El pasado 10 de julio de 2025, la Unión Europea publicó el Código de Buenas Prácticas para la IA de propósito general, una guía voluntaria que busca ayudar a las empresas tecnológicas a cumplir con la ambiciosa Ley de Inteligencia Artificial (AI Act), aprobada en junio de 2024 y considerada la regulación más importante del mundo en este ámbito.
Una respuesta ante la ambigüedad legal
La Ley de IA prohíbe usos como la puntuación social o la predicción policial, y limita aplicaciones de “alto riesgo” como los sistemas que generan puntuaciones crediticias o evalúan resultados educativos. Además, regula los sistemas de IA de propósito general (GPAI, por sus siglas en inglés), como los grandes modelos de lenguaje, imponiendo requisitos de transparencia, protección de derechos de autor y normas de seguridad y fiabilidad para los modelos considerados de riesgo sistémico, es decir, aquellos entrenados con más de 10²⁵ FLOPs.
Sin embargo, estas exigencias de seguridad eran demasiado vagas: se pedía evaluar y mitigar riesgos, pero sin aclarar cómo hacerlo. Esta falta de precisión generaba incertidumbre tanto en desarrolladores como en reguladores. El nuevo Código, publicado a tres semanas de que las obligaciones entren en vigor (el 2 de agosto de 2025), busca resolver esta laguna.
Qué incluye el Código de Buenas Prácticas
El documento se estructura en tres capítulos: Transparencia, Derechos de autor y Seguridad y fiabilidad. Este último solo afecta a las empresas cuyos modelos superan el umbral de riesgo sistémico definido por la ley.
En el apartado de seguridad, el Código exige a los proveedores de GPAI que diseñen marcos detallados para identificar y mitigar riesgos durante todo el ciclo de vida del modelo. Cada vez que se toma una decisión relevante (como lanzar una nueva versión), las empresas deben seguir tres pasos:
- Identificación: detectar posibles riesgos sistémicos, prestando especial atención a cuatro categorías: riesgos químicos, biológicos, radiológicos o nucleares (CBRN); pérdida de control sobre el sistema; capacidades ofensivas cibernéticas; y manipulación dañina.
- Análisis: evaluar cada riesgo mediante pruebas del modelo. Si el riesgo es mayor al de modelos ya disponibles en la UE, puede ser obligatorio recurrir a evaluadores externos.
- Determinación: decidir si el riesgo es aceptable. Si no lo es, deberán aplicarse medidas de mitigación.
Además, el Código obliga a establecer sistemas de monitorización continua, plazos estrictos para reportar incidentes graves (en cuestión de días), y estrategias de “previsión futura” ante la posibilidad de que los métodos actuales de seguridad no sean suficientes en el futuro. Las empresas podrán aplicar enfoques alternativos si demuestran que son igual o más seguros.
Presión empresarial para retrasar la ley
Apenas unos días antes de la publicación del Código de Buenas Prácticas, más de 45 empresas europeas (entre ellas Mistral AI, Airbus, ASML, Siemens Energy y Mercedes-Benz) enviaron una carta abierta a Bruselas solicitando una prórroga de dos años en la aplicación de la Ley de IA. Argumentan que, sin directrices claras ni un marco regulatorio armonizado, la legislación puede frenar la competitividad europea frente a Estados Unidos y China. La misiva, impulsada por la EU AI Champions Initiative, advierte que la normativa actual pone en riesgo tanto a los líderes tecnológicos como a sectores industriales clave.
Por qué las grandes empresas lo cumplirán
Aunque el Código no tiene carácter obligatorio, las empresas tienen un fuerte incentivo para adoptarlo. Cumplir con él reducirá la incertidumbre legal, ya que las autoridades europeas asumirán que quien siga el Código está cumpliendo también con la Ley de IA.
OpenAI y Mistral ya han anunciado que lo implementarán. Esto implica que muchos otros actores del sector también lo seguirán, consolidando estándares comunes. Además, el Código formaliza prácticas ya promovidas por la comunidad de seguridad en IA, como la publicación de frameworks de seguridad o las fichas técnicas de los sistemas (system cards).
Esta iniciativa europea podría restar urgencia a una legislación equivalente en Estados Unidos, ya que los principales desarrolladores de modelos de frontera, por ahora, están alineándose con los requisitos europeos.
La imagen de portada de esta noticia ha sido generada con ChatGPT.
