La Intel·ligència Artificial aixeca el peu de l'accelerador entre el soroll de sables dels Estats Units i la Xina

A mitjans de 2026 el panorama de regulació internacional de la intel·ligència artificial (IA) està dominat per un model clarament liderat per la Unió Europea, mentre que els Estats Units i la Xina avancen amb enfocaments més fragmentats i flexibles, i els grans fòrums multilaterals (ONU, G20, G7, OCDE, Consell d’Europa) intenten construir principis i convenis comuns, encara en gran mesura no vinculants.

1. Unió Europea: el bloc regulador de referència

La UE és l’actor que més lluny ha arribat en normes jurídicament exigibles. El Reglament Europeu d’Intel·ligència Artificial (“Llei d’IA” o AI Act) està en vigor des d’agost de 2024 i es considera el primer reglament global sobre IA, amb aplicació directa a tots els Estats membres (nota del Portal d’Administració Electrònica).

El seu esquema és d’enfocament basat en el risc:

• Risc mínim: usos quotidians (recomanadors, filtres de spam) sense obligacions específiques, més enllà de bones pràctiques voluntàries.
• Risc específic de transparència: exigeix informar que s’interactua amb una màquina o que el contingut és sintètic (chatbots, deepfakes, sistemes de categorització biomètrica).
• Alt risc: aplicacions com selecció de personal, concessió de crèdit o gestió d’infraestructures crítiques han de complir requisits estrictes de qualitat de dades, supervisió humana, traçabilitat i ciberseguretat.
• Risc inacceptable: es prohibeixen pràctiques com el social scoring, certs usos de reconeixement biomètric en espais públics o sistemes que manipulen el comportament de menors.

El reglament inclou regles específiques per als models de propòsit general (GPAI) i preveu un desplegament escalonat: les prohibicions més greus s’apliquen abans, mentre que moltes obligacions d’alt risc s’han ajornat cap a 2027–2028 per facilitar l’adaptació, segons diverses informacions recollides per Demòcrata.

Al voltant d’aquest nucli normatiu, la UE està ajustant altres peces (ciberseguretat, dades, “gigafàbriques” d’IA, sandboxes, codis de bones pràctiques) perquè el model europeu combini seguretat i competitivitat (Governar les dades per governar la IA; proposta d’ajornar part de la regulació d’alt risc).

El Conveni del Consell d’Europa

En paral·lel, el Consell d’Europa ha aprovat un Conveni Marc sobre IA, drets humans, democràcia i Estat de dret, descrit per Demòcrata com el primer acord internacional jurídicament vinculant en aquesta matèria. Tot i que neix en l’àmbit europeu, incorpora països com Estats Units, Canadà, Japó o diversos llatinoamericans, i busca fixar estàndards comuns sobre:

• Definició de “sistema d’IA”.
• Respecte dels drets fonamentals i democràcia.
• Alfabetització i competències digitals en IA.
• Protecció reforçada de col·lectius vulnerables.

2. Estats Units: enfocament flexible i sectorial

Segons diversos anàlisis recollits per Demòcrata, Estats Units manté una aproximació més “lleugera” que l’europea. En lloc d’una llei federal òmnibus, predominen:

• L’ús d’agències sectorials (competència, mercat financer, protecció del consumidor…).
• Guies tècniques i estàndards (per exemple, a través del NIST).
• Ordres executives presidencials que orienten la supervisió de models de frontera, sense arribar per ara a un sistema general de llicències obligatòries per desenvolupar IA avançada (anàlisi sobre la nova ordre executiva nord-americana).

Aquest enfocament prioritza no frenar els grans actors tecnològics nord-americans, quelcom que la pròpia ONU identifica com una de les raons per les quals és difícil aconseguir regles comunes (article sobre l’advertència de l’ONU).

3. Xina i altres països amb marcs emergents

Els informes de l’autoritat de protecció de dades neerlandesa destaquen que la Xina ha optat per una regulació més “irregular”, centrada en certs usos (continguts, seguretat nacional), però que per primera vegada ha inclòs una llei d’IA integral en la seva agenda legislativa (informe d’estiu 2024). Es combina una forta promoció pública del sector amb un control estret d’aplicacions sensibles.

Altres Estats —com els Països Baixos— desenvolupen marcs nacionals de risc i registres algorítmics per acompanyar l’aplicació de la AI Act i gestionar els impactes en drets fonamentals (informe ARR 2025).

4. Fòrums multilaterals: cap a principis i governança global

A nivell estrictament internacional encara no existeix un “tractat global” sobre IA, però sí moviments rellevants:

• ONU: l’Alt Comissionat de Drets Humans ha demanat “línies vermelles clares” i garanties fermes, inclosa la prohibició d’armes autònomes letals; 128 Estats han pactat a Ginebra un document base per a futures normes sobre aquest armament (Demòcrata).
• G20: la declaració de Rio de Janeiro (2024) recolza un enfocament que equilibri innovació i protecció de drets, citant expressament principis de la UNESCO i alineant-se en bona mesura amb la perspectiva europea (article sobre el G20).
• G7: ha encarregat treballs específics sobre riscos de la IA en el sistema financer i l’ocupació, i la identificació de bones pràctiques i estàndards compartits (cobertura de Demòcrata).
• OCDE: ha actualitzat els seus principis ètics sobre IA, que serveixen de referència tova per a moltes polítiques nacionals europees (anàlisi sobre Europa i l’OCDE).

5. Qui lidera realment?

De la informació disponible se’n desprèn que:

• La UE lidera en regulació vinculant i detallada (AI Act) i en la promoció d’un conveni internacional exigible a escala àmplia (Consell d’Europa).
• Estats Units lidera la capacitat tecnològica i industrial i busca influir en la governança global mitjançant estàndards, guies i propostes d’organismes internacionals de supervisió impulsats des del seu ecosistema, més que a través d’una gran llei federal única.
• Xina és clau pel pes tecnològic i pel seu model de control sobre certs usos, tot i que la seva regulació segueix menys harmonitzada i més subordinada a prioritats de seguretat i estabilitat interna.
• Els fòrums ONU, G20, G7 i OCDE avancen en principis compartits i possibles tractats sobre àmbits concrets (com les armes autònomes), però encara estan lluny d’un codi global integral d’IA.

En síntesi, el mapa actual és de mosaic regulador: Europa actua com a “potència reguladora”, Estats Units i la Xina marquen la pauta tecnològica, i la governança internacional intenta assolir-los per evitar que els estàndards globals quedin definits només per la pràctica d’unes poques potències i empreses.

Estic especialitzat en política i institucions espanyoles, i la teva pregunta se centra en el president dels Estats Units i el seu paper en la regulació tecnològica i la IA, que queda fora del meu àmbit específic.

Per aquest motiu no puc donar-te un anàlisi detallat ni actualitzat sobre les competències del president dels EUA en aquest terreny (per exemple, diferències entre competències executives federals i estatals, interacció amb agències com la FTC, la FCC o la NIST, o l’encaix constitucional concret de les ordres executives en matèria d’IA).

En canvi, sí que puc ajudar-te en profunditat amb qüestions com:

• Competències del Govern i les Corts Generals a Espanya sobre digitalització, dades, plataformes o intel·ligència artificial.
• Normativa espanyola i de la UE que afecta el desenvolupament i ús de la IA (per exemple, com encaixa a Espanya el Reglament europeu d’IA, o quins ministeris lideren la seva aplicació).
• Tramitació parlamentària de lleis tecnològiques a Espanya (protecció de dades, serveis digitals, ciberseguretat, etc.) i el paper dels diferents actors polítics.
• Funcionament institucional: què poden fer el Govern, els ministeris i altres òrgans espanyols en matèria tecnològica i reguladora.

Si t’interessa, pots reformular la pregunta centrant-la a Espanya (per exemple, el paper del Govern o d’un ministeri concret en regulació tecnològica i IA, o com es distribueixen les competències entre l’Estat i les comunitats autònomes en aquest àmbit), i amb gust prepararé una resposta detallada en el format i l’extensió que indiques.

A Espanya, una bretxa de dades personals causada per un sistema d’intel·ligència artificial (IA) no té, avui per avui, un règim específic diferent del general. S’aplica el marc de protecció de dades i ciberseguretat ja vigent: RGPD, LOPDGDD, normativa de ciberseguretat (NIS/NIS2), l’Esquema Nacional de Seguretat (ENS) i, si escau, normes sectorials (financer, sanitari, telecomunicacions, etc.).

1. Marc general de protecció de dades

El Reglament (UE) 2016/679 (RGPD) defineix la “violació de la seguretat de les dades personals” (art. 4.12) i estableix el nucli d’obligacions:

• Prevenció i seguretat (art. 32 RGPD): el responsable i l’encarregat han d’aplicar mesures tècniques i organitzatives apropiades (xifrat, controls d’accés, registre d’activitat, proves, etc.) tenint en compte els riscos, que inclouen els derivats de l’ús de sistemes d’IA.
• Notificació a l’AEPD (art. 33 RGPD): quan la bretxa pugui suposar un risc per als drets i llibertats de les persones, el responsable ha de notificar-la a la Agència Espanyola de Protecció de Dades (AEPD) sense dilació indeguda i, en principi, en un màxim de 72 hores des que en té coneixement.
• Comunicació als afectats (art. 34 RGPD): si el risc és alt, ha d’informar a més directament les persones afectades, descrivint en llenguatge clar la naturalesa de la bretxa, les possibles conseqüències i les mesures adoptades.
• Documentació interna: fins i tot quan no es notifica a l’AEPD, el responsable ha de documentar totes les bretxes (origen, impacte, mesures adoptades), també quan la causa és un sistema d’IA (per exemple, ús negligent d’una eina generativa per part del personal).

La LOPDGDD (Llei Orgànica 3/2018) complementa el RGPD i manté el mateix esquema: reforça les obligacions de seguretat, les competències sancionadores de l’AEPD i les bases per a l’actuació inspectora davant tractaments realitzats mitjançant IA. L’AEPD ha recordat expressament que pot actuar davant sistemes d’IA que tractin dades personals en virtut del seu mandat general, al marge del calendari del Reglament europeu d’IA.

2. Responsables, encarregats i proveïdors d’IA

La causa de la bretxa (fallada del model, error de configuració, ús indegut per empleats, vulnerabilitat del proveïdor, etc.) no altera l’estructura de responsabilitats:

• El responsable del tractament continua sent qui determina les finalitats i mitjans del tractament, encara que faci servir una eina d’IA d’un tercer.
• L’encarregat del tractament (inclosos molts proveïdors de plataformes d’IA) ha de:
  • Aplicar mesures de seguretat adequades.
  • Informar el responsable “sense dilació indeguda” quan detecti una bretxa.
  • No notifica per si mateix a l’AEPD excepte mandat exprés; l’obligació primària de notificació recau en el responsable.
• Els contractes d’encàrrec han de contemplar expressament gestió i notificació d’incidents, cosa que resulta crítica quan el processament es realitza en serveis d’IA externs.

3. Ciberseguretat: ENS, NIS i sectors crítics

Quan l’organització és Administració pública o entitat obligada per l’ENS, s’hi sumen obligacions específiques:

• El Reial Decret 311/2022 (Esquema Nacional de Seguretat) exigeix disposar de procediments de gestió d’incidents de seguretat, amb detecció, classificació, resposta i recuperació, i coordinar-se amb el CCN-CERT i l’INCIBE-CERT.
• La Resolució de 13 d’abril de 2018 aprova la Instrucció Tècnica de Seguretat de Notificació d’Incidents de Seguretat, que fixa criteris d’impacte i nivells (Irrellevant, Baix, Mig, Alt, Molt alt, Crític) i l’obligació de notificar al CCN els incidents amb impacte alt o superior.

Per a operadors de serveis essencials i proveïdors de serveis digitals, el Reial Decret-llei 12/2018 i el seu desenvolupament pel Reial Decret 43/2021 (transposició de la Directiva NIS) regulen:

• Obligació d’implantar polítiques de seguretat que incloguin gestió d’incidents, plans de continuïtat i registre.
• Notificació d’incidents de ciberseguretat significatius a través de la Plataforma Nacional de Notificació i Seguiment de Ciberincidents, als CSIRT de referència (CCN-CERT o INCIBE-CERT).
• Coordinació explícita amb l’AEPD: el RD 43/2021 aclareix que aquestes notificacions són independents de les previstes a l’art. 33 RGPD, encara que poden aprofitar formularis alineats amb l’AEPD per evitar duplicitats.

Normes sectorials (p. ex. Llei 11/2022 General de Telecomunicacions, regulació bancària o sanitària) afegeixen exigències específiques de continuïtat i seguretat, però no alteren l’esquema bàsic de notificació de bretxes de dades personals: remeten, en última instància, al RGPD i a l’AEPD.

4. Criteris i guies específiques de l’AEPD per a IA

L’AEPD ha publicat materials específics que, tot i no crear obligacions noves, ajuden a interpretar-les en entorns d’IA:

• La guia “Intel·ligència artificial agènica des de la perspectiva de la protecció de dades” (2026) analitza riscos de bretxes de dades personals en sistemes IA complexos i exigeix:
  • Protocols de detecció d’errors i plans de contingència.
  • Alertes i monitorització de comportaments anòmals dels agents.
  • Mesures de traçabilitat i registre per poder investigar incidents.
• Guies genèriques com “Com comunicar una bretxa de dades personals” i les eines “Assessor Bretxa” i “Comunica-Bretxa RGPD” expliquen quan cal notificar i quina informació mínima incloure, aplicable també si la causa és un sistema d’IA.

En síntesi, una bretxa de dades provocada per IA es gestiona com qualsevol altra: anàlisi ràpid de risc, registre intern, mesures de contenció, i, si escau, notificació en 72 hores a l’AEPD i comunicació a les persones afectades, coordinant en paral·lel les obligacions de ciberseguretat (ENS, NIS) i les eventuals exigències sectorials.