Control sobre IA Generativa
Transparencia y obligaciones en modelos de propósito general (GPAI)
El EU AI Act establece reglas específicas para modelos de IA de propósito general (GPAI), especialmente aquellos con capacidades generativas como GPT, Claude, Gemini, etc. Estos modelos requieren transparencia, respeto al copyright y gestión de obligaciones adicionales.
¿Qué es un modelo GPAI?
Un modelo de IA de propósito general (General Purpose AI) es un modelo de IA, normalmente entrenado con un gran volumen de datos, que presenta un grado considerable de generalidad, puede realizar de manera competente una gran variedad de tareas distintas y puede integrarse en diversos sistemas o aplicaciones posteriores (Art. 3.63). Ejemplos: GPT-4o, Claude, Gemini, LLaMA.
Obligaciones de transparencia
Los proveedores de modelos GPAI deben elaborar y mantener actualizada documentación técnica (a disposición de la Oficina de IA y de los proveedores posteriores), incluyendo: arquitectura del modelo, datos de entrenamiento, capacidades y limitaciones, medidas de mitigación y consumo energético.
Respeto al copyright
Los modelos GPAI deben respetar la legislación de derechos de autor. Los proveedores deben publicar un resumen suficientemente detallado del contenido utilizado para el entrenamiento, permitiendo a los titulares de derechos ejercer sus derechos.
Capacidades de alto impacto
Los modelos GPAI con capacidades de alto impacto deben realizar evaluaciones, implementar medidas de mitigación, realizar pruebas adversarias y reportar incidentes graves a las autoridades.
Ejemplos de posibles casos de uso
Escenarios hipotéticos de aplicación del AI Act a IA generativa
Ejemplo 1: Startup usando ChatGPT API
Startup de HealthTech
Situación:
Una startup española desarrolla una app de salud mental que usa ChatGPT API para generar respuestas a usuarios. La app recopila datos sensibles (emociones, síntomas).
Referencia regulatoria:
El AI Act no incluye la «salud» como ámbito del Anexo III: la app solo es alto riesgo si es un producto sanitario sujeto al MDR (Art. 6.1 y Anexo I). En todo caso, al integrar el modelo en su propia app es proveedora de ese sistema y debe informar de que se interactúa con IA (Art. 50.1).
Obligaciones:
- Documentación técnica del sistema completo (si es alto riesgo)
- Gestión de riesgos específica para salud mental (si es alto riesgo)
- Supervisión humana (obligatoria si es alto riesgo)
- Transparencia con usuarios sobre uso de IA
- Evaluación de conformidad MDR si es producto sanitario
Error común:
La startup no tenía claro que, aunque no desarrolla el modelo GPAI, sí es responsable del sistema que despliega en un contexto sensible.
Ejemplo 2: E-commerce con IA generativa para descripciones
Tienda online de moda
Situación:
Una tienda online usa IA generativa (Jasper AI, basado en GPT) para crear descripciones de productos automáticamente. No recopila datos personales, solo genera texto marketing.
Referencia regulatoria:
No encaja en el Anexo III. El marcado legible por máquina corresponde al proveedor de la herramienta (Art. 50.2); la tienda solo tendría que divulgarlo si publicara ultrafalsificaciones o textos para informar al público sobre asuntos de interés público (Art. 50.4).
Obligaciones:
- Recomendable: informar a usuarios de que el contenido es generado por IA
- Asegurar que el contenido generado no infringe derechos de autor
- Recomendable: revisar el contenido generado antes de publicarlo
Error común:
La tienda no señaliza que el contenido es generado por IA: para descripciones de producto el Art. 50 no lo exige, pero es una buena práctica de transparencia.
Ejemplo 3: Empresa desarrollando su propio modelo GPAI
BigTech europea
Situación:
Una empresa europea desarrolla su propio modelo de lenguaje grande (LLM) con 100B parámetros y lo ofrece como API a terceros.
Referencia regulatoria:
El Art. 51 clasifica como modelo con riesgo sistémico el que tiene capacidades de gran impacto (se presumen si el cálculo de entrenamiento supera 10²⁵ FLOP, no por el número de parámetros) o así lo designa la Comisión; las obligaciones adicionales están en el Art. 55.
Obligaciones:
- Evaluación de impactos sistémicos (desinformación, ciberseguridad)
- Pruebas adversarias (red teaming)
- Documentación técnica completa (arquitectura, datos, mitigaciones)
- Resumen de datos de entrenamiento para copyright
- Reporte de incidentes graves a autoridades
Error común:
La empresa no documenta el origen de los datos de entrenamiento ni ofrece mecanismos de opt-out a titulares de derechos.
¿Tu empresa usa IA generativa?
Explora tu contexto de uso en 5 minutos con nuestro chatbot educativo
Orientación general • No es asesoramiento legal • Consulta con un profesional