Hablamos sobre el concepto de IA responsable. Resulta clave contar con una regulación adecuada que permita el desarrollo de la IA de manera ética y segura, sin comprometer los principios legales establecidos. Es más, la colaboración estrecha entre expertos en tecnología y derecho sentará las bases para abordar los desafíos en términos de seguridad y cumplimiento normativo.
Estas fueron algunas de las conclusiones que se extrajeron de la mesa redonda que se desarrolló durante la segunda edición del AI & Ciber Security Forum, organizado por ISMS Forum y su Grupo de Inteligencia Artificial (GIA).
La colaboración estrecha entre expertos en tecnología y derecho sentará las bases para abordar estos desafíos
Este interesante debate contó con la participación de Moisés Barrio, Letrado del Consejo de Estado; Carmen Muñoz, Codirectora Sección IA Hub España del European Law Institute (ELI); y Pablo Diaz, que ocupa la responsabilidad de Data Protection Officer en CaixaBank.
IA responsable
Moisés Barrio es asesor de Estados y de la UE en regulación digital, además de experto internacional en Derecho digital y director del posgrado en Legal Tech y transformación digital de la Universidad Complutense de Madrid. En su opinión, hablar de IA responsable supone hacerlo de una IA que respeta los requisitos que establece el Derecho europeo y nacional aplicable: cumpliendo el Reglamento de Inteligencia Artificial (RIA o AI Act) de la Unión Europea, pero también el resto de las normas que sean aplicables teniendo en cuenta el ámbito afectado por el uso del sistema de IA en cuestión.
Una IA responsable es aquella que respeta los requisitos que establece
el Derecho europeo y nacional aplicable
Barrio es uno de los principales expertos y referentes en el análisis y la divulgación jurídica del RIA y forma parte del grupo de expertos que elaboraron el Libro Blanco, origen de este reglamento. Durante esos trabajos previos, Barrio incidió en la importancia de aprender de los errores del RGPD y evitar un “café para todos” en la imposición de obligaciones.
Por ejemplo, la aplicación progresiva de las disposiciones del RIA, que comenzó en febrero de 2025 y se extenderá hasta agosto de 2027, va a permitir que los operadores jurídicos tengan margen suficiente para estudiar las nuevas reglas y encontrar el mejor modo de llevar a cabo su cumplimiento normativo.
En ese escenario uno de los objetivos del sandbox español de IA, ya en marcha, es elaborar buenas prácticas sobre las conclusiones obtenidas, así como unas guías técnicas de ejecución y supervisión basadas en la evidencia y la experimentación para buscar la mejor manera de cumplir con el RIA.
Desafíos y regulación normativa
La irrupción de la IA está generando numerosos desafíos que son ya conocidos. El propio preámbulo del RIA hace una buena síntesis de ellos y nos advierte acerca de cómo la IA puede generar riesgos y menoscabar los intereses públicos y los derechos fundamentales que protege el Derecho de la Unión, causando perjuicios físicos, psíquicos, sociales o económicos. A juicio del letrado, los retos más importantes serían:
- Los temas de responsabilidad, especialmente a medida que los sistemas son más autónomos y la supervisión humana está ausente o es meramente formal.
- Los problemas de mala calidad de la información, así como de amplificación de los sesgos y discriminaciones que ya están presentes en los datos de entrenamiento.
- El exceso de recopilación de datos y aumentan las tentaciones de una vigilancia masiva y control social.
En este contexto entra en juego el anteproyecto de ley para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de ministros el pasado 11 de marzo de 2025. Uno de sus objetivos es precisamente adaptar la legislación española al reglamento europeo. Este anteproyecto responde fielmente a las habilitaciones del RIA y sus dos elementos básicos son la designación de las autoridades competentes y el régimen sancionador.
Asimismo, establece que la futura ley será de aplicación tanto a entidades privadas como para el Sector Público, cuando actúen como operadores, sin apartarse, en cuanto a los detalles de su ámbito subjetivo, de las categorías previstas en la norma europea.
Hay que tener en cuenta que, hasta el pasado 26 de marzo de 2025, el texto estuvo en audiencia pública con el objetivo de recabar la opinión de los ciudadanos y de las organizaciones más representativas. A continuación, el texto será informado por los Ministerios y concluirá con el preceptivo dictamen del Consejo de Estado y su aprobación final por el Consejo de ministros, para su posterior remisión a las Cortes Generales ya como proyecto de Ley.
Aplicación real en las empresas
Pero, el Reglamento de IA no especifica quién va a encargarse de su gestión en el seno de las empresas. Tal vez, esta podría ser una nueva obligación del DPO (data protection officer) que, dependiendo del tamaño de la entidad, podría asumir las funciones de chief AI officer.
Todo indica a que esta figura —el DPO—tendrá un papel relevante y seguirá siendo el responsable cuando se trata del cumplimiento de la normativa relacionada con la protección de datos, especialmente en ámbitos como la evaluación de riesgos, la protección de derechos y la privacidad.
Aunque todo esto está por ver, la tendencia es crear un puesto independiente, que es el que se encargará de gestionar el cumplimiento específico del RIA, trabajando de forma coordinada con el DPO.
De hecho, así viene sucediendo desde hace varios años en Estados Unidos, tanto en el sector privado como en el público, donde la tendencia es separar de forma clara ambas funciones —DPO y responsable de IA— para evitar conflictos de intereses. Hay que tener en cuenta que las grandes responsabilidades de estos responsables de IA son, básicamente, coordinar el uso de la inteligencia artificial en la organización, promover la innovación en esta materia y gestionar los riesgos asociados.
.
Otro de los temas tratados estuvo relacionado con el Observatorio de Derechos Digitales y las amenazas al respecto derivadas de la irrupción de la IA. En opinión de Moisés Barrio, hay que analizar el escenario en su conjunto. Las tecnologías agrupadas bajo el supraconcepto de “inteligencia artificial” ya están mejorando, por ejemplo, la protección de datos y la privacidad mediante el desarrollo de tecnologías de encriptación más avanzadas, sistemas de anonimización de datos y herramientas de detección de brechas de ciberseguridad.
Estas tecnologías pueden ayudar a minimizar los riesgos de exposición de datos personales y asegurar el cumplimiento del principio de minimización de datos del RGPD. Al mismo tiempo, también es crucial asegurar una transformación digital justa y responsable.
Como es natural, el Observatorio de Derechos Digitales tiene que prestar especial atención a los efectos negativos de la IA, y en especial cuando afectan a los derechos fundamentales de los ciudadanos. El objetivo, y el reto por conseguir, es un desarrollo tecnológico alineado con los derechos humanos, la transparencia y el progreso social de todos, no de unos pocos.
