AI Act: guia completa del Reglament Europeu d'Intel·ligència Artificial

L'AI Act —oficialment Reglament (UE) 2024/1689 del Parlament Europeu i del Consell, de 13 de juny de 2024, pel qual s'estableixen normes harmonitzades en matèria d'intel·ligència artificial— és la primera regulació horitzontal del món sobre intel·ligència artificial. Publicat al Diari Oficial de la Unió Europea el 12 de juliol de 2024 i en vigor des de l'1 d'agost de 2024, defineix un marc comú per al desenvolupament, la comercialització i l'ús de sistemes d'IA als 27 Estats membres.

Com a reglament, és d'aplicació directa: no necessita transposició nacional. La seva aplicació, però, es fa de manera esglaonada fins a l'agost de 2027, amb tres fases anticipades que ja són en curs o molt properes.

Aquesta guia sintetitza els seus 13 capítols, 113 articles, 180 considerants i 13 annexos en un format pràctic perquè qualsevol responsable empresarial entengui què li exigeix l'AI Act, com es relaciona amb el RGPD i quins passos pot fer avui per preparar la seva organització.

AI Act i RGPD: com es relacionen

L'AI Act no substitueix el RGPD. Ho diu el mateix art. 2.7 del Reglament: l'AI Act s'aplica sense perjudici dels Reglaments (UE) 2016/679 i (UE) 2018/1725 i de les Directives 2002/58/CE i (UE) 2016/680. Quan un sistema d'IA tracta dades personals —que és la immensa majoria dels casos pràctics—, conviuen dos marcs normatius superposats: l'AI Act regula el sistema; el RGPD regula el tractament de dades.

Articulació pràctica: l'art. 26.11 de l'AI Act preveu expressament que el responsable del desplegament d'un sistema d'alt risc faci servir la informació facilitada pel proveïdor (art. 13) per complir la seva obligació d'avaluació d'impacte en protecció de dades (art. 35 RGPD). No són avaluacions intercanviables, però han de coordinar-se.

Estructura de l'AI Act: 13 capítols, 113 articles, 180 considerants i 13 annexos

L'AI Act és una de les normes europees més extenses de l'última dècada. La seva part expositiva consta de 180 considerants (recitals) que orienten la interpretació. La part dispositiva conté 113 articles distribuïts en 13 capítols. I es complementa amb 13 annexos tècnics.

Àmbit d'aplicació: a qui obliga l'AI Act?

L'art. 2 del Reglament delimita un àmbit subjectiu ampli. Queden inclosos:

• Proveïdors que introdueixin al mercat o posin en servei sistemes d'IA o models d'IA d'ús general a la Unió, amb independència que estiguin establerts a la UE o en un tercer país.
• Responsables del desplegament (deployers) establerts o ubicats a la Unió.
• Proveïdors i responsables del desplegament de tercers països, quan els resultats de sortida del sistema es facin servir a la Unió.
• Importadors i distribuïdors de sistemes d'IA.
• Fabricants de productes que integrin un sistema d'IA amb la seva marca.
• Representants autoritzats de proveïdors no establerts a la UE.
• Persones afectades ubicades a la Unió.

Queden exclosos (en virtut dels apartats corresponents de l'art. 2): els àmbits fora del Dret de la Unió, les competències en seguretat nacional, els sistemes usats exclusivament amb finalitats militars o de defensa, la recerca i el desenvolupament científics, les activitats de prova prèvies a la introducció al mercat i, amb matisos importants, els sistemes divulgats amb llicències lliures i de codi obert (llevat que siguin d'alt risc, entrin a l'art. 5 o estiguin sotmesos a l'art. 50). El propi art. 2.7 conté una clàusula de salvaguarda: l'AI Act s'aplica sens perjudici del RGPD, la Directiva ePrivacy i la resta de normativa europea aplicable.

Definicions clau (art. 3)

L'art. 3 conté 68 definicions. Aquestes són les que qualsevol responsable empresarial hauria de conèixer:

Calendari d'aplicació (art. 113)

L'art. 113 estableix un calendari esglaonat. La data que figura a cada article és vinculant: les prohibicions s'apliquen molt abans que les obligacions d'alt risc.

L'enfocament basat en el risc: quatre nivells

La filosofia regulatòria de l'AI Act és proporcional al risc. No regula la IA pel que és, sinó pel que fa i pel mal potencial que pot causar. El Reglament estableix quatre nivells d'exigència:

Pràctiques d'IA prohibides (art. 5)

L'art. 5.1 enumera les pràctiques que estan totalment prohibides a la Unió Europea, independentment del consentiment de l'afectat. Aquesta és la llista íntegra, amb la redacció propera al text oficial:

Aquestes prohibicions són aplicables des del 2 de febrer de 2025 (art. 113.a).

Sistemes d'IA d'alt risc (Capítol III)

Quan un sistema és d'alt risc

L'art. 6 estableix dues vies perquè un sistema sigui d'alt risc:

• Via 1 (art. 6.1): el sistema és component de seguretat d'un producte regulat per la legislació d'harmonització de la UE de l'annex I (màquines, joguines, ascensors, equips de protecció individual, productes sanitaris, automoció, aviació…) i aquest producte requereix avaluació de conformitat per tercer.
• Via 2 (art. 6.2): el sistema entra en alguna de les àrees de l'annex III.

L'art. 6.3 preveu una excepció: tot i encaixar en l'annex III, un sistema no es considerarà d'alt risc si "no planteja un risc important" perquè (a) fa una tasca procedimental limitada, (b) millora el resultat d'una activitat humana prèvia, (c) detecta patrons de decisió sense substituir la valoració humana, o (d) fa una tasca preparatòria. Aquesta excepció s'ha de justificar i documentar.

Les 8 àrees de l'annex III

Requisits per a sistemes d'alt risc (arts. 8–15)

La Secció 2 del Capítol III estableix els set grans requisits que ha de complir qualsevol sistema d'alt risc:

Obligacions del proveïdor (arts. 16–21)

• Art. 16: garantir que el sistema compleix els requisits de la Secció 2, indicar nom i dades de contacte, comptar amb un sistema de gestió de la qualitat, conservar la documentació, registrar els logs quan estiguin sota el seu control i sotmetre el sistema a l'avaluació de conformitat pertinent.
• Art. 17: implantar un sistema de gestió de la qualitat documentat.
• Art. 18: conservació de la documentació durant 10 anys després de la introducció al mercat o posada en servei.
• Art. 19: conservació dels registres generats automàticament, en la mesura que estiguin sota el control del proveïdor.
• Art. 20: mesures correctores i deure d'informació si el sistema no és conforme.
• Art. 21: deure de cooperació amb les autoritats competents.

Obligacions del responsable del desplegament / deployer (art. 26)

Qualsevol empresa que faci servir un sistema d'IA d'alt risc en la seva operativa professional —encara que no l'hagi desenvolupat— assumeix les obligacions de l'art. 26:

• Adoptar mesures tècniques i organitzatives adequades per fer servir el sistema d'acord amb les instruccions d'ús.
• Encomanar la supervisió humana a persones amb competència, formació i autoritat necessàries.
• Garantir que les dades d'entrada siguin pertinents i representatives, quan el deployer exerceixi control sobre elles.
• Vigilar el funcionament del sistema, informar el proveïdor i suspendre l'ús si es detecta un risc greu o un incident greu (art. 79 i art. 73).
• Conservar els logs generats automàticament durant almenys 6 mesos, llevat de termini diferent en una altra norma.
• Abans de posar en servei un sistema d'alt risc al lloc de treball, informar els representants dels treballadors i els treballadors afectats.
• Quan el deployer sigui una autoritat pública, registrar l'ús a la base de dades de la UE (art. 49).
• Utilitzar la informació de l'art. 13 per complir l'EIPD de l'art. 35 RGPD, quan escaigui.

Avaluació d'impacte en drets fonamentals — FRIA (art. 27)

Abans del primer ús, els deployers que siguin organismes de Dret públic, prestadors privats de serveis públics i deployers de sistemes de l'annex III en els àmbits 5.b (scoring creditici) i 5.c (assegurances de vida i salut) han de fer una avaluació d'impacte sobre els drets fonamentals: descripció de processos, període i freqüència d'ús, categories de persones afectades, riscos específics per als drets fonamentals, mesures de supervisió humana i mesures a aplicar en cas de materialització dels riscos.

Models d'IA d'ús general (GPAI): Capítol V

Els models d'IA d'ús general (General-Purpose AI Models, GPAI) —els que hi ha darrere de serveis com GPT, Claude, Gemini o Llama— es regulen al Capítol V. El Reglament distingeix dues categories:

L'art. 56 preveu que l'Oficina d'IA fomenti l'elaboració de codis de bones pràctiques que serveixin com a via per demostrar el compliment dels arts. 53 i 55. Si els codis no es finalitzen o es consideren inadequats, la Comissió pot establir normes comunes mitjançant actes d'execució.

Els proveïdors de GPAI establerts a tercers països han de designar un representant autoritzat a la Unió (art. 54).

Obligacions de transparència (art. 50)

Determinats sistemes d'IA, siguin o no d'alt risc, estan subjectes a obligacions específiques de transparència. La seva lògica és la mateixa: la persona exposada ha de saber que està davant d'un sistema d'IA, no davant d'un humà.

• Sistemes que interactuen amb persones (chatbots, agents conversacionals — art. 50.1): el proveïdor els ha de dissenyar de manera que les persones sàpiguen que estan interactuant amb un sistema d'IA, llevat que sigui evident per a una persona raonablement informada.
• Generació de contingut sintètic (text, àudio, imatge, vídeo — art. 50.2): els proveïdors —inclosos els de sistemes d'IA d'ús general— han de marcar els resultats en format llegible per màquina i fer detectable que han estat generats o manipulats artificialment.
• Reconeixement d'emocions i categorització biomètrica (art. 50.3): el deployer ha d'informar les persones exposades del funcionament del sistema i tractar les seves dades personals d'acord amb el RGPD.
• Ultrasuplantacions (deepfakes — art. 50.4): el deployer ha de fer públic que la imatge, àudio o vídeo ha estat generat o manipulat artificialment. Si es tracta d'obra creativa, satírica o de ficció manifestes, l'obligació es limita a fer pública l'existència del contingut sintètic sense dificultar el gaudi de l'obra. Per a textos publicats sobre assumptes d'interès públic, també s'ha de divulgar, llevat que hagi passat per revisió humana o control editorial amb responsable identificat.

La informació s'ha de facilitar de manera clara i distingible com a molt tard en la primera interacció (art. 50.5).

Sandboxes regulatoris per a la IA (arts. 57–61)

Cada Estat membre ha de garantir l'existència d'almenys un espai controlat de proves per a la IA a escala nacional, operatiu com a molt tard el 2 d'agost de 2026 (art. 57.1). És un entorn supervisat per l'autoritat competent en què proveïdors i proveïdors potencials poden desenvolupar, entrenar, provar i validar sistemes innovadors d'IA abans de la seva introducció al mercat, amb orientació regulatòria i possibilitat de proves en condicions reals.

Els sandboxes estan pensats especialment per a pimes i empreses emergents, que hi poden accedir amb prioritat i de manera gratuïta (art. 62).

Governança: AI Office, Consell d'IA i autoritats nacionals

El Capítol VII articula la governança en tres nivells:

• Oficina Europea d'IA — AI Office (art. 64): funció dins de la Comissió Europea, creada per la Decisió de la Comissió de 24 de gener de 2024. Concentra coneixements especialitzats i supervisa, entre altres coses, els models d'IA d'ús general amb risc sistèmic.
• Consell Europeu d'Intel·ligència Artificial — AI Board (art. 65): compost per un representant per Estat membre, amb el SEPD com a observador. Coordina l'aplicació coherent del Reglament, emet recomanacions, estableix subgrups permanents (inclòs el de cooperació administrativa, ADCO).
• Fòrum consultiu (art. 67) i grup d'experts científics independents (art. 68): assessorament tècnic independent.
• Autoritats nacionals competents (art. 70): cada Estat membre ha de designar una o diverses autoritats notificants i autoritats de vigilància del mercat.

A Espanya, l'autoritat nacional de supervisió designada amb caràcter general és l'Agència Espanyola de Supervisió de la Intel·ligència Artificial (AESIA), creada pel Reial decret 729/2023, de 22 d'agost, amb seu a la Corunya. Espanya va ser el primer Estat membre a constituir una autoritat específica per a la supervisió de la IA.

Convé precisar que l'AEPD reté competències pròpies sota l'AI Act. L'art. 74.8 designa les autoritats nacionals de protecció de dades com a autoritats de vigilància del mercat competents respecte dels sistemes d'IA d'alt risc quan s'utilitzen per a forces i cossos de seguretat, gestió de fronteres, administració de justícia i processos democràtics. En aquests àmbits, l'AEPD no només aplica el RGPD: també supervisa i, si escau, sanciona el compliment de l'AI Act. L'AEPD conserva, a més, totes les seves competències en matèria de protecció de dades personals sobre qualsevol tractament vinculat a sistemes d'IA.

Directrius interpretatives vs. interpretació jurídicament vinculant

Cal distingir entre directrius interpretatives administratives i interpretació jurídicament vinculant. Els dictàmens, resolucions, guies i informes elaborats per l'Oficina Europea d'Intel·ligència Artificial, el Consell d'IA, la Comissió Europea i l'Agència Espanyola de Supervisió de la Intel·ligència Artificial (AESIA) constitueixen instruments de suport interpretatiu molt valuosos i directrius dels òrgans de supervisió administrativa, però no tenen naturalesa d'interpretació legalment vinculant davant de jutjats i tribunals.

D'acord amb l'ordenament de la Unió, l'autoritat exclusiva per fixar de manera oficial, ferma i irrevocable la interpretació vinculant de l'articulat del Reglament (UE) 2024/1689 correspon únicament al Tribunal de Justícia de la Unió Europea (TJUE) mitjançant el plantejament de qüestions prejudicials (art. 267 TFUE).

Notificació d'incidents greus (art. 73)

Els proveïdors de sistemes d'IA d'alt risc han de notificar a les autoritats de vigilància del mercat qualsevol incident greu (definit a l'art. 3.49):

• Regla general: notificació immediata després d'establir un vincle causal i, com a molt tard, 15 dies.
• Infracció generalitzada o incident greu de l'art. 3.49.b: com a molt tard 2 dies.
• Mort d'una persona: com a molt tard 10 dies.

Règim sancionador (arts. 99–101)

L'art. 99 articula un règim de multes administratives en tres trams, a més de les mesures no pecuniàries (advertiments) que cada Estat membre pugui afegir. La quantia es determina per l'import o el percentatge, el que sigui superior (llevat de pimes i startups, vegeu més avall).

Pimes i empreses emergents (art. 99.6): per a aquesta categoria, cada multa serà pel percentatge o l'import el que sigui menor. És un tracte deliberadament proporcional que la mateixa exposició de motius del Reglament subratlla (considerants sobre suport a la innovació).

L'art. 101 preveu un règim específic per als proveïdors de models d'IA d'ús general, amb multes de fins a 15 milions d'euros o el 3 % del seu volum de negoci mundial anual.

Els trams de l'art. 99 són aplicables des del 2 d'agost de 2025 (art. 113.b), amb l'excepció de l'art. 101 (que s'aplica des de la data general).

Interacció amb altres normes

L'AI Act s'integra en un ecosistema regulatori europeu ampli. Aquestes són les relacions més rellevants:

• RGPD (Reglament UE 2016/679) i Reglament UE 2018/1725: l'art. 2.7 declara expressament que l'AI Act no n'afecta l'aplicació. L'EIPD de l'art. 35 RGPD i la FRIA de l'art. 27 de l'AI Act conviuen i s'han de coordinar.
• Directiva (UE) 2016/680 (Llei Orgànica 7/2021 a Espanya): protecció de dades en l'àmbit penal. Aplicable a la majoria d'usos de l'art. 5.1.h.
• Directiva NIS2 (UE 2022/2555): ciberseguretat d'entitats essencials i importants. Solapament amb el requisit de ciberseguretat de l'art. 15 i de l'art. 55.1.d de l'AI Act.
• Reglament de Dades (Data Act — UE 2023/2854) i Reglament de Governança de Dades (UE 2022/868): regulen l'accés, intercanvi i reutilització de dades que alimenten els sistemes d'IA.
• Reglament de Serveis Digitals (DSA — UE 2022/2065): regulació de plataformes en línia. L'art. 2.5 de l'AI Act preserva la seva aplicació als prestadors de serveis intermediaris.
• Directiva (UE) 2019/790 sobre drets d'autor: els proveïdors de GPAI han de respectar la reserva de drets de l'art. 4.3 d'aquesta Directiva (art. 53.1.c AI Act).
• Reglaments sectorials de l'annex I: productes sanitaris (UE 2017/745 i UE 2017/746), automoció, aviació, joguines, màquines, etc. Els sistemes d'IA que siguin components de seguretat d'aquests productes segueixen la "via 1" de l'art. 6.

Bones pràctiques: què fer avui a la teva empresa

Tot i que l'aplicació general de l'AI Act sigui l'agost de 2026, hi ha decisions que convé prendre ja. Aquestes són les prioritats per al període 2025–2026:

L'AI Act no és un tràmit documental: és una transformació operativa que afecta compres, RH, producte, màrqueting i seguretat. Com més aviat s'abordi com a projecte transversal —i no només com a annex del pla de compliment del RGPD—, més eficient resultarà el camí fins a l'agost de 2026.

A Certix acompanyem empreses tecnològiques i organitzacions de tots els sectors en l'articulació de l'AI Act amb el seu programa existent de protecció de dades. Pots veure el nostre enfocament per al sector tech a consultoria de protecció de dades per a empreses tecnològiques.

---

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació del Reglament (UE) 2024/1689 a cada cas concret requereix una anàlisi individualitzada del sistema d'IA, del rol de l'organització (proveïdor, responsable del desplegament, importador, distribuïdor) i de la concurrència amb altres normes, en particular el RGPD i la LOPDGDD. Les quanties de les sancions es citen a títol tècnic-informatiu i no com a criteri de decisió. La interpretació oficial correspon a la Comissió Europea, a l'Oficina Europea d'IA, al Consell Europeu d'IA i, a Espanya, a l'AESIA, sense perjudici de les competències de l'AEPD en matèria de protecció de dades personals. La normativa autonòmica sectorial pot ampliar o modificar aquests requisits.