Con el real decreto recientemente aprobado España establece un entorno controlado de pruebas para la aplicación experimental de la propuesta del Reglamento de la UE sobre la inteligencia artificial.
El pasado 9 de noviembre se publicó en el Boletín Oficial del Estado el Real Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial (IA), tras haberse sometido a audiencia pública el proyecto en el mes de mayo (tal y como apuntábamos aquí).
Se da con ello un importante paso para poner en marcha el primer entorno controlado de pruebas para la implementación de los requisitos aplicables a los sistemas de IA.
El propósito último de la nueva norma es obtener unas guías basadas en la evidencia y la experimentación que faciliten a las entidades (especialmente, las pequeñas y medianas empresas), y a la sociedad en general, el alineamiento con la Propuesta de Reglamento UE por el que se establecen normas armonizadas en la materia, también conocido como futura Ley europea de Inteligencia Artificial, en tramitación ante las instituciones europeas.
No se trata del primer sandbox regulatorio que se crea en España (dado que existen ya para el sector financiero y el eléctrico), pero sí será la primera experiencia de vigilancia regulatoria de la IA. Su creación va en la línea de lo que la versión inicial del Reglamento UE, de abril de 2021, contempló solamente como la posibilidad de los Estados miembros de constituir bancos de pruebas de este tipo y que después las enmiendas introducidas en junio de este año han pasado a prever como una obligación.
A pesar de que el nuevo Real Decreto 817/2023 contiene múltiples modificaciones respecto del proyecto sometido a audiencia pública, se mantienen sus elementos esenciales, de los que podemos destacar los siguientes:
- Elegibilidad: podrán participar en el entorno tanto proveedores de IA como usuarios (personas jurídicas privadas y entidades del sector público), estos últimos siempre que el correspondiente proveedor acceda conjuntamente al entorno.
El proveedor IA podrá presentar una o varias propuestas de sistema de IA (de alto riesgo, de propósito general o modelos fundacionales), que podrán ser nuevos desarrollos o sistemas ya establecidos. Eso sí, los sistemas tendrán que haber alcanzado, al menos, un nivel de desarrollo suficientemente avanzado como para poder comercializarse o ponerse en servicio dentro del marco temporal del entorno controlado de pruebas o a su finalización.
En este sentido, se prevé que el sandbox dejará de estar operativo transcurridos 36 meses desde su creación o, si sucede antes, cuando el Reglamento de la UE se apruebe definitivamente.
- Exclusiones: determinados tipos de sistemas de IA no podrán participar en el sandbox, como los destinados a actividades militares, de defensa o de seguridad nacional; los que se sirvan de ciertas técnicas subliminales o se aprovechen de vulnerabilidades personales; los que tengan por finalidad la realización de determinadas evaluaciones o clasificaciones de personas físicas; o los de identificación biométrica remota en tiempo real, salvo en algunos supuestos de interés público.
- Convocatoria: para participar en el sandbox será preciso solicitarlo en el plazo de 20 días desde que la Secretaría de Estado de Digitalización e Inteligencia Artificial (a la que la norma atribuye la condición de “órgano competente”) publique la correspondiente convocatoria, que especificará, entre otras condiciones, el número de sistemas de inteligencia artificial a seleccionar, la duración del entorno controlado de pruebas, las condiciones para la participación o los requisitos para la evaluación de las solicitudes.
El pasado mes de octubre, cuando el proyecto de real decreto se encontraba todavía en tramitación, el Ministerio de Asuntos Económicos y Transformación Digital, a través de la citada Secretaría de Estado, realizó una convocatoria para que entidades y expertos interesados en participar en el sandbox pudieran registrarse anticipadamente. No obstante, se trataba de una mera posibilidad que en ningún caso conferiría preferencia alguna.
- Solicitud de participación: los interesados presentarán sus solicitudes a través de la sede electrónica asociada del Ministerio de Asuntos Económicos y Transformación Digital, acompañando los siguientes documentos:
- Una memoria técnica con el contenido mínimo previsto en el Anexo III, dentro del cual se incluyen elementos como el tipo de sistema de IA (alto riesgo, propósito general o modelo fundacional); la descripción de aspectos como el propósito previsto para el sistema de IA, su funcionamiento y técnicas de diseño o el papel del proveedor; unas breves instrucciones de uso y aplicación; su estado (completamente desarrollado, puesto en servicio, introducido en el mercado, etc.); los Estados de la UE en los que, en su caso, se implantará; determinada información cuando deba superar una evaluación de conformidad; el plan de cumplimiento de la legislación sectorial específica que le sea aplicable; o el alcance estimado del sistema en número de personas afectadas.
- Una declaración responsable que acredite el cumplimiento de la normativa relativa a la protección de datos personales.
- Valoración: las solicitudes presentadas serán evaluadas por la Subdirección General de Inteligencia Artificial y Tecnologías Habilitadoras Digitales en función de los diferentes criterios previstos (grado de innovación, impacto social, explicabilidad y transparencia del algoritmo, grado de madurez, calidad de la memoria técnica, etc.).
Sobre la base de dicha evaluación se elevará propuesta de resolución motivada, frente a la que los interesados solicitantes podrán formular alegaciones en el plazo de 10 días.
- Resolución: la Secretaría de Estado de Digitalización e Inteligencia Artificial dictará resolución en el plazo máximo de 60 días hábiles desde la fecha de publicación de la convocatoria. Parece que se descarta así la participación en el proceso de selección de la Agencia Española de Supervisión de Inteligencia Artificial, recientemente creada (y sobre la que hemos hablado aquí).
El vencimiento de dicho plazo de resolución sin que se haya dictado o notificado resolución expresa permitirá a los interesados entender desestimadas sus solicitudes. El nuevo real decreto sólo prevé la posibilidad de interponer recurso de reposición o contencioso-administrativo contra la resolución expresa, si bien entendemos que la desestimación presunta de la solicitud debería poder ser impugnada igualmente.
- Desarrollo de las pruebas: el objetivo del entorno de pruebas será implementar en los sistemas determinados requisitos técnicos de IA acordados desde el inicio mediante un plan y sobre la base de las especificaciones facilitadas por la Secretaría de Estado, que podrá poner a disposición de los participantes guías técnicas de ayuda y asesoría personalizada que faciliten las tareas a realizar.
Durante el desarrollo del entorno controlado de pruebas, se establecerán mecanismos de diálogo e intercambio de información entre los proveedores IA y usuarios participantes y la Secretaría de Estado.
Se reconoce el derecho de proveedores y usuarios a retirarse voluntariamente del entorno controlado de pruebas por motivos justificados.
- Declaración de cumplimiento: una vez finalizada la implantación de los requisitos en los sistemas de IA, el proveedor participante deberá realizar una declaración de cumplimiento, que se iniciará con un proceso de autoevaluación conforme a las recomendaciones que facilite la Secretaría de Estado y finalizará con la exposición de dicha autoevaluación ante ese mismo órgano. En todo caso, la autoevaluación no tendrá efectos fuera del estricto ámbito del entorno controlado.
- Obligación de seguimiento: superada la fase de acreditación del cumplimiento, tanto el proveedor IA como, en su caso, el usuario participante deberán implementar, conforme a un plan de monitorización, un sistema de seguimiento posterior a la comercialización que sea proporcional a los riesgos y al uso previsto del sistema IA.
- Informe final: la participación en el entorno concluirá con la elaboración de un informe con el contenido indicado en las guías que ofrezca la Secretaría de Estado.
- Conclusiones: basándose en los resultados obtenidos en el entorno de pruebas, la Secretaría de Estado publicará un informe con las conclusiones sobre el desarrollo, buenas prácticas y recomendaciones, así como otros aspectos de interés, con la finalidad de contribuir a los trabajos en curso sobre normalización y otras acciones preparatorias a escala de la UE de apoyo a la aplicación del futuro Reglamento.