La Ley de IA de la UE y los modelos de IA de código abierto: cómo trata el Reglamento la IA de código abierto
Cómo trata la Ley de IA de la UE la IA de código abierto: dos exclusiones distintas con arreglo al artículo 2 y al artículo 53, apartado 2, dónde se detienen y qué no puede eximir el código abierto.
La Ley de IA de la UE no trata la IA de código abierto como una categoría única y uniforme. Establece dos regímenes distintos —uno para los sistemas de IA de código abierto con arreglo al artículo 2 y otro para los modelos de IA de uso general (GPAI) de código abierto con arreglo al artículo 53, apartado 2— y cada uno tiene límites infranqueables que la condición de código abierto no puede cruzar. Publicar tu modelo o sistema bajo una licencia de código abierto reduce tu papeleo. No te exime de las prácticas prohibidas, no reescribe las reglas de alto riesgo cuando tu sistema se sitúa en el Anexo III, ni levanta las obligaciones de riesgo sistémico para los modelos de IA de uso general (GPAI) que superan el umbral de cómputo.
Este artículo explica ambas exclusiones en detalle, traza los límites con precisión y aborda el debate vivo sobre qué significa realmente «libre y de código abierto» con arreglo a la Ley.
Dos exclusiones separadas: sistemas de IA frente a modelos GPAI
La Ley distingue entre un sistema de IA (un producto con un resultado de salida concreto —una predicción, una recomendación, una decisión) y un modelo de IA de uso general (GPAI) (un modelo de uso general entrenado con grandes volúmenes de datos, capaz de realizar una amplia gama de tareas, introducido en el mercado para su integración por terceros). Las reglas de código abierto para cada uno son distintas, y confundirlas es el error más habitual en este ámbito.
Exclusión 1: sistemas de IA de código abierto (artículo 2)
El artículo 2 define el ámbito de aplicación del Reglamento. Con arreglo al artículo 2, apartado 12, los sistemas de IA publicados bajo licencias libres y de código abierto quedan, por lo general, excluidos del grueso de las obligaciones, con tres excepciones explícitas:
- Prácticas prohibidas (artículo 5) — las prohibiciones se aplican con independencia de la licencia. Un sistema diseñado para la identificación biométrica remota en tiempo real en espacios públicos, o para la manipulación subliminal, o para la puntuación social, está prohibido tanto si sus pesos son públicos como si no.
- Sistemas de alto riesgo (artículo 6 + Anexo III) — si un sistema se utiliza en un contexto del Anexo III (contratación, solvencia, identificación biométrica, garantía del cumplimiento del Derecho y los otros seis ámbitos), se aplica el conjunto completo de obligaciones de alto riesgo: gestión de riesgos con arreglo al artículo 9, gobernanza de datos con arreglo al artículo 10, documentación técnica con arreglo al artículo 11, conservación de registros con arreglo al artículo 12, transparencia hacia los responsables del despliegue con arreglo al artículo 13, supervisión humana con arreglo al artículo 14, exactitud y robustez con arreglo al artículo 15, y evaluación de la conformidad con arreglo al artículo 43 antes de que el sistema salga al mercado.
- Obligaciones de transparencia (artículo 50) — los deberes de transparencia de riesgo limitado (divulgar la interacción con IA en los chatbots, etiquetar el contenido sintético y similares) se aplican desde el 2 de agosto de 2026 con independencia de la licencia.
En resumen: el código abierto elimina la mayor parte de la carga regulatoria para los sistemas de riesgo mínimo. En el momento en que el sistema opera en un contexto prohibido o de alto riesgo, la licencia es irrelevante.
Exclusión 2: modelos GPAI de código abierto (artículo 53, apartado 2)
El artículo 53, apartado 1, impone cuatro obligaciones de base a todos los proveedores de modelos de IA de uso general (GPAI): a) elaborar y mantener documentación técnica con arreglo al Anexo XI; b) facilitar a los proveedores de sistemas de IA intermedios información con arreglo al Anexo XII; c) mantener una política de cumplimiento de los derechos de autor para los datos de entrenamiento; y d) publicar un resumen suficientemente detallado de los datos de entrenamiento utilizados.
El artículo 53, apartado 2, concede a los proveedores de modelos de IA de uso general (GPAI) publicados bajo una licencia libre y de código abierto una exención de las obligaciones a) y b) —los deberes de documentación técnica e información a los agentes intermedios—, siempre que se cumplan dos condiciones:
- Los pesos, la arquitectura, las especificaciones del modelo y la información de uso están todos disponibles públicamente.
- La licencia bajo la que se publica el modelo permite genuinamente el acceso público, el uso, la modificación y la distribución.
Lo que la exención del artículo 53, apartado 2, NO elimina:
- La obligación de política de cumplimiento de los derechos de autor (artículo 53, apartado 1, letra c)) permanece. Todo proveedor de modelos de IA de uso general (GPAI), incluidos los de código abierto, debe disponer e implementar una política documentada para cumplir el Derecho de la UE en materia de derechos de autor, incluido el mecanismo de exclusión voluntaria con arreglo a la Directiva sobre los derechos de autor en el mercado único digital.
- La obligación de resumen de los datos de entrenamiento (artículo 53, apartado 1, letra d)) permanece. Los proveedores de código abierto deben seguir publicando un resumen suficientemente detallado de aquello con lo que se entrenó el modelo.
- Si el modelo se designa como modelo de riesgo sistémico con arreglo al artículo 51 —basado en un umbral de cómputo de entrenamiento que supera los 10²⁵ FLOP, o por decisión de la Comisión— se aplican además las obligaciones completas del artículo 55: evaluación del modelo y prueba adversaria, evaluación del riesgo sistémico, notificación de incidentes a la Comisión Europea y medidas de ciberseguridad. La condición de código abierto no cambia esto. El riesgo social que plantea un modelo muy capaz no se reduce por hacer públicos sus pesos.
Las obligaciones de IA de uso general (GPAI) con arreglo al capítulo V se aplican desde el 2 de agosto de 2025.
Qué significa realmente «libre y de código abierto» aquí
La Ley no adopta una definición formal de «licencia libre y de código abierto» y no hace referencia a la definición de la Open Source Initiative. El requisito operativo del artículo 53, apartado 2, es que los pesos, la arquitectura y la información de uso estén disponibles públicamente bajo una licencia que permita el uso, la modificación y la distribución.
Aquí reside un debate vivo y no resuelto. Las licencias que incluyen restricciones de uso —por ejemplo, una licencia que prohíbe el uso comercial por encima de cierta escala, restringe determinadas categorías de aplicación o exige el permiso del licenciante para despliegues concretos— pueden no satisfacer la prueba de disponibilidad pública. La familia de licencias Llama (versiones 2 y 3) introdujo disposiciones que restringen algunas formas de uso; si esas disposiciones descalifican o no a un modelo para la exención del artículo 53, apartado 2, aún no está zanjado.
Los proveedores que publican modelos bajo licencias personalizadas con exclusiones no deben dar por hecho que cumplen los requisitos de la exención sin un análisis jurídico de los términos concretos de la licencia. La Oficina de IA será central en el desarrollo de orientaciones al respecto, pero, a mediados de 2026, esa orientación aún no se ha publicado.
Las licencias permisivas —Apache 2.0, MIT y similares— no presentan ninguna dificultad evidente para la prueba de la exención.
El punto crítico aguas abajo: las exenciones no viajan
La exención del artículo 53, apartado 2, pertenece a la entidad que publica los pesos del modelo. No pasa a las empresas que toman esos pesos y construyen un producto.
Si utilizas un modelo de IA de uso general (GPAI) de código abierto —Mistral, Falcon, un derivado de Llama afinado— para construir un sistema de IA, eres el proveedor de tu propio sistema de IA con arreglo al artículo 3, apartado 3. Tu sistema se clasifica por lo que hace, no por el modelo que ejecuta. Si tu sistema opera en un ámbito del Anexo III, eres el proveedor de un sistema de IA de alto riesgo y las obligaciones de los artículos 9 a 15, 17, 43, 47, 48, 72 y 73 te incumben, con independencia de las exenciones que apliquen al proveedor del modelo subyacente.
Un ejemplo concreto: una empresa utiliza pesos de modelo de código abierto para construir un sistema de cribado de currículos que automatiza la preselección para decisiones de empleo. El cribado de currículos para el empleo entra en el Anexo III, punto 4. La empresa es el proveedor de un sistema de IA de alto riesgo. Se aplica el conjunto completo de alto riesgo: un sistema de gestión de riesgos (artículo 9), una gobernanza de datos documentada (artículo 10), documentación técnica con arreglo al Anexo IV (artículo 11), medidas de supervisión humana (artículo 14) y una evaluación de la conformidad con arreglo al artículo 43 antes de que el producto salga al mercado. La condición de código abierto del proveedor del modelo es irrelevante para las obligaciones de esta empresa.
De esto se deriva una consecuencia práctica: la información que un proveedor de IA de uso general (GPAI) de código abierto no está obligado a publicar —la documentación aguas abajo del Anexo XII— es información que el proveedor de alto riesgo aguas abajo sigue necesitando. Si el modelo de base no tiene especificaciones de capacidad publicadas, limitaciones conocidas o disparidades de rendimiento, debes obtener o reconstruir esa información por tu cuenta para alimentar tu sistema de gestión de riesgos del artículo 9 y tu expediente técnico del artículo 11. Las fichas de modelo y los artículos de investigación son el punto de partida; rara vez son suficientes por sí solos.
Afinado: quién se convierte en qué
El afinado plantea una cuestión de clasificación que depende de lo que el afinado produzca.
Un afinado que produce un sistema de IA de finalidad específica —adaptación LoRA, ajuste por instrucciones específico de un dominio, personalización en la capa de instrucciones— da lugar a un sistema clasificado por su uso previsto. El que afina es el proveedor de ese sistema. Si opera en un contexto del Anexo III, se aplican las obligaciones de alto riesgo. El artículo 3, apartado 23, define la modificación sustancial.
Un afinado a una escala que produce un nuevo modelo de uso general —ampliamente capaz de realizar una amplia gama de tareas— podría convertir al que afina en un proveedor de modelos de IA de uso general (GPAI) por derecho propio. El afinado estándar implica órdenes de magnitud menos de cómputo que el preentrenamiento; cruzar el umbral de 10²⁵ FLOP solo mediante el afinado es poco probable para la mayoría de las organizaciones. Para los equipos que realizan trabajos de postentrenamiento a gran escala, la cuestión merece una evaluación directa.
Publicar un modelo: qué queda tras la exención
Si cumples los requisitos de la exención del artículo 53, apartado 2, tus obligaciones residuales son:
Política de cumplimiento de los derechos de autor. Documentada e implementada, que cubra el mecanismo de exclusión voluntaria de la minería de textos y datos (TDM). No es opcional para ningún proveedor de IA de uso general (GPAI).
Resumen de los datos de entrenamiento. Un resumen público suficientemente detallado de los datos de entrenamiento utilizados. La Ley no especifica el formato exacto; la orientación de la Oficina de IA lo desarrollará más adelante.
Autoevaluación de la condición de riesgo sistémico. Si el cómputo de entrenamiento supera los 10²⁵ FLOP, notifícalo a la Oficina de IA y cumple íntegramente el artículo 55. La condición de código abierto no es defensa.
Cumplimiento del artículo 5. Las prohibiciones se aplican. Si tu modelo, tal como se publica, está específicamente diseñado para posibilitar una práctica prohibida, cargas con la responsabilidad con independencia de quién lo despliegue en última instancia.
Diseño de la licencia. Una licencia bien diseñada documenta la finalidad prevista del modelo, identifica los usos prohibidos con arreglo al artículo 5 y fija expectativas sobre qué documentación de capacidades debe reunir el proveedor aguas abajo (puesto que tú no produces material del Anexo XII). Nada de esto sustituye el cumplimiento normativo, pero reduce la contribución indirecta a usos prohibidos aguas abajo.
Enfoque práctico por escenario
Publicas pesos de modelo de código abierto. Verifica tu cómputo de entrenamiento y confirma si se aplica el umbral de riesgo sistémico de 10²⁵ FLOP. Implementa una política de cumplimiento de los derechos de autor antes de la publicación. Publica un resumen de los datos de entrenamiento. Revisa los términos de tu licencia para confirmar que satisfacen la prueba de disponibilidad pública del artículo 53, apartado 2. Si tu cómputo está por debajo del umbral, las obligaciones de documentación del Anexo XI y del Anexo XII quedan exentas; todo lo demás se aplica.
Construyes un producto sobre un modelo de código abierto. Clasifica tu producto con arreglo al artículo 6, no el modelo de base. Si el producto opera en un ámbito del Anexo III, se te aplica el conjunto completo de alto riesgo del proveedor. Obtén la documentación del modelo de base que exista —fichas de modelo, evaluaciones publicadas, resultados de referencia— y utilízala como punto de partida para tu sistema de gestión de riesgos del artículo 9 y tu expediente técnico del artículo 11. No des por hecho que la exención del proveedor de código abierto se extiende a tu producto.
Afinas para un despliegue interno. Eres el proveedor del sistema afinado. Si el despliegue interno entra en un ámbito del Anexo III, se aplican las obligaciones de alto riesgo —incluidos los sistemas de IA de uso interno, que entran en el ámbito de la Ley con arreglo al artículo 3, apartado 3. Documenta la metodología de afinado, los cambios respecto del modelo de base y las capacidades y limitaciones del sistema resultante.
Ofreces acceso alojado a un modelo de código abierto. Existe una distinción jurídica relevante entre poner los pesos a disposición (el acto de publicación de código abierto, cubierto por la exención) y operar el modelo como un servicio accesible a terceros. Los servicios alojados —envoltorios de API, puntos finales de inferencia gestionados, servicios basados en Ollama— pueden activar obligaciones de IA de uso general (GPAI) para el operador del servicio. El análisis de cumplimiento depende de si el operador actúa como proveedor de un modelo de IA de uso general (GPAI), como responsable del despliegue de un modelo de IA de uso general (GPAI) o como proveedor de un sistema de IA concreto construido sobre el modelo.
Cómo ayuda Confir
El motor de clasificación del artículo 6 de Confir se aplica a tu sistema, no al modelo de base. Describes lo que hace tu sistema y dónde opera; la lógica basada en reglas de Confir determina el nivel de riesgo y tu rol con arreglo a la Ley, y señala dónde alcanza la exención de código abierto y, lo que es crítico, dónde no.
Si tu sistema es de alto riesgo, el módulo AIRC te guía por el conjunto de obligaciones del proveedor: gestión de riesgos del artículo 9, documentación técnica del artículo 11, supervisión humana del artículo 14 y evaluación de la conformidad del artículo 43. El resultado es un expediente técnico estructurado y una declaración de conformidad con arreglo al artículo 47, adaptados a la arquitectura de tu sistema y al contexto del modelo de base.
Guías relacionadas
- Exenciones de la IA de código abierto: dónde están los límites
- Cumplimiento de los modelos GPAI con arreglo al Artículo 53
- Artículo 6: cómo funciona la clasificación de alto riesgo
- Obligaciones del proveedor con arreglo al Artículo 16
Preguntas frecuentes
¿Publicar los pesos de un modelo bajo una licencia de código abierto exime a un sistema de IA de la Ley de IA de la UE?
Solo parcialmente, y solo para los casos de uso de riesgo mínimo. El artículo 2, apartado 12, excluye los sistemas de IA de código abierto de la mayoría de las obligaciones, pero no de las prohibiciones del artículo 5, no de las obligaciones de alto riesgo cuando el sistema opera en un ámbito del Anexo III, ni de los deberes de transparencia del artículo 50 (que se aplican desde el 2 de agosto de 2026). Para los sistemas que no están prohibidos ni son de alto riesgo, la condición de código abierto elimina de hecho la carga regulatoria. Para cualquier cosa por encima de ese umbral, la licencia es irrelevante para la obligación.
¿Qué obligaciones sigue teniendo un proveedor de modelos GPAI de código abierto tras la exención del artículo 53, apartado 2?
Quedan dos: una política de cumplimiento de los derechos de autor que cubra los datos de entrenamiento (artículo 53, apartado 1, letra c)) y un resumen suficientemente detallado de los datos de entrenamiento utilizados (artículo 53, apartado 1, letra d)). La exención dispensa de la documentación técnica del Anexo XI y de las obligaciones de información aguas abajo del Anexo XII. Por separado, si el modelo supera el umbral de cómputo de riesgo sistémico (10²⁵ FLOP), se aplican las obligaciones completas del artículo 55 con independencia de la condición de código abierto.
Si construyo un producto sobre Mistral o Llama, ¿heredo la exención de código abierto?
No. La exención pertenece a la entidad que publica los pesos del modelo. Eres el proveedor de tu propio sistema de IA, clasificado por lo que hace tu sistema. Si tu sistema opera en un ámbito del Anexo III, afrontas el conjunto completo de alto riesgo del proveedor —artículos 9 a 15, 17, 43, 47, 48, 72 y 73— con independencia de la licencia del modelo de base.
¿Una licencia con restricciones de uso cumple los requisitos de la exención de código abierto del artículo 53, apartado 2?
Esto aún no está zanjado. La Ley exige que la licencia permita el uso, la modificación y la distribución sin condiciones. Las licencias que restringen el uso comercial por encima de cierta escala, prohíben categorías de aplicación concretas o exigen el permiso del licenciante para determinados despliegues pueden no satisfacer la prueba de disponibilidad pública. Se requiere un análisis jurídico de los términos concretos de la licencia. Apache 2.0 y MIT no presentan ninguna dificultad evidente; las licencias personalizadas con exclusiones de uso requieren escrutinio.
¿Cuándo se aplican las obligaciones de los modelos GPAI?
Las obligaciones del capítulo V —que cubren a todos los proveedores de IA de uso general (GPAI), incluidos los de código abierto en cuanto a los deberes que permanecen— se aplican desde el 2 de agosto de 2025. El aplazamiento del Ómnibus Digital (que trasladó el plazo de alto riesgo del Anexo III al 2 de diciembre de 2027) no afecta al capítulo V. Los proveedores de IA de uso general (GPAI) cuyos modelos estaban en el mercado antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir. --- Última revisión: 1 de junio de 2026.
Última revisión: 1 de junio de 2026.
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 7 días.
Empieza la prueba gratuita →