Llega el ‘sandbox’ regulatorio para la inteligencia artificial
Javier Fernández Rivaya y Anxo Vidal, del área de Derecho Administrativo y Constitucional de Garrigues
España prevé establecer un entorno controlado de pruebas para garantizar que el desarrollo de esta tecnología esté alineado con la legislación europea.
La necesidad de acompasar la regulación a los avances en el plano de la tecnología ha dado lugar al desarrollo de los denominados sandboxes regulatorios, consistentes en entornos de experimentación promovidos y supervisados por las autoridades que permiten desarrollar de forma segura sistemas y modelos de negocio innovadores con la finalidad de analizar su evolución y posibles impactos, así como de diseñar en consecuencia, con un enfoque proporcionado, la cobertura regulatoria adecuada.
En España han sido creados ya dos sandboxes, el del sistema financiero, por la Ley 7/2020, de 13 de noviembre para la transformación digital del sistema financiero, y el del sector eléctrico, mediante el Real Decreto 568/2022, de 11 de julio, por el que se establece el marco general del banco de pruebas regulatorio para el fomento de la investigación y la innovación en el sector eléctrico. Además, está prevista la constitución de entornos similares para otros ámbitos, como la industria o el transporte.
Como no podría ser de otra forma, considerando el auge y la rápida evolución que está experimentando, también se va a constituir en España un sandbox en materia de inteligencia artificial que contribuya a promover una tecnología fiable, ética y robusta, que es el objetivo buscado por la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en la materia, también conocido como futura Ley europea de Inteligencia Artificial.
En su versión inicial de abril de 2021, la citada propuesta ya advertía de la conveniencia de adoptar nuevas formas de vigilancia regulatoria de esta tecnología, para lo cual animaba a las autoridades nacionales a establecer espacios controlados que facilitasen el desarrollo de sistemas de inteligencia artificial innovadores bajo una estricta vigilancia regulatoria antes de su introducción en el mercado o de su puesta en servicio. Posteriormente, mediante las enmiendas a la propuesta aprobadas el pasado mes de junio, de la recomendación se pasó a la exigencia, de modo que todos los Estados miembros deberán establecer al menos un espacio controlado de experimentación que facilite el desarrollo y la prueba de estos sistemas.
Anticipándose a esa obligación, el pasado mes de mayo el Ministerio de Asuntos Económicos y Transformación Digital sometió a audiencia pública el proyecto de real decreto que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial.
El sandbox nacerá así con la finalidad fundamental de servir como instrumento para estudiar la operatividad de los requisitos que la propuesta de reglamento europeo pretende imponer, y se espera que dé lugar a informes de buenas prácticas y a la elaboración de guías técnicas de ejecución y supervisión basadas en la evidencia obtenida.
Como es fácil advertir, el objetivo del sandbox español de inteligencia artificial no será colaborar con las autoridades en la definición y desarrollo de un nuevo marco normativo adecuado, que es lo que habitualmente se persigue con este tipo de bancos de pruebas, sino que esa normativa ya vendrá determinada por el reglamento europeo, que será de aplicación directa en los Estados miembros cuando sea aprobado.
En lugar de ello, su objetivo será anticiparse a las exigencias que previsiblemente dicho reglamento incorporará, con el fin de que, sin necesidad de aguardar a que éste se apruebe, proveedores, usuarios y autoridades comiencen a analizar y a poner en práctica los requisitos regulatorios que se espera que introduzca. Esa es, de hecho, la razón que explica que el sandbox vaya a nacer con una fecha de caducidad predeterminada, pues se prevé que deje de estar operativo transcurridos 36 meses desde su creación o cuando el reglamento europeo se apruebe definitivamente, si ello tiene lugar antes, sin que de momento se conozca qué sucederá con los proyectos de experimentación que por entonces se encuentren en desarrollo ni si, incluso, podría eliminarse esta extinción programada una vez que ya se sabe que disponer de un sandbox no será algo optativo para los Estados miembros.
Por lo que se refiere a las clases de sistemas de inteligencia artificial que podrán participar en el sandbox, el proyecto de real decreto contempla dos categorías distintas:
- Sistemas de alto riesgo, entendiendo por éstos, a su vez:
- Los que constituyan productos regulados por la legislación de armonización de la Unión Europea en diversos ámbitos (máquinas, juguetes, embarcaciones de recreo y motos acuáticas, ascensores, aparatos y sistemas de protección para uso en atmósferas potencialmente explosivas, equipos radioeléctricos, equipos a presión, instalación de transportes por cable, equipos de protección individual, aparatos de quema de combustibles gaseosos y productos sanitarios), siempre que se exija que se sometan a evaluación de conformidad por terceros con vistas a su introducción en el mercado o puesta en servicio.
- Los que vayan a ser utilizados como componentes de seguridad de un producto regulado por una norma de armonización de la Unión Europea en los mismos casos que los anteriores.
- Determinados sistemas de inteligencia artificial relativos a la biometría, las infraestructuras críticas, la educación y la formación profesional, el empleo, el acceso a servicios públicos y privados, la persecución de delitos, la gestión de la migración, el asilo y el control fronterizo, y la administración de justicia, en los casos en los que incidan en acciones o decisiones a tomar y puedan provocar un riesgo significativo para la salud, la seguridad o los derechos fundamentales.
- Sistemas de propósito general, que son definidos como los destinados por su proveedor a realizar funciones de aplicación general (reconocimiento de textos e imágenes, generación de audios y vídeos, respuestas a preguntas, traducciones, etc.).
En este grupo se incluyen los modelos fundacionales (que el proyecto de real decreto no define, pero que son aquellos sistemas entrenados con un dataset a gran escala y diseñados para adaptarse a una amplia gama de tareas) y los sistemas de inteligencia artificial generativa (que son modelos fundacionales destinados específicamente a generar, con distintos niveles de autonomía, contenidos tales como textos complejos, imágenes, audios o vídeos).
Sin perjuicio de la categoría a la que respondan, los sistemas de inteligencia artificial participantes en el sandbox no podrán estar incluidos en determinados supuestos, como destinarse exclusivamente a fines de investigación y científicos o actividades militares y de defensa o seguridad nacional; servirse de técnicas subliminales para alterar el comportamiento de las personas cuando puedan provocarles daños; aprovecharse de vulnerabilidades; destinarse a realizar clasificaciones sociales de personas que den lugar a tratos perjudiciales; o, sin perjuicio de algunas excepciones, los sistemas de identificación biométrica en tiempo real.
Serán seleccionados para participar en el sandbox tanto los sistemas de inteligencia artificial que ya estén comercializados o cuyo desarrollo se encuentre en una fase de cambios sustanciales que facilite la introducción de las medidas necesarias para cumplir con el futuro Reglamento europeo de Inteligencia Artificial, como los que, sin estar comercializados, hayan alcanzado un nivel de desarrollo suficientemente avanzado como para poder comercializarse o ponerse en servicio dentro del marco temporal del entorno controlado de pruebas.
La participación en el sandbox estará abierta a las siguientes personas:
- Proveedores de sistemas de inteligencia artificial, entendiendo por éstos toda persona jurídica privada, Administración Pública, entidad del sector público u organismo de otra índole que haya desarrollado o para quien un tercero haya desarrollado un sistema de inteligencia artificial, cuando lo introduzca en el mercado o lo ponga en servicio bajo su propio nombre o marca comercial en calidad de proveedor.
Los proveedores podrán presentar uno o varios sistemas diferentes, pero sólo podrán ser admitidos a participar en relación con uno de ellos. - Los usuarios residentes o establecidos en España, definidos como las personas jurídicas (no así las físicas), Administraciones Públicas o entidades del sector público bajo cuya autoridad se utilice un sistema de inteligencia artificial.
Los usuarios solo podrán acceder al sandbox si el proveedor correspondiente también lo hace.
La participación de proveedores y usuarios en el entorno controlado de pruebas, que siempre será voluntaria (y con libre retirada), requerirá efectuar una solicitud formal una vez que por resolución de la autoridad competente se publique la convocatoria correspondiente y se especifiquen los requisitos exigibles. Inicialmente, el proyecto de real decreto atribuye esa función a la Secretaría de Estado de Digitalización e Inteligencia Artificial, si bien la reciente aprobación del Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial por el Real Decreto 729/2023, de 22 de agosto, podría llevar a que finalmente se adoptara una solución distinta.
Las solicitudes serán evaluadas teniendo en cuenta diferentes criterios, tales como el grado de innovación o complejidad tecnológica del producto o servicio, su impacto social, empresarial o de interés público, el grado de explicabilidad y transparencia del algoritmo incluido en el sistema, la potencialidad de transformarse en un sistema de inteligencia artificial de alto riesgo, su grado de madurez, etc.
Los admitidos como participantes del entorno controlado de pruebas deberán probar y evaluar sus respectivos sistemas de inteligencia artificial siguiendo las guías preliminares y las especificaciones técnicas que la Secretaría de Estado de Digitalización e Inteligencia Artificial ponga a su disposición, que podrán ir actualizándose y que, lógicamente, estarán basadas en los requisitos que se espera que el reglamento europeo imponga.
Cuando el participante haya desarrollado las actuaciones necesarias para que su sistema cumpla dichos requisitos, tendrá que someterse a una autoevaluación de cumplimiento, que sólo tendrá efectos en el ámbito del entorno controlado de pruebas y, por tanto, no sustituirá a la evaluación de conformidad que pueda ser requerida por la legislación sectorial específica que en cada caso resulte de aplicación a los sistemas de inteligencia artificial, aunque su finalidad es, precisamente, ayudar a los participantes a hacer frente en su momento a la misma.
Una vez completada, está previsto que se presente ante la Secretaría de Estado de Digitalización e Inteligencia Artificial (con la salvedad antes indicada) a efectos de su valoración, especialmente en los extremos relativos al sistema de gestión de la calidad, la documentación técnica y el plan de seguimiento posterior a la comercialización.
De este modo, el sandbox previsto facilitará el cumplimiento de los requisitos y obligaciones que previsiblemente establecerá la propuesta de reglamento europeo y permitirá identificar y resolver posibles dificultades o problemas que puedan surgir en el momento de su aplicación práctica.
Asimismo, propiciará el intercambio de información y experiencias entre los participantes y la Administración sobre las posibles mejoras a incluir en las guías preliminares y especificaciones técnicas, lo que contribuirá a su actualización como paso previo a su publicación como guías de implementación finales que se pondrán a disposición de todos los interesados.
Además, los resultados del entorno controlado de pruebas se plasmarán por la Administración en un informe de conclusiones que podrá contribuir a los trabajos en curso sobre normalización y otras acciones preparatorias a escala de la Unión Europea para la aplicación del futuro Reglamento sobre Inteligencia Artificial.