La importancia de saber si estamos implantando un Modelo o un Sistema de IA.

Cuando hablamos de regulación de la IA y de desarrollos o despliegues de IA empresariales es muy importante diferenciar entre un modelo de IA de propósito general (GPAI) y un sistema de IA (SIA).

Si vamos a realizar un desarrollo, una implementación, una adaptación y/o una utilización de inteligencia artificial es importante que aprendamos a distinguirlos porque a nivel regulatorio las consecuencias, sanciones y requisitos se parecen, pero no son iguales. Un ejemplo claro de ello es que en el Reglamento de IA encontramos reguladas específicamente las obligaciones para los proveedores de Modelos de IA, no así para otras figuras sí reguladas en los Sistemas de IA como los importadores, distribuidores o responsables del despliegue. Esto puede generar una asimetría de obligaciones para una empresa que despliegue un Sistema frente a una empresa que decida desplegar un Modelo.

Del mismo modo, los Modelos de IA de propósito general no constituyen por sí mismos Sistemas de IA, sino que son componentes que se integran en sistemas más amplios. Esto plantea preguntas sobre quién es responsable de cumplir con las obligaciones legales cuando un Modelo es utilizado en múltiples aplicaciones. (Ej: Si un modelo se distribuye para que otras empresas lo usen en sus propios sistemas, ¿la responsabilidad de los efectos del Modelo recaería sobre el proveedor del Modelo o sobre quienes lo integran en sus sistemas?).

Empecemos por aclarar que la regulación principal de los Sistemas y Modelos de IA la encontramos en el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (RIA).

Un Modelo de IA de propósito general es una herramienta flexible que no está diseñada para una tarea específica. Puede realizar múltiples tareas y ser integrado en diferentes aplicaciones y sectores, desde procesamiento de texto hasta reconocimiento de imágenes. Estos Modelos se entrenan con grandes volúmenes de datos y pueden ser reutilizados para diferentes funciones.

Características:

• Generalidad: No está limitado a una sola función o aplicación; puede usarse en muchas tareas diferentes.

• Capacidades avanzadas: Estos Modelos tienen un gran potencial de impacto en distintos sectores, lo que puede convertirlos en un riesgo sistémico (Su entrenamiento ha requerido un poder computacional significativo ej: más de 10^25 FLOPs).

• Se clasifican no solo por su impacto en tareas individuales, sino también por su capacidad de ser utilizados en múltiples aplicaciones y su potencial riesgo sistémico.

  • Ejemplo:

    o    Copilot Pro, ChatGpt 4.0, son Modelos que son capaces de generar  imágenes, textos, responder preguntas, programar, redactar ensayos, crear resúmenes, entre muchas otras tareas, sin estar limitados a una función específica.

Algunas de sus obligaciones (diseñadas exclusivamente para los proveedores) serían (Art.53):

• Documentar el proceso de entrenamiento y sus resultados.

• Evaluación continua de sus capacidades y riesgos, tanto antes como después de su despliegue.

• Documentación técnica exhaustiva: Debe proporcionar documentación técnica detallada, que incluya las técnicas de entrenamiento utilizadas (por ejemplo, los FLOPs acumulados), pruebas continuas, como la evaluación de adversarios y "red teaming" (estrategias de evaluación de riesgos), y su impacto energético.

• Monitoreo en tiempo real: Se requiere un seguimiento más cercano y en tiempo real de estos modelos, ya que su impacto puede abarcar múltiples sectores o aplicaciones

• Establecer una política de cumplimiento de la normativa de la UE sobre derechos de autor y derechos afines.

• Publicar un resumen detallado del contenido utilizado para entrenar el Modelo de IA de uso general.

• Los modelos GPAI con riesgo sistémico tienen obligaciones adicionales de monitorización y documentación técnica, que no se aplican necesariamente a todos los Sistemas de IA de alto riesgo.

Sanciones:

15 millones de euros o el 3% del volumen de negocio mundial por incumplimiento de sus obligaciones. No obstante, la capacidad de estos Modelos para ser utilizados en diversos entornos hace que su incumplimiento pueda generar impactos sistémicos más graves, lo que podría justificar multas cercanas al límite máximo permitido (7% de los ingresos globales).

Un sistema de IA es una aplicación completa que utiliza IA para cumplir un objetivo o función específica, realizando tareas bien definidas, ya sea de manera autónoma o con intervención humana. Estos Sistemas están diseñados para ser autónomos en ciertos contextos y adaptarse tras el despliegue, pero están enfocados en resolver problemas o tomar decisiones en áreas específicas.

Características:

• Propósito específico: Está diseñado para cumplir una tarea o resolver un problema concreto.

• Autonomía y capacidad de adaptación: Puede funcionar con diversos niveles de independencia de la intervención humana y puede aprender y mejorar con el tiempo

• Se clasifican en función del riesgo:     

o Sistemas prohibidos: prohibición absoluta para varias prácticas que conllevan riesgos inaceptables para los derechos fundamentales o la seguridad de las personas.

Ej: IA que clasifica a las personas por rasgos como raza o religión para decidir el acceso a servicios esenciales.

o    Alto riesgo: determinados sistemas que son utilizados en sectores críticos y pueden tener un gran impacto en la seguridad y derechos de las personas.

Ej: Monitorear y evaluar rendimiento y comportamiento de trabajadores.

o   Riesgo limitado: tienen un impacto menor en comparación con los de alto riesgo, pero aún requieren ciertos controles, principalmente en términos de transparencia.

Ej: ChatBot.

o  Riesgo mínimo: Todos los demás Sistemas de IA pueden desarrollarse y utilizarse conforme a la legislación vigente sin obligaciones adicionales.

Ej: Filtro spam.

Algunas de sus obligaciones: Se determinarán en función del nivel de riesgo y de la figura del responsable, aquí si se diferencia claramente las obligaciones del Proveedor, Importador, Responsable de despliegue y Distribuidor. Por ejemplo, una empresa que despliegue un Sistema de IA de alto riesgo tendrá entre otras las siguientes obligaciones:

o   Evaluación de conformidad previa al despliegue para garantizar que el sistema cumple con los requisitos legales de seguridad, transparencia, y supervisión humana.

o   Supervisión humana obligatoria y constante.

o   Transparencia y explicación. Los usuarios y las personas afectadas por el Sistema de IA deben ser informados claramente de que están interactuando con una IA.

o   Garantizar la seguridad y la mitigación de riesgos, así como la protección de datos y la privacidad.

o   Evaluación de impacto y auditorías regulares.

o   Registro y documentación completa sobre el Sistema de IA e informe de incidencias. Se debe incluir información sobre los algoritmos utilizados, los datos de entrenamiento y pruebas, y las medidas implementadas para garantizar la seguridad y el cumplimiento normativo.

Sanciones posibles:

o   35 millones de euros o el 7% del volumen de negocio mundial (la cuantía que sea superior) por incumplimientos de prácticas prohibidas de Sistemas de IA.

o   15 millones de euros o el 3% del volumen de negocio mundial por incumplimiento de otras obligaciones.

o   7,5 millones de euros o el 1% del volumen de negocio mundial por suministrar información incorrecta.

Conclusión.

El RIA busca regular tanto los Modelos de IA como los Sistemas de IA, pero dado que los Modelos de IA de propósito general son más versátiles y se utilizan en diversas aplicaciones, puede haber vacíos en las obligaciones y controles que se les aplican. Estos vacíos pueden manifestarse en términos de responsabilidad compartida, evaluación de riesgos, y la supervisión continua del impacto de estos modelos.

Un claro ejemplo de ello es que los Modelos de IA de propósito general podrían no estar sujetos a obligaciones estrictas a menos que se clasifiquen como de alto riesgo sistémico. Esto podría dejar un vacío cuando los Modelos se utilicen en sectores de riesgo sin las salvaguardias adecuadas. De esta forma nos podríamos encontrar con que un Modelo de IA que no se clasifique inicialmente como de riesgo sistémico podría, a través de su uso en un sistema crítico (como en infraestructuras de transporte o de salud), terminar generando un riesgo elevado, sin que las obligaciones y controles del Reglamento apliquen adecuadamente.

A medida que los Modelos de IA se utilicen más ampliamente en diferentes sectores, será necesario abordar estas áreas para garantizar que los riesgos se gestionen adecuadamente y que la normativa cubra todas las situaciones posibles.

En cuanto a los Sistemas cada empresa deberá evaluar qué funcionalidad va a desarrollar y/o desplegar y la utilidad de esta en términos de rentabilidad vs obligaciones implícitas. Es muy importante señalar que las sanciones para los Sistemas pueden llegar a ser muy altas y podría correrse un riesgo en caso de no realizarse un cumplimiento adecuado de las medidas  y controles previstos. Los Sistemas de IA se encuentran con muchas más obligaciones y controles que los Modelos de IA y es importante conocerlo.