El Real Decreto 817/2023, publicado el 8 de noviembre, establece el primer entorno controlado de pruebas (Sandbox) en colaboración con la Comisión Europea para evaluar la aplicación de la Propuesta de Reglamento de Inteligencia Artificial. Esta iniciativa es parte de la estrategia española de transformación digital y responde al compromiso de fortalecer la protección de derechos individuales y colectivos en la Carta de Derechos Digitales.
España se adelanta al artículo 53 de la Propuesta al implementar el Sandbox, con el objetivo de fomentar la innovación, facilitar el acceso al mercado europeo para sistemas de IA, mejorar la seguridad jurídica y contribuir al aprendizaje regulatorio. El Sandbox seguirá la Propuesta de IA, condicionando las obligaciones a la aprobación del Reglamento europeo de IA en fase de negociación.
El decreto tiene una duración de 36 meses o hasta la aplicación del Reglamento europeo de IA. Los participantes son proveedores y usuarios de IA residentes o con establecimiento en España. Se excluyen sistemas con fines militares o de seguridad nacional, que empleen técnicas subliminales, o identifiquen biométricamente en tiempo real para aplicación de la ley, salvo casos específicos.
Las convocatorias se aprueban por la Secretaría de Estado de Digitalización e IA, especificando criterios, duración y condiciones. Los participantes deben cumplir requisitos como llevar un Registro de Actividades del Tratamiento y realizar análisis de riesgos y Evaluación de Impacto relativa a la Protección de Datos.
El Sandbox busca la implementación de requisitos, como la gestión de riesgos, transparencia y seguridad de datos, y concluye con una declaración de cumplimiento.
La Secretaría evalúa la documentación y, si es favorable, se implementa un seguimiento posterior a la comercialización. Se entrega un informe a la Subdirección General de Inteligencia Artificial y Tecnologías Habilitadoras Digitales al finalizar el Sandbox.
El decreto exige protección de datos, confidencialidad y permite la utilización de información anonimizada para guías de buenas prácticas. En cuanto a la responsabilidad, tanto proveedores como usuarios son responsables de los daños causados por la aplicación de IA en el entorno controlado.
