El Reglamento aplica los principios de la Ley n.º 31814 al desarrollo, implementación y uso de IA en entidades públicas, el sector privado y el ecosistema nacional de IA en general. Distingue entre uso indebido o prohibido, uso de alto riesgo y uso aceptable. Los usos prohibidos incluyen técnicas manipuladoras o engañosas, armas autónomas letales sin supervisión humana, vigilancia masiva ilícita o desproporcionada, inferencia de rasgos sensibles a partir de datos biométricos, determinados usos de identificación biométrica remota en tiempo real en espacios públicos y predicción de delitos basada exclusivamente en perfiles o características personales. Los usos de alto riesgo incluyen activos nacionales críticos, determinadas decisiones educativas y laborales, el acceso a programas sociales, la evaluación crediticia, usos sanitarios con consecuencias importantes y la inferencia de emociones en centros de trabajo o instituciones educativas, con sujeción a las excepciones establecidas. El Reglamento exige salvaguardias adicionales para esos sistemas, incluidas la transparencia algorítmica, la supervisión humana, la auditoría de seguridad y la protección de datos personales desde el diseño. La PCM, por medio de la SGTD, dirige la gobernanza, dicta normas y directrices y supervisa el cumplimiento; la implementación es progresiva según las capacidades y recursos de los actores del Sistema Nacional de Transformación Digital.
Regulación
Registro verificado
- Resumen de clasificación de riesgos
- Tres categorías operativas: uso indebido o prohibido; uso de alto riesgo permitido únicamente con controles adicionales; y uso aceptable, que sigue sujeto a los principios rectores. Entre los ámbitos de alto riesgo figuran los activos críticos, la educación, el empleo, los programas sociales, el crédito, la atención sanitaria con consecuencias importantes y determinadas inferencias de emociones.
- Resumen de requisitos
- Aplicar salvaguardias proporcionales al riesgo; no desplegar usos prohibidos; proporcionar transparencia algorítmica y supervisión humana significativa para los sistemas de alto riesgo; realizar la auditoría de seguridad exigida; proteger los datos personales desde el diseño; y cumplir el calendario de implementación progresiva del Reglamento. Las obligaciones dependen del actor y del uso, por lo que no debe afirmarse que todos los controles enumerados se aplican de manera idéntica a toda organización privada.
- Entidades afectadas
- Entidades de la administración pública, organizaciones del sector privado y otros actores que desarrollan, implementan o utilizan IA en el Perú; las instituciones públicas y los operadores de sistemas de alto riesgo soportan las salvaguardias operativas más específicas. La academia, la sociedad civil y la ciudadanía también participan en el marco de gobernanza e innovación, pero no deben describirse como operadores universalmente regulados.
- Resumen de aplicación
- La PCM, por medio de la SGTD, es la autoridad nacional técnica y normativa: dirige, evalúa y supervisa el uso de IA y promueve normas, directrices y buenas prácticas. El Reglamento citado no crea un derecho de acción privada ni un tribunal autónomo de ejecución en materia de IA.