La intel·ligència artificial s’ha integrat, en poc temps, en l’activitat quotidiana de les empreses. Eines com ChatGPT,  Copilot, Gemini i altres solucions d’IA  generativa s’utilitzen habitualment per a elaborar documents, analitzar informació, gestionar relacions amb clients, optimitzar processos interns i donar suport a la presa de decisions.

Per a garantir un ús segur, transparent i responsable d’aquestes tecnologies, la Unió Europea ha aprovat el Reglament (UE) 2024/1689 d’Intel·ligència Artificial (AI Act), la primera norma que regula la intel·ligència artificial i d’aplicació  directa en tots els Estats membres.

Per què és important per a les empreses espanyoles?

L’AI Act va entrar en vigor l’1  d’agost de 2024 i, com a reglament europeu, s’aplica directament a Espanya, sense necessitat de transposició. No obstant això, la seva aplicació s’està desplegant de manera gradual, de manera que determinades obligacions ja són exigibles per a empreses i organitzacions.

Així mateix, Espanya participa en el sistema europeu de supervisió a través de l’Agència  Espanyola de Supervisió de la Intel·ligència Artificial (*AESIA), sense perjudici de les competències que puguin correspondre a altres autoritats sectorials.

A qui afecta?

Un dels aspectes més rellevants del reglament  és que la seva aplicació no es limita a les empreses tecnològiques que desenvolupen sistemes d’intel·ligència artificial.

També pot afectar qualsevol organització que utilitzi eines d’IA en el desenvolupament de la seva activitat, amb independència de la seva dimensió o sector.

A tall d’exemple:

• Empreses que utilitzen ChatGPT o Copilot per a redactar propostes, informes o comunicacions.
• Departaments de recursos humans que empren eines d’intel·ligència artificial per a filtrar candidatures.
• Empreses que utilitzen bots per a l’atenció al client.
• Organitzacions que empren sistemes d’anàlisi predictiva de vendes, riscos o comportaments de clients.
• Empreses que utilitzen eines de generació automàtica d’imatges, vídeos o continguts comercials.

En la majoria de casos, l’ús habitual d’eines d’IA generativa com a suport a tasques de productivitat no implica, per si mateix, usar sistemes d’intel·ligència artificial qualificats com d’alt risc. No obstant això, continua sent aconsellable establir criteris interns d’utilització, supervisió i protecció de la informació.

Dates clau

Encara que el Reglament Europeu d’Intel·ligència Artificial va entrar en vigor l’1  d’agost de 2024, la seva aplicació és progressiva. Les primeres obligacions van començar a exigir-se en febrer de 2025 i, des d’agost de 2026, és aplicable una part essencial de la regulació que afecta tant els desenvolupadors com les empreses usuàries de sistemes d’intel·ligència artificial.

Pràctiques prohibides

L’AI Act considera de risc inacceptable alguns usos de la intel·ligència artificial i prohibeix, entre altres, els següents:

• Sistemes que manipulin el comportament de les persones mitjançant tècniques enganyoses o subliminals.
• Sistemes que explotin vulnerabilitats derivades de l’edat, la discapacitat o situacions d’especial vulnerabilitat.
• Sistemes de puntuació social (social scoring).
• Determinats sistemes de reconeixement d’emocions en els àmbits laboral i educatiu.
• Determinats sistemes de categorització biomètrica o d’identificació biomètrica remota.

Obligacions per a les pimes

Encara que les obligacions més exigents recauen principalment sobre els desenvolupadors i proveïdors, les empreses usuàries d’aquestes eines també han d’adoptar mesures de control i compliment.

Entre les principals actuacions recomanables figuren:

1.Identificar les eines d’IA utilitzades

És convenient disposar d’un inventari intern de les eines d’intel·ligència artificial autoritzades per l’organització.

Exemples: ChatGPT, Copilot,*Gemini, Claude, sistemes de traducció automàtica o aplicacions d’IA integrades en plataformes de gestió.

2.Formar  les persones que utilitzen aquestes eines

El Reglament estableix que tant els proveïdors com els usuaris professionals han d’adoptar les mesures necessàries per a garantir un nivell adequat d’alfabetització en intel·ligència artificial entre les persones que operen o utilitzen aquests sistemes, ateses les funcions que exerceixen i al context en el qual s’empren.

3. Garantir la supervisió humana

La intel·ligència artificial constitueix una valuosa eina de suport per a la presa de decisions. No obstant això, determinades decisions amb efectes rellevants no haurien d’adoptar-se de forma exclusivament automatitzada.

Exemple: no resulta aconsellable descartar automàticament una candidatura únicament perquè una eina d’IA li hagi assignat una puntuació baixa.

4.Protegir les dades i la informació confidencial

La utilització d’eines d’intel·ligència artificial ha de coordinar-se amb les obligacions derivades de la normativa en matèria de protecció de dades, privacitat i confidencialitat.

Exemple: convé evitar la incorporació a plataformes obertes de contractes, informació sensible de clients, dades financeres o documentació estratègica de l’empresa en una IA que utilitzi la informació proporcionada per a entrenar el model.

5.Informar quan escaigui

En determinats suposats serà necessari informar els usuaris que estan interactuant amb un sistema d’intel·ligència artificial.

Exemple: un bot destinat a l’atenció al client hauria d’identificar-se de manera clara com una eina automatitzada d’IA.

Normativa espanyola complementària

L’entrada en vigor de l’AI Act no substitueix la resta d’obligacions ja existents. Per contra, la seva aplicació ha de coordinar-se amb la resta de les normes.

En funció de l’ús concret que es faci de la intel·ligència artificial, continuaran sent rellevants, entre altres, les següents normes:

• Reglament General de Protecció de Dades (RGPD).
• Llei orgànica de Protecció de Dades i Garantia dels Drets Digitals (LOPDGDD).
• Normativa laboral
• Normativa sobre propietat intel·lectual.
• Normativa sobre secrets empresarials i confidencialitat.

En conseqüència, la utilització d’eines d’intel·ligència artificial no eximeix del compliment de les restants obligacions legals que ja resulten aplicables a l’empresa.

Sancions

El Reglament estableix diferents sancions en funció de la naturalesa i gravetat de la infracció.

En els supòsits més greus, especialment quan s’emprin pràctiques expressament prohibides per l’AI Act, les sancions poden arribar a 35 milions d’euros o el 7% del volum de negoci mundial anual, aplicant-se la xifra superior.

A més de les sancions econòmiques, uns certs incompliments poden tenir altres efectes rellevants com:

• Riscos en matèria de protecció de dades.
• Reclamacions per part de clients o treballadors.
• Danys reputacionals.
• Obligacions de retirada o modificació dels sistemes utilitzats.

L’opinió de BNFIX PICH

Des de BNFIX PICH creiem que el principal risc per a les microempreses, les pimes i les companyies middle market no rau en l’ús de la intel·ligència artificial, sinó a fer-ho sense una mínima estructura de control, supervisió i govern.

Per això, recomanem implantar al més aviat possible quatre mesures bàsiques per fer-ne un ús segur i d’acord amb la nova norma:

• Identificar les eines d’intel·ligència artificial utilitzades en l’organització.
• Aprovar una política interna d’ús de la IA adaptada a les característiques i necessitats de l’empresa.
• Definir quina informació pot compartir-se amb aquestes eines i quin ha de romandre protegida.
• Formar als equips sobre les bones pràctiques, els riscos i les limitacions associades a l’ús de la intel·ligència artificial.

Es tracta d’actuacions, en general, senzilles d’implantar i amb un elevat impacte preventiu, ja que contribueixen a reduir de manera significativa els riscos legals, operatius i reputacionals derivats de l’ús d’aquestes tecnologies.

Creiem que…

La qüestió ja no és si les empreses incorporaran la intel·ligència artificial a la seva activitat, sinó com ho faran.

Aquelles que comencin des d’ara a implantar mesures bàsiques de govern, formació i supervisió estaran aprofitaran millor les oportunitats que ofereix la IA i minimitzaran els riscos que poden derivar-se de la seva utilització.

La intel·ligència artificial és una oportunitat per a millorar l’eficiència, la competitivitat i el creixement empresarial. No obstant això, també planteja nous desafiaments en àmbits com el compliment normatiu, la protecció de dades, la privacitat, la gestió de riscos i el bon govern corporatiu.

A BNFIX PICH *Tax Legal ens posem a la seva disposició per a avaluar l’impacte del Reglament Europeu d’Intel·ligència Artificial en la seva activitat, dissenyar polítiques internes d’ús d’IA, revisar procediments, donar formació i acompanyar-los en la implantació de mesures de compliment adaptades a les seves necessitats i a la realitat de la seva organització.

 

   

María José Moragas · mj.moragas@pich.bnfix.com

Advocada, sòcia responsable de l’Àrea Legal i Advisory de BNFIX PICH Tax Legal

📷Imatge de Kevin Ku a Unsplash