1.6 Legislación

Mensaje clave

• La Ley de IA de la UE es la base legal. El reglamento de la UE sobre IA está en vigor desde agosto de 2024 y se implementa progresivamente hasta 2027. Se aplica no solo a las empresas tecnológicas, sino también a los centros educativos.
• La alfabetización en IA es una obligación, no un curso que marcar como hecho. Los centros educativos deben apoyar a su personal en el desarrollo de la alfabetización en IA.
• Varios usos de la IA están prohibidos por completo. Entre ellos: inferir las emociones del alumnado a partir de datos faciales o de voz, IA que explota las vulnerabilidades de los menores para distorsionar su comportamiento, y la creación de bases de datos de reconocimiento facial o la inferencia de rasgos como la raza o la religión a partir de datos biométricos.
• El riesgo depende de la decisión, no del producto. Las herramientas habituales de redacción, investigación, traducción y planificación de clases no son de alto riesgo por el mero hecho de usarse en el ámbito escolar. Se convierten en de alto riesgo en cuanto influyen en la admisión, las trayectorias educativas, los resultados de los exámenes o las decisiones de empleo. Hay que comprender sus límites y estar en condiciones de ignorar o anular su resultado.
• La Ley de IA se suma a otras leyes, no las sustituye. La normativa nacional de protección de datos, educación, empleo, protección de la infancia y derechos de autor sigue aplicándose junto a ella.
• El RGPD regula los datos, no solo la herramienta. Incluso un sistema de IA que cumpla con la Ley de IA puede seguir estando prohibido si trata datos personales del alumnado o del personal sin una base legal válida.

Si solo recordáis una frase de esta página: usad la IA para apoyar vuestro criterio profesional, no para sustituirlo: se aplican normas más estrictas en cuanto la IA ayuda a tomar decisiones sobre calificaciones, trayectorias educativas o personas.

La Ley de IA de la UE

La Ley de IA de la UE (Reglamento (UE) 2024/1689) es el reglamento único de la UE, basado en el riesgo, para la inteligencia artificial. En lugar de regular productos concretos, clasifica los sistemas de IA según el riesgo que suponen y les asigna obligaciones en consecuencia: desde la prohibición total de un pequeño conjunto de prácticas, pasando por obligaciones adicionales para los usos «de alto riesgo», hasta la ausencia de normas especiales para las herramientas cotidianas. Se aplica directamente en todos los Estados miembros, tanto a organizaciones públicas como privadas.

La normativa se implementa por fases. Está en vigor desde el 1 de agosto de 2024; desde el 2 de febrero de 2025 ya son vinculantes las prácticas prohibidas que se describen más abajo y la obligación de desarrollar la alfabetización en IA (Art. 4); a partir del 2 de agosto de 2026 se aplicará la mayoría de sus disposiciones restantes.

¿Quién es responsable del uso de la IA?

Si un centro educativo introduce y controla un sistema de IA, el centro o la autoridad educativa suele ser el responsable del despliegue (Art. 3(4)). Por lo general, el docente no es un responsable del despliegue independiente cuando usa la herramienta siguiendo las instrucciones del centro, pero debe seguir esas instrucciones y toda la normativa pertinente en materia escolar y de protección de datos.

El profesorado necesita saber qué está usando

Los centros educativos y las autoridades educativas deben adoptar las medidas oportunas para apoyar el desarrollo de la alfabetización en IA entre quienes usan sistemas de IA en su nombre (Art. 4). La Ley de IA no especifica un nivel concreto de competencia, certificado o formato de formación. Estos dependen más bien del sistema de IA utilizado, de cómo se use y de a quién pueda afectar.

Prácticas de IA prohibidas por completo para los centros educativos

La Ley de IA prohíbe por completo ocho prácticas de IA (Art. 5); cuatro de ellas son directamente relevantes para los centros educativos:

1. El uso de sistemas de IA en centros educativos para inferir emociones o intenciones a partir de datos biométricos (como las características faciales o de voz del alumnado) está generalmente prohibido. Existen excepciones limitadas por motivos médicos o de seguridad (Art. 3(39); Art. 5(1)(f)).
2. Están prohibidos, con independencia de la intención, los sistemas de IA que exploten las vulnerabilidades de una persona debidas a la edad (como en el caso de los menores), la discapacidad o su situación social o económica, de forma que distorsionen su comportamiento y les causen daño (Art. 5(1)(b)).
3. Está prohibido crear o ampliar una base de datos de reconocimiento facial mediante el rastreo indiscriminado de imágenes de internet o de circuitos cerrados de televisión (CCTV). Esto es relevante si un centro educativo se plantea usar una herramienta de reconocimiento facial para el control de asistencia o la vigilancia de exámenes (Art. 5(1)(e)).
4. Está prohibido usar datos biométricos para categorizar a las personas con el fin de inferir rasgos protegidos como la raza, las opiniones políticas, la religión o la orientación sexual. Esto es relevante para cualquier herramienta basada en datos biométricos, como el software de supervisión de exámenes, que vaya más allá de su finalidad declarada (Art. 5(1)(g)).

¿El contenido generado por IA siempre necesita una etiqueta?

Si el alumnado interactúa directamente con un sistema de IA, como un chatbot, debe ser informado de que está interactuando con IA. Normalmente es el proveedor del sistema quien debe dejarlo claro (Art. 50(1)).

Los centros educativos y el profesorado deben señalar los deepfakes o los textos generados por IA publicados sobre asuntos de interés público, cuando se usen en el aula (Art. 50(4)). Este requisito no se aplica cuando el contenido generado por IA ha sido objeto de una revisión humana efectiva o de control editorial, y una persona o institución asume la responsabilidad editorial de su publicación. Por tanto, una ficha de trabajo asistida por IA y revisada por un docente no requiere automáticamente una etiqueta.

Cuándo la IA en la educación se convierte en alto riesgo

Las herramientas habituales de redacción, traducción, investigación y planificación de clases no son de alto riesgo por el mero hecho de usarse en el trabajo. La clasificación depende de la finalidad prevista del sistema, no simplemente del producto que se use (Art. 6 · Anexo III).

Los sistemas de IA pueden clasificarse como de alto riesgo cuando están destinados a:

Para el profesorado

Para los centros educativos

decidir sobre el acceso, la admisión o la asignación del alumnado a centros o programas educativos o de formación profesional; evaluar los resultados de aprendizaje del alumnado o dirigir sus procesos de aprendizaje; valorar el nivel educativo adecuado que un alumno o alumna recibirá o al que podrá acceder; o detectar comportamientos prohibidos del alumnado durante los exámenes. (Anexo III, punto 3)

contratar o seleccionar docentes, incluida la selección de candidaturas; decidir sobre las condiciones contractuales, la promoción o la finalización de la relación laboral de un docente; asignar tareas en función del comportamiento o los rasgos personales de un docente; o evaluar el desempeño del profesorado. (Anexo III, punto 4)

Una herramienta de comprobación o preparación limitada también puede quedar fuera de la categoría de alto riesgo si no influye de forma significativa en una decisión. Sin embargo, un sistema educativo que elabora perfiles de personas se considera siempre de alto riesgo.

Qué implica la IA de alto riesgo para los centros educativos y el profesorado

Que un sistema de IA se clasifique como de alto riesgo no excluye automáticamente su uso en los centros educativos. Pero los sistemas de alto riesgo conllevan obligaciones (Art. 26):

Estas obligaciones para la IA de alto riesgo en el ámbito educativo se aplican a partir del 2 de diciembre de 2027, aunque las prohibiciones anteriores y la obligación de alfabetización en IA ya se aplican hoy.

Para el profesorado

Para los centros educativos

usarla solo para su finalidad aprobada y seguir sus instrucciones; no tratar su resultado como una decisión definitiva; comprender sus principales limitaciones y las fuentes de error más probables; estar atentos a la dependencia excesiva de resultados aparentemente convincentes; y estar preparados para ignorar o anular su resultado.

proporcionar una supervisión humana competente y autorizada; garantizar que los datos de entrada bajo su control sean pertinentes y suficientemente representativos; supervisar el sistema y responder ante riesgos o incidentes graves; conservar los registros generados automáticamente durante al menos seis meses cuando dichos registros estén bajo su control; y informar con antelación al alumnado, al profesorado o a las personas afectadas cuando el sistema contribuya a tomar decisiones sobre ellas.

Los organismos públicos y las organizaciones privadas que prestan servicios públicos también pueden tener que realizar una evaluación de impacto sobre los derechos fundamentales antes de usar IA de alto riesgo (Art. 27). Las autoridades públicas y las organizaciones que actúen en su nombre pueden además tener que registrar el sistema en la base de datos de la UE (Art. 49). La responsabilidad de hacerlo, ya sea del centro educativo o de su autoridad educativa, depende del sistema escolar nacional.

La Ley de IA no es la única normativa relevante

La Ley de IA no sustituye a la normativa europea o nacional en materia de protección de datos, educación, empleo y participación de los trabajadores, protección de la infancia o derechos de autor (Art. 2(7)). Por ejemplo, que una herramienta no sea de alto riesgo no significa que se puedan subir a ella trabajos del alumnado o datos personales.

Una herramienta puede ser aceptable conforme a la Ley de IA y, aun así, estar prohibida por la normativa de protección de datos o por las normas de vuestro centro.

El RGPD

El RGPD (Reglamento (UE) 2016/679) es la normativa de la UE en materia de protección de datos. Desempeña un papel complementario junto a la Ley de IA: mientras la Ley de IA se pregunta si y cómo puede usarse un sistema de IA en general, el RGPD se pregunta si estos datos concretos sobre esta persona concreta pueden tratarse de esta manera.

• Se aplica en cuanto intervienen datos personales. Nombres, direcciones de correo electrónico escolares, trabajos del alumnado, grabaciones de voz, transcripciones, fotografías, calificaciones, asistencia y datos de progreso de aprendizaje son todos datos personales (Art. 4).
• Algunos datos necesitan protección adicional. Los datos de salud, los datos biométricos y los datos que revelen el origen racial o étnico, la religión o rasgos similares son «categorías especiales de datos» y están, en principio, prohibidos sin una excepción específica (Art. 9) — una de las razones por las que la Ley de IA prohíbe además, por separado, varias prácticas de inferencia biométrica en los centros educativos.
• Hay que saber quién es responsable. El centro educativo suele ser el «responsable del tratamiento»; un proveedor de IA que trate datos por cuenta del centro es un «encargado del tratamiento» y necesita un acuerdo de tratamiento de datos que detalle sus obligaciones (Art. 28). Conviene comprobar esto antes de implantar una nueva herramienta en todo el centro.
• Los datos que salen de la UE necesitan una salvaguarda. Muchas herramientas de IA populares están alojadas fuera de la UE. Los datos personales solo pueden viajar allí si existe una decisión de adecuación u otra salvaguarda aprobada, como cláusulas contractuales tipo (Art. 44).
• El alumnado y el personal conservan sus derechos. Pueden solicitar información sobre lo que se conserva sobre ellos, pedir su corrección o eliminación, y oponerse a decisiones basadas únicamente en el tratamiento automatizado que les afecten de forma significativa (Art. 15–Art. 22) — un derecho que se suma y refuerza los requisitos de supervisión humana de la Ley de IA para los sistemas de alto riesgo.

Dónde encontrar ayuda

La aplicación de la normativa se organiza de forma distinta en cada país de la UE. Dado que las responsabilidades nacionales pueden cambiar, consultad la lista actualizada de la Comisión Europea de autoridades nacionales de vigilancia del mercado. Cualquier persona (un docente, un alumno, un progenitor) puede presentar una reclamación ante esa autoridad si considera que se ha incumplido la Ley de IA (Art. 85). Cuando un sistema de alto riesgo, como una herramienta de admisión o de vigilancia de exámenes, ha llevado a una decisión que afecta significativamente a un alumno o alumna, este (o sus progenitores) también puede solicitar una explicación de esa decisión concreta (Art. 86).

Normativa nacional de vuestro país

La Ley de IA es de aplicación en toda la UE, pero los organismos de aplicación, la normativa escolar y la práctica en materia de protección de datos varían según el país. Aquí se añadirán notas específicas de cada país socio del Playbook:

• Austria
• Chequia
• Alemania
• Letonia
• Eslovaquia
• Eslovenia
• España