cuentas en estas plataformas.

Para las cuentas existentes, la prohibición se aplicará después de un período de cuatro meses, es decir, el 1 de enero de 2027. ARCOM será responsable de garantizar el cumplimiento de esta prohibición.

Cabe señalar que el texto plantea interrogantes sobre la proporcionalidad, ya que exige que todos los usuarios de redes sociales demuestren su edad, y la eficacia del mecanismo es cuestionada por sus detractores, quienes citan los resultados dispares obtenidos por Australia en este ámbito.

Dos grupos de parlamentarios han solicitado al Consejo Constitucional que revise el texto. Asimismo, la Comisión Europea tiene previsto presentar una propuesta sobre el tema este otoño, priorizando los mecanismos de verificación de edad que preserven el anonimato.

A partir del 11 de agosto y en virtud de un decreto del 23 de julio, a diferencia del sistema Bloctel, que requiere una exclusión voluntaria activa, la telemarketing estará prohibida en principio para las empresas de todos los sectores de actividad, salvo en circunstancias excepcionales:

• Cuando la llamada se refiere a un contrato celebrado con la empresa para ofrecer, por ejemplo, productos o servicios complementarios, o una oferta destinada a mejorar el servicio prestado o su rendimiento.
• Cuando la empresa en cuestión haya obtenido un acuerdo previo para ser contactada con fines de marketing, este consentimiento debe haber sido expresado "libremente" e "informadamente" y "mediante una acción afirmativa clara".

El incumplimiento de esta normativa expone a las empresas a multas de hasta 375.000 euros en el caso de personas jurídicas, así como a la nulidad de los contratos celebrados tras una captación irregular.

El pasado mes de abril, la CNIL adoptó una postura firme con respecto a los píxeles de seguimiento en los correos electrónicos, dando a las empresas tres meses para cumplir con las disposiciones legales que protegen las comunicaciones electrónicas.

Desde entonces, han llegado numerosos mensajes a los buzones de correo de todos, solicitando el consentimiento para rastrear cuándo se abren los correos electrónicos. El 22 de julio, la CNIL (Autoridad Nacional de Informática y Libertades de Francia) publicó una serie de preguntas y respuestas para aclarar las condiciones de implementación de su recomendación.

La CNIL y el CIANum (Consejo de IA y Digital) han llevado a cabo una reflexión conjunta y han publicado una nota exploratoria sobre las cuestiones que plantea la IA con capacidad de gestión de agentes para la protección de datos personales.

Este trabajo se hace eco de los debates mantenidos sobre este tema por la CNIL con sus homólogos internacionales, en particular en el marco del G7 de autoridades de protección de datos.

El documento señala un cambio en la escala del uso de la IA, que se está generalizando, y plantea interrogantes sobre la responsabilidad y la pérdida de control sobre los datos personales. Si bien el marco legal actual se aplica a estos sistemas, la CNIL destaca el desafío que supone adaptar los métodos de su implementación.

A principios de julio, Doctolib anunció en un correo electrónico a sus 60 millones de usuarios que, a partir de agosto, a menos que se opusieran, utilizaría algunos de sus datos de salud para entrenar y mejorar sus herramientas de inteligencia artificial, como parte de proyectos de investigación en colaboración con Inria, Inserm y la Universidad Paris Cité.

La empresa afirma que los datos en cuestión están anonimizados y que su uso se rige por las normas de la CNIL.

Este proyecto de investigación ha generado diversas reacciones, entre ellas la de la Liga de Derechos Humanos, que en un comunicado de prensa del 16 de julio critica la inscripción automática de los usuarios en el proyecto y el hecho de que esté siendo llevado a cabo por una empresa privada (cuyos datos son almacenados por una empresa sujeta a la legislación estadounidense) en lugar de por un organismo público.

En Europa

instituciones y organismos europeos

El Parlamento Europeo votó el 9 de julio la prórroga del programa "Chat Control 1.0", que permite a las empresas digitales analizar mensajes privados de forma voluntaria, sin necesidad de un mandato.

Esta "excepción temporal" a las normas relativas a la privacidad y las comunicaciones electrónicas, destinada a detectar el abuso sexual infantil en línea, permanecería en vigor hasta el 3 de abril de 2028.

Este texto, rechazado en marzo por el parlamento, había sido reincorporado al orden del día durante una segunda lectura en la que el rechazo de la propuesta requiere una mayoría absoluta de todos los miembros.

Mientras tanto, los legisladores están negociando un marco actualizado, "Chat Control 2.0", que podría permitir el acceso al contenido de las comunicaciones cifradas, un proyecto considerado por más de 800 investigadores de ciberseguridad como una amenaza para el cifrado y la confidencialidad de las comunicaciones.

El 7 de julio, la Comisión Europea presentó un plan de acción sobre ciberseguridad e inteligencia artificial destinado a "promover un uso seguro y responsable de la IA, al tiempo que se refuerza la ciberseguridad de Europa".

El plan de acción complementa el marco jurídico vigente de la UE en materia de IA y ciberseguridad, incluidos el Reglamento sobre IA, el Reglamento sobre ciberresiliencia, la Directiva NIS2, el Reglamento sobre resiliencia operativa digital (DORA) y el Reglamento sobre cibersolidaridad.

El 23 de julio, la Comisión Europea emitió dos resoluciones en las que dictaminó que Google había infringido el Reglamento sobre Mercados Digitales (RMD) al favorecer sus propios servicios en la Búsqueda de Google e imponer restricciones a las empresas para impedirles redirigir a los usuarios de Google Play a otros canales de compra, a menudo más económicos. La Comisión multó a Google con 460 millones de euros y 430 millones de euros, respectivamente.

El 8 de julio, el Comité Europeo de Protección de Datos (CEPD) publicó nuevas directrices destinadas a aclarar la aplicación del RGPD a dos cuestiones principales:

• anonimización de datos
• Extracción de datos web en el contexto de la IA generativa.

En lo que respecta al anonimato, el comité especifica que los datos solo pueden considerarse verdaderamente anónimos si no existe ninguna posibilidad razonable de reidentificación, basándose en particular en tres criterios: la ausencia de aislamiento, vinculación y deducción.

Las directrices tienen en cuenta, en particular, la sentencia dictada por el Tribunal de Justicia de la Unión Europea en el asunto C-413/23 P, CEPD/SRB, de 4 de septiembre de 2025.

En lo que respecta al web scraping, el CEPD señala que la recopilación automatizada de datos personales para entrenar modelos de IA sigue estando sujeta al RGPD, en particular a los requisitos de base jurídica, transparencia y limitación de la finalidad.

Estos dos borradores de directrices están abiertos a consulta pública hasta el 30 de octubre de 2026. Además, las directrices sobre blockchain han sido adoptadas en su versión final.

El 31 de julio de 2026, el CEPD también envió una carta a la Comisión Europea solicitándole que examinara si la sentencia del Tribunal Supremo de Estados Unidos en el caso Trump contra Slaughter podría afectar a la validez del marco de protección de datos entre la UE y Estados Unidos.

El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó el 16 de julio que los correos electrónicos profesionales constituyen comunicaciones protegidas por los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, pero que pueden ser incautados por una autoridad de competencia en el contexto de una investigación sin autorización judicial previa, siempre que exista un marco jurídico estricto y salvaguardias adecuadas contra el abuso y la arbitrariedad (asuntos acumulados C-258/23 a C-260/23).

En su sentencia de 14 de julio (C 474/24 – NADA Austria y otros), consideró que la publicación de los nombres de los deportistas profesionales que habían infringido las normas antidopaje podía ser lícita.

Sin embargo, la entidad responsable de la publicación debe ser capaz de sopesar los intereses contrapuestos para respetar el principio de proporcionalidad. Asimismo, reconoció que se podría presentar una queja como medida preventiva.

El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó finalmente, en una sentencia de 9 de julio (C-199/24 ND contra Legal Newsdesk Sweden AB), que la publicación de información relativa a condenas penales en bases de datos de acceso público no constituía actividad periodística y no podía beneficiarse de una exención prevista en el RGPD en virtud de las leyes nacionales que transponen el artículo 85, apartado 2.

Noticias procedentes de los países miembros de la Unión Europea.

En Austria, tras siete años de procedimiento, el Tribunal Administrativo Supremo confirmó la multa de 13 millones de euros impuesta al servicio postal austriaco.

La empresa había recopilado datos sobre las afinidades políticas de más de dos millones de personas y había vendido esta información a terceros con fines de marketing directo.

Si bien la empresa argumentó de buena fe y citó las opiniones de consultores que habían validado sus prácticas, la Corte Suprema rechazó estos argumentos, declarando que "no se requiere ninguna acción ni conocimiento por parte de los órganos rectores para que una entidad jurídica sea sancionada". La Corte sostuvo además que las opiniones legales "indefendibles" no deben considerarse una circunstancia atenuante, ni siquiera un factor exculpatorio.

El 14 de julio, el Comité Europeo de Protección de Datos (CEPD) emitió una decisión en la que ordenaba a la Autoridad Belga de Protección de Datos (APD) tramitar la denuncia presentada por la ONG Noyb, denuncia que la APD había considerado inadmisible. En una decisión vinculante, el Comité examinó si la denuncia debía desestimarse por abuso de derechos y confirmó que encomendar a una entidad, organización o asociación sin ánimo de lucro la presentación de una denuncia en nombre del denunciante era conforme al RGPD.

La Autoridad Española de Protección de Datos (APD) ha multado a una empresa de genómica y biotecnología con 2,4 millones de euros por no proteger adecuadamente los datos genéticos y sanitarios y por notificar una violación de datos personales a la autoridad de protección de datos después del plazo de 72 horas.

La APD también multó a Vodafone con 1.050.000 euros por medidas insuficientes de protección de datos.

La Autoridad Italiana de Protección de Datos (APD) ha multado a una compañía energética con 5,8 millones de euros por no revelar las calificaciones crediticias ni explicar cómo se calcularon, por compartir ilegalmente datos de deuda dentro de su grupo, por conservar datos crediticios durante diez años sin justificación suficiente y por reutilizarlos para fines incompatibles.

La Autoridad Italiana de Protección de Datos ha impuesto una multa de 2 millones de euros a Lusha Systems Inc., una empresa estadounidense de intermediación de datos que, a través de su plataforma, proporciona información "enriquecida" sobre personas, como su situación profesional, direcciones de correo electrónico y números de teléfono, a cambio de una tarifa.

Lusha recopila estos datos de diversas fuentes (extracción de datos de redes sociales, compras a otros intermediarios de datos, etc.) y los pone a disposición de sus clientes con fines comerciales o para combatir el fraude.

La empresa también realiza actualizaciones que implican el monitoreo en línea del comportamiento de las personas afectadas, lo cual está sujeto al RGPD. La Autoridad Italiana de Protección de Datos (APD) ha prohibido el tratamiento de datos de personas ubicadas en Italia y ha ordenado su eliminación.

La APD también sancionó al operador de telecomunicaciones TIM por numerosas infracciones de las normas relativas a la privacidad y el telemarketing.

Varios de sus centros de llamadas, que actuaban como subcontratistas, realizaron llamadas promocionales en nombre de la empresa, utilizando números que no pertenecían a la red de ventas oficial, con el fin de recopilar ilegalmente datos de los usuarios.

La autoridad señala que la adhesión a un código de conducta no exime al responsable de la obligación de supervisar las actividades de sus subcontratistas y de verificar la aplicación efectiva de las medidas de protección de datos a lo largo de toda la cadena de telemarketing.

Internacionalmente

En Canadá, un proyecto de ley del 15 de junio propone eliminar las facultades de la Autoridad de Protección de Datos (DPA, por sus siglas en inglés) para supervisar el sector privado y crear un organismo único responsable de regular los daños en línea, las redes sociales, los chatbots basados en inteligencia artificial y la protección de la privacidad en el sector privado.

En Estados Unidos, la Sección 702 de la Ley de Vigilancia de Inteligencia Extranjera (FISA, por sus siglas en inglés) expiró en junio.

Desde 2008, esta disposición permitió a las agencias de inteligencia estadounidenses recopilar comunicaciones de ciudadanos extranjeros fuera de Estados Unidos sin una orden judicial.

Durante varios años, un número creciente de parlamentarios había condicionado la renovación del artículo 702 a la obtención de un mandato obligatorio. Finalmente, consiguieron los votos necesarios para que su postura fuera escuchada.

Sin embargo, las autorizaciones del Tribunal de Vigilancia de Inteligencia Extranjera (FISC, por sus siglas en inglés) renovadas en marzo para el programa de la Sección 702 siguen vigentes y "continuarán aplicándose sin cambios, al menos hasta el 17 de marzo de 2027", según el diputado Jamie Raskin.

Algunos operadores han advertido en privado que dejarán de cooperar tan pronto como expire la ley, por temor a incurrir en responsabilidades legales ante la ausencia de una ley vigente que respalde las exigencias del gobierno.

Por lo tanto, los organismos de inteligencia y las empresas de telecomunicaciones se enfrentan a la incertidumbre sobre qué actividades de recopilación de datos pueden continuar legalmente.

También en Estados Unidos, el acuerdo amistoso alcanzado con la empresa 23andMe tras el ciberataque de 2023, que afectó a aproximadamente 6,4 millones de clientes, ha sido aprobado definitivamente por un tribunal estadounidense.

Sin embargo, debido al proceso de quiebra de la empresa, aún no se ha pagado ninguna indemnización a las víctimas estadounidenses cuyos datos genéticos se vieron comprometidos.

El fondo de compensación asciende a 46,75 millones de dólares, pero la mayoría de los beneficiarios recibirán solo una compensación limitada, reservándose las cantidades más elevadas para las víctimas que puedan demostrar haber sufrido daños significativos.

La "Declaración de Roma por una paz sin armas y basada en el desarme en la era de la inteligencia artificial, las armas nucleares y autónomas, los nuevos protocolos digitales y los patrones emergentes de desarrollo digital" fue firmada el jueves 16 de julio en la colina Capitolina de Roma, marcando la culminación de la Asamblea Mundial de Premios Nobel sobre Inteligencia Artificial y Guerra Nuclear.