Reglament de la IA de la UE: guia per a pimes d'Andorra

Una gestora de patrimoni d'Andorra la Vella rep, dins del qüestionari anual d'un banc corresponent de la UE, una pregunta que fa dos anys ni existia: si l'entitat compleix el reglament europeu de la IA per a l'eina de puntuació de risc que fa servir amb els seus clients. O bé una estació d'esquí del Principat activa un mòdul de preus dinàmics basat en IA per vendre forfets en línia, sense que ningú s'hagi aturat a pensar si aquesta eina, comprada també per turistes que reserven des de Barcelona, Tolosa o Madrid, té res a veure amb una normativa europea. Cap de les dues empreses és de la UE. Totes dues es fan la mateixa pregunta: ens afecta realment aquest reglament?

Andorra és fora de la UE — i el reglament hi pot arribar igualment

El Reglament (UE) 2024/1689, conegut com el reglament de la IA o AI Act, és una norma de la Unió Europea. Andorra no és estat membre de la UE ni de l'EEE, de manera que aquest text no forma part del dret andorrà: no cal transposar-lo, i el Principat no té, avui, cap llei pròpia sobre IA que li faci de mirall. Fins aquí, la intuïció que «som fora de la UE, no ens toca» sembla raonable.

El que trenca aquesta intuïció és l'article 2 del reglament, que en defineix l'àmbit d'aplicació territorial sobre un principi semblant al que el RGPD ja va popularitzar al seu article 3.2: la norma també s'aplica a proveïdors i desplegadors establerts fora de la UE, sempre que el sistema d'IA es posi al mercat de la UE o es posi en servei a la UE, o que el resultat (l'output) que genera s'utilitzi dins la UE. Una empresa andorrana pot quedar dins l'abast del reglament per a una activitat concreta, sense tenir mai seu, filial ni presència física a cap país de la Unió.

Qui, a Andorra, hi queda més exposat

En la pràctica, no és la bandera de l'empresa el que decideix, sinó l'activitat concreta. El sector financer andorrà —banca privada, gestió de patrimonis, assegurances— treballa cada cop més amb clients de la UE i amb eines d'IA per a puntuació de risc creditici, detecció de frau o perfilatge de clients; si el resultat d'aquestes eines s'aplica a un client resident a la UE, aquesta activitat concreta pot entrar dins l'abast del reglament. El sector turístic —les estacions d'esquí del Pirineu i el comerç lliure d'impostos de l'avinguda Meritxell i la resta d'Andorra la Vella— també hi és exposat: preus dinàmics calculats amb IA, xatbots d'atenció al client o sistemes de personalització dirigits a turistes que reserven o compren des de qualsevol país de la UE encaixen en el mateix mecanisme.

Un ús purament domèstic —una eina interna d'IA feta servir només per personal andorrà, per a clients residents a Andorra, l'output de la qual mai no surt del Principat— queda, en canvi, fora de l'abast. El que activa l'anàlisi és el vincle real amb el mercat europeu, no la nacionalitat de l'empresa.

Què costa fer-ho malament

El reglament estableix un règim sancionador esglaonat. Les pràctiques prohibides —el llistat curt d'usos vetats, com la puntuació social generalitzada o certes tècniques de manipulació subliminal— poden arribar fins a 35 milions d'euros o el 7% de la facturació global anual, el que sigui més alt. La resta d'incompliments greus, inclosos els relacionats amb obligacions de sistemes d'alt risc, topen als 15 milions d'euros o el 3% de la facturació global. L'article 99, apartat 6, obliga els reguladors a aplicar límits proporcionalment més baixos per a pimes i startups que aquests topalls generals —un matís que poques empreses andorranes coneixen fins que ja s'han espantat amb la xifra equivocada.

Aquest tracte més proporcionat no elimina la necessitat de fer l'anàlisi: canvia el sostre de la sanció potencial, no si una obligació concreta s'aplica o no al vostre cas. I cal ser honestos en un punt: els mecanismes concrets amb què la UE faria complir aquest reglament davant d'una empresa andorrana sense presència a la Unió no estan, que sapiguem, gaire assentats en la pràctica encara; això no és motiu per ignorar el reglament, sinó per entendre bé on és real l'exposició.

I l'APDA, hi té alguna cosa a dir?

L'Agència Andorrana de Protecció de Dades (APDA) és l'autoritat competent en protecció de dades al Principat, però no té —ni el reglament de la IA li n'atribueix cap— un paper designat en la seva aplicació: en ser Andorra un estat fora de la UE i de l'EEE, no té l'obligació de nomenar una autoritat de vigilància del mercat per a aquest text. Avui, el Principat tampoc no ha aprovat cap llei horitzontal sobre IA equivalent al reglament europeu; si ho farà, i amb quin contingut, és una pregunta oberta.

Què repassar a la teva empresa

Abans de llegir el reglament sencer de cap a peus, val la pena repassar unes quantes preguntes concretes sobre els usos reals d'IA de la vostra empresa:

• Alguna eina d'IA que feu servir produeix un resultat (puntuació, preu, decisió, contingut) que utilitza o rep un client, soci o usuari situat a la UE?
• Veneu, oferiu o integreu un sistema d'IA que arriba, directament o a través d'un distribuïdor, al mercat europeu?
• Un client o corresponsal de la UE us ha preguntat ja, en un qüestionari de proveïdor o una auditoria, sobre el vostre compliment del reglament de la IA?
• Si un ús concret té vincle amb la UE, toca un àmbit d'alt risc segons l'annex III, com la puntuació creditícia, la contractació de personal o la detecció de frau?
• Sabeu distingir, dins de les eines d'IA que feu servir, quines són estrictament domèstiques i quines tenen un nexe real amb la UE?

Informació general, no assessorament legal

Tot el que precedeix és informació general per orientar-vos, no assessorament legal sobre el vostre cas concret —especialment en punts on la pràctica encara no està assentada, com els mecanismes reals d'aplicació del reglament contra una empresa andorrana sense presència a la UE, o la futura evolució del marc legal del Principat en matèria d'IA. A Komplya distingim sempre entre els continguts que han passat revisió legal i els que encara són material de treball, perquè pugueu valorar cada peça d'informació pel que val.

La manera més ràpida de saber si la vostra empresa entra dins l'abast del reglament de la IA és repassar, cas per cas, els vostres usos reals i els seus destinataris a la UE. Responeu un breu qüestionari sobre com fa servir la IA la vostra empresa i obtingueu una lectura en llenguatge planer de la vostra situació probable.