El sandbox español de inteligencia artificial: quién puede entrar, qué se prueba y cuánto dura según el RD 817/2023

Un sandbox regulatorio es un espacio controlado en el que empresas y administración prueban juntas cómo se cumple una norma antes de aplicarla a gran escala. España creó el suyo para la inteligencia artificial mediante el Real Decreto 817/2023, de 8 de noviembre, publicado en el BOE del 9 de noviembre de 2023. Entró en vigor al día siguiente de su publicación.

Para los despachos que asesoran a empresas tecnológicas, conocer este instrumento es útil. Y para los que desarrollan sus propias herramientas, también.

Para qué sirve

Según su artículo 1, el real decreto crea un entorno controlado de pruebas para ensayar el cumplimiento de determinados requisitos por parte de sistemas de IA que puedan suponer riesgos para la seguridad, la salud y los derechos fundamentales. También regula cómo se seleccionan los sistemas y las entidades participantes.

El órgano competente, según el artículo 3, es la Secretaría de Estado de Digitalización e Inteligencia Artificial.

Quién puede participar

• Proveedores de IA, que desarrollan un sistema y lo comercializan o ponen en servicio con su propio nombre o marca.
• Usuarios, que utilizan un sistema bajo su autoridad. Según el artículo 5.2, solo pueden acceder junto con el proveedor.

Ambos deben ser residentes en España, tener un establecimiento permanente en España o formar parte de una agrupación de entidades con domicilio principal en España.

Sistemas excluidos

El artículo 5.6 excluye, entre otros, los sistemas militares o de defensa y seguridad nacional, y los que usan técnicas subliminales, explotan vulnerabilidades, realizan puntuación social o identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo las excepciones previstas.

Cómo se selecciona

1. La Secretaría de Estado aprueba una convocatoria.
2. Las solicitudes se presentan en un plazo de veinte días hábiles.
3. Cada solicitud corresponde a un único sistema.
4. Se valoran criterios como la innovación, el impacto social, la explicabilidad, el alineamiento con la Carta de Derechos Digitales, la madurez del sistema y el tamaño del proveedor.
5. La resolución debe dictarse en sesenta días hábiles desde la publicación de la convocatoria. Si no se dicta, la solicitud se entiende desestimada.

Qué deben hacer los participantes

Los artículos 11 a 13 exigen implantar, según un plan acordado, requisitos como la gestión de riesgos, la calidad de los datos, la documentación técnica, los registros automáticos, la transparencia, la supervisión humana y la precisión, solidez y ciberseguridad.

Al final, el participante hace una autoevaluación y presenta una declaración de cumplimiento. Si no la supera, dispone de tres meses para corregir. Esa autoevaluación no produce efectos fuera del entorno de pruebas. Además, debe elaborarse un informe de impacto de género.

El artículo 14 añade la obligación de documentar un sistema de seguimiento posterior a la comercialización, proporcionado a los riesgos.

Garantías y condiciones

• Protección de datos: se aplican el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 (artículo 16).
• Responsabilidad: los participantes responden de los daños que causen por incumplimiento, culpa, negligencia o dolo (artículo 17).
• Confidencialidad: la información aportada es confidencial, aunque pueden usarse datos anonimizados para elaborar guías (artículo 18).
• Sin contraprestación: los participantes no reciben compensación económica ni en especie (artículo 4.3). A cambio, pueden recibir guías técnicas y asesoramiento, y quienes completan las fases obtienen un documento acreditativo y un informe de valoración.

Salida y fin anticipado

La salida voluntaria se pide por el canal previsto y se resuelve en quince días hábiles, sin derecho a indemnización. La participación también puede terminar de forma anticipada por incumplimientos, pérdida de requisitos, incidentes graves o no superar la declaración de cumplimiento.

Vigencia de la norma

La disposición final segunda fija una vigencia máxima de treinta y seis meses desde la entrada en vigor del real decreto, o hasta que el Reglamento europeo de inteligencia artificial sea aplicable en España. Conviene tenerlo en cuenta: el instrumento nació con carácter temporal y la duración de cada experiencia depende de su convocatoria.

Qué aporta a un despacho

• Para clientes tecnológicos, el sandbox ofrece una vía de contacto con el supervisor y una referencia sobre cómo documentar el cumplimiento.
• Para la práctica de cumplimiento, los requisitos que se ensayan anticipan lo que las empresas tendrán que acreditar. Las fechas de esas obligaciones han cambiado, como explicamos en el nuevo calendario del Reglamento de IA.

La agencia estatal que supervisa la IA tiene entre sus fines promover estos entornos, como contamos en el artículo sobre la Agencia Española de Supervisión de la IA. Más análisis en IA jurídica.