Derecho y NBIC

El Derecho de NBIC es una materia transversal, relacionada con tecnologías convergentes (Nanotecnologías, Biotecnologías, Tecnologías de la Información y ciencias Cognitivas). Enfatizan la creciente interconexión entre lo infinitamente pequeño (N), la creación de seres vivos (B), las máquinas pensantes (I) y el estudio del cerebro humano (C). Inciden en la ciencia y el derecho, tornando complejo establecer sus límites, desafíos y consecuencias económicas, político- sociales y éticas.

viernes, 7 de noviembre de 2025

REQUISITOS FUNCIONALES DE LAS PLATAFORMAS DE INFORMACIÓN ELECTRÓNICA RELATIVA AL TRANSPORTE DE MERCANCÍAS - COMISION EUROPEA.

Por: Carlos A. FERREYROS SOTO

Doctor en Derecho

Universidad de Montpellier I Francia.

cferreyros@hotmail.com

RESUMEN

El Reglamento de Ejecución (UE) 2025/2243 de la Comisión, de 6 de noviembre de 2025, establece especificaciones detalladas relativas a los requisitos funcionales de las plataformas IETM (Información Electrónica sobre el Transporte de Mercancías) conforme al Reglamento (UE) 2020/1056 del Parlamento Europeo y del Consejo.

El presente reglamento tiene como objetivo principal definir los requisitos funcionales que deben cumplir las plataformas electrónicas utilizadas por los operadores económicos para poner a disposición de las autoridades competentes la información reglamentaria relativa al transporte de mercancías en formato electrónico.

El reglamento busca garantizar la interoperabilidad de dichas plataformas, asegurar el acceso fiable y seguro a la información, y reducir los costes administrativos asociados al intercambio de datos entre operadores y autoridades. Además, establece las especificaciones que deben cumplir los proveedores de servicios eFTI (Servicios tecnológicos que permiten la comunicación y transmisión electrónica de la información reglamentaria relativa al transporte de mercancías), para demostrar el cumplimiento normativo en la documentación electrónica de transporte facilitando así la digitalización y uniformidad en la aceptación de la información a nivel de la Unión Europea.

Se considera información eFTI toda aquella que demuestre el cumplimiento de los requisitos legales de los actos sobre transporte en la UE, presentados o no en forma de documento, como datos sobre la naturaleza de la carga, itinerarios, fechas, responsables del transporte, certificados, autorizaciones y cualquier otro elemento requerido por la normativa pertinente.

A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones públicas y privadas interesadas en asesorías, consultorías, capacitaciones, estudios, evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico: cferreyros@ferreyros-ferreyros.com

_________________________________________________________

Diario Oficial
de la Unión Europea

Serie L

2025/2243

7.11.2025

REGLAMENTO DE EJECUCIÓN (UE) 2025/2243 DE LA COMISIÓN

de 6 de noviembre de 2025

por el que se establecen especificaciones detalladas relativas a los requisitos funcionales de las plataformas IETM de conformidad con el Reglamento (UE) 2020/1056 del Parlamento Europeo y del Consejo

(Texto pertinente a efectos del EEE)

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2020/1056 del Parlamento Europeo y del Consejo, de 15 de julio de 2020, sobre información electrónica relativa al transporte de mercancías (1), y en particular su artículo 9, apartado 2,

Considerando lo siguiente:

(1)

El Reglamento (UE) 2020/1056 exige a las autoridades competentes de los Estados miembros que acepten la información reglamentaria cuando los operadores económicos interesados la pongan a disposición por vía electrónica de conformidad con los requisitos establecidos en dicho Reglamento y, más concretamente, a través de plataformas de información electrónica relativa al transporte de mercancías (IETM) certificadas para cumplir los requisitos establecidos en dicho Reglamento.

(2)

Los operadores económicos interesados, así como los proveedores de soluciones de TIC, deben poder reutilizar de forma flexible las soluciones de TIC que se utilizan actualmente en el sector del transporte y la logística, por ejemplo para gestionar los flujos internos de los procesos empresariales y las comunicaciones con los socios comerciales de la cadena de suministro, con el fin de desarrollar plataformas IETM. La posibilidad de aprovechar las soluciones existentes permitiría un desarrollo más rápido y rentable de las plataformas IETM y facilitaría una adopción más rápida y amplia de la IETM por parte de los operadores económicos interesados, sin que esto suponga una inversión importante en tecnología ni una carga significativa en sus procesos empresariales.

(3)

Con arreglo al artículo 12 del Reglamento (UE) 2020/1056, debe establecerse un proceso de certificación de las plataformas IETM mediante el cual se evalúe el cumplimiento de los requisitos establecidos en el artículo 9, apartado 1, de dicho Reglamento. Una vez que la certificación haya sido expedida por un organismo de evaluación de la conformidad acreditado en uno de los Estados miembros de conformidad con el Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo (2), será válida en todos los Estados miembros. Por consiguiente, las especificaciones funcionales y técnicas comunes detalladas para el funcionamiento de las plataformas IETM establecidas en el presente Reglamento deben permitir a la Comisión definir en una fase posterior, con arreglo al artículo 12 del Reglamento (UE) 2020/1056, las normas detalladas necesarias para garantizar una evaluación uniforme de la conformidad de las plataformas IETM con vistas a su certificación.

(4)

La confidencialidad de los datos comerciales sigue siendo un factor importante que influye en la voluntad de los operadores económicos de compartir datos por vía electrónica. Con el fin de generar confianza en los operadores económicos interesados, los requisitos aplicables a las plataformas IETM deben garantizar que los datos que los operadores económicos almacenen en ellas se pongan a disposición de las autoridades competentes únicamente sobre la base de conexiones seguras y autenticadas con los sistemas utilizados por esas autoridades. Además, los datos puestos a disposición de las autoridades competentes deben limitarse a los requisitos de información especificados en las solicitudes de acceso a los datos IETM, y solo cuando estas solicitudes sean transmitidas por las autoridades competentes de conformidad con las especificaciones funcionales y técnicas establecidas en el Reglamento de Ejecución (UE) 2024/1942 de la Comisión (3). Por la misma razón, los operadores económicos interesados deben recibir información, también mediante notificaciones en tiempo real, sobre todas las solicitudes de acceso de las autoridades competentes a los datos que hayan puesto a su disposición en la plataforma IETM, incluidas, cuando se presenten, las correspondientes comunicaciones de seguimiento.

(5)

El Reglamento de Ejecución (UE) 2024/1942 establece procedimientos comunes y normas detalladas para el acceso de las autoridades competentes a la información que los operadores económicos interesados hayan puesto a su disposición en las plataformas IETM, así como para el tratamiento de dicha información. Esto incluye requisitos funcionales y técnicos específicos para la comunicación entre los sistemas de TIC utilizados por las autoridades competentes y las plataformas IETM. Para garantizar la interoperabilidad y una comunicación fluida entre los sistemas utilizados por las autoridades competentes y las plataformas IETM, los requisitos funcionales y técnicos comunes para las plataformas IETM deben ser compatibles con los establecidos para los sistemas utilizados por las autoridades competentes.

(6)

El acceso de los operadores económicos a las plataformas IETM también debe garantizarse a través de unos mecanismos de gestión del acceso seguros y transparentes. Solo los usuarios autorizados deben poder acceder a los datos IETM y tratarlos en nombre de los operadores económicos. Las autorizaciones deben basarse en derechos de tratamiento claramente identificados y que hayan sido expedidos bajo el control de los operadores económicos titulares de derechos u obligaciones en relación con dichos datos, de conformidad con el Derecho de la Unión o nacional aplicable o con acuerdos comerciales específicos. Al mismo tiempo, las autorizaciones deben concederse únicamente a los usuarios que hayan sido identificados y autenticados de forma fiable utilizando medios de identificación electrónica que cumplan los requisitos establecidos en el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo (4). Estos mecanismos de gestión del acceso deben generar confianza entre los operadores económicos para que estos compartan sus datos IETM en origen, de modo que se elimine la necesidad de contar con múltiples puntos de almacenamiento de datos y se reduzcan los costes y complicaciones asociados a la gestión de datos y la sincronización, entre otras cosas.

(7)

Las disposiciones a que se refiere el artículo 2, apartado 1, del Reglamento (UE) 2020/1056 permiten a los operadores económicos interesados, en la mayoría de los casos, reutilizar los documentos intercambiados entre empresas para facilitar la información relativa al transporte de mercancías que se les exige. Las especificaciones detalladas establecidas en el presente Reglamento deben seguir la misma línea, centrándose en cómo ha de compartirse la información relativa al transporte de mercancías con las autoridades competentes por vía electrónica. Para no afectar a la información relativa al transporte de mercancías más allá del ámbito de aplicación del Reglamento (UE) 2020/1056 ni a la flexibilidad de los operadores económicos a la hora de preparar e intercambiar información en contextos interempresariales, tales especificaciones no deben establecer requisitos para el formato electrónico y el uso de documentos comerciales. Procede, por tanto, establecer, mediante el presente Reglamento, unas especificaciones para la composición del conjunto de datos IETM que permitan a los operadores económicos interesados demostrar, compartiendo los datos una sola vez, que cumplen los requisitos en materia de información reglamentaria de la Unión y nacionales aplicables a que se refiere el artículo 2, apartado 1, del Reglamento (UE) 2020/1056. El conjunto de datos IETM debe componerse de conformidad con las especificaciones para el conjunto de datos comunes IETM y los subconjuntos de datos IETM establecidas en el anexo del Reglamento Delegado (UE) 2024/2024 de la Comisión (5). Al facilitar la información para el conjunto de datos IETM, los operadores económicos deben poder reutilizar, en la mayor medida posible, la información que está disponible en sus sistemas electrónicos internos de gestión de datos, como los sistemas de planificación de recursos empresariales o de gestión del transporte, que utilizan para gestionar documentos de transporte comerciales, como cartas de porte u órdenes de transporte.

(8)

De conformidad con el artículo 4 del Reglamento (UE) 2020/1056, los operadores económicos interesados no están obligados a poner los datos a disposición de las autoridades competentes por vía electrónica, ya que siguen conservando el derecho a presentar la información reglamentaria sobre el transporte de mercancías en forma de documentos en papel. Por consiguiente, los operadores de plataformas IETM deben garantizar que los operadores económicos interesados estén informados de que, al tratar datos en la plataforma IETM, autorizan a dicha plataforma a poner a disposición de las autoridades competentes, en nombre del operador interesado correspondiente, la información reglamentaria sobre el transporte de mercancías registrada y tratada como datos IETM en una plataforma IETM, cuando la plataforma reciba solicitudes de acceso a los datos IETM por parte de las autoridades competentes que hayan sido transmitidas de conformidad con los requisitos del Reglamento de Ejecución (UE) 2024/1942. Los operadores de plataformas IETM también deben velar por que se informe a los operadores de que, al tratar datos en la plataforma IETM, consienten que la plataforma IETM ponga los correspondientes registros de tratamiento de datos a disposición con vistas a su auditoría de conformidad con el Derecho de la Unión o nacional aplicable.

(9)

El artículo 27, apartado 3, del Reglamento (UE) 2024/1157 del Parlamento Europeo y del Consejo (6) prevé la interoperabilidad del entorno de intercambio IETM con el sistema central para la presentación y el intercambio electrónicos de información y documentos relacionados con los traslados de residuos entre los operadores económicos interesados y las autoridades competentes, también denominado «sistema digital de traslado de residuos» (DIWASS, por sus siglas en inglés), establecido de conformidad con dicho Reglamento. Además, el artículo 5, apartado 2, del Reglamento de Ejecución (UE) 2025/1290 de la Comisión (7) especifica que los usuarios que representen a operadores económicos interesados que actúen como transportistas para el traslado de residuos podrán conectarse a DIWASS mediante una plataforma IETM interconectada con dicho sistema a través de una interfaz de programación de aplicaciones. A fin de garantizar la interoperabilidad entre las plataformas IETM y DIWASS, es necesario establecer especificaciones para el intercambio de la información sobre residuos que entre en el ámbito de aplicación del Reglamento (UE) 2020/1056, tal como se contempla en el artículo 2, apartado 1, letra a), inciso iv), de dicho Reglamento. Esta interoperabilidad facilitará que los transportistas que realizan operaciones de transporte de residuos puedan demostrar, por medios electrónicos, que cumplen tanto los requisitos de disponibilidad de información reglamentaria durante las operaciones de transporte, tal como se establece en las disposiciones a que se refiere el artículo 2, apartado 1, del Reglamento (UE) 2020/1056, como los requisitos sobre facilitación de información relativa al traslado de residuos establecidos en el Reglamento (UE) 2024/1157.

(10)

Los datos que los operadores económicos registren en las plataformas IETM tendrán un valor comercial sustancial, pues permitirán a los operadores económicos interesados demostrar que cumplen los requisitos administrativos y servirán asimismo de base para las transacciones comerciales, la prestación de servicios y el seguimiento y la planificación empresariales. Por lo tanto, es esencial que, además de unas políticas rigurosas de gestión del acceso, los operadores de plataformas IETM adopten medidas que garanticen la accesibilidad, la preservación y la seguridad continuas de dichos datos, tanto si se almacenan en dispositivos de almacenamiento físico bajo el control del operador de la plataforma IETM como si se almacenan en nubes de datos adquiridas como parte de los servicios de almacenamiento de datos. A tal fin, y sin afectar a los requisitos de ciberseguridad nacionales o de la Unión aplicables, los operadores de plataformas IETM deben respetar las mejores prácticas y normas internacionales más recientes en materia de privacidad y seguridad de los datos, como las normas ISO 27001, ISO 27017 e ISO 27701. Cuando se tratan datos personales en el contexto de la aplicación del presente Reglamento de Ejecución, es aplicable el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (8).

(11)

Para que los operadores de plataformas IETM puedan tener en cuenta la evolución técnica y las normas, en constante evolución, las especificaciones detalladas establecidas en el presente Reglamento no deben ir más allá de los requisitos necesarios para garantizar una interoperabilidad funcional y técnica mínima con otros componentes dentro del entorno de intercambio IETM, tal como se establece en el Reglamento de Ejecución (UE) 2024/1942. Al mismo tiempo, la interoperabilidad fluida entre los diferentes componentes de TIC no puede lograrse sin un conjunto de especificaciones técnicas comunes y detalladas que puedan actualizarse y compartirse fácilmente entre todas las partes interesadas. Por consiguiente, para apoyar la aplicación del presente Reglamento, deben elaborarse documentos de orientación técnica en los que participen partes interesadas tanto del sector público como del privado, y en particular el grupo de trabajo de expertos designados por los Estados miembros para actuar como red de apoyo operativo de conformidad con el artículo 13 del Reglamento de Ejecución (UE) 2024/1942, y los grupos o subgrupos de trabajo pertinentes del grupo de expertos del Foro de Transporte y Logística Digitales (9).

(12)	El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (10), emitió su dictamen el 8 de julio de 2025.

(13)	Las medidas previstas en el presente Reglamento se ajustan al dictamen del Comité establecido con arreglo al artículo 15, apartado 1, del Reglamento (UE) 2020/1056.

HA ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I

DISPOSICIONES GENERALES

Artículo 1

Definiciones

A los efectos del presente Reglamento, se entenderá por:

1)	«sistema de TIC»: conjunto organizado de tecnologías de la información y de las comunicaciones (TIC), incluidos equipos, programas informáticos y redes, unido y regulado por interacción o interdependencia para realizar un conjunto de funciones específicas;

2)	«sistema de TIC afluente»: sistema de TIC identificable que es externo a una plataforma IETM, por ejemplo otra plataforma IETM, y mediante el cual los usuarios profesionales se conectan a una plataforma IETM para acceder a los datos IETM y tratarlos;

3)	«datos IETM»: datos correspondientes a la información reglamentaria tal como se define en el artículo 3, punto 1, del Reglamento (UE) 2020/1056;

4)	«operador de plataforma IETM»: persona física o jurídica considerada jurídicamente responsable del funcionamiento adecuado de una plataforma IETM;

5)	«puerta IETM» (en inglés, «eFTI gate»): componente de TIC o conjunto de componentes de TIC que realiza las funcionalidades establecidas en el artículo 6 del Reglamento de Ejecución (UE) 2024/1942;

«usuario profesional»: persona física o jurídica que constituye un operador económico interesado, o está autorizada para representarlo, de conformidad con el Reglamento (UE) 2020/1056, u otro operador económico que constituye un tenedor de datos de conformidad con el punto 23, y que trata datos en una plataforma IETM en nombre de dicho operador económico interesado u otro tenedor de datos;

7)	«sesión de inicio de sesión»: período de tiempo restringido durante el cual se concede a un usuario profesional acceso a una plataforma IETM;

«movimiento de envío»: transporte de una colección de mercancías por un único medio de transporte autopropulsado, con o sin un equipo de transporte, como remolques, palés o contenedores, desde el mismo lugar de carga o de recepción hasta el mismo lugar de descarga o traspaso, en virtud de un único contrato de transporte;

«conjunto de datos IETM del movimiento de envío» o «eFTI CMDS», por sus siglas en inglés: conjunto de datos IETM identificado de manera unívoca compuesto por los datos IETM que, en conjunto, constituyen la información reglamentaria sobre el transporte de mercancías relacionada con un movimiento de envío específico;

10)	«requisitos en materia de información reglamentaria aplicables»: los requisitos en materia de información reglamentaria a que se refiere el artículo 2, apartado 1, del Reglamento (UE) 2020/1056 y que se aplican a un movimiento de envío específico;

11)	«identificadores de los subconjuntos de datos IETM»: identificadores en el formato «EUyy» o «XXyy» de los subconjuntos de datos IETM establecidos en las secciones 3 y 4 del anexo del Reglamento Delegado (UE) 2024/2024;

12)	«UUID del eFTI CMDS»: el número único, tal como se contempla en el artículo 11, apartado 2, letra c), del Reglamento de Ejecución (UE) 2024/1942, asignado automáticamente por una plataforma IETM a un conjunto de datos IETM que constituye un eFTI CMDS;

13)	«número único de identificación de la solicitud»: número único de una solicitud de acceso a datos IETM presentada por un agente de la autoridad competente, expedido y asignado a la solicitud de conformidad con el artículo 3, apartado 2, letra c), del Reglamento de Ejecución (UE) 2024/1942;

14)	«comunicación de seguimiento»: comunicación entre las autoridades competentes y los operadores económicos interesados, tal como se define en el artículo 1, punto 6, del Reglamento de Ejecución (UE) 2024/1942;

15)	«interfaz de usuario de persona a máquina»: interfaz gráfica de usuario basada en la web o en una aplicación que permite a las personas físicas realizar operaciones de tratamiento de datos en una plataforma IETM;

16)	«medio de identificación electrónica»: unidad material o inmaterial que contiene datos de identificación personal y que se utiliza con fines de autenticación para acceder a servicios en línea o, cuando proceda, a servicios fuera de línea;

17)	«sistema de identificación electrónica»: régimen para la identificación electrónica en virtud del cual se expiden medios de identificación electrónica a personas físicas o jurídicas o a personas físicas que representan a otras personas físicas o personas jurídicas;

18)	«autenticación»: proceso electrónico que permite la confirmación de la identificación electrónica de una persona física o jurídica, o la confirmación del origen y la integridad de los datos en formato electrónico;

19)	«firma electrónica avanzada»: firma electrónica que cumple los requisitos establecidos en el artículo 26 del Reglamento (UE) n.o 910/2014;

20)	«sello electrónico avanzado»: sello electrónico que cumple los requisitos establecidos en el artículo 36 del Reglamento (UE) n.o 910/2014;

21)	«usuario incorporado»: usuario profesional para el que se ha realizado la identificación, autenticación y autorización de conformidad con los requisitos establecidos en el artículo 4, apartado 2, letra a);

22)	«usuario no incorporado»: usuario profesional autorizado a acceder a una plataforma IETM únicamente sobre la base de unos derechos de acceso y tratamiento temporales, emitidos de conformidad con los requisitos establecidos en el artículo 5, apartado 1, letra b);

23)

«tenedor de datos»: persona física o jurídica que tiene el derecho o la obligación, de conformidad con el Derecho de la Unión aplicable, la legislación nacional o acuerdos contractuales privados, de utilizar y poner a disposición datos que también constituyen información reglamentaria de conformidad con los requisitos mencionados en el artículo 2, apartado 1, del Reglamento (UE) 2020/1056;

24)	«autorizador primario»: usuario profesional incorporado que está autorizado a modificar la información registrada en un perfil de usuario incorporado, incluida la creación o supresión de un perfil de usuario;

25)	«autorizador temporal»: usuario profesional incorporado que está autorizado a emitir derechos temporales de tratamiento de datos a usuarios no incorporados;

26)	«autenticación de doble factor»: método de seguridad para la gestión de la identidad y el acceso que requiere dos formas de identificación para acceder a una plataforma IETM;

27)

«marca de certificación»: referencia codificada a la plataforma IETM que certifica la validez de su estatus de certificación y que debe acompañar toda la información puesta a disposición de las autoridades competentes a través de una plataforma IETM certificada, de conformidad con el artículo 12, apartado 3, del Reglamento (UE) 2020/1056;

28)	«sistema digital de traslado de residuos» (DIWASS, por sus siglas en inglés): el sistema central a que se refiere el artículo 27, apartado 3, del Reglamento (UE) 2024/1157;

29)	«operador de traslado de residuos»: el operador tal como se define en el artículo 2, apartado 2, punto 13, del Reglamento de Ejecución (UE) 2025/1290;

30)	«documentos de traslado de residuos»: los documentos a que se refieren el artículo 9, apartado 2, el artículo 16, apartado 1, y el artículo 18, apartado 4, del Reglamento (UE) 2024/1157;

31)	«detalles del transporte combinado»: la información reglamentaria a que se refiere el artículo 3 de la Directiva 92/106/CEE del Consejo (11);

32)	«sello cualificado de tiempo electrónico»: sello de tiempo electrónico que cumple los requisitos establecidos en el artículo 42 del Reglamento (UE) n.o 910/2014;

Artículo 2

Arquitectura del sistema de plataformas IETM

La arquitectura del sistema de plataformas IETM consistirá en cualquier combinación de componentes o sistemas de TIC que cumplan los requisitos establecidos en el presente Reglamento.

CAPÍTULO II

ACCESO A LAS PLATAFORMAS IETM

Artículo 3

Acceso de las autoridades competentes a las plataformas IETM

1. Las plataformas IETM permitirán a las autoridades competentes acceder a los datos IETM únicamente mediante la comunicación de máquina a máquina, a través de una conexión segura entre la plataforma IETM y una puerta IETM. Cada plataforma IETM establecerá tal conexión con al menos una puerta IETM.

2. Para permitir la comunicación a que se refiere el apartado 1, las plataformas IETM proporcionarán las siguientes funcionalidades:

a)	validar la solicitud de acceso a los datos IETM o la comunicación de seguimiento recibida de la puerta IETM, verificando la clave de seguridad de la puerta IETM;

tramitar la solicitud de acceso a los datos IETM, identificando:

i)	el UUID del eFTI CMDS,

ii)	las referencias a los derechos de acceso del agente de la autoridad competente responsable de la solicitud, expresadas como la lista de identificadores de los subconjuntos de datos IETM;

mantener una pista de auditoría de la solicitud de acceso a datos IETM, registrando al menos la siguiente información:

i)	el número único de identificación de la solicitud de acceso a los datos IETM, tal como figura en la solicitud transmitida por la puerta IETM,

ii)	el UUID del eFTI CMDS al que se solicitó acceso,

iii)	la fecha y la hora de la solicitud;

preparar y transmitir a la puerta IETM la respuesta a la solicitud de acceso a los datos IETM, según proceda:

los datos IETM solicitados, como subconjunto del eFTI CMDS, consistentes en todos los elementos de datos que corresponden a los requisitos en materia de información reglamentaria aplicables y que son identificados por la plataforma IETM sobre la base de las referencias a los derechos de acceso del agente de la autoridad competente incluidas en la solicitud,

ii)	un mensaje de error que contenga una especificación textual breve o codificada del tipo de error cuando la plataforma no pueda proporcionar los datos IETM solicitados por razones técnicas o razones relacionadas con procesos de negocio;

mantener una pista de auditoría de la respuesta que permita obtener al menos la siguiente información:

i)	el número único de identificación de la respuesta y el número único de identificación de la solicitud a la que se facilitó la respuesta,

ii)	el tipo de respuesta facilitada, ya sea un eFTI CMDS o un mensaje de error,

iii)	la fecha y la hora de la respuesta,

iv)	cuando la respuesta contenga el eFTI CMDS, los elementos de datos y los valores respectivos de estos incluidos en la respuesta;

tramitar la comunicación de seguimiento:

i)	obteniendo el UUID del eFTI CMDS y el número único de identificación de la solicitud de acceso a los datos IETM respecto de la que se presentó la comunicación de seguimiento,

ii)	registrando la información contenida en la comunicación de seguimiento, según la haya transmitido la autoridad competente de conformidad con las especificaciones establecidas en el artículo 3, apartado 5, letra a), del Reglamento de Ejecución (UE) 2024/1942,

iii)	notificando a los usuarios profesionales afectados, cuando su autorización incluya los derechos de tratamiento adecuados correspondientes, y transmitiendo a la puerta IETM un mensaje de confirmación de la recepción de la comunicación de seguimiento;

mantener una pista de auditoría de la comunicación de seguimiento que permita obtener al menos la siguiente información:

i)	el número único de identificación de la solicitud de acceso a datos IETM respecto de la que se presentó la comunicación de seguimiento,

ii)	la fecha y la hora de recepción de la comunicación de seguimiento.

Artículo 4

Acceso de los usuarios profesionales a las plataformas IETM

1. Las plataformas IETM permitirán a los usuarios profesionales acceder a los datos IETM y tratarlos mediante una de las siguientes modalidades, o mediante ambas:

a)	interfaces de usuario de persona a máquina;

b)	comunicación de máquina a máquina a través de conexiones seguras con otros sistemas de TIC que actúan como sistemas de TIC afluentes.

2. Para el acceso a los datos IETM y su tratamiento mediante interfaces de persona a máquina, las plataformas IETM proporcionarán funcionalidades que garanticen:

para cada usuario incorporado:

i)	la identificación y autenticación del usuario por medios de identificación electrónica expedidos en el marco de un sistema de identificación electrónica que cumpla los requisitos establecidos en el apartado 3,

ii)	la autorización del usuario, mediante el registro de autorizaciones a que se refiere el artículo 5, apartado 1, letra a);

b)	en el caso de los usuarios no incorporados, la identificación, la autenticación y la autorización del usuario mediante el mecanismo de autorización a que se refiere el artículo 5, apartado 1, letra b).

3. El sistema de identificación electrónica a que se refiere el apartado 2, letra a), inciso i), cumplirá, como mínimo, los requisitos establecidos en el artículo 8, apartado 2, letra b), del Reglamento (UE) n.o 910/2014.

Para los usuarios que accedan a datos IETM correspondientes a los requisitos de información a que se refiere el artículo 2, apartado 1, letra a), inciso iv), del Reglamento (UE) 2020/1056 y que traten dichos datos, los medios de identificación electrónica a que se refiere el apartado 2, letra a), inciso i), del presente artículo incluirán una referencia al número de identificación del operador de traslado de residuos a que se refiere el artículo 9 del Reglamento de Ejecución (UE) 2025/1290.

4. Para el acceso a los datos IETM y su tratamiento mediante comunicación de máquina a máquina, las plataformas IETM proporcionarán funcionalidades que garanticen, para cada sistema TIC afluente:

la identificación y autenticación del usuario profesional bajo cuya responsabilidad jurídica opere el sistema de TIC afluente, mediante un registro en el que se registre y mantenga actualizada al menos la siguiente información:

i)	la referencia de identificación del usuario profesional,

ii)	detalles de la clave de seguridad del sistema de TIC afluente;

b)	la autorización del usuario profesional bajo cuya responsabilidad jurídica opere el sistema de TIC afluente, mediante el registro de autorizaciones a que se refiere el artículo 5, apartado 1, letra a).

5. Los operadores de plataformas IETM establecerán y aplicarán medidas para incorporar adecuadamente los sistemas de TIC afluentes, entre las que se incluirán, como mínimo, medidas consistentes en:

verificar, mediante medios de identificación electrónica expedidos en el marco de un sistema de identificación electrónica que cumpla los requisitos establecidos en el apartado 3, que el sistema de TIC afluente identifica y autentica a los usuarios autorizados a actuar como usuarios profesionales de la plataforma IETM;

b)	verificar, mediante uno de los registros de autorizaciones a que se refiere el artículo 5, apartado 1, letra a), que el sistema de TIC afluente controla el acceso de los usuarios autorizados a actuar como usuarios profesionales de la plataforma IETM.

6. Para cada sesión de inicio de sesión, la plataforma IETM garantizará la identificación, autenticación y autorización del usuario profesional antes de permitirle tratar los datos IETM.

Artículo 5

Mecanismo de autorización

1. Las plataformas IETM utilizarán uno de los siguientes tipos de mecanismos de autorización, o ambos:

la verificación de los derechos de tratamiento del usuario, mediante registros de autorizaciones en los que los derechos de tratamiento de los usuarios incorporados se registren, se mantengan actualizados y estén disponibles a efectos de auditoría, y que constituirán el principal mecanismo de autorización;

b)	la expedición y verificación de los derechos temporales de tratamiento, mediante registros de autorizaciones en los que se registren las credenciales de acceso temporal de los usuarios ocasionales no incorporados.

2. Los registros de autorizaciones a que se refiere el apartado 1 se establecerán y mantendrán como un componente de TIC separado. Este componente de TIC separado formará parte o bien de la plataforma IETM, o bien de un sistema de TIC externo a la plataforma IETM con el que esta establezca comunicaciones seguras, de conformidad con el artículo 12, apartado 4.

3. Los registros de autorizaciones a que se refiere el apartado 1, letra a), mantendrán un «perfil de usuario» identificado de manera unívoca para cada usuario profesional incorporado, para lo cual registrarán al menos la siguiente información:

a)	la identificación única del usuario profesional, expresada como referencia codificada;

los derechos de tratamiento, expresados como referencias, cuando dichas referencias incluyan:

i)	referencias a las operaciones de tratamiento contempladas en el artículo 8,

ii)	el período de tiempo para el que se concede cada uno de los derechos de tratamiento a que se refiere la letra b),

iii)	las referencias codificadas de los elementos de datos IETM o grupos de elementos de datos IETM, tal como se especifica en la sección 2 del anexo del Reglamento Delegado (UE) 2024/2024, respecto de los cuales pueden llevarse a cabo todas las operaciones de tratamiento a que se refiere el artículo 8;

c)	una indicación de si el usuario profesional puede actuar como autorizador primario o como autorizador temporal;

d)	en el caso de los usuarios profesionales designados como autorizadores primarios, los números únicos de identificación de los perfiles de usuario incorporados existentes que están autorizados a modificar;

e)	en el caso de los usuarios profesionales designados como autorizadores temporales, los derechos temporales de tratamiento que tienen derecho a emitir a los usuarios no incorporados, expresados como referencias a las operaciones de tratamiento a que se refiere el artículo 8;

una indicación de si el usuario profesional puede solicitar notificaciones relacionadas con las solicitudes de acceso a datos IETM por parte de las autoridades competentes y las comunicaciones de seguimiento conexas, cuando estén relacionadas con el eFTI CMDS respecto del que el usuario profesional tenga derechos de tratamiento.

4. El operador de la plataforma IETM o, cuando el registro de autorizaciones esté establecido como componente de un sistema de TIC externo a la plataforma IETM, el operador del sistema de TIC externo, adoptará medidas para garantizar la adecuada incorporación de los usuarios profesionales que puedan actuar como «autorizador primario». Dichas medidas consistirán, como mínimo, en:

a)	la identificación y autenticación, de conformidad con los requisitos establecidos en el artículo 4, apartado 2, letra a);

la verificación de las credenciales que indiquen que el usuario profesional es un tenedor de datos o constituye el representante legal de un tenedor de datos, o que el usuario profesional está facultado para autorizar, en nombre de un tenedor de datos, el tratamiento de datos respecto de los cuales ese tenedor de datos tenga los derechos u obligaciones a que se refiere el artículo 1, punto 23;

c)	el mantenimiento de un registro de dichas credenciales a efectos de auditoría.

5. El mecanismo de autorización a que se refiere el apartado 1, letra b), incluirá funcionalidades que cumplan, como mínimo, las siguientes especificaciones:

permitir que los usuarios incorporados designados como autorizadores temporales emitan derechos temporales de tratamiento a usuarios no incorporados, registrando en un registro específico las credenciales de acceso temporal de los usuarios no incorporados, que contendrán como mínimo:

i)	datos de contacto que identifiquen al usuario no incorporado y que puedan utilizarse para enviar mensajes electrónicos,

ii)	el UUID del eFTI CMDS respecto del que se conceden derechos temporales de tratamiento al usuario no incorporado,

iii)	los derechos de tratamiento otorgados al usuario no incorporado, expresados como referencias a las operaciones de tratamiento a que se refiere el artículo 8,

iv)	el período de tiempo concreto durante el que dichos derechos de tratamiento son válidos;

permitir que los usuarios incorporados designados como autorizadores temporales den acceso temporal a los datos IETM a los usuarios no incorporados respecto de los cuales hayan registrado credenciales de acceso temporal enviando, mediante los datos de contacto registrados del usuario no incorporado, un mensaje que contenga:

i)	un enlace de acceso a la plataforma IETM,

ii)	el UUID de cada eFTI CMDS respecto del que se conceden derechos temporales de tratamiento al usuario no incorporado;

cuando un usuario no incorporado solicite acceso a la plataforma IETM, darle acceso a la plataforma IETM mediante autenticación de doble factor, y permitirle llevar a cabo operaciones de tratamiento basadas en los derechos de tratamiento que le correspondan, registrados de conformidad con la letra a);

poner fin a la sesión de inicio de sesión de un usuario no incorporado tan pronto como ocurra una de las siguientes situaciones:

i)	el usuario notifica la finalización de la sesión de tratamiento de datos,

ii)	el plazo a que se refiere la letra a), inciso iv), expira.

6. La información registrada en los registros de autorizaciones de conformidad con los apartados 1 a 5 se conservará a efectos de auditoría, como mínimo, durante el mismo período de tiempo durante el cual el eFTI CMDS respecto del cual los usuarios correspondientes hayan realizado operaciones de tratamiento deba mantenerse disponible, de conformidad con el Derecho nacional o de la Unión aplicable, con arreglo al artículo 9, apartado 1, letra i), del Reglamento (UE) 2020/1056.

7. Las plataformas IETM suprimirán toda la información que constituya datos personales, de conformidad con el Reglamento (UE) 2016/679, en un plazo razonable tras la expiración del plazo a que se refiere el apartado 6.

Artículo 6

Comunicación con DIWASS

1. Para que los operadores económicos interesados puedan poner a disposición de las autoridades competentes la información reglamentaria a que se refiere el artículo 2, apartado 1, letra a), inciso iv), del Reglamento (UE) 2020/1056, las plataformas IETM establecerán conexiones seguras con el sistema central a que se refiere el artículo 27, apartado 3, del Reglamento (UE) 2024/1157, a través de una interfaz de programación de aplicaciones, tal como menciona el artículo 5, apartado 2, del Reglamento de Ejecución (UE) 2025/1290, o, cuando un Estado miembro la ofrezca, mediante la conexión al sistema local gestionado por una autoridad competente de dicho Estado miembro, de conformidad con el artículo 27, apartado 4, del Reglamento (UE) 2024/1157, y que se conecte con el sistema central, de conformidad con los requisitos del Reglamento de Ejecución (UE) 2025/1290.

2. Cuando las plataformas IETM establezcan cualquiera de las conexiones a que se refiere el apartado 1, también ofrecerán las funcionalidades adicionales correspondientes, de conformidad con el artículo 9, apartado 2, del presente Reglamento.

Artículo 7

Transparencia

1. Las plataformas IETM ofrecerán funcionalidades que permitan a los usuarios profesionales solicitar y recibir notificaciones, también en forma de informes periódicos, sobre la base de las autorizaciones adecuadas. Dichas notificaciones e informes abarcarán las solicitudes de acceso a los datos IETM por parte de las autoridades competentes, así como las comunicaciones de seguimiento conexas. También abarcarán las operaciones de tratamiento por parte de usuarios profesionales, cuando el usuario profesional que solicite dichas notificaciones o informes constituya un tenedor de datos o tenga asignados en el registro de autorizaciones a que se refiere el artículo 5, apartado 1, letra a), derechos de tratamiento en relación con dichos datos.

2. Cuando las notificaciones o informes a que se refiere el apartado 1 se refieran a solicitudes de acceso a datos IETM por parte de las autoridades competentes y a las comunicaciones de seguimiento conexas, dichas notificaciones contendrán, como mínimo, la siguiente información:

a)	fecha y hora de recepción de la solicitud de acceso a los datos IETM y, en su caso, de la comunicación de seguimiento;

b)	el Estado miembro de la autoridad competente que haya presentado la solicitud de acceso a los datos IETM;

c)	el UUID del eFTI CMDS respecto del cual se presentó la solicitud de acceso a los datos IETM;

d)	en su caso, la información contenida en la comunicación de seguimiento.

CAPÍTULO III

TRATAMIENTO DE DATOS EN LAS PLATAFORMAS IETM

Artículo 8

El eFTI CMDS

1. Las plataformas IETM gestionarán el tratamiento de datos IETM sobre la base de conjuntos de datos identificados de manera unívoca, cada uno de los cuales constituirá un eFTI CMDS.

2. El eFTI CMDS se generará seleccionando todos los elementos de datos que constituyen los subconjuntos de datos IETM correspondientes a los requisitos en materia de información reglamentaria aplicables a un movimiento de envío específico; en él, todos los elementos de datos comunes a dos o más subconjuntos de datos IETM se incluirán una sola vez.

3. Todos los datos IETM tratados en una plataforma IETM se ajustarán a las definiciones y características técnicas, incluidas la estructura, las listas de códigos y las normas operativas, establecidas por el Reglamento Delegado (UE) 2024/2024.

Artículo 9

Operaciones de tratamiento

1. Las plataformas IETM ofrecerán funcionalidades que permitan a los usuarios profesionales, una vez validados sus derechos de tratamiento mediante uno de los mecanismos de autorización a que se refiere el artículo 5, llevar a cabo las siguientes operaciones de tratamiento de datos IETM:

a)	crear el eFTI CMDS;

b)	editar el eFTI CMDS;

c)	leer los datos del eFTI CMDS;

d)	descargar una copia de los datos del eFTI CMDS;

e)	firma del expedidor;

f)	firma del transportista;

g)	firma del destinatario;

h)	«sello» del transporte combinado estampado por la autoridad competente en un puerto marítimo, un puerto interior o una estación ferroviaria;

i)	archivar el eFTI CMDS.

2. Las funcionalidades de la plataforma IETM a que se refiere el artículo 6 permitirán a los usuarios profesionales, una vez validados sus derechos de tratamiento mediante uno de los mecanismos de autorización a que se refiere el artículo 5, llevar a cabo las siguientes operaciones de tratamiento de datos IETM:

a)	descargar una copia de los documentos de traslado de residuos;

b)	presentar confirmaciones de transferencia por el transportista del traslado de residuos, de conformidad con la parte B, punto 3, y la parte C, punto 3, del anexo II del Reglamento de Ejecución (UE) 2025/1290;

c)	editar las confirmaciones de transferencia por el transportista del traslado de residuos presentadas, de conformidad con la parte B, punto 4, y la parte C, punto 4, del anexo II del Reglamento de Ejecución (UE) 2025/1290;

3. Las operaciones de tratamiento a que se refieren los apartados 1 y 2 serán las especificadas en el anexo, junto con las acciones que deben realizar las plataformas IETM para permitir a los usuarios profesionales llevar a cabo dichas operaciones.

4. Antes de permitir a un usuario profesional llevar a cabo operaciones de tratamiento de datos IETM, la plataforma le informará a través de mensajes claramente redactados de que, al tratar los datos en la plataforma IETM, el usuario consiente que:

a)	los datos que haya tratado puedan ponerse automáticamente a disposición de las autoridades competentes, en particular cuando la plataforma IETM reciba de una autoridad competente una solicitud de acceso a los datos IETM, para el eFTI CMDS del que formen parte dichos datos;

b)	se registre una pista de auditoría de las operaciones de tratamiento de datos que haya realizado, de conformidad con lo dispuesto en el apartado 6, que podrá ponerse a disposición de las autoridades competentes para su consulta de conformidad con el Derecho de la Unión o nacional aplicable.

5. Las plataformas IETM consignarán cada operación de tratamiento realizada por un usuario profesional en un eFTI CMDS registrando, en relación con cada elemento de datos tratado, la siguiente información:

a)	el UUID del eFTI CMDS;

b)	en el caso de los usuarios incorporados, una identificación codificada vinculada a su cuenta de usuario;

c)	en el caso de los usuarios no incorporados, la información de identificación facilitada por el usuario en el contexto de la autenticación de doble factor a que se refiere el artículo 5, apartado 5, letra c);

d)	la fecha y la hora;

e)	el tipo de operación realizada, identificada de conformidad con los apartados 1 y 2; cuando la operación de tratamiento implique modificar o suprimir el valor de un elemento de datos, también se mantendrá el valor original del elemento de datos.

6. Las plataformas IETM registrarán los datos del eFTI CMDS en un sistema de almacenamiento de datos en línea y garantizarán que estén fácilmente accesibles tanto para los usuarios profesionales como para las autoridades competentes, durante al menos el período en que el eFTI CMDS tenga el estatus «activo» y, en su caso, «inactivo», según se lo haya asignado la plataforma IETM de conformidad con las especificaciones establecidas en el anexo del presente Reglamento.

7. Las plataformas IETM se encargarán de que los eFTI CMDS que tengan el estatus «listo para su archivo» o «archivado» y las correspondientes consignaciones de operaciones de tratamiento sigan estando accesibles para las autoridades competentes durante los plazos a que se refiere el artículo 9, apartado 1, letra i), del Reglamento (UE) 2020/1056.

8. Las plataformas IETM suprimirán toda la información que constituya datos personales, de conformidad con el Reglamento (UE) 2016/679, en un plazo razonable tras la expiración de los plazos a que se refiere el apartado 8.

Artículo 10

Interfaces de usuario de persona a máquina

1. Las interfaces de persona a máquina a que se refiere el artículo 4, apartado 1, letra a), ofrecerán las siguientes funcionalidades web o basadas en aplicaciones:

permitir a los usuarios profesionales interactuar con la plataforma IETM a efectos de identificación, autenticación y autorización por parte de la plataforma IETM, de conformidad con los artículos 4 y 5, y, respectivamente, a efectos de tratamiento de datos IETM en la plataforma IETM, de conformidad con los artículos 5 y 9;

b)	permitir a los usuarios autorizados descargar el enlace único de identificación electrónica (UIL, por sus siglas en inglés) del eFTI CMDS, y permitirles comunicarlo a las autoridades competentes en un formato legible mecánicamente;

permitir a los usuarios autorizados descargar una copia legible como texto del eFTI CMDS y, en su caso, de los documentos de traslado de residuos, y mostrar dichas copias en las inspecciones realizadas por los agentes de las autoridades competentes, cuando estos así lo exijan de conformidad con el artículo 4, apartado 2, del Reglamento (UE) 2020/1056;

2. Las copias legibles como texto a que se refiere el apartado 1, letra d), incluirán una referencia codificada legible mecánicamente de la marca de certificación de la plataforma IETM, así como una indicación de la fecha y hora de la descarga en forma de sello de tiempo.

3. Las interfaces de persona a máquina de las plataformas IETM incluirán funciones de protección de acceso para impedir el acceso no autorizado a los datos IETM y a las funcionalidades de la plataforma IETM cuando el dispositivo a través del cual el usuario profesional acceda a la plataforma IETM no esté bajo el control del usuario.

CAPÍTULO IV

MEDIDAS DE DISPONIBILIDAD, SEGURIDAD Y RESILIENCIA

Artículo 11

Disponibilidad

Las plataformas IETM seguirán estando accesibles para las autoridades competentes, tal como se especifica en el artículo 3, al menos durante el período de tiempo durante el cual los eFTI CMDS registrados en dicha plataforma tengan el estatus «activo» y, en su caso, «inactivo», según se lo haya asignado la plataforma IETM de conformidad con las especificaciones establecidas en el anexo del presente Reglamento.

Artículo 12

Seguridad de los intercambios de datos

1. Para la comunicación con una puerta IETM, las plataformas IETM deberán cumplir las condiciones siguientes:

mantener un punto de acceso de eDelivery, de conformidad con las especificaciones de intercambio de mensajes eDelivery, o un punto de acceso conforme con las especificaciones de intercambio de mensajes equivalentes que sean compatibles con la puerta IETM, cuando sea un Estado miembro quien establezca dichas especificaciones de intercambio de mensajes de conformidad con el artículo 9, apartado 4, del Reglamento de Ejecución (UE) 2024/1942;

b)	utilizar procedimientos y protocolos seguros para recibir, registrar, recuperar y validar las claves de seguridad o los certificados de seguridad de la puerta IETM.

2. Los puntos de acceso a que se refiere el apartado 1, letra a), utilizarán certificados de seguridad expedidos, a través de una autoridad de certificación, por el Estado miembro en el que la plataforma IETM haya recibido el certificado de conformidad a que se refiere el artículo 12, apartado 1, del Reglamento (UE) 2020/1056.

3. Toda comunicación entre la plataforma IETM y la puerta IETM se realizará mediante intercambios de mensajes que cumplan las especificaciones establecidas en el artículo 9, apartados 3 y 4, del Reglamento de Ejecución (UE) 2024/1942.

4. Para la comunicación con sistemas de TIC afluentes o con otros sistemas externos de TIC que alberguen componentes que realicen determinadas funcionalidades de la plataforma IETM, las plataformas IETM deberán, como mínimo:

a)	mantener puntos de acceso con claves de seguridad o certificados de seguridad válidos;

b)	utilizar procedimientos y protocolos seguros para recibir, registrar, recuperar y validar las claves de seguridad o los certificados de seguridad de esos otros sistemas de TIC.

5. Para la comunicación con DIWASS, las plataformas IETM deberán cumplir las condiciones siguientes:

a)	mantener puntos de acceso que cumplan las especificaciones a que se refiere el artículo 12 del Reglamento de Ejecución (UE) 2025/1290;

b)	utilizar procedimientos y protocolos seguros para recibir, registrar, recuperar y validar las claves de seguridad de DIWASS;

c)	mantener una interfaz de programación de aplicaciones que le permita recibir de DIWASS datos relacionados con la firma del destinatario, cuando este sea una instalación de tratamiento de residuos de las mencionadas en el Reglamento (UE) 2024/1157.

Artículo 13

Seguridad de los datos almacenados

Los operadores de plataformas IETM definirán y aplicarán medidas que garanticen la seguridad y la conservación de los datos almacenados en las plataformas IETM y, en particular:

cuando los datos IETM se almacenen en dispositivos de almacenamiento físico gestionados por el operador de la plataforma:

i)	medidas para garantizar un almacenamiento de datos suficiente, también para copias de seguridad,

ii)	medidas para garantizar la protección contra los daños físicos causados a las unidades de almacenamiento físico, tanto intencionados como accidentales, de origen humano o como consecuencia de catástrofes naturales,

iii)	medidas para garantizar la recuperación de datos en caso de daños,

iv)	medidas que apliquen políticas adecuadas de gestión de riesgos en materia de seguridad de la información, incluidas evaluaciones periódicas de la vulnerabilidad en materia de seguridad y su seguimiento;

cuando los datos IETM se almacenen mediante almacenamiento en la nube, medidas para garantizar que el espacio de almacenamiento en la nube se compre a proveedores de servicios que cumplan las principales normas internacionales y las mejores prácticas en materia de seguridad en la nube y protección de datos personales,

c)	medidas para garantizar que los datos IETM se almacenen en la Unión o bajo la jurisdicción de la Unión o de los Estados miembros.

CAPÍTULO V

DISPOSICIONES FINALES

Artículo 14

Entrada en vigor

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 6 de noviembre de 2025.

Por la Comisión

La Presidenta

Ursula VON DER LEYEN

(1) DO L 249 de 31.7.2020, p. 33, ELI: http://data.europa.eu/eli/reg/2020/1056/oj.

(2) Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y por el que se deroga el Reglamento (CEE) n.o 339/93 (DO L 218 de 13.8.2008, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(3) Reglamento de Ejecución (UE) 2024/1942 de la Comisión, de 5 de julio de 2024, por el que se establecen procedimientos comunes y normas detalladas para el acceso a la información electrónica relativa al transporte de mercancías y su tratamiento por parte de las autoridades competentes de conformidad con el Reglamento (UE) 2020/1056 del Parlamento Europeo y del Consejo (DO L, 2024/1942, 20.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/1942/oj).

(4) Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (DO L 257 de 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(5) Reglamento Delegado (UE) 2024/2024 de la Comisión, de 26 de julio de 2024, por el que se completa el Reglamento (UE) 2020/1056 mediante el establecimiento del conjunto de datos comunes IETM y los subconjuntos de datos IETM (DO L, 2024/2024, 20.12.2024, ELI: http://data.europa.eu/eli/reg_del/2024/2024/oj).

(6) Reglamento (UE) 2024/1157 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, relativo a los traslados de residuos, por el que se modifican los Reglamentos (UE) n.o 1257/2013 y (UE) 2020/1056, y se deroga el Reglamento (CE) n.o 1013/2006 (DO L, 2024/1157, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1157/oj).

(7) Reglamento de Ejecución (UE) 2025/1290 de la Comisión, de 2 de julio de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2024/1157 del Parlamento Europeo y del Consejo en lo que respecta a los requisitos necesarios para la interoperabilidad entre el sistema central para la presentación y el intercambio electrónicos de información y documentos relacionados con los traslados de residuos y otros sistemas o programas informáticos, así como otros requisitos técnicos y organizativos necesarios para la aplicación práctica de dicha presentación e intercambio electrónicos de información y documentos (DO L, 2025/1290, 14.7.2025, ELI: http://data.europa.eu/eli/reg_impl/2025/1290/oj).

(8) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (Texto pertinente a efectos del EEE) (DO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(9) https://ec.europa.eu/transparency/expert-groups-register/screen/expert-groups/consult?lang=es&groupID=3280.

(10) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(11) Directiva 92/106/CEE del Consejo, de 7 de diciembre de 1992, relativa al establecimiento de normas comunes para determinados transportes combinados de mercancías entre Estados miembros (DO L 368 de 17.12.1992, p. 38, ELI: http://data.europa.eu/eli/dir/1992/106/oj).

ANEXO

OPERACIONES DE TRATAMIENTO QUE PUEDEN REALIZAR LOS USUARIOS PROFESIONALES EN LAS PLATAFORMAS IETM

(a que se refiere el artículo 9)

En el siguiente cuadro se describen las operaciones de tratamiento de datos IETM que las plataformas IETM permiten realizar a los usuarios profesionales, de conformidad con el artículo 9, apartados 1 y 2, y las acciones automáticas que deben llevar a cabo las plataformas IETM para garantizar la ejecución de tales operaciones de tratamiento, donde:

a)	la columna titulada «Operación» indica el nombre abreviado por el que se identifica la operación de tratamiento en el artículo 9, apartados 1 o 2;

b)	la columna titulada «Acción del usuario profesional» describe las acciones que las plataformas IETM deben permitir realizar a los usuarios profesionales para llevar a cabo la operación de tratamiento correspondiente;

la columna titulada «Acción de la plataforma IETM» describe las acciones que las plataformas IETM deben ejecutar, como mínimo, junto con las acciones correspondientes de los usuarios profesionales, para garantizar que dicha operación se complete.

Cuadro

Operación

Acción del usuario profesional

Acción de la plataforma IETM

Crear el eFTI CMDS

Solicitar a la plataforma IETM que cree un nuevo eFTI CMDS.

A petición del usuario profesional y sobre la base de información facilitada por este, la plataforma IETM generará una plantilla de eFTI CMDS. La plataforma IETM solicitará al usuario profesional que facilite la información necesaria para poder determinar los subconjuntos de datos IETM adecuados que contengan los requisitos en materia de información reglamentaria aplicables.

Una vez generada la plantilla del eFTI CMDS, la plataforma asignará un UUID al eFTI CMDS, tal como se establece en el artículo 11, apartado 2, letra c), del Reglamento de Ejecución (UE) 2024/1942, asignará al CMDS el estatus «borrador» y lo pondrá a disposición de los usuarios profesionales para su tratamiento.

Editar el eFTI CMDS

Introducir información relativa al movimiento de los envíos en los campos de datos del eFTI CMDS.

La plataforma IETM permitirá al usuario profesional introducir datos en los campos correspondientes de elementos de datos del eFTI CMDS, incluso modificando los datos previamente registrados, para toda la información reglamentaria respecto de la que ese usuario profesional tenga derechos de tratamiento, tal como se establece en el artículo 5.

2.	La plataforma IETM registrará los datos introducidos por el usuario profesional en el sistema de almacenamiento en línea de la plataforma IETM, una vez completado el proceso de validación a que se refiere el apartado 3 y tras la confirmación del usuario de que no desea seguir tratando dichos datos.

Antes de registrar los datos, la plataforma IETM realizará comprobaciones de validación de los datos introducidos por el usuario profesional, y lo hará de las formas siguientes:

verificando si se han facilitado datos relativos a todos los elementos de datos respecto de los que el estatus jurídico se considera obligatorio o condicional para los subconjuntos IETM sobre cuya base se estableció el eFTI CMDS, de conformidad con la descripción de los subconjuntos de datos IETM que figura en las secciones 3 y 4 del anexo del Reglamento Delegado (UE) 2024/2024,

b)	verificando si los valores facilitados para cada elemento de datos se corresponden con las características técnicas (por ejemplo, tipo de dato, formato, lista de códigos) establecidas para dichos elementos de datos en el anexo del Reglamento Delegado (UE) 2024/2024;

c)	informando al usuario profesional, mediante los mensajes adecuados, de los resultados del proceso de validación.

Cuando los elementos de datos editados se correspondan con datos que constituyan identificadores de conformidad con el artículo 11, apartado 3, del Reglamento de Ejecución (UE) 2024/1942 y el estatus del eFTI CMDS sea «activo», la plataforma IETM actualizará el valor o valores de los identificadores correspondientes de ese eFTI CMDS que figuran en el registro de identificadores de la puerta IETM en el que se cargaron por primera vez tales identificadores.

Leer los datos del eFTI CMDS

Solicitar acceso a los datos introducidos en el eFTI CMDS.

La plataforma IETM permitirá, por defecto, un acceso de solo lectura a todos los elementos de datos de un eFTI CMDS respecto del que el usuario profesional tenga derechos de tratamiento.

Descargar una copia de los datos del eFTI CMDS

Solicitar una copia de los datos del eFTI CMDS.

La plataforma IETM generará y pondrá a disposición del usuario profesional para su descarga una copia de los datos del eFTI CMDS, tanto en formato legible como texto como en formato legible mecánicamente.

Firma del expedidor

Leer o editar y, a continuación, firmar los datos del eFTI CMDS.

1.	La plataforma IETM permitirá al usuario profesional leer y, en función de sus derechos de tratamiento, realizar otras operaciones de tratamiento en el eFTI CMDS.

La plataforma IETM permitirá al usuario profesional firmar electrónicamente, una vez haya confirmado que:

a)	ha leído todos los datos del eFTI CMDS respecto de los que tiene derechos de tratamiento, y

b)	no desea seguir tratando esos datos.

Firma del transportista

Leer o editar y, a continuación, firmar los datos del eFTI CMDS.

1.	La plataforma IETM permitirá al usuario profesional leer y, en función de sus derechos de tratamiento, realizar otras operaciones de tratamiento en el eFTI CMDS.

La plataforma IETM permitirá al usuario profesional firmar electrónicamente, una vez haya confirmado que:

a)	ha leído todos los datos del eFTI CMDS respecto del que tiene derechos de tratamiento, y

b)	no desea seguir tratando esos datos.

La plataforma IETM generará el UIL del eFTI CMDS, de conformidad con las especificaciones establecidas en el artículo 11, apartado 2, del Reglamento de Ejecución (UE) 2024/1942, y cargará el UIL, junto con los identificadores correspondientes, en el registro de identificadores de la puerta IETM a la que esté conectada la plataforma IETM y cuya referencia incluye el UIL, tal como se especifica en el artículo 11, apartado 3, de dicho Reglamento.

5.	La plataforma IETM asignará el estatus «activo» al eFTI CMDS y lo pondrá a disposición de las autoridades competentes, para que puedan acceder a él y tratarlo.

Firma del destinatario

Leer o editar y, a continuación, firmar los datos del eFTI CMDS.

1.	La plataforma IETM permitirá al usuario profesional leer y, en función de sus respectivos derechos de tratamiento, realizar otras operaciones de tratamiento en el eFTI CMDS.

La plataforma IETM permitirá al usuario profesional firmar electrónicamente, una vez haya confirmado que:

a)	ha leído todos los datos del eFTI CMDS respecto del que tiene derechos de tratamiento, y

b)	no desea seguir tratando esos datos.

La plataforma IETM registrará metadatos que permitan verificar si el usuario profesional ha firmado utilizando medios que cumplan, como mínimo, los requisitos de firma electrónica avanzada o sello avanzado de conformidad con el Reglamento (UE) n.o 910/2014, y asignará el valor «1» al elemento de datos eFTI84. Cuando el destinatario sea una instalación de tratamiento de residuos de las mencionadas en el Reglamento (UE) 2024/1157, la plataforma IETM podrá, en su lugar, registrar los datos relacionados con la firma del destinatario recibidos de DIWASS, a través de la interfaz de programación de aplicaciones a que se refiere el artículo 12, apartado 5, letra c).

4.	La plataforma IETM actualizará en el registro de identificadores de la puerta IETM el identificador correspondiente al elemento de datos eFTI188.

5.	Las plataformas IETM asignarán el estatus «listo para su archivo» al eFTI CMDS, a menos que el elemento de datos eFTI581 del eFTI CMDS tenga el valor «3», correspondiente al «transporte por carretera».

Cuando el elemento de datos eFTI581 del eFTI CMDS tenga el valor «3», correspondiente al «transporte por carretera», la plataforma IETM asignará al eFTI CMDS el estatus «inactivo» para la acumulación de períodos de tiempo a que se refieren el artículo 8, apartados 2 y 2 bis, del Reglamento (CE) n.o 1072/2009 del Parlamento Europeo y del Consejo (1) y, al expirar dicho período acumulativo, el estatus «listo para su archivo».

«Sello» del transporte combinado expedido por la autoridad en un puerto marítimo, un puerto interior o una estación ferroviaria

Confirmar los detalles del transporte combinado.

1.	La plataforma IETM permitirá al usuario profesional leer y, en función de sus respectivos derechos de tratamiento, realizar otras operaciones de tratamiento en el eFTI CMDS.

La plataforma IETM permitirá al usuario profesional firmar o sellar electrónicamente, una vez haya confirmado que:

a)	ha leído todos los datos del eFTI CMDS respecto del que tiene derechos de tratamiento, y

b)	no desea seguir tratando esos datos.

La plataforma IETM registrará metadatos que permitan verificar si el usuario profesional ha firmado o sellado utilizando medios que cumplan, como mínimo, los requisitos de firma electrónica avanzada o sello electrónico avanzado o, respectivamente, de sello cualificado de tiempo electrónico, de conformidad con el Reglamento (UE) n.o 910/2014, y asignará el valor «1» al elemento de datos eFTI608.

Archivar el eFTI CMDS

Solicitar el archivo del eFTI CMDS.

1.	Previa confirmación del usuario profesional, la plataforma IETM asignará el estatus «archivado» al eFTI CMDS.

En ausencia de una solicitud específica de un usuario profesional, la plataforma IETM podrá asignar el estatus «archivado» a un eFTI CMDS que tenga el estatus «listo para su archivo», siempre que se informe debidamente de dicha acción a los usuarios profesionales que cuentan con las autorizaciones correspondientes relativas a dicho eFTI CMDS.

Descargar una copia de los documentos de traslado de residuos

Solicitar una copia de los documentos de traslado de residuos.

1.	Sobre la base de los números de documento facilitados por el usuario profesional, la plataforma IETM solicitará y recuperará de DIWASS una copia de los documentos de traslado de residuos identificados con ese número.

2.	La plataforma IETM permitirá al usuario profesional leer y descargar la información contenida en los documentos de traslado de residuos en un formato no editable legible como texto.

Presentar o editar la confirmación de transferencia por el transportista de traslados de residuos

Leer o editar y, a continuación, firmar los datos del eFTI CMDS. Autenticar los documentos de traslado de residuos.

1.	La plataforma IETM permitirá al usuario profesional leer y, en función de sus respectivos derechos de tratamiento, realizar otras operaciones de tratamiento en el eFTI CMDS.

La plataforma IETM permitirá al usuario profesional firmar electrónicamente, una vez haya confirmado que:

a)	ha leído todos los datos del eFTI CMDS respecto del que tiene derechos de tratamiento,

b)	no desea seguir tratando esos datos, y

c)	ha leído la copia de los documentos de traslado de residuos y desea autenticarlos.

La plataforma IETM registrará la información a que se refiere el artículo 14, apartado 2, del Reglamento de Ejecución (UE) 2025/1290 y cargará en DIWASS los datos de confirmación del transportista correspondientes a las especificaciones establecidas en la parte B, puntos 3 y 4, y la parte C, puntos 3 y 4, del anexo II de dicho Reglamento, según proceda.

(1) Reglamento (CE) n.o 1072/2009 del Parlamento Europeo y del Consejo, de 21 de octubre de 2009, por el que se establecen normas comunes de acceso al mercado del transporte internacional de mercancías por carretera (DO L 300 de 14.11.2009, p. 72, ELI: http://data.europa.eu/eli/reg/2009/1072/oj).

ELI: http://data.europa.eu/eli/reg_impl/2025/2243/oj

ISSN 1977-0685 (electronic edition)

jueves, 6 de noviembre de 2025

NO PRESTACION DE ASESORAMIENTO PERSONALIZADO SIN INTERVENCION DE PROFESIONALES - NUEVA POLITICA DE USO DE CHatGPT-5

Por: Carlos A. FERREYROS SOTO

Doctor en Derecho

Universidad de Montpellier I Francia.

cferreyros@hotmail.com

RESUMEN

OpenAI dejó claro con el lanzamiento de GPT-5 que ChatGPT sería una herramienta para obtener asesoramiento personalizado (asesoramiento jurídico o médico). Sin embargo, un cambio reciente en los términos y condiciones del chatbot ha hecho que muchos usuarios se pregunten si esto sigue siendo válido.

Los usuarios de ChatGPT se interrogan sobre una cláusula en los términos y condiciones - entre otras más - del uso de servicios, rúbrica: Proteger a las personas, que dice: No está permitido utilizar nuestros servicios para lo siguiente: (…)

“Prestación de asesoramiento personalizado que requiera habilitación profesional como asesoramiento jurídico o médico, sin la intervención adecuada de un profesional acreditado’.

Muchos usuarios interpretaron esto como que ChatGPT ya no ofrecería asesoramiento legal o médico a sus usuarios. No obstante, la empresa creadora ha precisado que el aplicativo puede responder dudas generales o hipotéticas, siempre que no ofrezca soluciones personalizadas, y a condición que intervenga un profesional debidamente acreditado a fin de evitar recibir informaciones erróneas o impertinentes.

Con esta decisión ChatGPT espera proteger a los usuarios y asegurar su uso responsable, particularmente en ámbitos sensibles, cuyas consecuencias pueden ser críticas para la salud, el patrimonio o la libertad de las personas como igualmente aceptar Open AI los limites del aplicativo y su responsabilidad. E Igualmente para que el lenguaje, expresado por el aplicativo, al ser interpretado por el profesional, refuerce la seguridad, la ética y la confianza en la IA.

_________________________________________________________

Entrada en vigor: 29 de octubre de 2025

https://openai.com/es-ES/policies/usage-policies/

Políticas de uso

Hemos actualizado estas políticas recientemente. Más información aquí⁠. Consulte la versión anterior aquí⁠.

Nuestro objetivo es que nuestras herramientas se utilicen de forma segura y responsable, al tiempo que maximizamos su control sobre cómo utilizarlas. Al elaborar nuestras políticas de uso, tenemos en cuenta algunos aspectos importantes.

Ayudamos a los usuarios a innovar con IA. Creamos productos de IA que maximizan la utilidad y la libertad, a la vez que garantizan la seguridad. Las políticas de uso son solo una de las formas en que establecemos expectativas claras para el uso de nuestros productos, como parte de un ecosistema de seguridad más amplio que fija salvaguardas responsables en todos nuestros servicios. Puede obtener más información sobre nuestro enfoque de seguridad y nuestro compromiso con la capacidad de personalización, la transparencia y la libertad intelectual para explorar, debatir y crear con IA.

El uso responsable es una prioridad compartida. Esperamos que nuestros usuarios actúen con su mejor intención. Nuestros términos y políticas, incluidas estas políticas de uso, establecen un umbral razonable para un uso aceptable. Nuestras normas no sustituyen los requisitos legales, las obligaciones profesionales ni los principios éticos que deben orientar el uso de la IA. Exigimos responsabilidad por el uso adecuado de nuestros servicios, y el incumplimiento o la elusión de nuestras normas y medidas de protección puede suponer que pierda el acceso a nuestros sistemas u otras sanciones.

La seguridad es lo primero en todo lo que hacemos. Supervisamos y aplicamos las políticas, con salvaguardas de privacidad y procesos de revisión claros. Ofrecemos a los desarrolladores herramientas de moderación⁠ prácticas y directrices para que puedan dar soporte a sus usuarios finales. Publicamos lo que nuestros sistemas pueden y no pueden hacer, compartimos investigación y actualizaciones, y ofrecemos una forma sencilla de denunciar usos indebidos.

Actualizamos a medida que aprendemos. Cada día, las personas encuentran nuevas formas de usar nuestros sistemas; actualizamos nuestras normas para que no sean excesivamente restrictivas y para proteger mejor a nuestros usuarios. Nos reservamos el derecho de denegar el acceso cuando existan motivos razonables para considerarlo necesario a fin de proteger nuestro servicio, a nuestros usuarios o a terceros. Puede recurrir⁠ si considera que hemos cometido un error al aplicar la política y trabajaremos para corregirlo. Si desea estar al día de las actualizaciones de las políticas de uso, complete este formulario.

El uso de los servicios de OpenAI debe cumplir con estas políticas de uso:

Proteger a las personas. Todas las personas tienen derecho a la seguridad y la protección. No está permitido utilizar nuestros servicios para losiguiente:

o Amenazas, intimidación, acoso o difamación.

o Promoción o facilitación del suicidio, las autolesiones o los trastornos de la conducta alimentaria.

o Violencia sexual o contenido íntimo no consentido.

o Terrorismo o violencia, incluida la violencia por odio.

o Desarrollo, adquisición o uso de armas, incluidas armas convencionales o armas químicas, biológicas, radiológicas, nucleares y explosivas.

o Actividades, bienes o servicios ilícitos.

o Destrucción, compromiso o vulneración de sistemas o bienes ajenos, incluida la actividad cibernética maliciosa o abusiva y los intentos de vulnerar derechos de propiedad intelectual de terceros.

o Juegos de azar con dinero real.

o Prestación de asesoramiento personalizado que requiera habilitación profesional, como asesoramiento jurídico o médico, sin la intervención adecuada de un profesional acreditado.

o Pruebas de seguridad no solicitadas.

o Elusión de nuestras medidas de protección.

o Fines de seguridad nacional o inteligencia sin nuestra revisión y aprobación.

Respetar la privacidad. Las personas tienen derecho a la privacidad. Por tanto, no permitimos intentos de vulnerar la privacidad de terceros, incluida la recopilación y agregación, la monitorización, la elaboración de perfiles o la difusión de información privada o confidencial sin su autorización. Además, en ningún caso está permitido utilizar nuestros servicios para lo siguiente:

o Creación de bases de datos de reconocimiento facial sin el consentimiento del titular de los datos.

o Identificación biométrica remota en tiempo real en espacios públicos.

o Uso de la imagen de una persona, incluida su imagen foto realista o su voz, sin su consentimiento y de forma que pueda generar confusión sobre la autenticidad.

o Evaluación o clasificación de personas en función de su comportamiento social, rasgos personales o datos biométricos (incluida la puntuación social, la elaboración de perfiles o la inferencia de atributos de carácter sensible).

o Inferencia sobre las emociones de una persona en el ámbito laboral y en entornos educativos, salvo cuando sea necesario por razones médicas o de seguridad.

o Evaluación o predicción del riesgo de que una persona cometa un delito cuando se base exclusivamente en sus rasgos personales o en la elaboración de perfiles.

Proteger a los menores. Los niños y adolescentes merecen una protección especial. Nuestros servicios están diseñados para evitar daños y fomentar su bienestar, y nunca deben utilizarse para explotar, poner en peligro o sexualizar a personas menores de 18 años. Informamos al National Center for Missing and Exploited Children (Centro Nacional para Menores Desaparecidos y Explotados de EE. UU.) sobre cualquier material de presunto abuso sexual infantil y las situaciones de riesgo para menores. Así pues, no está permitido utilizar nuestros servicios para lo siguiente:

o Material de abuso sexual infantil (CSAM), tanto si alguna parte está generada por IA como si no.

o Acoso y captación de menores.

o Exposición de menores a contenido no apropiado para su edad, como autolesiones explícitas, contenido sexual o violento.

o Fomento de conductas de dieta o ejercicio no saludables entre menores.

o Avergonzar o estigmatizar el tipo de cuerpo o la apariencia de menores.

o Retos peligrosos para menores.

o Juegos de rol sexuales o violentos con menores de edad.

o Acceso de menores de edad a bienes o actividades restringidos por edad.

Empoderar a las personas. Las personas deben poder tomar decisiones sobre sus vidas y sus comunidades. Por tanto, no permitimos usar nuestros servicios para manipular o engañar a las personas, interferir en el ejercicio de sus derechos humanos, aprovecharse de sus vulnerabilidades o interferir en su capacidad para recibir educación o acceder a servicios esenciales, incluido cualquier uso para lo siguiente:

o Fraude académico.

o engaño, fraude, estafas, spam o suplantación de identidad

o campañas políticas, actividades de presión, injerencia en elecciones nacionales o extranjeras o actividades de desmovilización

o automatización de decisiones de alto riesgo en ámbitos sensibles sin revisión humana

o infraestructura crítica

o educación

o vivienda

o empleo

o actividades financieras y crédito

o seguros

o ámbito jurídico

o sanidad

o servicios públicos esenciales

o componentes de seguridad de productos

o seguridad nacional

o inmigración

o aplicación de la ley

Registro de cambios

2025-10-29: Hemos actualizado nuestras políticas de uso para reflejar un conjunto universal de políticas aplicables a todos los productos y servicios de OpenAI.

2025-01-29: Hemos actualizado nuestras políticas universales para aclarar las prohibiciones conforme a las leyes aplicables.

2024-01-10: Hemos actualizado nuestras Políticas de Uso para que sean más claras y ofrezcan una orientación más específica para cada servicio.

2023-02-15: Hemos combinado nuestras políticas de casos de uso y contenidos en un único conjunto de políticas de uso, y hemos proporcionado orientaciones más específicas sobre qué actividad no permitimos en sectores que hemos considerado de alto riesgo.

2022-11-09: Ya no es necesario que registres tus aplicaciones en OpenAI. En su lugar, utilizaremos una combinación de métodos automatizados y manuales para supervisar las infracciones de las políticas.

2022-10-25: Actualización del proceso de Revisión de Aplicaciones (los desarrolladores ya no necesitan esperar la aprobación después de enviarlas siempre y cuando cumplan con nuestras políticas). Cambiamos a un enfoque basado en resultados y actualizamos las Mejores Prácticas de Seguridad.

2022-06-07: Se ha reestructurado en categorías de aplicaciones y requisitos correspondientes.

2022-03-09: Se ha reestructurado en «Revisión de Aplicaciones».

2022-01-19: Simplificación de las directrices de redacción publicitaria y redacción/edición de artículos.

2021-11-15: Adición de la sección "Directrices de contenido"; cambios en las viñetas sobre usos casi siempre aprobados y usos no permitidos; cambio de nombre del documento de "Directrices sobre casos de uso" a "Directrices de uso".

2021-08-04: Actualizado con información relacionada con la generación de código.

2021-03-12: Se han añadido requisitos detallados caso por caso; se han realizado pequeñas ediciones de copia y ordenación.

2021-02-26: Se ha aclarado la no admisibilidad de los generadores de tuits y de Instagram.

miércoles, 5 de noviembre de 2025

INTELIGENCIA ARTIFICIAL: REFLEXIONES LEGALES Y ÉTICAS - PARLAMENTO EUROPEO.

Por: Carlos A. FERREYROS SOTO

Doctor en Derecho

Universidad de Montpellier I Francia.

cferreyros@hotmail.com

RESUMEN

El presente informe, elaborado por el Servicio de Investigaciones del Parlamento Europeo, aborda los principales retos jurídicos y éticos ante el rápido desarrollo, uso y expansión de la inteligencia artificial (IA) en la sociedad y los mercados europeos.

Las principales reflexiones del Informe se refieren a:

Desafíos Jurídicos: La autonomía creciente de los sistemas IA desafía el marco jurídico actual, planteando dudas sobre las obligaciones y responsabilidad civil, la atribución de daños, la protección de datos y la transparencia de los algoritmos.
Revisión Normativa: La UE necesita adaptar su normativa para responder a los riesgos inéditos e imprevisibles asociados a la IA, lo que exige una revisión doctrinal y jurídica de conceptos tradicionales como la autonomía y la privacidad, así como el refuerzo de derechos fundamentales.
Enfoque Ético: El Parlamento Europeo enfatiza la importancia de un estricto marco ético, basado en principios y valores expresados en la Carta de Derechos Fundamentales de la UE, a fin de garantizar que el diseño, desarrollo y uso de IA coloquen a la persona en el centro del proceso. Subrayando la necesidad de auditoría, transparencia, explicabilidad y supervisión humana de los algoritmos.
Instrumento de Regulación: Se propone combinar modelos de regulación tradicionales (“hard law”) con modelos flexibles (“soft law”), como códigos de conducta y órganos de monitoreo ético, tanto para la protección como en la innovación.

Finalmente, el Parlamento Europeo recomienda, examinar y evaluar cuidadosamente el impacto de las tecnologías de IA en el disfrute de los derechos humanos, desde la libertad de expresión, de reunión y asociación, el derecho a la privacidad, el derecho al trabajo y el derecho a la no discriminación, hasta la igualdad ante la ley. El control humano ininterrumpido, la obligación y responsabilidades de las personas y organizaciones que implementen sistemas de IA e introducir el derecho de apelación y el derecho a la reparación cuando la IA se utilice para decisiones que afecten a las personas.

El documento fue traducido del inglés al castellano por el suscrito con la ayuda de Google Translator.

_________________________________________________________

INSTRUCCIONES

Inteligencia Artificial ante portas: Reflexiones legales y éticas

Ante el auge de las aplicaciones de inteligencia artificial (IA) y su capacidad para actuar de forma autónoma e imprevisible, el creciente interés por sus aspectos éticos y legales no resulta sorprendente. La IA parece tener el potencial de generar cambios disruptivos en el derecho, ya que las estructuras jurídicas existentes se esfuerzan por adaptarse a la creciente opacidad y al desarrollo del autoaprendizaje de las máquinas autónomas, así como a las preocupaciones asociadas sobre el control y la responsabilidad. La reconfiguración del marco jurídico actual, en consonancia con las nuevas realidades tecnológicas, dependerá principalmente del progreso tecnológico y la adopción comercial de la IA, ya que una IA más potente podría incluso requerir un cambio de paradigma fundamental. Dada la previsible omnipresencia de la IA, es legítimo y necesario plantearse cómo definir, clasificar y traducir este conjunto de tecnologías en términos jurídicos y éticos.

Desafíos/dimensiones legales

A medida que los sistemas de IA se utilizan en contextos más comunes y trascendentales, y pronto se aplicarán en aplicaciones críticas para la seguridad, como el apoyo a la decisión clínica y la conducción autónoma, aumenta la atención sobre si deben regularse, cómo y en qué medida. Como tecnología transformadora, caracterizada por su alta complejidad, imprevisibilidad y autonomía en sus capacidades de toma de decisiones y aprendizaje, la IA tiene el potencial de desafiar las nociones tradicionales de personalidad jurídica, capacidad de acción individual y responsabilidad. La introducción de sistemas de IA autónomos y autorregulados, que pueden operar independientemente de sus creadores u operadores y que están equipados con capacidades de adaptación y aprendizaje que les permiten aprender de su propia experiencia variable y de su interacción con el entorno de una manera única e imprevisible, puede significar un cambio significativo en los fundamentos del derecho. Sobre todo, teniendo en cuenta que el estado de derecho se basa tradicionalmente en la previsibilidad y la obligación legal de indemnizar por un daño ilícito a una persona o propiedad.

Los sistemas jurídicos se enfrentan actualmente a una gama sin precedentes de desafíos relacionados con la IA, asociados, entre otras cosas, con la necesidad de prevenir el sesgo algorítmico, salvaguardar el control humano sobre el funcionamiento de los sistemas inteligentes automatizados y exigirles responsabilidad. Sin embargo, ¿es el derecho el instrumento adecuado para abordar el sesgo o restaurar la presencia humana en sistemas puramente automatizados? ¿Es el sesgo una cuestión jurídica o cultural y social? ¿Se justifica la regulación anticipada para ciertas clases de riesgos y/o aplicaciones de IA? ¿Deberían los sistemas jurídicos recurrir al principio de precaución para evitar lidiar con los riesgos de una trayectoria tecnológica en rápida evolución? ¿O debería permitirse la experimentación jurídica, como la introducción de entornos de prueba regulatorios que podrían contener posibles irregularidades tecnológicas? ¿Son necesarias las iniciativas basadas en la tecnología o es más apropiado un enfoque específico para cada producto? ¿Se puede establecer una distinción entre la orientación jurídica y la ética en este contexto?

Definiendo la IA

Definir el objeto preciso de la regulación en dominios tecnológicos dinámicos es un desafío en sí mismo. Dado que la IA sigue siendo una noción abierta que abarca una gama muy amplia de productos y aplicaciones, no existe un acuerdo transnacional sobre una definición operativa comúnmente aceptada, ni a nivel técnico ni jurídico/político. Dado que no hay consenso jurídico ni político sobre qué es la IA, ha surgido una pluralidad de definiciones en Europa y en todo el mundo que resultan demasiado inclusivas o demasiado sectoriales. Este panorama conceptual fragmentado puede impedir el desarrollo inmediato de una lex robótica y posiblemente socavar todos los esfuerzos por crear una nomenclatura jurídica común, que es particularmente fundamental para la redacción, adopción e implementación efectiva de normas jurídicas vinculantes. Como alternativa, una definición amplia y tecnológicamente neutral, basada en el cumplimiento de diversos criterios estructurales, como el nivel de autonomía y la función, podría ser una opción más plausible.

Si no existe un esquema definitorio que abarque todos los usos y aplicaciones posibles de esta tecnología, entonces la introducción de instrumentos flexibles como actos delegados, cláusulas de extinción y legislación experimental podría ser necesaria para abordar el problema del ritmo - adaptando las normas a las cambiantes circunstancias tecnológicas y mantenerse al día con los rápidos avances tecnológicos. Mantener dicha flexibilidad es importante para fomentar la innovación tecnológica en el campo de la IA, así como para garantizar que la legislación de la Unión se desarrolle de manera cuidadosa e inclusiva.

El problema de la ambigüedad definicional está estrechamente relacionado con la cuestión de la clasificación jurídica de la IA y la categorización de sus diversas aplicaciones. ¿Deberían abordarse los productos y sistemas de IA bajo el paraguas de las categorías jurídicas tradicionales, o estamos simplemente presenciando la creación gradual de un dominio completamente nuevo de pensamiento jurídico crítico que puede desencadenar un cambio desde la noción tradicional del código como derecho hacia una nueva conceptualización del derecho como código?

Finalmente, a medida que se desarrollan las aplicaciones autónomas de IA, surgen preguntas sobre si se les debería otorgar personalidad jurídica. El desarrollo de la noción de «personalidad jurídica para robots» y la atribución de personalidad jurídica a la IA en su sentido inteligente/fuerte puede resultar beneficioso, ya que podría restablecer la cadena de causalidad y limitar la responsabilidad del propietario. Al mismo tiempo, la creación de tal ficción jurídica no parece cumplir con los criterios tradicionales de personalidad jurídica y se basa en lo que muchos expertos consideran una sobrevaloración de las capacidades reales incluso de los robots más avanzados, una comprensión superficial de la imprevisibilidad y las capacidades de autoaprendizaje, una percepción de los robots distorsionada por la ciencia ficción y algunos anuncios sensacionalistas recientes en la prensa.

Responsabilidades

La complejidad de los modelos de IA, combinada con el uso de diversas formas de automatización y sesgos algorítmicos, plantea desafíos para la transparencia y la responsabilidad de los sistemas de aprendizaje automático e IA. Por lo tanto, una preocupación jurídica muy importante se relaciona con la necesidad de equidad, transparencia y responsabilidad algorítmicas en el contexto de la IA. Aclarar el curso de acción seguido para la recopilación, el uso y el procesamiento de datos personales puede verse obstaculizado por la necesidad de proteger a aquellos agentes comerciales que desarrollan los algoritmos y los mecanismos de procesamiento de datos sobre la base de la necesidad de proteger los derechos de secreto comercial.

La transparencia, en cuanto a la divulgación del código algorítmico, no garantiza si el algoritmo se utilizó realmente en el sistema de toma de decisiones correspondiente, ni bajo qué condiciones, ni si funcionó según lo programado inicialmente. Por lo tanto, la explicabilidad podría facilitar el análisis de los términos de la interfaz entre las entradas y salidas de los algoritmos, así como de los supuestos subyacentes y la forma en que se entrenaron e implementaron los conjuntos de datos.

El establecimiento del «derecho a la explicación» de las decisiones algorítmicas permitiría a los usuarios recibir aclaraciones sobre el razonamiento que llevó a tomar una decisión que les concierne con ayuda de la IA; comprender el valor de los datos generados en el marco de un sistema de toma de decisiones algorítmico basado en IA; y estar debidamente informados sobre los procedimientos de almacenamiento y destrucción, así como sobre los términos del proceso de consentimiento informado requerido.

La implementación de este derecho podría esclarecer el funcionamiento de los sistemas de IA, junto con la auditoría del código fuente e introducir requisitos estrictos de transparencia y rendición de cuentas debería complementar los esfuerzos mencionados. El requisito de que los responsables del tratamiento de datos proporcionen a los sujetos de datos de «información significativa sobre la lógica implicada» en un proceso automatizado de toma de decisiones fue introducido recientemente por el requisito de que los controladores de datos proporcionen a los sujetos de datos "información significativa sobre la lógica involucrada" en un proceso de toma de decisiones automatizado fue introducido recientemente por el Reglamento General de Protección de Datos (RGPD). Descubrir el razonamiento y los supuestos principales que subyacen a la toma de decisiones basada en IA es una importante preocupación jurídica que trasciende diversos ámbitos de la economía digital. Debe ser posible siempre reducir los cálculos del sistema de IA a una forma comprensible para los humanos y dotar a los robots avanzados de una «caja negra» que registre datos sobre cada transacción realizada por la máquina, incluyendo la lógica que contribuyó a sus decisiones.

En otras palabras, debe prestarse especial atención jurídica no solo a la necesidad de equilibrar los requisitos del RGPD y la Directiva de Secretos Comerciales, sino también a que la alfabetización algorítmica sea una parte esencial de cualquier intento regulatorio de controlar la toma de decisiones algorítmica que pueda conducir a la discriminación social o menoscabar la protección de los derechos humanos fundamentales. Mejorar la accesibilidad y la legibilidad del procedimiento de procesamiento de datos también facilitará una mejor comprensión del tipo de datos que se procesan, a quién pertenecen, cómo se difunden y con qué propósito se analizan.

Obligaciones.

La cuestión de cómo garantizar la transparencia y la rendición de cuentas de los sistemas de IA en sus operaciones está estrechamente relacionada con el debate sobre la asignación de obligaciones en el contexto de la IA. El carácter autónomo e impredecible del funcionamiento de los sistemas de IA podría suscitar interrogantes sobre la causalidad, las circunstancias imprevistas y la atribución imprecisa de responsabilidades. ¿Quién será responsable cuando una aplicación de IA cause daños físicos o morales? ¿Quién será responsable si un sistema de IA propone un plan que resulta perjudicial: el fabricante o quienes implementan los algoritmos? Sin embargo, ¿es posible que los desarrolladores de IA respeten y protejan el derecho a la privacidad y obtengan un consentimiento claro, inequívoco e informado, especialmente dado que algunas de sus aplicaciones se ubican en ámbitos tradicionalmente protegidos y privados? ¿Se puede demandar a un algoritmo por mala praxis?

Debido al rápido desarrollo de ciertas características autónomas y cognitivas, el derecho civil deberá abordar esta tecnología de forma diferente y, posiblemente, apartarse de sus teorías de responsabilidad tradicionales, como la responsabilidad por productos defectuosos, la negligencia y la responsabilidad objetiva. Por consiguiente, es necesario desarrollar un régimen de responsabilidad civil proporcional que garantice una clara división de responsabilidades entre diseñadores, fabricantes, proveedores de servicios y usuarios finales. La resolución del Parlamento Europeo de 16 de febrero de 2017, con recomendaciones a la Comisión sobre «Normas de derecho civil sobre robótica», propuso, entre otras cosas, el establecimiento de un sistema de seguro obligatorio, un fondo de compensación y un registro de la Unión, y sugirió la creación de un estatus jurídico específico para los robots a largo plazo, de modo que, al menos los robots autónomos más sofisticados, puedan ser considerados personas electrónicas responsables de reparar cualquier daño que puedan causar, y posiblemente aplicando la personalidad jurídica a los casos en que los robots tomen decisiones autónomas o interactúen de forma independiente con terceros.

Protección de datos/Privacidad

La IA requiere el acceso a grandes conjuntos de datos, en muchos casos, datos sensibles o protegidos, incluidos datos sobre raza, etnia, género y otros atributos sensibles. Se plantean preocupaciones legales en relación con el poder de extrapolación de la IA, el volumen de datos necesario para desarrollar eficazmente algoritmos y patrones de aprendizaje automático, así como con las tendencias de concentración de mercado en el campo de la IA. La capacidad de la IA para analizar datos e identificar usuarios puede, de hecho, aumentar la sensibilidad de datos que antes se consideraban suficientemente anónimos. A pesar del desarrollo gradual de técnicas de anonimización que permiten el análisis de macrodatos preservando la privacidad, la IA supone una amenaza creciente para el derecho de las personas a formarse sus propias opiniones y tomar decisiones autónomas. Debe prestarse especial atención a la capacidad de la IA para utilizar datos personales y no personales con el fin de clasificar y segmentar a las personas, identificar vulnerabilidades individuales y explotar conocimientos predictivos precisos. Cualquier iniciativa que fomente el flujo libre y abierto de datos debe tener en cuenta la necesidad legal de cumplir con los principios de minimización de datos, el derecho a obtener una explicación de una decisión basada en el procesamiento automatizado y los principios de privacidad desde el diseño y por defecto, y los principios de proporcionalidad, necesidad, minimización de datos y limitación de la finalidad.

Seguridad.

Los vehículos autónomos y otros sistemas relacionados con la IA pueden propiciar brechas de seguridad, ciberataques o el uso indebido de datos personales, especialmente cuando implican la recopilación y el procesamiento de grandes volúmenes de datos. Existen riesgos y vulnerabilidades de seguridad significativos asociados a la posibilidad de que las aplicaciones de IA integradas en el cuerpo humano sean pirateadas, lo que podría poner en peligro la salud, la libertad cognitiva e incluso la integridad mental y la vida humanas.

El uso indebido de la IA no solo puede amenazar la seguridad digital, física y pública, sino que también podría suponer un riesgo para la democracia mediante campañas de desinformación y manipulación electoral. Los productos de IA deben estar sujetos a normas de seguridad de productos y de protección al consumidor que garanticen, cuando proceda, estándares mínimos de seguridad y aborden el riesgo de accidentes derivados de la interacción con personas o del trabajo en proximidad a ellas. En este sentido, se necesitan normas de ciberseguridad y garantías legales para asegurar que los datos no sean corrompidos ni utilizados indebidamente, lo que podría minar la confianza de la industria y los consumidores en la IA.

Desafíos socio éticos.

Más allá de los desafíos legales, la IA plantea numerosas consideraciones éticas. El uso de la IA para monitorizar o incluso predecir el comportamiento humano conlleva el riesgo de estigmatización, reforzando estereotipos, segregación y exclusión social y cultural, y menoscabando la libertad individual y la igualdad de oportunidades. El potencial de empoderamiento de la IA, los riesgos asociados a la creación de «burbujas de filtro» o al uso de metodologías de puntuación social mediante su uso, así como la asequibilidad y accesibilidad de los servicios de IA, suscitan inquietudes sobre la seguridad, la salud, la libertad, la privacidad, la integridad, la dignidad, la autodeterminación y la no discriminación.

El creciente uso de la toma de decisiones algorítmica basada en IA en los ámbitos de los servicios financieros, la banca y la justicia penal, sin la intervención del juicio humano ni el debido proceso, puede reforzar estereotipos sociales perjudiciales contra determinados grupos minoritarios y agravar los prejuicios raciales y de género. Esta práctica ha sido criticada por diversas instituciones de la UE, como el Consejo de Europa, el Supervisor Europeo de Protección de Datos y la Agencia de la Unión Europea para los Derechos Fundamentales.

El advenimiento de la IA fuerte, que trasciende las categorías jurídicas y conlleva la reconsideración de términos legales tradicionales como autonomía y privacidad, plantea interrogantes sobre la capacidad del Derecho de la UE para lograr un equilibrio adecuado entre la tecnología como objeto o categoría regulatoria y su papel como agente de la agenda regulatoria. Los avances en IA fuerte también ponen de manifiesto la necesidad de reconocer que los códigos codifican valores y no pueden considerarse una mera cuestión de ingeniería. Las cuestiones éticas asociadas al poder social de los algoritmos se suman a las preguntas sobre la brecha digital intergeneracional y pueden afectar al ejercicio del derecho a la vida, el derecho a un juicio justo, el derecho a la privacidad, la libertad de expresión y los derechos laborales. Existen importantes preocupaciones éticas, psicológicas y jurídicas sobre la autonomía de los robots inteligentes y su impacto en la relación médico-paciente en las aplicaciones sanitarias, que aún no se han abordado adecuadamente a nivel de la UE, en particular en lo que respecta a la protección de los datos personales de los pacientes, la responsabilidad y las nuevas relaciones económicas y laborales resultantes.

Por consiguiente, se necesita un marco ético rector estricto y eficaz para el desarrollo, el diseño, la producción y el uso de algoritmos que complemente el acervo nacional y de la Unión vigente. El marco ético rector, que debe salvaguardar la supervisión humana de la toma de decisiones automatizada y algorítmica, debe basarse en los principios y valores consagrados en la Carta de los Derechos Fundamentales, como la dignidad humana, la igualdad, la justicia y la equidad, la no discriminación, el consentimiento informado, la vida privada y familiar y la protección de datos, así como en otros principios y valores subyacentes del Derecho de la Unión, como la no estigmatización, la transparencia, la autonomía, la responsabilidad individual y la responsabilidad social, así como las prácticas y códigos éticos existentes.

Iniciativas a nivel de la UE.

El auge de la IA en Europa se ha producido hasta ahora en un vacío regulatorio. Con la excepción del desarrollo de códigos de conducta y directrices éticas, se han adoptado muy pocas iniciativas legales que aborden la IA de forma integral o a nivel sistémico. No se ha adoptado ninguna norma horizontal ni decisión judicial que aborde específicamente los desafíos únicos que plantea la IA.

El 10 de abril de 2018, 25 países firmaron una Declaración de Cooperación sobre IA, en la que acordaron «colaborar en las cuestiones más importantes que plantea la IA; desde garantizar la competitividad de Europa en la investigación y el despliegue de la IA, hasta abordar las cuestiones sociales, económicas, éticas y jurídicas». A nivel de la UE, el Parlamento Europeo instó a la Comisión Europea a evaluar el impacto de la inteligencia artificial y formuló recomendaciones de amplio alcance sobre las normas de derecho civil relativas a la robótica en febrero de 2017. Además, el Parlamento adoptó un informe de propia iniciativa sobre una «Política industrial europea integral sobre inteligencia artificial y robótica» en febrero de 2019. El Comité Económico y Social Europeo emitió un dictamen sobre la IA en mayo de 2017. Entretanto, el Consejo Europeo de octubre de 2017 invitó a la Comisión a presentar un enfoque europeo sobre la IA.

La Comisión Europea subrayó la importancia de ocupar una posición de liderazgo en el desarrollo de tecnologías, plataformas y aplicaciones de IA en su revisión intermedia de la estrategia para el mercado único digital, publicada en mayo de 2017. Finalmente, la Comisión Europea adoptó una comunicación sobre «Inteligencia artificial para Europa» el 25 de mayo de 2018, en la que se establece el enfoque europeo para aprovechar las oportunidades que ofrece la IA y abordar los nuevos retos que plantea. La Comisión propuso un enfoque triple: aumentar la inversión pública y privada; Prepararse para los cambios socioeconómicos derivados de la IA y garantizar un marco ético y jurídico adecuado.

En cuanto a este marco, se espera que la Comisión proponga directrices éticas sobre la IA, publique un documento de orientación sobre la interpretación de la Directiva de Obligaciones por Productos Defectuosos a mediados de 2019 y lleve a cabo estudios e investigaciones, así como que formule respuestas políticas a los retos que plantea la IA en materia de responsabilidad, seguridad, internet de las cosas (IoT), robótica, conocimiento algorítmico, protección del consumidor y protección de datos. En junio de 2018, la Comisión nombró a 52 expertos para un nuevo Grupo de Expertos de Alto Nivel sobre Inteligencia Artificial (GEA-IA), integrado principalmente por representantes del ámbito académico y la industria, cuyo objetivo es apoyar la implementación de la estrategia europea sobre IA. En diciembre de 2018, el GEA-IA publicó su primer borrador de las directrices éticas de la UE sobre IA. El borrador de las directrices estuvo disponible y abierto a consulta pública hasta el 1 de febrero de 2019. En diciembre de 2018, la Comisión publicó un plan coordinado sobre inteligencia artificial con el objetivo de armonizar los enfoques de los Estados miembros en relación con sus objetivos estratégicos nacionales en materia de IA, sus programas de formación y capacitación, los mecanismos de financiación disponibles, así como la revisión de la legislación vigente y las directrices éticas. El Consejo de Ministros adoptó conclusiones sobre el plan coordinado relativo al desarrollo y uso de la «Inteligencia artificial fabricada en Europa» en febrero de 2019.

En cuanto a la normativa específica ya finalizada sobre IA, la regulación de la UE sobre algoritmos en los mercados financieros es la más avanzada. Desde el 3 de enero de 2018, el artículo 26 de la Directiva 2 de la UE sobre Mercados de Instrumentos Financieros (MiFID II) exige a las empresas de inversión que incluyan información detallada sobre los algoritmos informáticos responsables de las decisiones de inversión y de la ejecución de las transacciones. El 12 de febrero de 2019, se aprobó en sesión plenaria una moción de resolución del Parlamento Europeo, tras la adopción del informe de propia iniciativa sobre «Una política industrial europea integral sobre inteligencia artificial y robótica».

Conclusiones finales.

El desarrollo de la IA en un vacío regulatorio y ético ha suscitado numerosos debates sobre la necesidad de su control jurídico y supervisión ética. Algoritmos basados en IA que realizan tareas de razonamiento automatizado parecen controlar cada vez más aspectos de nuestras vidas mediante la implementación de la toma de decisiones institucionales basadas en el análisis de macrodatos, convirtiéndose así en un influyente referente.

Es necesario examinar y evaluar cuidadosamente el impacto de las tecnologías de IA existentes en el disfrute de los derechos humanos, desde la libertad de expresión, de reunión y asociación, el derecho a la privacidad, el derecho al trabajo y el derecho a la no discriminación, hasta la igualdad ante la ley. Asimismo, se debe considerar el potencial de la IA para agravar las desigualdades y aumentar la brecha digital. Dada la capacidad de la IA para actuar de forma autónoma, su complejidad y opacidad, así como la incertidumbre que rodea su funcionamiento, una respuesta regulatoria integral resulta esencial para evitar que sus aplicaciones, en constante expansión, causen daños sociales a una amplia gama de individuos y grupos sociales.

Dicha respuesta debería implicar la obligación de los desarrolladores de algoritmos de IA de respetar plenamente los derechos humanos y las libertades civiles de todos los usuarios, manteniendo el control humano ininterrumpido sobre los sistemas de IA, abordando los efectos del vínculo emocional entre humanos y robots, y desarrollando estándares comunes para evaluar a las autoridades judiciales que utilizan IA. También debería centrarse en la asignación de responsabilidades, derechos y deberes, y evitar que el proceso de gobernanza jurídica se reduzca a una mera optimización técnica del aprendizaje automático y los procedimientos de toma de decisiones algorítmica. En este marco, es necesario introducir nuevos derechos colectivos relativos a los datos que garanticen la posibilidad de negarse a ser objeto de elaboración de perfiles, el derecho de apelación y el derecho a una explicación en los marcos de toma de decisiones basados en IA.

Además, los legisladores deben asegurar que las organizaciones que implementan y utilizan estos sistemas sigan siendo jurídicamente responsables de cualquier daño causado y desarrollen protocolos de consentimiento informado sostenibles y proporcionales. Si bien ninguna ley puede abarcar toda la complejidad de la tecnología actual, y mucho menos predecir su desarrollo futuro, la UE podría emplear instrumentos de derecho blando (como evaluaciones regulatorias de tecnología y auditorías éticas en tiempo real) para anticipar o incluso moldear las tendencias tecnológicas, y garantizar que las tecnologías disruptivas se implementen de forma coherente con el acervo ético de la UE. Aunque algunos eventos tecnológicos imprevistos seguirán siendo imposibles de predecir, un enfoque de ética desde el diseño podría asegurar que la política regulatoria se adapte de forma proactiva a un ecosistema disruptivo en constante evolución e influya en el diseño de las tecnologías.

Dado que los sistemas de IA son objetos inestables sujetos a escrutinio legal y ético, las evaluaciones y auditorías del impacto algorítmico podrían convertirse en un requisito legal. La resolución del Parlamento Europeo de 2017 sobre normas de derecho civil en robótica - que comprende un «código de conducta ética para ingenieros robóticos», un «código para comités de ética de la investigación», una «licencia para diseñadores» y una «licencia para usuarios» - puede servir como modelo de gobernanza para una arquitectura detallada, basada en procesos, de ética tecnológica en el campo de la IA. La carta sobre robótica contenida en la resolución combina un enfoque de ética por diseño ex ante con un marco reflexivo y un análisis meta ético del proceso de gobernanza empleado para la integración de la ética en las estructuras de desarrollo de esta tecnología disruptiva. Esta iniciativa legislativa debería formar parte de un cambio de paradigma más amplio que podría incluir la introducción de nuevos principios éticos (como el derecho a no ser medido, relacionado con posibles usos indebidos de la IA y el internet de las cosas, y el derecho al contacto humano significativo, relacionado con posibles usos indebidos de los robots de asistencia).

Dada la dificultad y complejidad de predecir el rendimiento de muchos sistemas de IA y sus interacciones, resulta imprescindible poner a prueba nuevas formas de obligaciones y responsabilidades mediante métodos innovadores de experimentación jurídica. Los legisladores de la UE deben evaluar cuidadosamente la necesidad de una regulación específica relativa a la toma de decisiones mediante IA y, aún más importante, la conveniencia de introducir el derecho de apelación y el derecho a la reparación cuando la IA se utilice para decisiones que afecten a las personas. Las auditorías éticas y las evaluaciones previas del impacto algorítmico deben convertirse en aspectos esenciales de todos los esfuerzos por controlar los sistemas de IA con autonomía y capacidad de autoaprendizaje integradas. Cabe destacar en este punto la labor del Grupo de Expertos de Alto Nivel sobre IA de la Comisión Europea: su primer borrador de Directrices Éticas para una IA Confiable subraya la necesidad de garantizar que la IA esté centrada en el ser humano, se desarrolle, se implemente y se utilice con un «propósito ético», y recomienda la incorporación de requisitos específicos para una IA fiable desde la fase inicial de diseño (responsabilidad, gobernanza de datos, diseño inclusivo, gobernanza de la autonomía de la IA [supervisión humana], no discriminación, respeto a la autonomía humana, respeto a la privacidad, robustez, seguridad y transparencia) subraya la importancia de la auditabilidad de los sistemas de IA, especialmente en contextos o situaciones críticas, así como de garantizar un proceso específico para la gobernanza de la responsabilidad.

La reciente resolución del Parlamento Europeo sobre una política industrial europea integral en materia de inteligencia artificial y robótica reforzó la atención del Parlamento Europeo en la necesidad de establecer un marco ético rector y la convicción política de que Europa debe liderar el ámbito mundial desplegando únicamente IA con una sólida base ética. Recomienda que los Estados miembros de la UE establezcan organismos de control y supervisión de la ética de la IA; animen a las empresas que desarrollan IA a crear comités de ética y a elaborar directrices éticas para sus desarrolladores de IA; y solicita un enfoque de ética desde el diseño que facilite la integración de valores como la transparencia y la explicabilidad en el desarrollo de la IA. Todas estas consideraciones podrían constituir elementos de un nuevo contrato social a nivel de la UE sobre innovación responsable, que posiblemente situaría la ética desde el diseño en el epicentro del ciclo de desarrollo tecnológico. Dicho contrato podría hacer plenamente operativas las herramientas de ética tecnológica anticipatoria y poner de relieve el papel y las limitaciones de la pericia ética como fuente de autoridad epistémica que pretende representar la totalidad de las preocupaciones sociales.

REFERENCIAS

Artificial intelligence for Europe, Legislative Observatory (OEIL), European Parliament.
Comprehensive European industrial policy on artificial intelligence and robotics, Legislative Observatory (OEIL), European Parliament.
Resolution of 27 January 2017, civil law rules on robotics, on European Parliament.
European coordinated plan on artificial intelligence, press release, Council of the EU, 18 February 2019.
Draft AI ethics guidelines, European Commission, December 2018.
Communication on Artificial intelligence for Europe, European Commission, 25 April 2018.
Communication on a Coordinated plan on artificial intelligence, European Commission, 7 December 2018.

AVISO LEGAL Y DERECHOS DE AUTOR

Este documento se ha elaborado para los miembros y el personal del Parlamento Europeo como material informativo para facilitar su labor parlamentaria. El contenido del documento es responsabilidad exclusiva de su(s) autor(es) y las opiniones aquí expresadas no deben interpretarse como la posición oficial del Parlamento.

Se autoriza la reproducción y traducción para fines no comerciales, siempre que se cite la fuente y se notifique previamente al Parlamento Europeo, enviándole una copia.

stoa@ep.europa.eu (contacto)

http://www.europarl.europa.eu/stoa/ (sitio web de STOA)

www.europarl.europa.eu/thinktank (internet)

http://epthinktank.eu (blog)