Claves para entender el proyecto de ley de inteligencia artificial del Gobierno

Tal como adelantó la semana pasada DF, este miércoles el Gobierno ingresó a la Cámara de Diputados el proyecto de ley para regular los sistemas de Inteligencia Artificial (IA) en el país.

El mensaje consta de 31 artículos permanentes y tres disposiciones transitorias, cuyo contenido está dividido en el ámbito de aplicación, definiciones y clasificación de los sistemas de IA, gobernanza, medidas de apoyo a la innovación, infracciones y sanciones.

“Es un hito muy importante”, dijo la ministra de Ciencia Tecnología, Conocimiento e Innovación (CTCI), Aisén Etcheverry. “Estuvimos mucho tiempo trabajando en este proyecto de ley para asegurarnos de que diera cuenta de los avances internacionales en esta materia”, agregó.

Desde el estudio de abogados, Carey, el director José Ignacio Mercado, comentó que, en general, este proyecto de ley “tendrá menos resistencia que el primer proyecto presentado, en el sentido de que plantea un escenario más ágil y flexible y más alineado con las tendencias normativas y regulatorias europeas”.

1 Cómo se define un sistema de IA

Se trata de un sistema basado en máquinas que, por objetivos explícitos o implícitos infiere, a partir de la información que recibe, cómo generar predicciones, contenidos, recomendaciones o decisiones, entre otros, que pueden influir en entornos físicos o virtuales. Los distintos sistemas de IA pueden variar en sus niveles de autonomía y adaptabilidad tras su implementación.

2 ¿A quién regula?

El proyecto regula a proveedores de sistemas de IA; implementadores nacionales o extranjeros; importadores; distribuidores, y representantes autorizados domiciliados en territorio nacional.

El implementador es el usuario que pone a disposición del público el sistema de IA; el proveedor es quien lo desarrolla -y en algunos casos quien lo comercializa-; el importador es quien lo trae y pone a disposición como producto o servicio; y distribuidor es quien distribuye el producto o sistema de IA en un territorio.

En las definiciones, el concepto de operador se presenta en distintos supuestos -al igual como lo ocupa la regulación de IA de la UE- debido a que podrían darse distintos modelos de negocio en los cuales se comercializa un sistema de IA de cara al usuario o al consumidor final.

3 ¿En qué se diferencia con la ley de la UE y la regulación de EEUU?

La normativa de la Unión Europea propone un enfoque basado en riesgos -inaceptable, alto, limitado y mínimo- de dónde el Gobierno tomó la inspiración.

En tanto, el gobierno de Joe Biden en Estados Unidos, aprobó una Orden Ejecutiva que promueve la autorregulación de las empresas que desarrollen modelos generativos de IA, con foco en la seguridad.

Acerca de este punto, Mercado, señaló que el proyecto está “muy influenciado por la regulación europea, lo que se evidencia específicamente en el núcleo de ambos cuerpos legales, esto es, la clasificación de los sistemas de inteligencia artificial de acuerdo al nivel de riesgo”.

4 Clasificación por riesgo

Establece cuatro categorías de riesgo para los sistemas de IA: inaceptable, alto riesgo, riesgo limitado y sin riesgo evidente, prohíbe los primeros y estable reglas para los dos siguientes.

Los inaceptables quedan prohibidos porque son “incompatibles con el respeto y garantía de los derechos fundamentales de las personas”, como los de manipulación subliminal, categorización biométrica basada en datos personales sensibles –excepto aquellos usados para fines terapéuticos-; sistemas de calificación social genérica; sistemas de identificación remota en espacios públicos en tiempo real –a excepción de uso para temas de seguridad pública y persecución penal- o sistemas de evaluación de los estados emocionales de las personas. Por ejemplo, uso de sistemas de IA para crear deepfakes (videos falsos) de contenido sexual que explotan vulnerabilidades de niños, niñas y adolescentes.

Los de alto riesgo son aquellos sistemas o componentes que pueden afectar la salud y la seguridad de las personas, sus derechos fundamentales, los derechos de los consumidores o el medio ambiente. Para estos, establece una serie de reglas de gestión de riesgo, gobernanza de datos, documentación técnica, sistemas de registro, mecanismos de transparencia y supervisión humana. Por ejemplo, sistemas de IA para la contratación o selección de personas, en particular para analizar y filtrar solicitudes de empleo y evaluar candidatos.

Y para los de riesgo limitado, establece reglas de transparencia, por ejemplo, que el usuario sepa que está hablando con una máquina, como un chatbot de un servicio público que provee respuesta a consultas relacionadas con su esfera de competencias.

En la práctica, el Consejo Asesor de IA propondrá el criterio de estos estándares y la fiscalización y cumplimiento estará a cargo de la futura Agencia de Protección de Datos Personales.

5 ¿Regula los desarrollos ex ante o ex post?

A diferencia de la regulación de IA de la Unión Europea, la propuesta del Gobierno no es de carácter preventivo, sino que ex post. Esto es, que en lugar de exigir que las tecnologías pasen por un proceso de certificación o análisis antes de entrar al mercado, se establece que cada empresa clasifique sus sistema de IA en base al listado de riesgos que elaborará el consejo asesor y siga las distintas reglas y obligaciones para cada categoría.

6 ¿Frena o fomenta el desarrollo local de sistemas de IA?

Fuentes ligadas al proceso explican que espíritu del proyecto es establecer reglas y obligaciones con estándares más laxos o diferenciados cuando los desarrollos se traten de empresas de menor tamaño o startups, versus compañías grandes o multinacionales, con el objetivo de “no” poner un obstáculo regulatorio al desarrollo de la innovación.

José Ignacio Mercado -de Carey-, agregó que es “evidente que una ley que regule los sistemas de IA debería propender a fomentar el desarrollo e incorporación de aquellos sistemas de IA permitidos, y debería desincentivar el desarrollo de sistemas de riesgo prohibido”.

En esa línea, comentó que el fomento al desarrollo de sistemas de IA pasará por la “necesidad de que la autoridad busque la convergencia normativa y regulatoria necesaria para que este cuerpo legal se integre adecuadamente en el sistema jurídico, generando más certezas que dudas”.

7 Incentivos para empresas de menor tamaño y startups

El proyecto señala que a través de los Ministerios de CTCI y de Economía, el Estado proporcionará una serie de medidas orientadas a startups y empresas de menor tamaño, para fomentar la innovación.

Entre ellas, promover la realización de iniciativas de sensibilización, creación de capacidades y desarrollo de competencias digitales avanzadas en materia de usos vinculados a la IA, adaptadas a las necesidades de estas empresas.

También propone fomentar la participación de representantes de empresas de menor tamaño en el Consejo Asesor Técnico de IA y darles acceso prioritario a los espacios controlados de pruebas para la IA existentes, según disponibilidad presupuestaria.

8 ¿Qué son y cómo operarán los sandbox?

La propuesta plantea la creación de sanbox o espacios controlados de pruebas y validación de los sistemas de IA de startups y desarrolladores, los que pueden participar voluntariamente en ellos, antes de salir al mercado.

Estos espacios estarán a cargo de distintas entidades públicas. Por ejemplo, la Agencia de Protección de Datos puede tener uno para temas de privacidad, la Fiscalía Nacional Económica, para libre competencia, el Sernac para temas de consumidor y el Instituto de Salud Pública (ISP), para salud.

9 Rol del Consejo Asesor de IA

La propuesta regulatoria establece la creación de un Consejo asesor del Ministerio de CTCI.

Entre sus funciones está proponer un listado de sistemas de IA de alto riesgo y de riesgo limitado para elaborar el reglamento, sobre la base de criterios establecidos en la ley y será actualizado cada dos años.

Si bien no está estipulado cómo se elaborará el listado, desde el Ministerio de CTCI señalaron que no se partirá de cero, pues, en el marco de la Ley de IA de la UE, se esbozó un detalle preliminar de casos de sistemas de IA de alto riesgo y de riesgo limitado, los que podrían ser implementados por el consejo asesor propuesto en el proyecto.

También explicaron que serán las mismas empresas las que deberán “autoclasificarse” en base a la lista propuesta por el Consejo siguiendo la experiencia de EEUU, donde las empresas se autorregulan.

10 Agencia de Protección de Datos y Sanciones

La Agencia de Protección de Datos -entidad que crea el futuro proyecto de ley de Protección de Datos Personales actualmente en el Congreso-, será el ente a cargo de la fiscalización y el cumplimiento de esta ley, de resolver reclamos de personas afectadas y determinar las sanciones.

Los proveedores e implementadores deberán reportar los incidentes graves vinculados a un sistema de IA a la Agencia, y esta informará al operador para que tome las medidas correspondientes y en un plazo de 72 horas informe a los afectados.

Establece sanciones de 5.000 UTM (unos $ 325 millones) a 20.000 UTM (unos $ 1.300 millones).