Cuando el AI Act empezó a debatirse, la mayor atención recayó sobre los sistemas de alto riesgo: los que toman decisiones en empleo, crédito, infraestructuras críticas. Pero hay otra categoría que ha acabado siendo igual de compleja en la práctica: los modelos de IA de uso general, conocidos por las siglas GPAI (General-Purpose AI Models). Son el corazón de la IA actual. ChatGPT, Claude, Llama, Mistral, Gemini: todos son modelos GPAI. Y el Reglamento tiene mucho que decirles.
Qué es un modelo GPAI según el AI Act
El artículo 3.63 del AI Act define el modelo GPAI como cualquier modelo de IA entrenado con grandes cantidades de datos que muestra una generalidad notable y puede realizar competencias en una amplia gama de tareas. No importa la modalidad ni el tipo de salida: texto, imágenes, audio, código. Si el modelo puede hacer muchas cosas distintas sin haber sido diseñado para una sola tarea, es un GPAI.
La clave es que estos modelos no se comercializan solos para un uso específico. Se distribuyen como base para que otros los integren en sus propios productos. Esa posición en la cadena explica sus obligaciones particulares.
Dos niveles de obligaciones según el impacto sistémico
El AI Act distingue entre modelos GPAI ordinarios y modelos GPAI con riesgo sistémico. El criterio es uno solo: la cantidad de cómputo utilizada en el entrenamiento, expresada en operaciones en coma flotante (FLOP). El umbral actual es de 10²⁵ FLOPs.
Esto sitúa a los modelos más grandes —los que salen de laboratorios como OpenAI, Anthropic, Google DeepMind o Meta— en la categoría de riesgo sistémico. Los modelos más pequeños o que no superan ese umbral siguen obligados, pero con exigencias menores.
Para todos los modelos GPAI:
- Elaborar y mantener documentación técnica según el Anexo XI del Reglamento
- Publicar un resumen de los datos utilizados para el entrenamiento, con detalle suficiente sobre derechos de autor
- Cumplir con las directrices de la Comisión Europea sobre transparencia
- Facilitar a los proveedores que los integren la información necesaria para sus propias obligaciones
Solo para modelos GPAI con riesgo sistémico (>10²⁵ FLOPs):
- Realizar y documentar evaluaciones de modelo antes del despliegue
- Identificar y mitigar riesgos sistémicos
- Notificar incidentes graves a la Comisión
- Garantizar un nivel de ciberseguridad adecuado para la escala del modelo
- Informar del consumo energético del modelo
El papel de los proveedores que integran modelos GPAI
Una empresa que usa GPT-4o para construir un asistente virtual no es proveedora del modelo: es una deployer sobre el modelo de OpenAI. Pero si adapta el modelo con fine-tuning significativo o lo integra en un sistema propio que luego distribuye, puede llegar a ser considerada proveedora del sistema resultante.
Esta distinción delimita quién tiene que cumplir qué. El AI Act establece que los proveedores de modelos GPAI deben dar a los integradores acceso a la documentación técnica del modelo para que estos puedan cumplir con sus propias obligaciones. Si el proveedor no facilita esa información, el integrador puede reclamarla.
La AESIA como supervisora en España
España designó a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como autoridad nacional competente para el AI Act. En el caso de los modelos GPAI, la supervisión corresponde en primera instancia a la Comisión Europea, que trabaja con la Oficina de IA (AI Office) creada específicamente para este tipo de sistemas.
La AESIA interviene cuando los modelos GPAI se integran en sistemas que operan en el mercado español, o cuando hay incidentes que afectan a usuarios en España.
Qué significa esto para las empresas que usan modelos GPAI
La mayoría de las empresas españolas no son proveedoras de modelos GPAI: son sus usuarias. Integran ChatGPT en sus webs, usan Claude para redactar contenido, generan imágenes con Stable Diffusion. En esos casos, las obligaciones del AI Act dependen de para qué usan el modelo y si el resultado final puede considerarse un sistema de alto riesgo.
Usar un LLM para responder correos internos no crea las mismas obligaciones que usarlo para evaluar solicitudes de crédito o filtrar candidatos. El punto de partida siempre es determinar qué hace el sistema en la práctica, no solo qué tecnología usa.
¿Necesitas evaluar si tu uso de modelos de IA está dentro del cumplimiento del AI Act? En Adapta RGPD ofrecemos consultoría de adaptación al AI Act con clasificación automática de riesgo, las 193 medidas AESIA y seguimiento continuo desde 199€/año.
