La Ley Europea de IA introdujo cambios importantes el 2 de febrero de 2025, garantizando que Prácticas de IA ilegal en toda la UE. empresas holandesas Ahora deben cumplir reglas estrictas sobre qué sistemas de IA pueden utilizar.
Las empresas que no eliminen las herramientas de IA prohibidas se enfrentan a fuertes multas y posibles acciones legales por parte de cualquiera que sufra daños.
A partir de febrero de 2025, los sistemas de IA que manipulan personas, utilizan puntuación social, clasifican a las personas basándose en datos biométricos o emplean reconocimiento facial en tiempo real en espacios públicos estarán prohibidos en los Países Bajos. Estas prohibiciones también cubren la tecnología de reconocimiento de emociones en lugares de trabajo y escuelas, junto con la recopilación no dirigida de imágenes faciales de Internet para crear bases de datos de reconocimiento.
Las normas se aplican de inmediato, sin que las empresas tengan plazo para eliminar gradualmente estos sistemas. Comprender qué prácticas de IA están prohibidas y qué medidas debe tomar su organización es fundamental para evitar sanciones.
Esta guía explica las prohibiciones específicas y describe sus obligaciones de cumplimiento como empresa holandesa y cubre los requisitos de capacitación necesarios para mantener sus operaciones legales bajo la nueva ley.
Resumen de las prohibiciones de febrero de 2025
Reglamento (UE) 2024/1689, conocido como Ley de IA de la UE, introdujo prohibiciones específicas sobre ciertas prácticas de inteligencia artificial que entraron en vigor el 2 de febrero de 2025. Estas reglas se aplican a su negocio holandés si desarrolla, implementa o utiliza Sistema de IAs dentro de los Países Bajos o de la Unión Europea en general.
Alcance de las prácticas de IA prohibidas
La Ley de IA prohíbe prácticas específicas de IA que suponen riesgos inaceptables para los derechos fundamentales y los valores europeos. El artículo 5 del Reglamento (UE) 2024/1689 identifica estas prácticas prohibidas en función de su potencial daño, y no de la tecnología en sí.
Las principales categorías prohibidas incluyen:
- Sistemas de IA manipulativos que explotan las vulnerabilidades de grupos específicos
- Sistemas de puntuación social por las autoridades públicas
- Identificación biométrica remota en tiempo real en espacios de acceso público para ley cumplimiento (con excepciones limitadas)
- Sistemas de categorización biométrica que infieren atributos sensibles
- Raspado no dirigido de imágenes faciales de Internet o de grabaciones de CCTV
Su empresa está sujeta a estas prohibiciones, independientemente de si opera como proveedor, implementador o distribuidor de IA en los Países Bajos. La Autoridad de Protección de Datos de los Países Bajos colabora con otros organismos de la Unión Europea para garantizar el cumplimiento.
El incumplimiento conlleva multas de hasta el 7% de su facturación anual mundial.
Fechas de entrada en vigor y períodos de transición
Las prohibiciones del Artículo 5 entraron en vigor el 2 de febrero de 2025. Esto significa que su empresa debe cumplir con estas reglas de inmediato si utiliza o desarrolla sistemas de IA relevantes.
El marco de cumplimiento sigue un cronograma escalonado. Las sanciones completas, las estructuras de gobernanza y las disposiciones de confidencialidad entran en vigor el 2 de agosto de 2025.
Esto le da a su organización un plazo de seis meses para que se apliquen las normas, pero aún se están estableciendo los mecanismos completos de cumplimiento. La Comisión Europea publicó directrices oficiales el 4 de febrero de 2025 para aclarar cómo funcionan estas prohibiciones en la práctica.
Las autoridades de vigilancia del mercado, incluida la Autoridad de Protección de Datos de los Países Bajos, asumieron la responsabilidad de supervisar y hacer cumplir estas normas a partir de su fecha de entrada en vigor en febrero.
Definiciones clave: sistemas y prácticas de IA
En virtud de la Ley de IA, una Sistema de IA Se refiere a software que utiliza aprendizaje automático, enfoques lógicos o métodos estadísticos para generar resultados como predicciones, recomendaciones o decisiones. Esta definición es deliberadamente amplia para abarcar tecnologías actuales y emergentes.
A práctica de IA prohibida Se refiere a formas específicas de implementar o utilizar la inteligencia artificial que la Unión Europea ha considerado inaceptables. La prohibición se aplica a la práctica en sí, no a la tecnología subyacente.
Esto significa que podría usar el mismo sistema de IA para fines permitidos, aunque se le prohíba el acceso a ciertas aplicaciones. Su empresa debe distinguir entre el sistema de IA (la tecnología) y su uso práctico (cómo lo usa).
Un sistema de IA para reconocimiento facial podría ser legal para el control de acceso a edificios, pero estar prohibido para la vigilancia en tiempo real en espacios públicos. El contexto y la aplicación determinan la legalidad según el Reglamento (UE) 2024/1689.
Lista detallada de prácticas de IA prohibidas
La Ley de IA de la UE prohíbe aplicaciones específicas de IA que suponen riesgos inaceptables para los derechos fundamentales y la seguridad. Estas prácticas prohibidas se dividen en tres categorías principales: sistemas que manipulan el comportamiento humano, aquellos que... explotar a grupos vulnerablesy mecanismos que permiten la vigilancia masiva a través de la puntuación social.
Sistemas manipuladores y engañosos
La Ley de IA prohíbe cualquier sistema de IA que utilice técnicas subliminales para distorsionar significativamente el comportamiento humano de forma perjudicial. Estos métodos actúan más allá de la consciencia para influir en las decisiones o acciones.
Las prácticas manipuladoras prohibidas incluyen:
- Sistemas de IA que despliegan componentes subliminales que no puedes detectar
- Sistemas diseñados para explotar las vulnerabilidades relacionadas con la edad en los niños
- Tecnologías que manipulan el comportamiento para causar daño físico o psicológico
No se puede utilizar la IA deliberadamente engañar a la gente de maneras que conducen a daño significativoEsto significa que su empresa no puede implementar chatbots o asistentes virtuales que engañen a los usuarios sobre su naturaleza de IA cuando este engaño podría resultar perjudicial.
La prohibición se extiende a los sistemas de IA que utilizan patrones oscuros o manipulación psicológica para empujar a los usuarios hacia opciones dañinas. ley protege a los individuos de las prácticas de IA que eluden la toma de decisiones racional.
Si su sistema de IA influye en el comportamiento a través de manipulación oculta en lugar de información transparente, viola la ley.
Explotación de personas vulnerables
Los sistemas de IA que explotan vulnerabilidades relacionadas con la edad, la discapacidad o las circunstancias socioeconómicas están estrictamente prohibidos. No se puede usar la IA para aprovecharse de personas que carecen de la capacidad de comprender o resistir la manipulación.
Esta prohibición abarca la IA que se centra en la inexperiencia de los niños o el deterioro cognitivo de las personas mayores. Su empresa no puede implementar sistemas que exploten discapacidades físicas o mentales para manipular el comportamiento.
La IA que se aprovecha de la desesperación económica o del aislamiento social también cae bajo esta prohibición.
Los grupos vulnerables protegidos incluyen:
- Niños y menores
- Personas mayores con deterioro cognitivo
- Personas con discapacidades físicas o mentales
- Personas que enfrentan dificultades económicas
La prohibición se aplica cuando su sistema de IA causa o es probable que cause daños significativos mediante explotación. Debe evaluar si sus aplicaciones de IA podrían afectar injustamente a poblaciones vulnerables.
Puntuación social y perfiles de comportamiento
La Ley de IA prohíbe los sistemas de IA que evalúan o clasifican a las personas en función de su comportamiento social o características personales. No se pueden utilizar mecanismos de puntuación social que conduzcan a un trato injusto o a un perjuicio.
La puntuación social implica evaluar a las personas en función de su conducta, relaciones o comportamiento previsto. Esto crea perfiles que determinan el acceso a servicios, oportunidades o derechos.
Las actividades de puntuación social prohibidas incluyen:
- Calificación de los ciudadanos en función de su comportamiento social o profesional
- Creación de puntuaciones de confiabilidad a partir de datos personales
- Predicción del comportamiento criminal basada en perfiles
- Denegación de servicios basándose en evaluaciones de comportamiento
No se pueden implementar sistemas de IA que asignen puntuaciones para determinar si alguien recibe atención médica, educación, empleo o servicios financieros. La prohibición se aplica independientemente de si se utilizan estos sistemas como autoridad pública o empresa privada.
Control remoto en tiempo real identificación biométrica En los espacios públicos también hay prohibiciones estrictas con excepciones limitadas para los encargados de hacer cumplir la ley.
Prohibiciones sobre inteligencia artificial biométrica, de reconocimiento facial y emocional
La Ley de IA de la UE prohíbe varios tipos de sistemas biométricos y de reconocimiento facial que plantean riesgos para derechos fundamentalesEstas prohibiciones afectan la forma en que las empresas holandesas pueden utilizar Información biométrica, bases de datos de reconocimiento facial, herramientas de reconocimiento de emociones y sistemas de identificación en tiempo real en espacios públicos.
Categorización biométrica y uso de datos
No se pueden utilizar sistemas de IA que categoricen a las personas según sus datos biométricos para inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas u orientación sexual. Esta prohibición se aplica cuando se comercializan, se ponen en servicio o se utilizan estos sistemas para este fin específico.
La prohibición se dirige a los sistemas que hacen inferencias sensibles sobre individuos mediante análisis biométrico. Su empresa se enfrenta a multas de hasta el 7% de su facturación anual mundial por incumplimiento.
Hay una excepción a esta regla: se pueden etiquetar o filtrar conjuntos de datos biométricos adquiridos legalmente, como imágenes, en función de los datos biométricos en contextos policiales.
Fuera del ámbito de aplicación de la ley, estas prácticas de categorización siguen estando completamente prohibidas.
Restricciones a las tecnologías de reconocimiento facial
No se puede crear ni ampliar bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales de internet o grabaciones de cámaras de seguridad. Esta prohibición entró en vigor el 2 de febrero de 2025.
Para que se aplique esta prohibición deben darse cuatro condiciones:
- La práctica implica colocar, dar servicio o utilizar un sistema de IA.
- El propósito es crear o ampliar bases de datos de reconocimiento facial.
- El método utiliza el raspado no dirigido de imágenes faciales.
- Las fuentes de datos son Internet o imágenes de CCTV.
La palabra clave es "sin objetivo". No se pueden recopilar imágenes faciales de forma generalizada e indiscriminada.
Esto significa que no se pueden instalar cámaras en supermercados o áreas públicas que rastreen automáticamente los rostros para crear bases de datos de reconocimiento sin criterios de segmentación específicos.
Reconocimiento de emociones en el empleo y la educación
No se pueden utilizar sistemas de IA para inferir las emociones de las personas en lugares de trabajo e instituciones educativas. Esta prohibición afecta directamente a los departamentos de RR. HH., escuelas y centros de formación que podrían considerar el uso de herramientas de detección de emociones.
La prohibición abarca cualquier sistema de IA diseñado para leer o interpretar estados emocionales en estos entornos específicos. No importa si se utiliza análisis facial, reconocimiento de patrones de voz u otros indicadores biométricos.
Hay una pequeña excepción: se puede usar IA de reconocimiento de emociones si tiene fines médicos o de seguridad.
Por ejemplo, monitorear el estado de alerta del conductor por razones de seguridad o detectar la angustia del paciente en entornos de atención médica pueden calificar bajo esta excepción.
Limitaciones de la identificación biométrica remota
No se pueden utilizar sistemas de identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, salvo en circunstancias estrictamente definidas. Estas excepciones incluyen la búsqueda de víctimas de secuestro o trata, la prevención de amenazas inminentes a la vida o atentados terroristas, y la localización de sospechosos de delitos graves punibles con al menos cuatro años de prisión.
Cada uso requiere autorización previa de un autoridad judicial o un organismo administrativo independiente. En situaciones urgentes, puede iniciar el uso sin autorización, pero debe solicitarla en un plazo de 24 horas.
Si las autoridades rechazan la autorización, deberá dejar de usar el sistema inmediatamente y eliminar todos los datos. Los Países Bajos podrán establecer sus propias normas detalladas para estas excepciones en su legislación nacional.
Su empresa debe notificar cada uso a la autoridad de vigilancia del mercado pertinente y a la autoridad nacional de protección de datos. Los Estados miembros presentan informes anuales sobre el uso de la identificación biométrica remota en tiempo real a la Comisión Europea.
Obligaciones de cumplimiento para las empresas holandesas
Las empresas holandesas deben tomar medidas concretas para lograr el cumplimiento de la IA mediante la identificación de los sistemas prohibidos, su eliminación de las operaciones y el mantenimiento de la documentación adecuada. DPA neerlandés y la Autoridad Holandesa de Infraestructura Digital hará cumplir estos requisitos con importantes sanciones en caso de infracción.
Identificación de IA prohibida en las operaciones
Debe realizar evaluaciones de riesgos exhaustivas en toda su organización para identificar sistemas de IA que puedan infringir las nuevas normas. Esto implica examinar cualquier tecnología que utilice técnicas de manipulación, explote vulnerabilidades, implemente puntuación social o realice identificaciones biométricas en tiempo real en espacios públicos.
Empiece por crear un inventario de todos los sistemas de IA en uso. Documente la función de cada sistema, cómo procesa los datos y a quién afecta.
Preste especial atención a los sistemas que interactúan con clientes, empleados o el público. Sus evaluaciones de riesgos deben evaluar si algún sistema podría vulnerar derechos fundamentales.
Esto incluye verificar si los sistemas de IA toman decisiones sobre las personas basándose en su comportamiento, características personales o conexiones sociales. Los sistemas que rastrean o perfilan a individuos sin transparencia requieren una revisión inmediata.
Trabaje con sus equipos técnicos para comprender el funcionamiento de cada sistema de IA. No puede confiar únicamente en las descripciones de los proveedores.
La autoridad de protección de datos holandesa ha dejado claro que usted es responsable del cumplimiento independientemente de si creó el sistema o lo compró a un tercero.
Eliminación gradual o eliminación de los sistemas de IA prohibidos
Debe dejar de usar prácticas de IA prohibidas de inmediato. La ley no concede ningún plazo de gracia para los sistemas prohibidos.
Si su evaluación de riesgos identifica una práctica prohibida, debe desactivarla de inmediato. Cree un plan de eliminación que aborde tanto los impactos técnicos como los operativos.
Algunos sistemas podrían estar integrados en plataformas más grandes o conectados a múltiples procesos. Deberá asegurarse de que la eliminación de los elementos prohibidos no interrumpa las funciones esenciales del negocio.
Antes de apagar un sistema, identifique cómo gestionará las tareas que realizaba anteriormente. Esto podría implicar volver a procesos manuales, implementar tecnología diferente o rediseñar por completo los flujos de trabajo.
Documente cada paso del proceso de eliminación. Registre cuándo descubrió la práctica prohibida, qué medidas tomó y cuándo se desactivó por completo el sistema.
Los reguladores esperarán evidencia clara de que usted actuó con rapidez una vez que identificó la violación.
Mantenimiento de registros y documentación
Debe conservar la documentación técnica que acredite el cumplimiento de las normas de prohibición. Esto incluye registros de sus evaluaciones de riesgos, decisiones sobre sistemas de IA y cualquier cambio realizado para lograr el cumplimiento.
Su documentación debe cubrir:
- Inventarios del sistema con descripciones de cada aplicación de IA
- Informes de evaluación de riesgos mostrando su análisis de posibles violaciones
- Registros de eliminación detallando cuándo y cómo desactivó los sistemas prohibidos
- Evaluaciones de impacto sobre los derechos fundamentales para cualquier caso límite
Conserve estos registros durante al menos cinco años. La Autoridad de Protección de Datos de los Países Bajos puede solicitarlos durante inspecciones o investigaciones.
La documentación faltante o incompleta puede resultar en multas de hasta 7,500,000 € o el 1 % de la facturación global anual. Su documentación técnica debe ser lo suficientemente detallada para que los reguladores puedan comprender la función de sus sistemas de IA y por qué cumplen con la ley.
Las descripciones genéricas o los materiales de marketing no cumplen este requisito. Incluya especificaciones técnicas, flujos de datos y procesos de toma de decisiones.
Actualice su documentación siempre que modifique sistemas de IA o implemente nuevos. Necesita procesos continuos para garantizar que los sistemas futuros no introduzcan prácticas prohibidas.
Requisitos de alfabetización en IA y capacitación del personal
A partir del 2 de febrero de 2025, las empresas neerlandesas que proporcionen o implementen sistemas de IA deberán garantizar que su personal posea conocimientos adecuados de IA. Esta obligación se aplica independientemente de si utilizan sistemas de IA de alto o bajo riesgo.
Los programas de capacitación documentados deben adaptarse a los roles y antecedentes técnicos de sus empleados.
La obligación de alfabetización en IA explicada
El artículo 4 de la Ley de IA de la UE impone una Requisito legal A todos los proveedores e implementadores de IA para garantizar un nivel adecuado de conocimientos sobre IA entre su personal. Debe tomar medidas para garantizar que el personal y los contratistas que trabajan con sistemas de IA comprendan la tecnología con la que trabajan.
La obligación de alfabetización en IA se aplica a cualquier persona que opere, utilice o tome decisiones sobre sistemas de IA en su nombre. Esto incluye al personal técnico que desarrolla o mantiene sistemas de IA, así como a los empleados no técnicos que utilizan herramientas de IA en su trabajo diario.
Debe adaptar la capacitación en alfabetización en IA al rol, los conocimientos técnicos, la experiencia, la formación y el contexto específico en el que utiliza los sistemas de IA de cada persona. Un desarrollador de software que implementa modelos de IA requiere una formación diferente a la de un representante de atención al cliente que utiliza chatbots con IA.
La obligación exige que hagas todo lo posible para garantizar niveles adecuados de alfabetización. No puedes simplemente ofrecer capacitación simbólica y afirmar que cumples.
Desarrollo de programas de capacitación eficaces
Su programa de alfabetización en IA debe abordar los sistemas de IA específicos que utiliza su organización, en lugar de proporcionar información genérica. El personal debe comprender cómo funcionan las herramientas de IA con las que trabaja, sus limitaciones y sus posibles riesgos.
El contenido de la formación debe cubrir:
- Conceptos básicos de IA relevantes para sus sistemas
- Cómo utilizar correctamente las herramientas de IA
- Posibles sesgos y errores en los resultados de la IA
- Cuando es necesaria la supervisión humana
- Políticas y procedimientos de IA de su organización
Debe considerar el nivel inicial de conocimientos de cada empleado. El personal técnico puede necesitar capacitación avanzada en desarrollo y pruebas de modelos, mientras que los usuarios generales requieren orientación práctica para interpretar los resultados de IA y reconocer cuándo parecen incorrectos.
La capacitación puede adoptar diversas formas, como talleres, cursos en línea, coaching en el trabajo o programas externos. El formato es menos importante que asegurar que el personal adquiera los conocimientos y las habilidades necesarias.
Documentación de actividades de alfabetización en IA
Debe mantener registros de sus actividades de capacitación en alfabetización en IA para demostrar su cumplimiento con la Ley de IA de la UE. Esta documentación sirve como evidencia de que ha cumplido con sus obligaciones legales.
Sus registros deben incluir:
- Contenido y materiales del programa de formación
- Listas de empleados que completaron la capacitación
- Fechas y duración de las sesiones de formación
- Resultados de la evaluación (si corresponde)
- Cómo determinar los niveles de alfabetización apropiados para diferentes roles
Documente su proceso para identificar las necesidades de alfabetización en IA en su organización. Esto incluye cómo evaluó qué personal requiere capacitación y qué conocimientos específicos necesita en función de su interacción con los sistemas de IA.
Mantenga registros de cómo actualiza la capacitación a medida que sus sistemas de IA cambian o se incorpora nuevo personal a su organización. La alfabetización en IA no es un requisito puntual, sino una obligación continua que debe adaptarse a su uso evolutivo de la tecnología de IA.
Supervisión, ejecución y sanciones
La Ley de IA de la UE establece una estructura de aplicación de múltiples capas con un alcance significativo sanciones financieras Por incumplimiento, las empresas neerlandesas se enfrentan a la supervisión de las autoridades nacionales y europeas, con multas que alcanzan hasta el 7% de su facturación anual mundial por prácticas prohibidas de IA.
Autoridades de supervisión holandesas y de la UE
La Autoridad de Protección de Datos de los Países Bajos es el principal organismo nacional de supervisión para la aplicación de la Ley de IA en los Países Bajos. Esta autoridad colabora con otros organismos neerlandeses de vigilancia del mercado para supervisar el cumplimiento de la normativa.
A nivel europeo, la Comisión Europea supervisa la implementación de la Ley de IA en todos los Estados miembros. La Oficina Europea de IA, establecida en la Comisión, coordina las actividades de aplicación y proporciona asesoramiento técnico.
El Comité Europeo de Protección de Datos apoya la aplicación uniforme de la Ley, en particular cuando los sistemas de IA implican el tratamiento de datos personales. Estas autoridades colaboran para garantizar una aplicación uniforme en toda la Unión Europea.
Si opera sistemas de IA en varios países de la UE, puede enfrentarse al escrutinio de los organismos supervisores en cada jurisdicción donde sus sistemas estén implementados o tengan efecto.
Sanciones y Responsabilidad Civil
Las infracciones a las prácticas prohibidas del Artículo 5 conllevan sanciones de hasta 35 millones de euros o el 7 % de su facturación anual total mundial, la que sea mayor. Estas multas se aplican a partir del 2 de febrero de 2025.
El Tribunal de Justicia de la UE (TJUE) tiene la máxima autoridad para interpretar las disposiciones de la Ley de IA. Los tribunales nacionales pueden remitir cuestiones al TJUE cuando surjan controversias sobre qué constituye una práctica prohibida.
Además de las multas administrativas, podría enfrentarse a demandas de responsabilidad civil por parte de personas u organizaciones perjudicadas por sistemas de IA que no cumplen las normativas. Los Estados miembros pueden establecer sanciones adicionales en su legislación nacional.
Orientación de organismos europeos y nacionales
La Comisión Europea publicó directrices sobre prohibiciones Prácticas de IA el 4 de febrero de 2025. Estos documentos explican cómo las autoridades interpretarán las prohibiciones del Artículo 5 y proporcionan ejemplos prácticos para su cumplimiento.
Si bien estas directrices no son vinculantes, ofrecen información valiosa sobre las prioridades de aplicación. Solo el TJUE puede ofrecer interpretaciones jurídicas autorizadas.
Las autoridades supervisoras neerlandesas podrían emitir directrices nacionales adicionales adaptadas a los contextos empresariales locales. Debe estar al tanto de las actualizaciones de los organismos europeos y neerlandeses a medida que evolucionen los enfoques de cumplimiento.
Las directrices están disponibles en todos los idiomas de la UE para facilitar la comprensión transfronteriza.
Preguntas Frecuentes
La Ley Europea de IA trae requisitos y restricciones específicos que afectan a las empresas holandesas a partir de febrero de 2025. Estas regulaciones prohíben ciertas prácticas de IA, requieren medidas de cumplimiento, y establecer sanciones por las infracciones.
¿Cuáles son las nuevas regulaciones sobre el uso de inteligencia artificial en las empresas holandesas a partir de febrero de 2025?
La Ley Europea de IA entró en vigor el 1 de agosto de 2024, y el primer conjunto de prohibiciones entró en vigor el 2 de febrero de 2025. Estas regulaciones se aplican a todas las empresas holandesas que desarrollan, implementan o utilizan sistemas de IA dentro de la Unión Europea.
La Ley prohíbe los sistemas de IA manipuladores que utilizan técnicas subliminales para influir en decisiones que las personas normalmente no tomarían. También prohíben los sistemas de IA que explotan vulnerabilidades basadas en la edad, la discapacidad o el nivel socioeconómico.
Los sistemas de puntuación social que evalúan a las personas según su comportamiento social o características personales se enfrentan a una prohibición total. La normativa también prohíbe las evaluaciones de riesgo basadas en IA que predicen delitos únicamente mediante la elaboración de perfiles o el análisis de rasgos de personalidad, en lugar de datos relacionados con la actividad delictiva.
No se permiten los sistemas de categorización biométrica que infieran raza, opiniones políticas, afiliación sindical, creencias religiosas u orientación sexual a partir de imágenes faciales o huellas dactilares. La identificación biométrica remota en tiempo real en espacios públicos está prohibida, excepto en situaciones estrictamente definidas con requisitos específicos. autorización legal.
¿Cómo afectan las directrices holandesas sobre inteligencia artificial de febrero de 2025 a la privacidad y la protección de datos de los consumidores?
La Ley de IA se complementa con la normativa vigente en materia de protección de datos, incluido el RGPD. La Autoridad de Protección de Datos de los Países Bajos proporciona orientación sobre cómo los sistemas de IA deben cumplir con la normativa de protección de datos, en particular en lo relativo a la toma de decisiones automatizada.
Se prohíbe la extracción no selectiva de imágenes faciales de internet o grabaciones de cámaras para crear o ampliar bases de datos de reconocimiento facial. Esta restricción protege el derecho a la privacidad de las personas e impide la recopilación no autorizada de datos biométricos.
Los sistemas de IA deben respetar los derechos fundamentales a lo largo de su ciclo de vida. Las autoridades públicas y las entidades que prestan servicios públicos deben realizar una evaluación del impacto en los derechos fundamentales al utilizar sistemas de IA de alto riesgo.
¿Qué actividades basadas en IA ya no pueden realizar las empresas holandesas debido a los recientes cambios legislativos?
Su empresa no puede utilizar sistemas de reconocimiento de emociones en entornos laborales ni educativos. Estos sistemas están prohibidos, independientemente de sus supuestos beneficios o casos de uso.
No se pueden implementar sistemas de IA que manipulen a las personas mediante técnicas subliminales ni exploten sus vulnerabilidades. Esto incluye sistemas que se dirigen a individuos en función de su discapacidad, estatus social o edad para influir en su comportamiento.
Los sistemas de categorización biométrica que clasifican a las personas según características sensibles están prohibidos. No se puede utilizar la IA para inferir la raza, las opiniones políticas, las creencias religiosas ni la orientación sexual de una persona a partir de sus datos biométricos.
Los sistemas de puntuación social están totalmente prohibidos. No se puede implementar una IA que evalúe o clasifique a las personas según su comportamiento social o características personales.
La identificación biométrica remota en tiempo real en espacios de acceso público está prohibida para uso comercial. Las fuerzas del orden solo pueden utilizar estos sistemas en circunstancias estrictamente definidas y con la debida autorización legal.
¿Qué medidas deben adoptar las empresas holandesas para alinear sus sistemas de IA con los estándares de cumplimiento establecidos en febrero de 2025?
Debe identificar todos los sistemas de IA que su organización utiliza o implementa actualmente. Este inventario debe categorizar cada sistema según las clasificaciones de riesgo definidas en la Ley de IA.
Revise sus sistemas de IA con respecto a la lista de prácticas prohibidas. Si utiliza algún sistema prohibido, debe eliminarlo de inmediato para evitar sanciones regulatorias.
Documente los propósitos, las fuentes de datos y los procesos de toma de decisiones de sus sistemas de IA. Esta documentación ayuda a demostrar el cumplimiento normativo y respalda las evaluaciones de impacto necesarias.
Para los sistemas de IA de alto riesgo, se requieren medidas de cumplimiento adicionales. Las autoridades públicas deben registrar los sistemas de alto riesgo en la base de datos europea antes del 2 de agosto de 2026 y realizar evaluaciones de impacto en los derechos fundamentales.
Capacite a su personal sobre los nuevos requisitos y establezca procesos internos para la supervisión continua del cumplimiento. Su programa de cumplimiento debe incluir revisiones periódicas de los sistemas de IA para garantizar que se mantengan dentro de los límites regulatorios.
¿Existen prohibiciones sectoriales específicas sobre la IA que las empresas holandesas deberían tener en cuenta tras la nueva normativa?
Las organizaciones del sector educativo se enfrentan a restricciones específicas. No se pueden utilizar sistemas de reconocimiento de emociones para monitorear a los estudiantes ni evaluar sus estados emocionales, independientemente del beneficio educativo previsto.
Los entornos laborales presentan limitaciones similares. Los empleadores no pueden implementar IA de reconocimiento de emociones para monitorear los estados emocionales o las reacciones de los empleados durante las actividades laborales.
Las fuerzas del orden tienen excepciones limitadas para los sistemas de identificación biométrica. Estas excepciones requieren una autorización legal estricta y se aplican únicamente a situaciones específicas, como la búsqueda de víctimas de secuestro, la prevención de amenazas inminentes o el seguimiento de sospechosos de delitos graves.
Las autoridades públicas que prestan servicios públicos se enfrentan a requisitos adicionales, además de las prohibiciones generales. Deben realizar evaluaciones de impacto sobre los derechos fundamentales para todos los sistemas de IA de alto riesgo y registrarlos en la base de datos europea.
¿Cuáles son las sanciones por el incumplimiento de las restricciones de IA holandesas introducidas en febrero de 2025?
Los organismos reguladores pueden imponer multas sustanciales por incumplimiento de la Ley de IA. La estructura de sanciones sigue un enfoque escalonado según la gravedad de la infracción.
El uso de sistemas de IA prohibidos constituye la infracción más grave. Su organización se arriesga a importantes sanciones económicas si continúa utilizando sistemas prohibidos después de la fecha límite de febrero de 2025.
El importe exacto de las sanciones depende de si su organización se considera una pequeña y mediana empresa o una gran empresa. Las autoridades reguladoras consideran factores como la naturaleza de la infracción, su duración y los daños causados.
Además de las sanciones económicas, el incumplimiento puede dañar la reputación de su organización. Las personas perjudicadas por sistemas de IA prohibidos pueden recurrir a procedimientos civiles para obtener reparaciones adicionales.
La Autoridad de Protección de Datos de los Países Bajos y otros organismos reguladores tienen competencias de ejecución. Pueden investigar quejas, realizar auditorías y exigir el cese inmediato de prácticas prohibidas.
