El sandbox regulatorio nacional de IA de Noruega — Probar IA de alto riesgo y generativa antes del despliegue

Datatilsynet, la autoridad noruega de protección de datos, empareja a organizaciones públicas y privadas con el regulador en diálogos acotados en el tiempo, de 3 a 6 meses, que comprueban si un sistema de IA previsto o ya en uso cumple la legislación de protección de datos antes de su despliegue a gran escala. Desde su lanzamiento en 2021, aproximadamente 20 proyectos han pasado por el programa.

Entre los ejemplos del sector público se incluyen el proyecto de 2022 de NAV sobre la predicción de la duración de las bajas por enfermedad mediante aprendizaje automático; el trabajo de 2023 de Ruter sobre transparencia en su aplicación de transporte; el modelo de predicción de reingresos hospitalarios de 2023 de Helse Bergen; la investigación de 2023 de Ahus y del Defensor de la Igualdad y contra la Discriminación sobre sesgos en un algoritmo de riesgo cardíaco; el informe final de junio de 2024 de la NTNU sobre el uso de Microsoft 365 Copilot conforme a la legislación de protección de datos; y el proyecto de 2025 de Ahus sobre monitorización remota de pacientes de edad avanzada.

Una evaluación independiente realizada en 2023 por la consultora Agenda Kaupang, basada en entrevistas y una encuesta a los participantes, calificó de 'muy satisfactoria' la organización de Datatilsynet en materia de admisiones, proyectos y comunicación, y tanto los participantes como los observadores atribuyeron al sandbox el mérito de generar una competencia real en IA y protección de datos.

La misma evaluación señaló limitaciones honestas: el sandbox tiene dificultades para atraer a participantes del ámbito académico y para llegar a organizaciones que no consideran de forma natural a un regulador de datos como un actor de IA, y las orientaciones producidas tienen carácter asesor, no constituyen un refugio jurídico seguro. Desde entonces, el modelo ha sido objeto de estudio académico (Cambridge Forum on AI: Law and Governance) y se hace eco de él el artículo 57 del Reglamento de IA de la UE (AI Act), que exige que cada Estado miembro establezca un sandbox regulatorio nacional de IA antes de agosto de 2026.