Proyecto de ley que regula integralmente la Inteligencia Artificial en Chile prosigue su tramitación en el Senado

La normativa dispone que el uso de sistemas de IA calificados como de alto riesgo deberá procurar el respeto de los derechos fundamentales de las personas y prevenir la creación de estereotipos, así como la degradación de personas o grupos que interactúen con este tipo de tecnologías.

Así, establece las reglas aplicables a estos sistemas. En primer lugar, deberán contar con sistemas de gestión de riesgos sometidos a un proceso iterativo y continuo de evaluación durante todo su ciclo de vida, con revisiones y actualizaciones periódicas para minimizar fallas o mal funcionamiento, conforme a su finalidad prevista. Este sistema podrá integrarse en procedimientos de gestión ya existentes exigidos por la ley o la autoridad, e incorporará medidas frente a incidentes derivados de fallas o mal funcionamiento.

En materia de gobernanza de datos, si los sistemas utilizan técnicas de entrenamiento con datos, deberán contar con una gobernanza adecuada a su propósito y contexto de uso, incorporar estándares de seguridad y protección de datos y mecanismos de prevención y gestión de incidentes de seguridad de la información.

Asimismo, deberán disponer de documentación técnica inteligible que demuestre el cumplimiento de las exigencias legales, y contar con sistemas de registro que permitan almacenar información y eventos de seguridad mientras estén en funcionamiento. Dichos registros deberán conservarse con medidas de seguridad que impidan su alteración, pérdida o acceso no autorizado, restringiendo su acceso a personal autorizado y a la autoridad fiscalizadora competente.

Los sistemas de alto riesgo deberán también incorporar mecanismos de supervisión humana técnica y operativamente adecuados, proporcionales y ejercidos por personas capacitadas, asegurando que el uso del sistema se ajuste a su finalidad prevista e identificando y mitigando riesgos derivados de usos indebidos razonablemente previsibles, a fin de evitar impactos negativos en los derechos fundamentales.

En cuanto a precisión, solidez y ciberseguridad, estos sistemas deberán cumplir con el principio de seguridad desde el diseño y por defecto, garantizar niveles adecuados de precisión, resiliencia y ciberseguridad, funcionar de manera fiable y predecible y resistir incidentes durante todo su ciclo de vida. El cumplimiento de estos requisitos deberá alinearse con las medidas de seguridad previstas en los artículos 3, 7 y 9 de la ley N° 21.663, ley marco de ciberseguridad.

El proyecto contempla que podrán establecerse estándares diferenciados según el tipo y tamaño del operador, considerando especialmente las características y necesidades de las empresas de menor tamaño conforme a la ley N° 20.416.

Si un uso de alto riesgo no cumple con las reglas establecidas, el operador deberá adoptar de inmediato medidas para desactivar, retirar del mercado o suspender el sistema, acciones que deberán estar previstas en el sistema de gestión de riesgos y diseñadas conforme a su finalidad de uso.

Además, la Agencia de Protección de Datos Personales (APDP) y la Agencia Nacional de Ciberseguridad (ANCI), dentro de sus competencias, podrán requerir procedimientos específicos de fiscalización cuando existan indicios de incumplimiento o riesgos potenciales para el ejercicio de derechos fundamentales.

La iniciativa incorpora la obligación de establecer y documentar un sistema de seguimiento posterior a la implementación, puesta en servicio, distribución e introducción en el mercado de sistemas de IA de alto riesgo. Este seguimiento deberá ser proporcional a la naturaleza y riesgos identificados, recabando y analizando datos provenientes de los propios operadores u otras fuentes, con el objeto de evaluar el funcionamiento del sistema durante toda su vida útil y verificar el cumplimiento de las reglas legales.

Cuando corresponda, este seguimiento deberá incluir el análisis de la interacción del sistema con otros entornos tecnológicos, incluidos dispositivos y software interconectados que puedan influir en su funcionamiento o generar riesgos adicionales.

El proyecto de ley incorpora la categoría de usos de riesgo limitado, definiendo que la utilización de un sistema de IA será considerada dentro de esta clasificación cuando presente un riesgo no significativo de manipulación, engaño o error como resultado de su interacción con personas.

En estos casos, la normativa establece que los sistemas deberán garantizar condiciones de transparencia y seguridad proporcionales a su nivel de riesgo, de manera que las personas sean informadas de forma clara y precisa y puedan reconocer que están interactuando con un sistema de IA.

La iniciativa establece también la responsabilidad derivada del uso de espacios controlados de pruebas para la IA, señalando que los operadores responderán por cualquier perjuicio causado a terceros como resultado de la experimentación realizada en dichos entornos. No obstante, si los operadores respetan las disposiciones de la ley y las orientaciones impartidas por los órganos de la Administración del Estado que habiliten estos espacios, estarán exentos del pago de multas administrativas, sin perjuicio de su responsabilidad por los daños ocasionados.

El texto precisa que la utilización de un espacio controlado de prueba no constituye un requisito habilitante para el desarrollo, prueba, validación, distribución, introducción en el mercado o puesta en servicio de sistemas de IA, ni exime a los operadores de las obligaciones y responsabilidades establecidas en la ley.

Asimismo, dispone que el Estado, a través de los ministerios de Ciencia, Tecnología, Conocimiento e Innovación y de Economía, Fomento y Turismo, propiciará medidas destinadas a otorgar acceso prioritario, sujeto a disponibilidad presupuestaria, a empresas de menor tamaño establecidas en el país a los espacios controlados de pruebas para la IA. Asimismo, promoverá iniciativas de sensibilización, creación de capacidades y desarrollo de competencias digitales avanzadas en materia de IA, adaptadas a las necesidades de estas empresas.

Estas medidas también estarán dirigidas a organizaciones de la sociedad civil que desarrollen o utilicen sistemas de IA, bajo criterios objetivos, públicos y no discriminatorios.

Es el Ministerio de Ciencia, Tecnología, Conocimiento e Innovación, en coordinación con el Ministerio de Economía, Fomento y Turismo, el que promoverá el desarrollo ético y responsable de la inteligencia artificial en el país, con pleno respeto a los derechos fundamentales garantizados por la Constitución y las leyes, y establecerá medidas de apoyo a la innovación basada en sistemas de IA. Para estos efectos, podrá solicitar la colaboración de entidades o personas del sector privado y de universidades, conforme a lo dispuesto en la ley N° 21.105.

Además, corresponderá especialmente a dicha cartera promover, diseñar y elaborar programas orientados a la alfabetización y divulgación ciudadana en materia de inteligencia artificial, así como velar por la creación de instrumentos que permitan comprender esta tecnología y educar acerca de los derechos y obligaciones vinculados a los usos de los sistemas de IA, junto con sus ventajas, potencialidades y riesgos.

El proyecto de ley regula también un marco normativo sobre confidencialidad, infracciones y sanciones aplicables a personas naturales, jurídicas y órganos de la Administración del Estado involucrados en la aplicación de la normativa.

Así, establece el deber de confidencialidad respecto de la información y los datos obtenidos de un sistema de IA en el ejercicio de funciones y actividades, con el fin de proteger especialmente los derechos de propiedad intelectual e industrial, la información empresarial confidencial y los secretos comerciales —incluido el código fuente—; los datos personales y su tratamiento conforme a la normativa vigente; el interés público y la seguridad nacional; y la integridad de las causas penales o procedimientos administrativos. Todo ello, sin perjuicio de otras leyes aplicables que regulen el acceso, tratamiento y protección de dicha información.

En materia de infracciones, para efectos de las atribuciones de la Agencia de Protección de Datos Personales, clasifica las conductas en gravísimas, graves y leves. Se considerará infracción gravísima el uso de un sistema de IA que contravenga lo dispuesto sobre usos de riesgo inaceptable, así como la reincidencia en una misma infracción grave dentro de un año. Será infracción grave el incumplimiento de las reglas establecidas para los usos de alto riesgo, además de la reincidencia en una misma infracción leve dentro de un año. En tanto, constituirá infracción leve el incumplimiento de las obligaciones de transparencia previstas para los usos de riesgo limitado, así como cualquier otra infracción a las obligaciones de la ley que no tenga señalada una sanción específica.

Las sanciones previstas se aplicarán sin perjuicio de lo dispuesto en la ley N° 21.719 cuando la infracción involucre tratamiento de datos personales y resulte aplicable su régimen sancionatorio.

Las multas asociadas a cada categoría son: hasta 5.000 UTM para infracciones leves; hasta 10.000 UTM para infracciones graves; y hasta 20.000 UTM para infracciones gravísimas. Para determinar el monto específico de la multa, la autoridad deberá considerar todas las circunstancias pertinentes del caso, incluyendo la duración de la infracción y sus consecuencias, la gravedad e intensidad de sus efectos, la probabilidad de ocurrencia, el número de personas afectadas y el nivel de los daños ocasionados; el tamaño y volumen de ventas anuales del operador; las acciones adoptadas para mitigar los perjuicios; el grado de cooperación con las autoridades; el rol específico que cumpla el proveedor, implementador, representante autorizado, importador o distribuidor en la cadena de valor de la IA; el beneficio económico obtenido; y la reincidencia.

Asimismo, cuando por los mismos hechos y fundamentos jurídicos el infractor pueda ser sancionado conforme a esta ley y a otra u otras normas, se le impondrá la sanción de mayor gravedad.

En el ámbito de la responsabilidad civil, se dispone que quien sufra un daño como consecuencia del uso de un sistema de IA podrá demandar la cesación de los actos que lo generan; la indemnización de perjuicios; la adopción de medidas necesarias para evitar que prosiga la infracción cuando exista peligro inminente de daño irreparable; y la publicación de la sentencia, a costa del condenado, mediante anuncios en un diario a elección del demandante, cuando así lo determine expresamente el fallo. Estas responsabilidades se entienden sin perjuicio de otras responsabilidades legales, civiles o penales que correspondan conforme a la normativa vigente.

La acción civil se tramitará conforme al procedimiento sumario, de acuerdo con las disposiciones del Título XI del Libro Tercero del Código de Procedimiento Civil.

Finalmente, una disposición transitoria establece que las normas de la ley entrarán en vigencia el primer día hábil del duodécimo mes siguiente a su publicación en el Diario Oficial.

Vea proyecto de ley Boletín N° 16.821-19 y siga su tramitación aquí.