Especialmente en el contexto global en el que se desarrollan y pretenden ser explotados los modelos IA de uso general, un aspecto relevante de las Directrices de la
Comisión sobre el alcance de las
obligaciones de los proveedores de modelos de IA de uso general (como continuación de la entrada anterior), es la determinación de quién es el proveedor que
introduce en el mercado de la Unión el modelo (o sistema de IA relevante) en
situaciones en las que tal modelo es desarrollado y puesto a disposición desde
un tercer Estado. Se trata de una cuestión que resulta determinante para establecer quién está obligado a cumplir con lo dispuesto en el Capítulo V RIA,
así como en qué medida proveedores de sistemas de IA que integran modelos GPAI
deben cumplir con las normas relevantes del RIA. Tras una referencia a los
presupuestos del ámbito de aplicación territorial del Capítulo V del RIA (I,
infra), se aborda a continuación la determinación
del proveedor del modelo de IA al que resulta aplicable el Capítulo V RIA (II), así como la determinación de la aplicación del Capítulo V del RIA en los casos en los
que los modelos GPAI están integrados en sistemas de IA (III), para concluir
con un par de reflexiones finales (IV).
I. Ámbito de aplicación territorial del Capítulo V del RIA: fundamentos
En relación con el ámbito territorial de
aplicación del Capítulo V RIA, el elemento más importante es lo dispuesto en el
artículo 2.1.a), según el cual el RIA se aplica a “los proveedores que
introduzcan en el mercado o pongan en servicio sistemas de IA o que introduzcan
en el mercado modelos de IA de uso general en la Unión, con independencia de si
dichos proveedores están establecidos o ubicados en la Unión o en un tercer
país”.
Las definiciones de sistema de IA y de modelo
de IA de uso general aparecen recogidas en los artículos 3(1) y 3(63) del RIA
(sobre la definición de sistema de IA también resultan de utilidad las Directrices específicas publicadas en su momento por la Comisión). Como dice el
considerando 99 del RIA, los grandes modelos de IA generativa son el paradigma
de modelo de IA de uso general, ya que permiten la generación de contenidos que
pueden adaptarse fácilmente a una amplia gama de tareas diferenciadas.
A los efectos aquí tratados, resultan de
interés las precisiones acerca de la interacción entre modelos de IA de uso
general y sistemas de IA contenidas en el considerando 97 RIA, que se reproducen parcialmente a continuación.
“El concepto de modelos de IA de uso
general debe definirse claramente y diferenciarse del concepto de sistemas de
IA con el fin de garantizar la seguridad jurídica. La definición debe basarse
en las características funcionales esenciales de un modelo de IA de uso
general, en particular la generalidad y la capacidad de realizar de manera
competente una amplia variedad de tareas diferenciadas… Aunque los modelos de
IA son componentes esenciales de los sistemas de IA, no constituyen por sí
mismos sistemas de IA. Los modelos de IA requieren que se les añadan otros
componentes, como, por ejemplo, una interfaz de usuario, para convertirse en
sistemas de IA. Los modelos de IA suelen estar integrados en los sistemas de IA
y formar parte de dichos sistemas. El presente Reglamento establece normas
específicas para los modelos de IA de uso general y para los modelos de IA de
uso general que entrañan riesgos sistémicos, que deben aplicarse también cuando
estos modelos estén integrados en un sistema de IA o formen parte de un sistema
de IA...”
Conforme
al artículo 3.9 RIA, «introducción en el mercado» se define como “la primera
comercialización en el mercado de la Unión de un sistema de IA o de un modelo
de IA de uso general”. Por su parte, el artículo 3.10 define «comercialización»
como “el suministro de un sistema de IA o de un modelo de IA de uso general
para su distribución o utilización en el mercado de la Unión en el transcurso
de una actividad comercial, previo pago o gratuitamente.”
II. Determinación del proveedor del modelo de IA al que resulta
aplicable el Capítulo V RIA
Como punto de partida, cabe señalar que los
apartados relevantes de las secciones 3.1.2 y 3.1.3 de las Directrices de la Comisión sobre el alcance de las obligaciones de los proveedores de modelos de IA de uso general, que
recogen sus precisiones sobre la cuestión tratada, dicen lo siguiente.
“3.1.2. Examples of placing on the market of general-purpose AI models
(53) The following list of examples gives insights into when a general-purpose AI model should be considered to be placed on the market, building on the examples given in recital 97 AI Act:
• a general-purpose AI model is made available for the first time on the
Union market via a software library or package;
• a general-purpose AI model is made available for the first time on the
Union market via an application programming interface (API);
• a general-purpose AI model is uploaded for the first time to a public catalogue,
hub, or repository for direct download on the Union market;
• a general-purpose AI model is made available for the first time on the
Union market as a physical copy;
• a general-purpose AI model is made available for the first time on the
Union market via a cloud computing service;
• a general-purpose AI model is made available for the first time on the
Union market by being copied onto a customer’s own infrastructure;
• a general-purpose AI model is integrated into a chatbot made available
for the first time on the Union market via a web interface;
• a general-purpose AI model is integrated into a mobile application made
available for the first time on the Union market via app stores;
• a general-purpose AI model is used for internal processes that are essential for providing a product or service to third parties or that affect the rights of natural persons in the Union.
(54) The above examples should be interpreted in line with the general guidance for the definition of ‘placing on the market’ provided in the Blue Guide and the relevant provisions in the AI Act (Articles 3(9) and (10), and recital 97 AI Act) and require case-by-case assessment.
La enumeración de ejemplos del apartado 53 no aporta ninguna información adicional para
concretar quién lleva a cabo la introducción en el mercado del modelo de IA o,
en su caso, del sistema en que se integra, en los casos en los que resulta
controvertidos. Por ejemplo, porque quien lo pone a disposición lo hace a
través de una biblioteca o de un interfaz en línea que permite la descarga
directa desde la UE (y cualquier otro lugar del mundo), pero la biblioteca o el
sitio web desde el que se descarga han sido creados, al igual que el sistema de
IA por una empresa china y sus contenidos están solo en chino.
Ciertamente, más aporta la remisión de su apartado 54 a la Comunicación de
la Comisión, «Guía azul» sobre laaplicación de la normativa europea relativa a los productos, de 2022, de la que se desprende que, una vez más, lo
determinante es el criterio de las actividades dirigidas.
En concreto, en el apartado 2.4 de la Guía azul cabe leer lo siguiente:
“2.4. Comercialización e
introducción en el mercado en el caso de las ventas a distancia y en línea
Los productos que se ofrecen a la venta en línea o mediante otros medios
de venta a distancia se consideran comercializados en la Unión si la oferta se
dirige a usuarios finales en la Unión (58). Esto significa que las autoridades
de vigilancia del mercado están facultadas para controlar y adoptar las medidas
necesarias en relación con dichos productos de conformidad con el Reglamento
(UE) 2019/1020 (véase el capítulo 7 más adelante). Una oferta de venta se
considera destinada a usuarios finales de la Unión si el operador económico
correspondiente dirige sus actividades, por cualquier medio, a un Estado
miembro. Para determinar si un sitio web que se encuentra dentro o fuera de la
UE se dirige a usuarios finales de la UE, debe estudiarse cada caso, teniendo
en cuenta todos los factores pertinentes, como las zonas geográficas a las que
el envío es posible, las lenguas disponibles utilizadas para la oferta o para
realizar el pedido, las posibilidades de pago, etc. Es insuficiente el hecho de
que la página web de los operadores económicos o de los intermediarios sea
accesible en el Estado miembro de establecimiento o domicilio del usuario final
(59). Si una interfaz en línea prevé la entrega en la UE, acepta el pago de
consumidores o usuarios finales de la UE y utiliza las lenguas de la UE, puede
considerarse que el operador ha optado expresamente por suministrar productos a
los consumidores u otros usuarios finales de la UE. La entrega física a
usuarios finales de la UE de un producto pedido a un determinado vendedor en
línea con sede fuera de la UE, incluso a través de prestadores de servicios
logísticos, confirma de manera irrefutable la introducción del producto en el
mercado de la UE.
La consecuencia jurídica es que, si la oferta está dirigida a usuarios
finales de la Unión, los productos ofrecidos a la venta en línea o mediante
otros medios de venta a distancia deben cumplir todas las normas aplicables de
la UE y pueden ser objeto de controles realizados por las autoridades de
vigilancia del mercado de conformidad con el Reglamento (UE) 2019/1020. El
operador económico que ofrece el producto a la venta en línea o mediante otros
medios de venta a distancia debe cooperar con las autoridades de vigilancia del
mercado, a petición de estas, para facilitar información sobre el cumplimiento
o para adoptar otras medidas (60). Si se venden productos a través de internet,
resulta útil indicar en el sitio web en cuestión el marcado CE y todas las
advertencias requeridas contempladas en la legislación aplicable y que estos
sean visibles antes de que el usuario final realice la compra.
La venta en línea o a distancia puede ser una forma específica de
comercializar productos, pero no necesariamente constituye la primera
comercialización del producto en el mercado de la Unión (es decir, la introducción
en el mercado). La introducción efectiva en el mercado de estos productos puede
ser distinta para cada producto individual, en función de la cadena de
distribución específica, por ejemplo:
—
La
venta a distancia o la oferta en línea pueden referirse a productos que ya han
sido introducidos en el mercado de la Unión. Este es el caso cuando el
fabricante de la UE o un importador ya los ha introducido en el mercado de la
Unión antes de ofrecerlos a la venta en línea o mediante otros medios de venta a
distancia.
—
Algunos
productos ofrecidos en línea o mediante otros medios de venta a distancia a
usuarios finales de la Unión se transfieren primero a prestadores de servicios
logísticos establecidos en la UE para garantizar su rápida entrega a los
usuarios finales de la UE. En consecuencia, se considera que los productos
almacenados por estos prestadores de servicios logísticos y despachados a libre
práctica se han suministrado para su distribución, consumo o uso en el mercado
de la UE y, por tanto, se han introducido en dicho mercado. Cuando un operador
en línea utiliza a un prestador de servicios logísticos de esta manera, los
productos enviados a la empresa de tramitación a distancia en la UE se
encuentran en la fase de distribución de la cadena de suministro (61). Estos
productos se consideran introducidos en el mercado en el momento de su despacho
a libre práctica.
—
Los
usuarios finales de la UE pueden comprar directamente algunos productos de
terceros países en línea o mediante otros medios de venta a distancia. Aunque
estos productos se consideran comercializados en la Unión antes de cualquier
transacción a efectos de los controles realizados por las autoridades de
vigilancia del mercado de conformidad con el Reglamento (UE) 2019/1020, se
introducen en el mercado en el momento en que un usuario final realiza y
confirma un pedido de un producto específico ya fabricado, objeto de la
transacción y listo para ser enviado.”
En definitiva, con respecto al proveedor del modelo GPAI, a los efectos de concretar su sometimiento al Capítulo V lo determinante parece ser el criterio de las actividades dirigidas, en relación con su actividad de puesta a disposición del modelo a través de bibliotecas, interfaces de programación de aplicaciones (API), como descarga directa o como copia física, etc. Si esa actividad va dirigida, entre otros, al mercado de la UE, le resulta aplicable, en caso contrario, no le resulta aplicable. Cabe esperar que la interpretación del criterio de las actividades dirigidas se haga en términos amplios (véase, por ejemplo y por analogía, esta entrada reciente), que aseguran una protección eficaz de los objetivos del RIA.
Primero, en los
apartados 55 y 56 de las Directrices, la Comisión recuerda lo que ya dice el
considerando 97 RIA, cuya primera parte aparece reproducida más arriba, pero
que continúa diciendo: “…Debe entenderse que las obligaciones de los
proveedores de modelos de IA de uso general deben aplicarse una vez que los
modelos de IA de uso general se introduzcan en el mercado. Cuando el proveedor
de un modelo de IA de uso general integre un modelo propio en un sistema de IA
propio que se comercialice o ponga en servicio, se debe considerar que dicho
modelo se ha introducido en el mercado y, por tanto, se deben seguir aplicando
las obligaciones establecidas en el presente Reglamento en relación con los
modelos, además de las establecidas en relación con los sistemas de IA.”
De momento, no
cambia nada, en esos supuestos hay que entender que el criterio de las
actividades dirigidas resulta determinante, del sometimiento del proveedor a
las normas del Capítulo V del RIA y también a las que le resulte de aplicación,
en tanto que proveedor que introduce en el mercado el sistema de IA que lo
integra.
Más problemáticas
pueden ser algunas de las precisiones adicionales de la Comisión, en relación
situaciones potencialmente muy relevantes, como son aquellas en las que el
proveedor del sistema de IA ha integrado el modelo GPAI de una empresa distinta
situada en un tercer Estado.
Respecto de estas
situaciones, en primer lugar, el apartado 57 de las Directrices dice lo
siguiente:
“(57) Second, when an upstream actor develops or has developed a
general-purpose AI model and makes the model available for the first time to a
downstream actor on the Union market, the model should be considered to have
been placed on the market and the upstream actor to be the provider of the
model. The upstream actor therefore has to comply with the obligations for
providers of general-purpose AI models. The downstream actor integrating the
model into an AI system and placing the system on the Union market or putting it
into service in the Union may be the provider of the system. In this case the
downstream actor has to comply with the applicable requirements and obligations
for AI systems laid down in the AI Act.”
Las precisiones del apartado 57 resultan
razonables. Cabe entender que el criterio de las actividades dirigidas resulta
también aquí determinante para apreciar que el modelo GPAI se ha comercializado
en la UE, de modo que es razonable que su proveedor quede sometido al Capítulo
V del RIA, así como que el proveedor del sistema de IA que lo integra quede
sometido a las normas relativas a los sistemas de IA del RIA.
“(58) Third, when an upstream actor develops or has developed a
general-purpose AI model and makes the model available for the first time to a
downstream actor outside the Union market, and the downstream actor integrates
the model into an AI system which it places on the Union market or puts into
service in the Union, the following considerations apply.
• To ensure that all general-purpose AI models used in the Union comply
with the requirements of the AI Act, the model should be considered to be
placed on the Union market once the system into which it is integrated is
placed on the Union market or put into service in the Union.
Cabe cuestionar si el alcance territorial que resulta del RIA
interpretado tal como lo hacen estos apartados 58 y 59 no puede resultar en
realidad excesivo, al ir más allá del criterio de las actividades dirigidas.
Si, conforme a lo que se dice en el apartado
58, se trata de situaciones en las que la entidad ha desarrollado el modelo
GPAI en un tercer Estado y lo ha comercializado también fuera de la UE, a quien
luego lo integra en el sistema de IA y lo introduce en el mercado o lo pone en
servicio en la Unión, cabe entender que, realmente, quien desarrolla y
comercializa el modelo GPAI fuera de la UE lo hace en circunstancias en las que
no dirige su actividad a la UE. Con respecto a un operador de ese tipo, puede
resultar excesivo considerar que es el proveedor del modelo en la Unión, a
menos que haya excluido, de forma clara e inequívoca, la distribución y el uso
del modelo en el mercado de la Unión, incluida su integración en sistemas de IA
destinados a ser comercializados o puestos en servicio en la Unión. En
realidad, esto último debe ser valorado al apreciar si su actividad va o no
dirigida a la Unión a los efectos de apreciar si el modelo ha sido
comercializado en la UE o fuera de él.
Interpretado en sentido amplio, el criterio
de las actividades dirigidas lleva normalmente a apreciar que quien tiene un
número significativo de clientes o usuarios en la UE dirige su actividad, entre
otros territorios, a la UE, salvo que precisamente adopte medidas efectivas
para excluir o bloquear el acceso a su modelo desde la UE. Cuando el modelo se
comercializa en línea, esa circunstancia resulta determinante para apreciar si
tal comercialización tiene lugar o no en la Unión. Si, habiendo tenido eso en
cuenta, el resultado es que el operador del tercer país sólo comercializa el
modelo fuera de la UE y, por lo tanto, no tiene conexión relevante con la UE ni
pretende beneficiarse del mercado de la UE, no parece justificado que se exija
a ese operador, ajeno al mercado europeo, que, además, haya excluido, de forma
clara e inequívoca, la distribución y el uso del modelo en el mercado de la
Unión, por ejemplo, en situaciones en las que un proveedor de un sistema de IA
aisladamente haya integrado ese modelo en el sistema que introduce en el
mercado de la Unión.
IV. Dos reflexiones finales
Una vez más, cabe recordar que, más allá de
la delimitación del ámbito territorial de aplicación del RIA, lo determinante será
exigir su cumplimiento efectivo respecto de los proveedores establecidos en
terceros Estados, también en aquellas situaciones en las que éstos
-precisamente por incumplir el RIA- carecen de un representante en la UE
designado conforme a las reglas del RIA. El desarrollo de las herramientas
legales efectivas para impedir la utilización en la UE de los modelos de IA
afectados y de los sistemas que los integran resultará clave para que el marco
legal sea efectivo.
Por último, cabe echar en falta precisiones
adicionales en las Directrices sobre un aspecto en el que el artículo 2 RIA aparece
formulado de modo que puede conducir, aunque sea solo en situaciones puntuales,
a un ámbito de aplicación territorial excesivo, como es su apartado 1.c) (véase
aquí, apdos. 19 a 23). Esa disposición prevé su aplicación a “los proveedores
y responsables del despliegue de sistemas de IA que estén establecidos o
ubicados en un tercer país, cuando los resultados de salida generados por el
sistema de IA se utilicen en la Unión”.
