Normas de la Ley de IA de la UE para sistemas de IA de doble uso de contratistas de defensa
Sistemas de IA de doble uso y las normas que siguen aplicando
La Ley de IA de la UE excluye por completo de su ámbito, según el Artículo 2(3), los sistemas de IA desarrollados y utilizados exclusivamente para fines militares, de defensa o de seguridad nacional. Los sistemas con uso dual o aplicación civil, incluyendo la IA empleada en operaciones empresariales generales de contratistas de defensa, no están cubiertos por esa exclusión, y para esos sistemas aplica la misma lógica de aplazamiento que en cualquier otro caso: las obligaciones de alto riesgo del Anexo III se trasladan a diciembre de 2027, pero las prohibiciones, las obligaciones de modelos de propósito general y los deberes de transparencia nunca se aplazaron.
El riesgo práctico para un contratista es asumir que, porque el uso militar está excluido, todo sistema de IA con el que interactúa está exento. Esa suposición deja de ser válida en cuanto un sistema tiene cualquier aplicación civil o de doble uso, momento en el que la Ley completa, en gran parte no aplazada, aplica. Este artículo explica dónde está el límite y qué obligaciones tienen actualmente los sistemas sujetos a la Ley.
Resumen ejecutivo
Los contratistas de defensa deben trazar una línea clara entre la IA realmente exclusiva para uso militar o de seguridad nacional, que queda completamente fuera de la Ley, y la IA de doble uso o de negocio general, que sigue estando plenamente sujeta a obligaciones que nunca se aplazaron, incluyendo transparencia y deberes para modelos de propósito general. Para responsables de seguridad de programas y cumplimiento, la tarea práctica es clasificar cada sistema de IA según ese límite antes de asumir que el aplazamiento o la exclusión lo cubren.
Puntos clave
- La IA de uso puramente militar queda fuera del alcance de la Ley de IA por diseño, según el Artículo 2(3), y ninguna discusión sobre aplazamiento aplica porque nunca estuvo incluida.
- Los sistemas de IA de doble uso y los no específicos de defensa utilizados por contratistas de defensa, como herramientas empresariales generales, siguen plenamente dentro del alcance, incluido el aplazamiento.
- Sólo las obligaciones de alto riesgo del Capítulo III para sistemas sujetos fueron aplazadas, no toda la Ley.
- Las obligaciones de transparencia bajo el Artículo 50 no se retrasaron para ningún sistema sujeto y ya están vigentes.
- Las prácticas de IA prohibidas siguen estando vetadas para cualquier sistema sujeto, sin importar el calendario de alto riesgo.
Qué cubre realmente la exclusión militar
El Artículo 2(3) elimina del ámbito de la Ley los sistemas de IA desarrollados y utilizados exclusivamente para fines militares, de defensa o de seguridad nacional. Esta exclusión es más limitada de lo que parece.
Exclusividad es la palabra clave
Un sistema creado y utilizado solo para un fin militar o de seguridad nacional está excluido. Un sistema que también se venda o implemente para fines civiles, o que se use para funciones empresariales generales como recursos humanos o finanzas dentro de un contratista de defensa, no está cubierto por la exclusión solo por operar en el sector defensa.
Los sistemas de doble uso vuelven a estar plenamente sujetos
En cuanto un sistema tiene cualquier aplicación no militar, se evalúa bajo la Ley en los mismos términos que cualquier otro sistema de IA, incluyendo el calendario de aplazamiento que aplica a los sistemas de alto riesgo realmente sujetos.
Qué aplazó realmente el Digital Omnibus para los sistemas sujetos
Para los sistemas de IA que están dentro del alcance, el mecanismo de aplazamiento cubre las obligaciones de alto riesgo del Capítulo III, actualmente pospuestas hasta diciembre de 2027, porque los estándares técnicos necesarios para ponerlas en marcha no estaban listos a tiempo.
Un retraso dirigido al Capítulo III, no un reinicio de la Ley
Todo lo que queda fuera del Capítulo III, prohibiciones, obligaciones de modelos de propósito general y deberes de transparencia, sigue el calendario original de la Ley para cualquier sistema sujeto.
Qué ya está en vigor para los sistemas sujetos, con o sin aplazamiento
Las obligaciones de transparencia y divulgación, y los deberes para proveedores de modelos de IA de propósito general, aplican según el calendario original de la Ley y no fueron modificados por el Omnibus para ningún sistema no excluido bajo el Artículo 2(3).
Construir gobernanza de IA en torno al límite de alcance, no a una suposición
El punto de partida práctico para un contratista es clasificar cada sistema de IA según la exclusión militar primero, y luego aplicar el calendario estándar de obligaciones a todo lo que quede fuera de ella.
Cómo una Data Control Plane respalda las obligaciones de gobernanza de IA ya vigentes
La Data Control Plane de Kiteworks aplica controles de confianza cero basados en datos a cada acción que cualquier usuario o agente de IA realiza en cualquier canal, y registra cada una en un registro de auditoría inalterable y sin limitaciones que se integra directamente con herramientas SIEM, proporcionando a los contratistas el historial detallado y consultable que exigen las obligaciones de transparencia actuales para sus sistemas de IA sujetos.
Los contratistas que quieran ver cómo esto aplica a sus implementaciones de IA sujetas pueden agendar una demo personalizada.
Preguntas frecuentes
Los sistemas de IA desarrollados y utilizados exclusivamente para fines militares, de defensa o de seguridad nacional están excluidos bajo el Artículo 2(3). Esta exclusión no aplica a sistemas con cualquier aplicación civil o de doble uso.
Los sistemas de doble uso con cualquier aplicación civil o no militar quedan completamente dentro del alcance de la Ley y están sujetos a las mismas normas que otros sistemas de IA sujetos, incluyendo el calendario de aplazamiento para obligaciones de alto riesgo.
Sólo las obligaciones de alto riesgo del Capítulo III fueron aplazadas hasta diciembre de 2027. Las prohibiciones, obligaciones para modelos de IA de propósito general y deberes de transparencia no se aplazaron.
Las obligaciones de transparencia bajo el Artículo 50, la prohibición de prácticas de IA vetadas y los deberes para proveedores de modelos de IA de propósito general ya están en vigor para cualquier sistema no excluido bajo el Artículo 2(3).