"Primera multa en España por usar IA Generativa sin advertir al usuario". Audidat alerta de que este es el titular que podremos ver en muchos medios de comunicación a partir de agosto de 2025.
Si bien las prohibiciones y obligaciones en materia de alfabetización de Inteligencia Artificial (IA) entraron en vigor a partir del 2 de febrero de 2025, las normas de gobernanza y las obligaciones para los modelos de IA de uso general serán aplicables el 2 de agosto de 2025. Por tanto, este será el inicio de la exigibilidad de estas normas y obligaciones. No obstante, la UE ha dispuesto que las exigencias aplicables a los sistemas de IA de alto riesgo tienen un período transitorio ampliado hasta el 2 de agosto de 2027.
Este marco normativo se aplicará a los agentes tanto públicos como privados, de dentro y fuera de la UE, en la medida en que el sistema de Inteligencia Artificial se introduzca en el mercado de la Unión Europea o su uso afecte a personas establecidas en ella. En otras palabras, su ámbito de aplicación se ha dispuesto de forma extraterritorial, afectando a cualquier empresa que opere en el mercado de la UE, incluso si no tiene sede en Europa.
Sin embargo, la Agencia Española de Protección de Datos (AEPD), autoridad de control en materia de protección de datos personales, ha iniciado un procedimiento sancionador contra la Universitat Internacional Valenciana (UIV) por el uso de IA en el tratamiento de datos biométricos al utilizar sistemas de reconocimiento facial a su alumnado en evaluaciones y exámenes con el fin de prevenir el fraude educativo. La sanción se basa en la infracción del artículo 9 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD).
La AEPD determinó que “el consentimiento obtenido no era válido, ya que el rechazo por parte de los alumnos implicaba la pérdida de su derecho a la evaluación, y la aceptación obligatoria de condiciones generales al matricularse tampoco se consideró un consentimiento válido. Además, en la resolución dictada se rechaza que exista una base de legitimación del interés público esencial (art. 9.2.g) RGPD), dado que no existe actualmente ninguna ley nacional específica del ámbito educativo universitario […] que habilite expresamente a las universidades a realizar este tratamiento biométrico en el marco de los exámenes a distancia. Aunque la UIV invocó el artículo 46.3 de la Ley Orgánica de Universidades, que establece la obligación general de las universidades de verificar los conocimientos adquiridos por sus estudiantes, la AEPD considera insuficiente esta base normativa”.
En la resolución se afirma que sería precisa una ley habilitante específica, establezca qué casos, condiciones y supuestos pueden ser utilizados y que incardine la finalidad de prevención del fraude académico como interés público esencial perseguido.
A nivel extracomunitario, la Comisión Federal de Comercio de Estados Unidos también ha impuesto una multa de USD 193 mil a un presunto abogado digital, totalmente competente para dicha profesión y tareas. Esta sanción ha recaído sobre la compañía DoNotPay por el uso y divulgación de un chatbot que ofrece sus servicios para resolver asuntos legales.
¿Qué puedes hacer para saber si cumples la normativa de IA? España ha creado el primer sandbox de Inteligencia Artificial (IA), es decir, un entorno controlado de pruebas para una IA confiable con el propósito de fomentar la Inteligencia Artificial Responsable y apoyar especialmente a diferentes profesionales y entidades en el cumplimiento de los requisitos legales para los sistemas considerados de alto riesgo. La primera convocatoria se cerró en enero de 2025 y reunió a diferentes empresas, por lo cual Audidat hace un llamamiento a mantenerse informados y pendientes de nuevas convocatorias.
