Una de las preguntas que más recibimos en INTELLILEX es si Costa Rica ya tiene una "ley de inteligencia artificial". La respuesta corta es no, todavía no. La respuesta útil es que eso no significa que el uso de IA esté fuera del alcance del derecho costarricense, y que entender cómo regula la Unión Europea sirve como referencia para anticipar hacia dónde se mueve la conversación regulatoria a nivel global.
El modelo europeo: riesgo como eje central
El Reglamento de Inteligencia Artificial de la Unión Europea (conocido como AI Act) construye su arquitectura alrededor de una idea simple: cuanto mayor es el riesgo de un sistema de IA para los derechos de las personas, mayores son las obligaciones de quien lo desarrolla o lo usa. El reglamento distingue, entre otras, cuatro categorías:
- Riesgo inaceptable: sistemas prohibidos de forma directa, como los que manipulan el comportamiento humano de forma que cause daño o los que califican a personas mediante puntuación social.
- Alto riesgo: sistemas usados en ámbitos como selección de personal, acceso a crédito, educación o infraestructura crítica, sujetos a obligaciones estrictas de evaluación, documentación y supervisión humana.
- Riesgo limitado: sistemas que interactúan directamente con personas (como chatbots), donde la obligación principal es la transparencia: la persona debe saber que está hablando con una IA.
- Riesgo mínimo: la mayoría de los usos actuales, sin obligaciones específicas más allá de las buenas prácticas generales.
Este modelo obliga a las empresas europeas, y a las que operan en Europa, a clasificar cada sistema de IA que usan y a documentar esa clasificación.
El modelo costarricense: regulación indirecta pero real
Costa Rica no tiene, a la fecha, una ley equivalente al AI Act. Pero eso no equivale a un vacío legal. La inteligencia artificial que procesa información de personas cae bajo la Ley N.° 8968 y la supervisión de PRODHAB, que exige base legal para el tratamiento, principio de finalidad y medidas de seguridad, sin importar si ese tratamiento lo hace un humano o un algoritmo.
A esto se suman los principios generales del derecho civil y comercial costarricense: responsabilidad por daños, deber de informar, buena fe contractual. Si una empresa usa un sistema de IA para tomar una decisión que perjudica a un cliente o a un colaborador, esos principios generales pueden aplicarse aunque no exista una norma que mencione la palabra "inteligencia artificial".
Por qué esta comparación importa para una empresa costarricense
Muchas empresas en Costa Rica usan herramientas de IA desarrolladas por proveedores europeos o estadounidenses, y algunas atienden directamente a clientes en la Unión Europea. En esos casos, el AI Act puede aplicarles de forma directa por el mercado al que sirven, incluso sin tener presencia física en Europa. Además, el AI Act suele convertirse en un estándar de referencia: cuando un cliente corporativo pregunta "¿cómo gobierna usted el uso de IA en su empresa?", responder con un marco de clasificación de riesgo, aunque sea simplificado, transmite un nivel de madurez que hoy diferencia a una empresa de otra.
¿Qué significa para su empresa?
No es necesario esperar una ley costarricense de IA para empezar a gobernar su uso. Clasificar sus propios sistemas de IA por nivel de riesgo, aunque sea con un criterio simplificado inspirado en el modelo europeo, es una práctica que hoy ya genera valor: reduce exposición bajo la Ley N.° 8968, facilita respuestas ante auditorías de clientes y prepara a la empresa para cuando exista un marco normativo costarricense específico.
La pregunta que toda empresa debería hacerse no es "¿me aplica el AI Act?", sino "¿sé qué tan riesgoso es cada sistema de IA que ya estoy usando?". Esa pregunta tiene respuesta hoy, con o sin ley específica.