La inteligencia artificial ya no es una promesa de futuro. Está en los procesos de selección, en los sistemas de scoring financiero, en herramientas educativas, en soluciones de salud, en software empresarial y en productos tecnológicos que muchas compañías están desarrollando o utilizando hoy.
Y precisamente por eso, la regulación ya no puede mirarse como algo ajeno o lejano.
El Reglamento Europeo de Inteligencia Artificial —Reglamento (UE) 2024/1689, conocido como RIA o AI Act— ya está en vigor y clasifica determinados sistemas como sistemas de IA de alto riesgo. Esto no significa que estén prohibidos, pero sí que quedan sometidos a obligaciones legales, técnicas y organizativas muy exigentes y complejas.
En términos prácticos, un sistema de IA de alto riesgo es una herramienta de inteligencia artificial que puede influir en decisiones relevantes sobre personas —empleo, crédito, educación, salud, servicios esenciales o justicia— y que, por ello, debe cumplir requisitos reforzados de gestión de riesgos, transparencia, supervisión humana, calidad de datos y ciberseguridad.
En mi trabajo en eDefense con empresas tecnológicas veo una preocupación diaria: muchas compañías están usando IA sin tener claro si su sistema entra o no dentro de esta categoría. Y esa duda no es menor. Una herramienta de filtrado de currículos, un sistema de evaluación de solvencia, una solución de proctoring, una IA integrada en un producto sanitario o un sistema que ayude a tomar decisiones sobre trabajadores pueden estar sujetos al régimen de sistemas de alto riesgo.
Además, España acaba de dar un paso relevante con la aprobación por el Consejo de ministros del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que desarrolla el AI Act, designa autoridades supervisoras y concreta el régimen sancionador.
En este artículo como abogada especialista en inteligencia artificial pretendo explicar, de forma clara y práctica, qué son los sistemas de IA de alto riesgo, qué categorías existen, qué obligaciones impone el Reglamento Europeo de IA y cómo puede prepararse una empresa sin agotar el plazo obligatorio.
Qué es un sistema de IA de alto riesgo según el Reglamento Europeo
Un sistema de IA de alto riesgo es aquel que, por su finalidad o por el contexto en el que se utiliza, puede afectar de forma significativa a la salud, la seguridad o los derechos fundamentales de las personas.
Hay una idea clave, el riesgo no depende únicamente de la tecnología, sino del uso concreto que se haga de ella.
¿Qué quiero decir con esto? Un mismo sistema de IA puede ser relativamente inocuo si se usa para ordenar información interna, pero convertirse en un sistema de alto riesgo si se utiliza para tomar una decisión crítica, como decidir si una persona accede a un empleo, a un crédito, a una prestación pública o a una formación.
Lo primero que hay que tener claro es que el Reglamento Europeo de IA, como ya ocurrió con otras normativas anteriores, parte de un enfoque basado en el riesgo y distingue entre:
- sistemas de riesgo inaceptable, que quedan prohibidos;
- sistemas de alto riesgo, permitidos pero muy regulados;
- sistemas de riesgo limitado, sujetos principalmente a obligaciones de transparencia;
- sistemas de riesgo mínimo, con menor carga regulatoria.
Los sistemas de alto riesgo no están prohibidos. Pero deben diseñarse, documentarse, supervisarse y utilizarse con garantías. Y aquí es donde muchas empresas deberían estar trabajando ya.
Las dos vías para que un sistema sea considerado de alto riesgo
El artículo 6 del Reglamento establece dos grandes vías de clasificación.
La primera afecta a sistemas de IA que son productos, o componentes de seguridad de productos, regulados por normativa europea de armonización. Aquí podemos ubicar sistemas integrados en maquinaria, juguetes, ascensores, dispositivos médicos, productos sanitarios, aviación civil, vehículos o equipos a presión, cuando además sea necesaria una evaluación de conformidad por terceros.
La segunda vía es la más relevante para muchas empresas tecnológicas: los sistemas incluidos en el Anexo III del Reglamento. En este anexo aparecen los casos de uso que la Unión Europea considera especialmente sensibles por su impacto potencial en derechos fundamentales.
La norma prevé una excepción para algunos sistemas que realicen tareas puramente procedimentales, preparatorias o de apoyo, siempre que no influyan de forma sustancial en la decisión final. Pero esta excepción debe analizarse con cautela. Si el sistema realiza elaboración de perfiles de personas físicas, en principio no podrá beneficiarse de ella.
Mi recomendación es sencilla. Si tu empresa utiliza IA en un contexto que afecta a personas, no conviene quedarse en una interpretación superficial, sobre todo si se realizan perfilados o no existe una supervisión humana real. Es necesario analizar la finalidad efectiva del sistema, documentar la decisión y revisar si encaja o no en el Reglamento.
Las 8 categorías de sistemas de IA de alto riesgo del Anexo III
El Anexo III es probablemente la parte del Reglamento que más deben revisar las empresas que desarrollan o utilizan IA en su actividad diaria. Estas son las ocho grandes categorías.
1. Biometría: identificación, categorización y reconocimiento de emociones
La primera categoría incluye determinados sistemas biométricos, como la identificación biométrica remota, la categorización biométrica y algunos sistemas de reconocimiento de emociones.
No todo uso biométrico es igual. No es lo mismo verificar que una persona es quien dice ser, por ejemplo, para desbloquear una cuenta, que identificarla dentro de una multitud o clasificarla a partir de atributos biométricos.
Ejemplos de sistemas que pueden quedar afectados:
- reconocimiento facial en establecimientos públicos o controles de acceso;
- categorización biométrica vinculada a atributos sensibles;
- sistemas de reconocimiento de emociones en contextos laborales o educativos.
Este ámbito exige especial prudencia porque conecta directamente con protección de datos, derechos fundamentales y algunas de las prohibiciones más sensibles del Reglamento.
2. Infraestructuras críticas: energía, transporte, agua e infraestructura digital
También pueden ser de alto riesgo los sistemas de IA utilizados como componentes de seguridad en infraestructuras críticas.
Hablamos de sistemas aplicados a tráfico, suministro de agua, gas, calefacción, electricidad o infraestructura digital. El problema no es únicamente jurídico. Un fallo, una manipulación o una decisión automatizada errónea puede afectar a la seguridad física de las personas o a la continuidad de servicios esenciales.
Algunos ejemplos:
- IA que optimiza la distribución de carga en una red eléctrica;
- sistemas automatizados de gestión del tráfico;
- herramientas predictivas para mantenimiento de infraestructuras críticas;
- sistemas de IA integrados en infraestructura digital crítica.
En estos casos, la ciberseguridad no es un complemento, es parte esencial del cumplimiento. Os dejo un artículo en el que hablo de ello.
3. Educación y formación profesional
Diría que estamos, junto con el siguiente punto, ante uno de los ámbitos en los que más sistemas se están desarrollando y donde mayor conflicto práctico puede generarse.
La IA aplicada a educación y formación profesional puede ser de alto riesgo cuando influye en el acceso, evaluación o trayectoria académica de una persona. Y muchas empresas educativas están usando sistemas sin tener plena consciencia de su implicación real.
Ejemplos:
- sistemas que clasifican candidatos para acceder a universidades o programas de formación;
- herramientas de evaluación automatizada;
- sistemas que determinan niveles educativos o profesionales;
- soluciones de proctoring para supervisar exámenes online.
Una decisión automatizada en este contexto puede condicionar oportunidades futuras. Por ello, y con razón a mi modo de ver, el Reglamento exige garantías reforzadas. El futuro de muchas personas puede depender de decisiones tomadas en sistemas educativos y formativos.
4. Empleo, selección de personal y gestión de trabajadores
Como decía, esta es otra de las categorías que más me preocupa en la práctica, porque muchas empresas están incorporando herramientas de IA en recursos humanos sin haber hecho previamente un análisis legal suficiente o confiando en que ese análisis ya lo habrán hecho los desarrolladores de las herramientas que utilizan.
Se incluyen como sistemas de alto riesgo los sistemas utilizados para contratación, selección, promoción, despido, asignación de tareas, evaluación del rendimiento o supervisión de trabajadores.
Algunos ejemplos que veo con frecuencia:
- herramientas ATS que filtran currículos automáticamente;
- sistemas que puntúan entrevistas;
- IA que recomienda candidatos;
- herramientas que miden productividad;
- sistemas que asignan turnos o tareas en función de características individuales.
Una empresa no debe limitarse a contratar una herramienta SaaS y asumir que toda la responsabilidad es del proveedor. Si utiliza la IA en sus procesos, también tiene obligaciones como desplegadora. Informar, supervisar, conservar registros, garantizar datos adecuados y evitar que el sistema se use de forma discriminatoria o desproporcionada son solo algunas de las obligaciones que deberían respetarse.
5. Acceso a servicios esenciales y prestaciones públicas
Esta categoría incluye sistemas de IA que pueden condicionar el acceso de una persona a servicios esenciales, prestaciones públicas o determinados servicios privados relevantes.
Aquí entran, entre otros, los sistemas que evalúan la solvencia crediticia de personas físicas fijan primas de seguros de vida o salud, valoran reclamaciones de seguros, priorizan servicios de emergencia o determinan el acceso a ayudas públicas.
Ejemplos:
- scoring crediticio automático;
- IA utilizada por fintechs para aprobar o denegar financiación;
- sistemas que calculan primas de seguros según perfiles;
- IA para priorizar ambulancias, bomberos o servicios de emergencia;
- herramientas que evalúan solicitudes de prestaciones públicas.
Por tanto, si una fintech utiliza IA para valorar la solvencia de una persona física, estamos ante un supuesto especialmente sensible. No basta con que el modelo sea eficiente o rentable. Debe ser transparente, supervisable, robusto, seguro y jurídicamente gobernado.
6. Aplicación de la ley
El Reglamento también considera de alto riesgo determinados sistemas utilizados por autoridades policiales o de aplicación de la ley. Aunque suelen estar más alejados del sector privado, conviene entender a qué tipo de sistemas nos estamos refiriendo.
Ejemplos:
- sistemas de evaluación de riesgo individual;
- herramientas similares a polígrafos;
- sistemas de evaluación de fiabilidad de pruebas;
- análisis criminal automatizado;
- elaboración de perfiles en contextos policiales.
Es un ámbito especialmente delicado porque puede afectar a garantías procesales, igualdad de trato, presunción de inocencia y protección frente a decisiones automatizadas abusivas.
7. Migración, asilo y control de fronteras
También se incluyen sistemas utilizados en migración, asilo y control de fronteras.
Ejemplos:
- IA que evalúa solicitudes de visado;
- sistemas de análisis de riesgo en fronteras;
- herramientas de apoyo en decisiones sobre asilo;
- sistemas de vigilancia fronteriza.
En estos casos, el impacto puede recaer sobre personas especialmente vulnerables.
8. Administración de justicia y procesos democráticos
La última categoría afecta a sistemas de IA utilizados en la administración de justicia y en procesos democráticos.
Algunos ejemplos de herramientas son:
- herramientas que apoyan la interpretación de hechos o normas jurídicas;
- sistemas que influyen en decisiones judiciales;
- IA que prioriza expedientes o valora elementos relevantes en procedimientos;
- sistemas que pueden influir en elecciones o referéndums.
No toda herramienta legaltech será automáticamente de alto riesgo. Una base de datos jurídica con funciones de búsqueda no implica los mismos riesgos que un sistema que recomienda decisiones judiciales o influye materialmente en la valoración de un caso. La diferencia la encontramos, una vez más, en la finalidad y en el impacto real.
Requisitos legales para los sistemas de IA de alto riesgo
Los requisitos para los sistemas de IA de alto riesgo se recogen principalmente en los artículos 8 a 15 del Reglamento de IA.
Aunque afectan especialmente a los proveedores, también condicionan la posición de importadores, distribuidores y desplegadores.
Sistema de gestión de riesgos
Los proveedores deben implantar un sistema de gestión de riesgos durante todo el ciclo de vida del sistema.
Esto implica identificar riesgos conocidos y previsibles, valorar su gravedad, adoptar medidas de mitigación y revisar el sistema cuando cambien las condiciones de uso.
No es una foto fija. Es un proceso vivo.
Por ejemplo, una empresa que desarrolla un sistema de scoring crediticio debe analizar riesgos de discriminación indirecta, errores de denegación de crédito, sesgos en los datos, opacidad del modelo, manipulación del sistema y falta de supervisión humana efectiva.
Gobernanza y calidad de datos
El artículo 10 exige prácticas adecuadas de gobernanza de datos.
Los datos de entrenamiento, validación y prueba deben cumplir prácticas adecuadas de gobernanza: representatividad, ausencia de sesgos discriminatorios, trazabilidad y protección (con mención especial al RGPD). Para empresas tech que entrenan modelos, esta obligación es crítica.
Esto es especialmente importante para empresas que entrenan modelos propios. No basta con decir que el sistema “funciona”. Hay que poder explicar de dónde proceden los datos, cómo se han seleccionado, qué sesgos se han detectado, qué medidas se han adoptado y cómo se cumple el RGPD cuando se tratan datos personales.
Documentación técnica, registros y transparencia
Los sistemas de IA de alto riesgo deben contar con documentación técnica adecuada antes de su comercialización o puesta en servicio.
Además, deben generar registros automáticos —logs— que permitan supervisar su funcionamiento, investigar incidentes y acreditar trazabilidad.
La transparencia no obliga a revelar todos los secretos industriales. Pero sí exige proporcionar información suficiente para que el sistema pueda utilizarse correctamente: finalidad, capacidades, limitaciones, instrucciones de uso, nivel de precisión, riesgos previsibles y medidas de supervisión humana.
Supervisión humana
El artículo 14 exige que los sistemas de IA de alto riesgo permitan una supervisión humana efectiva. Y subrayo la palabra efectiva.
No basta con que una persona pulse “aceptar” al final del proceso. La persona supervisora debe tener información, formación, tiempo y autoridad para cuestionar el resultado del sistema.
En la práctica, muchas empresas deberán revisar sus flujos y procesos internos. La supervisión humana no puede convertirse en un trámite más ni en un check vacío.
Precisión, solidez y ciberseguridad
El artículo 15 establece que los sistemas de IA de alto riesgo deben alcanzar un nivel adecuado de precisión, solidez y ciberseguridad durante todo su ciclo de vida.
En materia de ciberseguridad, esto exige proteger el sistema frente a:
- accesos no autorizados;
- manipulación de datos de entrada;
- ataques adversariales;
- alteración del modelo;
- filtración de datos sensibles;
- pérdida o manipulación de logs;
- vulnerabilidades no gestionadas;
- degradación del rendimiento.
Además, el Reglamento de Ciberresiliencia refuerza estas exigencias para productos con elementos digitales. Por eso, cuando hablamos de IA de alto riesgo, no podemos separar regulación, protección de datos y ciberseguridad. En la práctica, deben ir de la mano.
Obligaciones según el rol: proveedor, importador, distribuidor o desplegador
Las obligaciones dependen también del rol que tenga la empresa en la utilización de la IA. Una de las primeras preguntas que debe hacerse cualquier compañía es qué posición ocupa en la cadena de valor.
No es lo mismo desarrollar un sistema, comercializarlo, integrarlo, distribuirlo o utilizarlo internamente.
Obligaciones del proveedor
El proveedor es quien desarrolla un sistema de IA o lo comercializa bajo su nombre o marca.
En sistemas de alto riesgo, el proveedor asume la carga principal de cumplimiento. Entre sus obligaciones destacan:
- implantar un sistema de gestión de riesgos;
- garantizar gobernanza y calidad de datos;
- elaborar documentación técnica;
- diseñar mecanismos de transparencia;
- permitir supervisión humana;
- asegurar precisión, robustez y ciberseguridad;
- implantar un sistema de gestión de calidad;
- realizar la evaluación de conformidad;
- colocar el marcado CE cuando proceda;
- registrar el sistema en la base de datos de la UE;
- vigilar el funcionamiento posterior a la comercialización;
- notificar incidentes graves.
Si tu empresa desarrolla IA para terceros, integra IA en un producto o comercializa una solución bajo su propia marca, debe revisar con detalle si actúa como proveedor.
Obligaciones del desplegador
El desplegador es quien utiliza un sistema de IA bajo su autoridad, salvo que lo haga en un contexto estrictamente personal.
Una empresa que compra una herramienta de IA para selección de personal, scoring, productividad, educación, salud o gestión de servicios esenciales puede ser desplegadora.
Sus obligaciones incluyen:
- usar el sistema conforme a las instrucciones del proveedor;
- asignar supervisión humana cualificada;
- garantizar la pertinencia de los datos de entrada;
- supervisar el funcionamiento del sistema;
- conservar logs;
- informar a trabajadores o personas afectadas cuando proceda;
- realizar evaluaciones de impacto sobre derechos fundamentales en determinados casos;
- cooperar con autoridades competentes.
Este punto es importante: comprar una herramienta no elimina la responsabilidad de usarla correctamente.
Importadores y distribuidores
Importadores y distribuidores también tienen responsabilidades.
Deben comprobar que el proveedor ha cumplido sus obligaciones, que existe documentación, que se ha realizado la evaluación de conformidad y que el sistema lleva el marcado correspondiente cuando sea necesario.
Además, si modifican sustancialmente el sistema, lo comercializan bajo su nombre o cambian su finalidad prevista, pueden pasar a ser considerados proveedores.
La nueva Ley de IA en España: qué aporta al cumplimiento empresarial
El 26 de mayo de 2026, el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que se remite al Congreso para su tramitación parlamentaria.
Conviene hacer una precisión: aún no estamos ante una ley plenamente vigente, sino ante un proyecto normativo que inicia su tramitación parlamentaria. Aun así, es muy relevante porque muestra cómo España quiere aterrizar el Reglamento Europeo de IA en nuestro ordenamiento.
El proyecto de Ley Orgánica español no sustituye al Reglamento Europeo. El Reglamento es directamente aplicable. Lo que hace el legislador español es desarrollar la arquitectura nacional de supervisión, designar autoridades competentes y concretar aspectos de gobernanza y sanción.
Entre sus elementos más relevantes destacan:
- papel central de la Agencia Española de Supervisión de Inteligencia Artificial, AESIA;
- designación de autoridades notificantes y autoridades de vigilancia del mercado;
- intervención de autoridades sectoriales como la AEPD, el Banco de España o el Consejo General del Poder Judicial;
- régimen sancionador nacional;
- mecanismos de coordinación entre autoridades;
- punto de contacto único a través de AESIA;
- impulso del buen uso de la IA en el sector público estatal;
- inventarios de sistemas de IA utilizados en procedimientos administrativos;
- figura del delegado de IA en el sector público;
- gobernanza de sandboxes o entornos controlados de pruebas.
Para empresas tecnológicas y startups, el mensaje que quiere transmitir el Gobierno es claro: la supervisión de IA en España empieza a concretarse. No es recomendable esperar a que lleguen las primeras inspecciones o sanciones para ordenar internamente el uso de IA.
Sanciones por incumplimiento del Reglamento de IA
El régimen sancionador del Reglamento Europeo de IA puede alcanzar importes muy elevados. En los casos más graves, las multas pueden llegar a 35 millones de euros o el 7% del volumen de negocio anual mundial.
En incumplimientos vinculados a obligaciones de sistemas de IA de alto riesgo, las sanciones pueden alcanzar hasta 15 millones de euros o el 3% del volumen de negocio anual mundial.
El proyecto español desarrolla la clasificación de infracciones en muy graves, graves y leves, con criterios de proporcionalidad, intencionalidad, reincidencia, medidas correctoras y tamaño empresarial.
Este último punto es importante para pymes y startups. La proporcionalidad existe, pero no debe confundirse con ausencia de responsabilidad.
Calendario de aplicación: por qué conviene empezar ya
El calendario del Reglamento Europeo de IA ha sido progresivo desde su entrada en vigor y sigue siéndolo.
Algunas obligaciones ya han comenzado a desplegar efectos, como las prohibiciones de determinadas prácticas de IA y la obligación de alfabetización en IA.
En cuanto a los sistemas de IA de alto riesgo, el calendario se está revisando en el marco del AI Omnibus. En el texto original del Reglamento, las obligaciones para sistemas del Anexo III tenían como referencia agosto de 2026, y las vinculadas a productos regulados del Anexo I, agosto de 2027.
El acuerdo provisional sobre el AI Omnibus prevé retrasar la mayor parte de las obligaciones aplicables a los sistemas de IA de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028 para los sistemas de alto riesgo integrados en productos. No obstante, conviene formularlo con prudencia porque se trata de un acuerdo provisional pendiente de adopción formal.
En cualquier caso, mi recomendación es no tomar el calendario como una excusa para esperar. Las obligaciones son complejas y tienen un gran componente técnico. Si se dejan para el final, pueden complicar el cumplimiento y afectar al desarrollo del sistema.
Clasificar sistemas, revisar datos, diseñar supervisión humana, preparar documentación técnica, adaptar contratos, formar equipos y reforzar ciberseguridad no se hace en dos semanas y puede implicar la paralización de equipos técnicos completos.
Cómo preparar tu empresa para cumplir el Reglamento de IA
Paso 1: Inventario y clasificación de sistemas de IA
El primer paso es identificar todos los sistemas de IA que la empresa desarrolla, comercializa, integra o utiliza.
Este ejercicio suele revelar más herramientas y sistemas de IA de los que inicialmente se tienen documentados en la empresa. Muchas compañías descubren que no solo tienen IA en producto, sino también en marketing, recursos humanos, atención al cliente, análisis financiero o seguridad.
Paso 2: Análisis de gaps
Una vez identificados los sistemas, hay que comparar la situación actual con los requisitos para sistemas de IA de alto riesgo del Reglamento.
Algunas preguntas clave:
- ¿Existe documentación técnica suficiente?
- ¿Hay sistema de gestión de riesgos?
- ¿Se han evaluado sesgos y calidad de datos?
- ¿Hay instrucciones claras de uso?
- ¿Existe supervisión humana real?
- ¿Se conservan logs?
- ¿Se ha evaluado el impacto sobre derechos fundamentales?
- ¿Hay medidas de ciberseguridad específicas para IA?
- ¿Se han definido responsables internos?
- ¿Se ha analizado la relación con RGPD y normativa sectorial?
Este análisis permite priorizar y evitar una adecuación improvisada.
Paso 3: Plan de adecuación legal, técnico y organizativo
El cumplimiento de IA de alto riesgo no se resuelve con una política genérica.
Requiere coordinar al equipo legal y al equipo técnico, además de tener conocimientos sobre producto, datos, seguridad, compliance, recursos humanos y negocio.
Un buen plan de adecuación debe incluir:
- clasificación jurídica de sistemas;
- matriz de obligaciones por rol;
- revisión contractual con proveedores y clientes;
- documentación técnica y legal;
- evaluación de impacto sobre derechos fundamentales;
- revisión RGPD;
- medidas de ciberseguridad;
- protocolo de supervisión humana;
- formación interna;
- procedimiento de gestión de incidentes;
- seguimiento del calendario normativo.
Mi consejo es abordar este proceso como parte integrada de la gobernanza de la empresa, no como un trámite aislado.
Cómo puede ayudarte eDefense con el cumplimiento del Reglamento de Inteligencia Artificial
En eDefense trabajamos con empresas tecnológicas, startups y compañías que desarrollan o utilizan inteligencia artificial en contextos regulados.
Nuestro enfoque combina regulación, negocio tecnológico, protección de datos, ciberseguridad y compliance. Porque la IA no se puede revisar solo desde una perspectiva jurídica ni solo desde una perspectiva técnica.
Podemos ayudarte a:
- identificar si tus sistemas son de alto riesgo;
- elaborar un inventario de sistemas de IA;
- clasificar sistemas conforme al Reglamento Europeo de IA;
- definir obligaciones según tu rol;
- preparar documentación legal y técnica;
- diseñar evaluaciones de impacto sobre derechos fundamentales;
- revisar contratos con proveedores y clientes;
- adaptar políticas internas;
- coordinar IA, RGPD, ciberseguridad y normativa sectorial;
- preparar a tu empresa ante futuras supervisiones o auditorías.
La regulación de IA no tiene por qué vivirse como una amenaza. Bien gestionada, puede ser una ventaja competitiva que genera confianza en clientes, reduce riesgos y permite escalar productos tecnológicos en Europa con mayor seguridad jurídica y transparencia.
Si tu empresa desarrolla, integra o utiliza sistemas de IA en sectores como empleo, fintech, salud, educación, software, ciberseguridad o servicios esenciales, este es el momento de revisar su exposición regulatoria.
En eDefense podemos ayudarte a evaluar si tus sistemas de IA están clasificados como de alto riesgo y qué pasos debes dar para cumplir el Reglamento Europeo de Inteligencia Artificial.
Preguntas frecuentes sobre sistemas de IA de alto riesgo
¿Cómo sé si mi sistema de IA es de alto riesgo?
Debes analizar si encaja en alguna de las dos vías del artículo 6 del Reglamento Europeo de IA: si es producto o componente de seguridad de un producto regulado por normativa europea de armonización, o si está incluido en alguna de las categorías del Anexo III. El análisis debe basarse en el uso real y específico del sistema, no solo en su capacidad técnica abstracta.
¿Cuándo entra en vigor la obligación de cumplimiento para sistemas de alto riesgo?
El calendario de aplicación es progresivo y debe revisarse conforme evolucione el marco europeo. En el texto original del Reglamento, las obligaciones para sistemas de alto riesgo del Anexo III tenían como referencia agosto de 2026 y las de sistemas integrados en productos regulados, agosto de 2027. El acuerdo provisional sobre el AI Omnibus modifica la entrada en vigor al 2 de diciembre de 2027 para sistemas de alto riesgo del Anexo III y al 2 de agosto de 2028 para los sistemas de alto riesgo integrados en productos, aunque debe confirmarse tras su adopción formal.
¿La IA que usamos para scoring crediticio se considera de alto riesgo?
Sí, cuando el sistema evalúa la solvencia crediticia de personas físicas o determina su acceso a crédito, puede encajar en la categoría de acceso a servicios esenciales del Anexo III. Este tipo de sistemas debe analizarse con especial cuidado por su impacto económico y por su posible afectación a derechos fundamentales.
¿Qué relación hay entre el Reglamento de IA y el RGPD?
Son normas complementarias. El Reglamento de IA regula el diseño, comercialización, puesta en servicio y uso de sistemas de IA. El RGPD regula el tratamiento de datos personales. Si un sistema de IA de alto riesgo trata datos personales, lo habitual será tener que cumplir ambas normas simultáneamente.
¿Necesito un abogado para evaluar si mi empresa cumple el Reglamento de IA?
Es muy recomendable. La clasificación de sistemas de IA exige interpretar el Reglamento, su interacción con RGPD, ciberseguridad, normativa sectorial, contratos tecnológicos y futuras normas nacionales. Un asesor legal especializado en tecnología puede ayudarte a identificar riesgos, documentar decisiones y diseñar un plan de adecuación realista.