El Reglamento de IA no prohíbe la inteligencia artificial. Hace algo más sutil y más exigente: la ordena por niveles de riesgo. Y hay un cajón, el de los sistemas de IA de alto riesgo, donde se concentra casi toda la letra pequeña, casi todas las obligaciones y casi todos los dolores de cabeza. El problema es que muchas empresas usan sistemas que podrían estar en ese cajón… sin saberlo.
Si asesoras a empresas que usan IA —o si la usas tú— la primera pregunta no es «¿cumplo el Reglamento?», sino una más básica: «¿mi sistema es de alto riesgo?». De la respuesta depende casi todo lo demás.
Qué significa «alto riesgo» (y qué no)
Alto riesgo no quiere decir prohibido. Las prácticas prohibidas son otra categoría aparte (manipulación, puntuación social, cierta biometría). El alto riesgo es el escalón inmediatamente inferior: sistemas que se pueden usar, sí, pero que por su impacto potencial sobre la salud, la seguridad o los derechos fundamentales de las personas vienen con un paquete de obligaciones serio.
Piensa en una IA que decide a quién se contrata, quién accede a un crédito o cómo se prioriza una urgencia médica. No se prohíben; se vigilan.
Las dos puertas de entrada
Un sistema entra en el alto riesgo por una de estas dos vías:
- Por producto. Cuando la IA es un producto —o el componente de seguridad de un producto— ya regulado por la UE y que exige evaluación de conformidad por un tercero: máquinas, productos sanitarios, juguetes, ascensores, vehículos… Es lo que el Reglamento agrupa en su Anexo I.
- Por uso. Cuando el sistema se destina a alguno de los ámbitos sensibles que el Reglamento enumera en su Anexo III, con independencia del producto en el que viva.
La lista que de verdad conviene mirar
La segunda es la puerta por la que entra la mayoría. El Reglamento señala como alto riesgo, entre otros, los sistemas de IA usados para:
- Biometría: identificación o categorización de personas.
- Infraestructuras críticas: agua, energía, tráfico.
- Educación y formación: admisión, evaluación de exámenes.
- Empleo: selección de personal, cribado de currículums, decisiones de promoción o despido.
- Acceso a servicios esenciales: scoring crediticio, seguros de salud y vida, ayudas públicas, priorización de emergencias.
- Seguridad y aplicación de la ley.
- Migración, asilo y control de fronteras.
- Administración de justicia y procesos democráticos.
Si tu sistema —o el de tu cliente— hace algo parecido a esto, enciende la alarma.
El matiz que puede salvarte
Estar en el Anexo III no condena automáticamente. El Reglamento añade una válvula de escape: un sistema de esa lista no será de alto riesgo si no plantea un riesgo significativo para la salud, la seguridad o los derechos. Por ejemplo, si solo realiza una tarea procedimental muy concreta, si se limita a mejorar el resultado de una actividad humana ya terminada, o si detecta desviaciones sin sustituir el criterio humano.
Ahora bien, ojo con la excepción de la excepción: si el sistema elabora perfiles de personas, siempre se considera de alto riesgo. Sin matices.
Qué implica estar dentro
Si tu sistema es de alto riesgo, no basta con que «funcione bien»: hay que demostrarlo y documentarlo. Sistema de gestión de riesgos, control de la calidad de los datos, documentación técnica, registros de actividad, transparencia hacia quien lo usa, supervisión humana real, y niveles adecuados de precisión, robustez y ciberseguridad. A eso se suma la evaluación de conformidad, el marcado CE y el registro en la base de datos europea.
Y las obligaciones se reparten: no es lo mismo ser el proveedor que desarrolla el sistema que el responsable del despliegue que lo utiliza. Conviene saber en qué posición te encuentras.
Cómo saberlo en la práctica
Para salir de dudas, hazte —o hazle a tu cliente— estas preguntas:
- ¿La IA es, o va dentro de, un producto ya regulado (sanitario, máquina, vehículo…)?
- ¿Se usa en alguno de los ámbitos del Anexo III (empleo, crédito, educación, biometría…)?
- ¿Toma o condiciona decisiones que afectan a los derechos de las personas?
- ¿Elabora perfiles?
Si respondes «sí» a varias, prepárate: lo más probable es que estés en el alto riesgo.
Tienes menos tiempo del que parece
Estas obligaciones no son ciencia ficción ni un problema de «algún día». Para los sistemas del Anexo III, el grueso de las exigencias se aplica desde el 2 de agosto de 2026; para los que van embebidos en productos regulados, desde el 2 de agosto de 2027. Parece lejos, pero adaptar un sistema de alto riesgo —documentarlo, auditarlo, rediseñar su supervisión— lleva meses, no semanas.
Saber si tu sistema es de alto riesgo no es un tecnicismo: es la pregunta que decide cuánto Reglamento te aplica. Y como casi todo en el cruce entre derecho y tecnología, cuanto antes te la hagas, más barata sale la respuesta.
Fuentes
- Reglamento (UE) 2024/1689 — texto oficial (EUR-Lex): eur-lex.europa.eu
- Resumen oficial «Normas para una IA fiable en la UE» (EUR-Lex): eur-lex.europa.eu/summary
