El AI Act clasifica los sistemas de IA en 4 niveles de riesgo. Reclutamiento, crédito, salud: descubre si tus herramientas de IA se consideran de alto riesgo.
El Reglamento Europeo sobre Inteligencia Artificial (Reglamento 2024/1689) se sustenta en un principio fundamental: las obligaciones son proporcionales al nivel de riesgo. Cuanto más pueda afectar un sistema de IA a la vida, la salud, los derechos fundamentales o la seguridad de las personas, más estrictos son los requisitos.
Este enfoque gradual diferencia al AI Act de regulaciones más binarias. Permite no frenar la innovación en usos de bajo riesgo, mientras regula firmemente las aplicaciones más sensibles.
Considerando 26 — Règlement (UE) 2024/1689
Los sistemas de IA que presenten un nivel de riesgo elevado para la salud, la seguridad o los derechos fundamentales de las personas físicas deben estar sujetos a requisitos estrictos antes de poder comercializarse en el mercado de la Unión.
Ciertos usos de la IA están pura y simplemente prohibidos (Artículo 5). El scoring social, la manipulación subliminal, la explotación de vulnerabilidades de las personas y la identificación biométrica en tiempo real en espacios públicos (salvo excepciones) están prohibidos desde el 1 de febrero de 2025.
Es la categoría que afecta al mayor número de empresas. Los sistemas de IA de alto riesgo están definidos en los Artículos 6 y 7 y enumerados en detalle en el Anexo III del reglamento. Las obligaciones asociadas son sustanciales: evaluación de conformidad, documentación técnica, supervisión humana, gestión de riesgos, gobernanza de datos.
Sistemas como chatbots, generadores de contenido (deepfakes, textos) o sistemas de reconocimiento de emociones no cubiertos por la prohibición están sujetos a obligaciones de transparencia. El usuario debe saber que está interactuando con una IA o que el contenido ha sido generado por una IA.
La gran mayoría de los sistemas de IA: filtros antispam, recomendaciones de productos, correctores ortográficos. El AI Act no impone restricciones específicas, aunque el cumplimiento del Artículo 4 sobre competencia en IA sigue aplicándose a todos los responsables del despliegue.
El Anexo III del reglamento enumera los ámbitos en los que un sistema de IA se considera de alto riesgo. Estos son los casos concretos que afectan a la mayoría de las empresas.
Es el área que más sorprende a las empresas. El Anexo III, punto 4 se refiere a los sistemas de IA utilizados en:
Anexo III, punto 4 — Règlement (UE) 2024/1689
El empleo, la gestión de los trabajadores y el acceso al empleo por cuenta propia, en particular para la contratación y la selección de personas, para la toma de decisiones relativas a las condiciones de la relación laboral, la promoción y la rescisión, y para la asignación de tareas, el seguimiento o la evaluación del rendimiento y el comportamiento de las personas.
En concreto, se consideran de alto riesgo:
Si su departamento de RRHH utiliza una herramienta de clasificación automática de CV o un chatbot de reclutamiento, se trata probablemente de un sistema de alto riesgo en el sentido del AI Act.
📄IA para RRHH: guía completa de transformación de las funciones de RRHH→El Anexo III, punto 5(b) cubre los sistemas de IA utilizados para:
Cualquier banco o aseguradora que utilice un modelo de IA para decidir la concesión o denegación de un crédito, o para fijar una prima de seguro, está afectado. En España, esto incluye directamente los sistemas de scoring crediticio de BBVA, Santander y CaixaBank, así como los modelos de evaluación de riesgos de las aseguradoras. La detección de fraude está explícitamente excluida del alto riesgo, pero atención: los sistemas de scoring que van más allá de la simple detección pueden entrar en esta categoría.
El Anexo III, punto 1 abarca los sistemas de IA que son productos sanitarios o accesorios de productos sanitarios según los reglamentos europeos de productos sanitarios. Esto incluye:
El Anexo III, punto 3 se refiere a los sistemas de IA utilizados para:
El Anexo III, puntos 6, 7 y 8 cubren:
El Anexo III, punto 2 cubre los componentes de seguridad en la gestión y explotación de infraestructuras digitales críticas, del tráfico rodado y del suministro de agua, gas, calefacción y electricidad.
El Anexo III, punto 7 incluye los sistemas utilizados para la evaluación del riesgo de migración irregular, el examen de solicitudes de visado y permisos de residencia, y la identificación de personas en el contexto de la migración.
Si uno o varios de sus sistemas de IA están clasificados como de alto riesgo, esto es lo que exige el reglamento:
Antes de su comercialización o puesta en servicio, el sistema debe ser objeto de una evaluación de conformidad que cubra:
Las empresas que utilizan sistemas de IA de alto riesgo (responsables del despliegue) tienen obligaciones propias:
El primer paso hacia el cumplimiento es saber exactamente qué sistemas de IA utiliza y en qué categoría se encuentran.
Liste todas las herramientas que incorporan IA en su organización. No olvide:
Para cada herramienta identificada, determine:
Para cada sistema de alto riesgo, compare su situación actual con los requisitos de los Artículos 9 a 15 y del Artículo 26. Identifique las brechas y priorice las acciones correctivas.
Constituya un expediente de cumplimiento por sistema, incluyendo la clasificación, la documentación técnica, las evaluaciones realizadas y las medidas de control implementadas. Esta documentación estructurada será su referencia en caso de auditoría.
Para cada sistema de alto riesgo, las personas encargadas de la supervisión humana deben tener las competencias necesarias (Artículo 14). Esto se alinea con la obligación del Artículo 4 sobre competencia en IA, pero con un nivel de exigencia superior: estas personas deben comprender las capacidades y limitaciones específicas del sistema que supervisan.
Los modelos de IA de uso general (como GPT-4, Claude, Gemini) están sujetos a disposiciones específicas (Artículos 51 a 56). Cuando un modelo de uso general se integra en un sistema de IA clasificado como de alto riesgo, las obligaciones de alto riesgo se aplican al sistema en su conjunto — aunque el modelo subyacente sea, en sí mismo, una herramienta generalista.
Esto significa que utilizar ChatGPT para responder a candidatos en un proceso de selección puede transformar una herramienta “generalista” en un componente de un sistema de alto riesgo.
Ce que ça implique pour vous
La clasificación de sus sistemas de IA no es un ejercicio teórico — es la piedra angular de su cumplimiento con el AI Act. Si utiliza IA en reclutamiento, evaluación del rendimiento, scoring crediticio (como los sistemas de BBVA, Santander o CaixaBank) o ayuda al diagnóstico, probablemente está operando sistemas de alto riesgo. Cada sistema afectado exige una evaluación de conformidad, una documentación técnica, una supervisión humana efectiva y personal formado para asegurarla. Empiece por el inventario. Hoy.