Glosario del Reglamento de IA de la UE: Definiciones y Términos Clave Explicados

Definiciones oficiales del Reglamento de IA de la UE (Art. 3) y términos de uso común en la regulación de IA de la UE. Comprender qué significa el Reglamento por 'sistema de IA', 'proveedor', 'alto riesgo', 'modificación sustancial' y 'modelo GPAI' es esencial para el cumplimiento. Este glosario cubre todos los términos principales con explicaciones en lenguaje llano.

Definiciones Principales (Art. 3)

El Reglamento de IA de la UE contiene 65 términos definidos en el Art. 3. Los más importantes para el cumplimiento se resumen a continuación.

Sistema de IA (Art. 3(1))

Un sistema basado en máquinas que:

• Funciona con distintos niveles de autonomía
• Puede mostrar adaptabilidad tras su implantación
• Infiere, a partir de las entradas, cómo generar resultados (predicciones, contenidos, recomendaciones, decisiones) que pueden influir en entornos físicos o virtuales

Implicación clave: La definición es neutral en cuanto a la tecnología. No requiere aprendizaje profundo ni redes neuronales — un sistema basado en reglas con componentes adaptativos puede calificar. Por el contrario, un árbol lógico simple de si-entonces sin capacidad de aprendizaje probablemente no califica.

Proveedor (Art. 3(3))

Cualquier persona física o jurídica, autoridad pública, agencia u organismo que desarrolla un sistema de IA o lo encarga desarrollar y lo comercializa o pone en servicio bajo su propio nombre o marca — ya sea a título oneroso o gratuito.

Implicación clave: Responsabilidad de desarrollo + comercialización = estatus de proveedor. Una empresa que encarga una construcción de IA personalizada a un desarrollador externo es el proveedor si el sistema se comercializa bajo la marca de la empresa.

Operador (Art. 3(4))

Cualquier persona física o jurídica, autoridad pública, agencia u organismo que utiliza un sistema de IA bajo su autoridad con fines profesionales — excepto cuando el uso sea en una actividad personal no profesional.

Implicación clave: La gran mayoría de las empresas que usan IA adquirida de terceros son operadores. Las obligaciones del operador son menos onerosas que las del proveedor, pero siguen siendo significativas para los sistemas de alto riesgo.

Representante Autorizado (Art. 3(5))

Cualquier persona física o jurídica establecida en la Unión que ha recibido un mandato escrito de un proveedor de un sistema de IA establecido fuera de la Unión para llevar a cabo las obligaciones en nombre de ese proveedor.

Implicación clave: Los proveedores no pertenecientes a la UE de sistemas de IA comercializados en el mercado de la UE deben designar un representante autorizado con sede en la UE. Este representante puede ser considerado jurídicamente responsable de las obligaciones del Reglamento de IA de la UE del proveedor.

Importador (Art. 3(6))

Cualquier persona física o jurídica establecida en la Unión que comercializa en el mercado de la UE un sistema de IA que lleva el nombre o la marca de una persona física o jurídica establecida fuera de la Unión.

Distribuidor (Art. 3(7))

Cualquier persona física o jurídica en la cadena de suministro, distinta del proveedor o el importador, que pone a disposición un sistema de IA en el mercado de la Unión sin modificarlo.

Operador (Art. 3(8))

Un término colectivo que cubre a los proveedores, representantes autorizados, importadores, distribuidores, operadores y cualquier otra persona sujeta a obligaciones en virtud del Reglamento.

Fin Previsto (Art. 3(12))

El uso para el que un proveedor pretende un sistema de IA, incluido el contexto específico y las condiciones de uso especificados en la información suministrada por el proveedor en las instrucciones de uso, los materiales promocionales o de ventas, o las declaraciones.

Implicación clave: El fin previsto determina qué categoría de riesgo se aplica y qué requisitos deben cumplirse. Un sistema destinado a la puntuación crediticia es de alto riesgo (Anexo III); el mismo modelo subyacente destinado al filtrado de spam puede no serlo. Los proveedores no pueden escapar de la clasificación de alto riesgo dejando el fin previsto vago — el Reglamento mira a toda la información sobre el diseño y la comercialización del sistema.

Uso Indebido Razonablemente Previsible (Art. 3(13))

El uso de un sistema de IA de una manera que no está en consonancia con su fin previsto pero que puede resultar de un comportamiento humano razonablemente previsible o de la interacción con otros sistemas.

Implicación clave: Los proveedores deben evaluar y abordar el uso indebido previsible en sus sistemas de gestión de riesgos — no solo el caso de uso previsto. Un sistema de reconocimiento facial destinado al control de acceso debe abordar el riesgo previsible de que pueda usarse para vigilancia en tiempo real.

Componente de Seguridad (Art. 3(14))

Un componente de un producto o de un sistema de IA que cumple una función de seguridad para ese producto o sistema de IA, o cuyo fallo o mal funcionamiento pone en peligro la salud y la seguridad de las personas o la propiedad.

Implicación clave: Los sistemas de IA que son componentes de seguridad de productos cubiertos por la legislación sectorial del Anexo I están automáticamente sujetos a los requisitos de alto riesgo, independientemente de si la propia IA presenta un riesgo directo.

Comercialización (Art. 3(9))

La primera puesta a disposición de un sistema de IA o de un modelo de IA de uso general en el mercado de la Unión.

Puesta en Servicio (Art. 3(11))

El suministro de un sistema de IA para su primer uso directamente al operador o para uso propio en el mercado de la Unión para su fin previsto.

Implicación clave: Tanto la «comercialización» (vender a otros) como la «puesta en servicio» (usar uno mismo) desencadenan las obligaciones del proveedor. Una empresa que construye un sistema de IA para uso interno lo está poniendo en servicio y es un proveedor sujeto a todas las obligaciones.

Sistema de IA de Alto Riesgo

No definido en una sola oración — clasificado por referencia al Anexo I (componentes de seguridad en productos regulados) y al Anexo III (casos de uso de alto riesgo independientes). El nivel de riesgo depende del fin previsto y del contexto de despliegue, no de la tecnología subyacente.

Categorías de alto riesgo del Anexo III:

1. Identificación y categorización biométrica
2. Gestión de infraestructuras críticas
3. Educación y formación profesional
4. Empleo, gestión de trabajadores, acceso al trabajo por cuenta propia
5. Acceso y disfrute de servicios privados y públicos esenciales y prestaciones públicas
6. Aplicación de la ley
7. Migración, asilo, gestión del control fronterizo
8. Administración de justicia y procesos democráticos

Modelo de IA de Uso General (GPAI) (Art. 3(63))

Un modelo de IA, incluido cuando se entrena con una gran cantidad de datos utilizando la autosupervisión a escala, que muestra una generalidad significativa y es capaz de realizar de manera competente una amplia variedad de tareas distintas independientemente de la forma en que el modelo se comercialice — que puede usarse en una variedad de aplicaciones derivadas.

Distinción clave de los sistemas de IA: Un modelo GPAI no es todavía un sistema de IA. Se convierte en parte de un sistema de IA cuando se integra en un producto o aplicación. El Reglamento impone obligaciones a los proveedores de modelos GPAI por separado de (y además de) las obligaciones sobre los proveedores de sistemas de IA construidos con modelos GPAI.

Modelo GPAI con Riesgo Sistémico (Art. 3(65))

Un modelo GPAI designado como de riesgo sistémico porque tiene capacidades de alto impacto evaluadas según herramientas y metodologías técnicas apropiadas, o por su alcance de alto impacto real o razonablemente previsible.

El indicador actual es un cómputo de entrenamiento acumulado superior a 10^25 FLOPs. Se pueden aplicar criterios adicionales mediante acto delegado de la Comisión.

Incidente Grave (Art. 3(49))

Cualquier incidente o mal funcionamiento de un sistema de IA que lleve directa o indirectamente a:

• Muerte de una persona o daños graves a la salud de una persona
• Una interrupción grave e irreversible de la gestión y operación de infraestructuras críticas
• Infracción de obligaciones en virtud del Derecho de la Unión destinadas a proteger los derechos fundamentales
• Daños graves a la propiedad o al medio ambiente

Modificación Sustancial (Art. 3(23))

Un cambio en un sistema de IA tras su comercialización o puesta en servicio que no está previsto ni planificado en la evaluación de la conformidad inicial y que afecta al cumplimiento del sistema de IA con los requisitos del Reglamento o que da lugar a un cambio en el fin previsto.

Evaluación de la Conformidad (Art. 3(20))

El proceso de verificación de si un sistema de IA de alto riesgo cumple los requisitos establecidos en el Capítulo III, Sección 2 del Reglamento. Las evaluaciones de la conformidad pueden ser realizadas por el proveedor (autoevaluación) o por un organismo notificado (evaluación por terceros), dependiendo del tipo de sistema.

Organismo Notificado (Art. 3(22))

Un organismo de evaluación de la conformidad designado por un Estado miembro para llevar a cabo actividades de evaluación de la conformidad por terceros para sistemas de IA de alto riesgo. Los organismos notificados son el equivalente del Reglamento de IA a los organismos de marcado CE utilizados en la regulación tradicional de productos.

Autoridad de Vigilancia del Mercado (Art. 3(26))

La autoridad nacional responsable de llevar a cabo la vigilancia del mercado en virtud del Reglamento de IA. Los Estados miembros deben designar al menos una autoridad de vigilancia del mercado por Estado miembro.

Marcado CE (Art. 3(30))

La marca mediante la que un proveedor indica que un sistema de IA de alto riesgo cumple con los requisitos del Reglamento de IA y otra legislación de la Unión aplicable que prevea su colocación.

Términos Específicos del Sector

Datos Biométricos (importados del RGPD)

Datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona.

Sistema de Identificación Biométrica Remota (Art. 3(40))

Un sistema de IA destinado a la identificación de personas físicas a distancia mediante la comparación de los datos biométricos de una persona con los datos biométricos contenidos en una base de datos de referencia, sin que el usuario del sistema de IA sepa de antemano si la persona estará presente y podrá ser identificada.

Implicación clave: La identificación biométrica remota en tiempo real en espacios de acceso público está prohibida con fines de aplicación de la ley con excepciones limitadas (Art. 5).

Modelo de Base

No está definido en el Reglamento de IA — el Reglamento usa «modelo GPAI» en su lugar. Modelo de base es un término de la industria de uso común para los modelos preentrenados a gran escala. Para fines regulatorios, use «modelo GPAI».

Ajuste Fino

No está definido en el Reglamento. Adaptación de un modelo GPAI a un dominio o tarea específica mediante entrenamiento adicional. Si el ajuste fino da como resultado un modelo sustancialmente diferente que se comercializa, el que lo ajusta puede convertirse en proveedor de ese nuevo modelo.

Términos Procedimentales

Documentación Técnica (Anexo IV)

El paquete de documentación estructurada que los proveedores de sistemas de IA de alto riesgo deben preparar antes de la comercialización y mantener durante todo el ciclo de vida del sistema. Incluye la descripción del sistema, la lógica de diseño, la información sobre los datos de entrenamiento, los resultados de las pruebas, la documentación de gestión de riesgos y el plan de vigilancia poscomercialización.

Declaración UE de Conformidad (Art. 3(37))

Un documento formal firmado por el proveedor que declara que el sistema de IA de alto riesgo cumple todos los requisitos aplicables del Reglamento. Es la base jurídica para colocar el marcado CE.

Instrucciones de Uso (Art. 3(15))

Información proporcionada por el proveedor para informar al operador del fin previsto del sistema de IA, el rendimiento, las especificaciones técnicas y las condiciones de uso — incluidas las restricciones y los riesgos previsibles.

Plan de Vigilancia Poscomercialización (Art. 3(32))

El plan documentado establecido por un proveedor para recopilar y revisar la experiencia adquirida del funcionamiento de un sistema de IA de alto riesgo después de que haya sido comercializado o puesto en servicio.

Evaluación de Impacto sobre los Derechos Fundamentales (Art. 27)

Una evaluación que los operadores del sector público (y determinados operadores privados) deben realizar antes de desplegar un sistema de IA de alto riesgo, evaluando el impacto sobre los derechos fundamentales de las personas afectadas.