MENÚ
Las prohibiciones de la Ley de IA o AI Act, la legislación que regula los sistemas de inteligencia artificial en la Unión Europea, ya están aquí. Desde el 2 de febrero de 2025, una serie de sistemas de IA de “riesgo inaceptable” están prohibidos en los Estados miembros para salvaguardar los derechos fundamentales y la seguridad de las personas. Algunos de estos son los de identificación biométrica para uso en espacios públicos, los que categorizan a personas según sus datos biométricos, los que usan técnicas manipuladoras o subliminales y los que infieren emociones en lugares de trabajo o estudios.
El incumplimiento de estas prohibiciones puede tener graves consecuencias. El 2 de agosto de 2025, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), encargada del cumplimiento de la Ley de IA en España, asume plena potestad sancionadora y podrá multar a partir de esa fecha a los operadores de sistemas prohibidos con hasta 35 millones de euros o con hasta el 7% de su facturación total anual mundial.
Los sistemas de IA de riesgo inaceptable están prohibidos por considerarse una amenaza para los derechos y la seguridad de las personas
La Ley de IA o AI Act entró oficialmente en vigor el 1 de agosto de 2024 en todos los países miembros de la Unión Europea. Sin embargo, sus capítulos I y II, que abordan la alfabetización en materia de IA y las prohibiciones, están vigentes desde el 2 de febrero de 2025.
El reglamento tiene un enfoque basado en el riesgo que divide los sistemas en categorías. Los sistemas de IA que están prohibidos desde febrero son aquellos de riesgo inaceptable, considerados una amenaza para la seguridad y los derechos de las personas. El artículo 5 del capítulo II de la ley prohíbe la introducción en el mercado, puesta en servicio y la utilización de los sistemas de IA que:
Usen técnicas subliminales o manipuladoras: son sistemas que se sirven de “técnicas subliminales que trascienden la conciencia de una persona” o “deliberadamente manipuladoras o engañosas” que tienen el objetivo de “alterar de manera sustancial el comportamiento”. Un ejemplo puede ser una IA que use señales sutiles de audio, imágenes o vídeo indetectables para nosotros, pero que pueden influir en cómo nos comportamos.
Exploten las vulnerabilidades de una persona o colectivo: son aquellos que explotan las vulnerabilidades de una persona o colectivo determinado “derivadas de su edad o discapacidad, o de una situación social o económica específica” con el objetivo “alterar de manera sustancial el comportamiento”. Por ejemplo, que usen análisis de datos avanzados para crear anuncios altamente personalizados que aprovechen información sensible.
Evalúen o clasifiquen a personas o colectivos: son sistemas para “evaluar o clasificar” a personas o colectivos “durante un período determinado de tiempo, atendiendo a su comportamiento social o a características personales o de su personalidad conocidas, inferidas o predichas” que puedan producir “un trato perjudicial o desfavorable” que “no guarde relación con los contextos donde se generaron o recabaron los datos” o que “sea injustificado o desproporcionado”. Esto es lo que se conoce como puntuación social o social scoring e incluye, por ejemplo, una IA que analice solicitudes de empleo según la actividad en redes sociales de los candidatos, considerando opiniones políticas, creencias religiosas, etc.
Evalúen el riesgo de que una persona cometa un delito: los sistemas para “realizar evaluaciones de riesgo de personas físicas” con el objetivo de valorar o predecir el riesgo de que una persona cometa un delito basándose únicamente en la elaboración del perfil de una persona o la evaluación de los rasgos y características de su personalidad. Por ejemplo, un sistema que se base en el lugar de nacimiento, número de hijos o tipo de vehículo y la elaboración de perfiles para predecir si una persona cometerá un delito. Esta restricción no aplica a aquellos sistemas “utilizados para apoyar la valoración humana de la implicación de una persona en una actividad delictiva que ya se basa en hechos objetivos y verificables”.
Creen o amplíen bases de datos de reconocimiento facial con internet o CCTV: sistemas que nutran sus bases de datos de reconocimiento facial “mediante la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión (CCTV)”. Un ejemplo es Clearview AI, compañía de reconocimiento facial de EEUU, que se ha enfrentado a sanciones por incumplir con el Reglamento General de Protección de Datos (RGPD) por utilizar imágenes de internet.
Infieren emociones en el trabajo o centros educativos: sistemas para “inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos”. Una IA de este tipo puede hacer inferencias inexactas o tener sesgos, dada la diversidad de expresiones en diferentes culturas y situaciones.
Hay una excepción: los sistemas “instalados o introducidos en el mercado por motivos médicos o de seguridad”.
Categorización biométrica para clasificar personas: aquellos que clasifiquen a las personas según sus datos biométricos para “deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual”. Por ejemplo, una IA que califique a posibles inquilinos de una vivienda según estos factores puede permitir prácticas discriminatorias. La prohibición no incluye el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente.
Identificación biométrica remota “en tiempo real” en espacios públicos: sistemas de identificación biométrica remota en “tiempo real” en espacios de acceso público. Un ejemplo podría ser una IA que identifique a las personas que entran a una estación de Metro. La excepción: si se utilizan para la búsqueda selectiva de víctimas de secuestro, trata, explotación o desaparecidos, además de la previsión de amenazas específicas o localización de sospechosos.
Los últimos cuatro sistemas de esta lista hacen uso de los datos biométricos de las personas, es decir, sus características físicas, fisiológicas y conductuales. Estos son datos muy sensibles y si se utilizan, por ejemplo, para obtener información sobre nuestro comportamiento o con fines fraudulentos, pueden implicar riesgos para nuestra privacidad y derechos fundamentales.
Ojo, que hay una excepción general para las obligaciones de la ley: la seguridad nacional. La AI Act no aplica a los sistemas que se desarrollan únicamente con fines de seguridad nacional, independientemente de si lo hace una autoridad pública o empresa privada.
Desde el 2 de agosto de 2025, la AESIA podrá sancionar a los operadores con multas de hasta 35 millones o el 7% de la facturación total anual mundial
En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), ubicada en A Coruña, es el organismo responsable de supervisar el cumplimiento de la ley. “Esta agencia tiene la autoridad para investigar, inspeccionar y sancionar a los responsables”, señala Eduard Blasi, abogado experto en derecho digital, cofundador de TechandLaw y maldito.
Por ejemplo, podremos denunciar a la AESIA el uso de una IA prohibida a través de un formulario en su web (que aún no se ha publicado) o un escrito, según explicó a Maldita.es la Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA). En este enlace tienes más información sobre cómo denunciar y qué responsabilidades tenemos los usuarios y empresas sobre los sistemas prohibidos.
“Los proveedores y distribuidores son responsables de garantizar que los sistemas cumplan con los requisitos legales antes de su lanzamiento al mercado”, explica Ibán García, director internacional de Lasker, exeurodiputado y miembro del equipo negociador para la aprobación de la Ley de IA. El experto señala que esto incluye evitar el uso de sistemas prohibidos, como aquellos que vulneren derechos fundamentales. “Para este propósito, se cuenta además con la supervisión de los organismos nacionales de control”, concluye, en referencia a la AESIA.
Cuando la AESIA asuma la plena potestad sancionadora el 2 de agosto de 2025, podrá aplicar las sanciones contempladas en la Ley de IA, que varían según la severidad y naturaleza de las violaciones. En este caso, los operadores (proveedores, fabricantes, responsables del despliegue, representantes autorizados, importadores o distribuidores) que incumplan la prohibición de prácticas de IA de riesgo inaceptable se pueden enfrentar a multas de hasta 35 millones de euros o del 7% de la facturación total anual mundial si el infractor es una empresa.
En este artículo han colaborado con sus superpoderes el maldito Eduard Blasi, abogado experto en derecho digital.
Gracias a vuestros superpoderes, conocimientos y experiencia podemos luchar más y mejor contra la mentira. La comunidad de Maldita.es sois imprescindibles para parar la desinformación. Ayúdanos en esta batalla: mándanos los bulos que te lleguen a nuestro servicio de Whatsapp, préstanos tus superpoderes, difunde nuestros desmentidos y hazte Embajador.
