Sanciones de la Ley de IA de la UE: el alto coste del incumplimiento

La Ley de IA de la Unión Europea es pionera en el mundo en su clase y se convierte en punto de referencia obligado para los estados que intentan regular el uso de la Inteligencia Artificial. Las sanciones de la Ley de IA de la UE por el incumplimiento de sus disposiciones siguen un sistema escalonado, en el que las infracciones más graves conllevan sanciones más severas.

Una de las características más interesantes de esta ley es la distinción que hace de los obligados a su cumplimiento de acuerdo con su nivel de riesgo. Las sanciones de la Ley de IA de la UE son proporcionales al nivel de riesgo en el que se clasifica a los obligados. En general, esta ley impone las sanciones más altas en su segmento, incluso superiores a las determinadas por el RGPD o el Reglamento de Resiliencia Operativa Digital (DORA).

Qué enfoque se utiliza para establecer las sanciones de la Ley de IA de la UE

Para entender el enfoque escalonado de sanciones de la Ley de IA de la UE es preciso conocer quiénes son los obligados a cumplir con los requisitos. La ley se dirige a tres grupos de organizaciones: operadores de sistemas de Inteligencia Artificial, proveedores de modelos de IA de propósito general e instituciones y organismos de la Unión Europea.

Para cada uno de estos actores obligados existe un escalafón de sanciones. Existen tres niveles de gravedad, de acuerdo con el nivel de riesgo del infractor, para el primer grupo, que es el de operadores de sistemas de IA. La escala de sanciones de la Ley de IA de la UE prevé sanciones específicas para los proveedores de modelos de propósito general y dos niveles de sanciones para las instituciones y organismos de la Unión Europea.

Sanciones de la Ley de IA de la UE para los operadores de sistemas de IA

Las sanciones de la Ley de IA de la UE para los operadores de sistemas de IA se clasifican en tres diferentes niveles, de acuerdo con el tipo de incumplimiento así:

1. Primer nivel: incumplimiento de prohibiciones

En este primer nivel de gravedad, las multas se imponen por incumplir la prohibición de utilizar o poner a disposición de usuarios sistemas prohibidos de forma expresa por la Ley de Inteligencia Artificial de la UE. La multa, que es la más alta que impone la Ley, puede alcanzar los 35 millones de euros o el 7% de la facturación anual mundial de la empresa infractora, siendo procedente la cifra mayor.

2. Segundo nivel: incumplimiento de obligaciones

Incumplir las obligaciones de la Ley por parte de operadores, proveedores, distribuidores, representantes, importadores, implementadores, organismos notificados y usuarios genera multas que pueden llegar hasta los 15 millones de euros o el 3 % de la facturación mundial anual de la empresa sancionada, aplicándose la cifra de mayor valor.

Las obligaciones de cumplimiento están descritas, para cada tipo de empresa obligada, en un artículo diferente de la Ley:

3. Tercer nivel: suministro de información errada, incompleta o dudosa para las autoridades

El artículo 21 describe las infracciones que dan lugar a la aplicación de las sanciones de la Ley de IA de la UE por reportar información incorrecta, errada o incompleta a las autoridades reguladoras. Se considera una infracción de la exigencia de cooperación con las autoridades competentes y genera las sanciones desglosadas en el artículo 21. Las multas pueden ir hasta los 7,5 millones de euros o el 1 % de la facturación global anual. Se elige, igualmente, la cifra mayor.

Sanciones de la Ley de IA de la UE para las PYMEs

En general, las PYMEs tienen las mismas obligaciones de cumplimiento descritas hasta este punto y la misma escala de sanciones. La consideración especial para este grupo, incluyendo los proyectos de reciente creación, están en que la multa que se impondrá será la menor, resultante de aplicación de los dos criterios de uso habitual, y no la mayor.

Sanciones de la Ley de IA de la UE para los proveedores de modelos de IA de propósito general

Los proveedores de modelos de IA de propósito general pueden recibir la mayor sanción resultante de la aplicación de los dos criterios: hasta 15 millones de euros o el 3 % de su facturación anual global. Las sanciones se imponen cuando infringen cualquiera de las disposiciones relevantes de la norma para este tipo de empresas, no entregan la información solicitada por organismos competentes o lo hacen de forma dudosa, errada o incompleta, según lo dispuesto por el artículo 91.

También pueden ser sancionados los proveedores de modelos de IA de propósito general cuando incumplen alguna solicitud de las solicitadas en el artículo 93 o no permiten el acceso de la Comisión a un modelo considerado de riesgo sistémico (artículo 92).

Sanciones de la Ley de IA de la UE para los organismos e instituciones de la Unión Europea

Los organismos, instituciones y agencias de la Unión Europea también son responsables de cumplir obligaciones según la Ley de IA. Por ello, pueden ser multados con valores que llegan hasta un millón y medio de euros por incurrir en las prohibiciones de la Ley o de 750.000 euros por el incumplimiento de obligaciones diferentes a las contenidas en el artículo 5. Todo esto se incluye en el artículo 100.

Conclusión

Las sanciones de la Ley de IA de la UE son muy altas. No obstante, el espíritu de la Ley es disuadir, antes que castigar. Por eso, el valor aumenta de acuerdo con la infracción y con la calidad del infractor.

Factores como la intencionalidad, la recurrencia del infractor, la gravedad del delito o la ganancia que hubiese obtenido la empresa multada con ocasión del delito cometido influyen en el valor que se establecerá como multa.

Finalmente, las multas se imponen de acuerdo con el ordenamiento jurídico de cada estado, salvo las sanciones para proveedores de modelos de IA de propósito general o los organismos, agencias e instituciones de la UE, caso en el cual son la Comisión y el Supervisor Europeo de Protección de Datos los competentes para sancionar y multar.

Software ISO 42001

Las organizaciones necesitan contar con las herramientas y la estructura tecnológica adecuada para evitar las sanciones de la Ley de IA de la UE. El Software ISO 42001 ayuda a las organizaciones a acelerar los procesos de innovación, eliminando riesgos de cumplimiento y creando un ambiente seguro para la explotación transparente de las oportunidades que entrega IA.

Para ello, el software ofrece un conjunto de herramientas que permiten gestionar los diferentes aspectos de SGIA basados en la norma, entre ellos la gestión de riesgos. Para mayor información sobre esta completa solución tecnológica, solo tienes que contactar con un asesor aquí.