La primera pregunta sobre la ley europea de inteligencia artificial no es jurídica ni técnica. Es de inventario: ¿en qué casilla cae cada uno de sus sistemas? De esa respuesta depende todo lo demás — qué le exige la ley y cuánto le cuesta no hacerlo. Y la mayoría de las empresas no puede responderla, sencillamente porque no tiene la lista de lo que su IA hace.

Vamos a quitarle el misterio, sin tecnicismos.

La ley ordena la IA por riesgo, no por tecnología

El Reglamento europeo de IA (Fuente: Reglamento (UE) 2024/1689, EUR-Lex, 2024) no mira si usa un modelo grande o pequeño. Mira para qué lo usa. Y marca tres grupos con obligaciones — el resto, la mayoría de los sistemas, queda sin requisitos específicos:

  • Prohibidos — usos vedados (por ejemplo, puntuar socialmente a las personas). Si su caso encaja aquí, no hay cumplimiento posible: no se puede usar.
  • De alto riesgo — usos sensibles que sí se permiten, pero con obligaciones serias. Aquí está el grueso del trabajo.
  • Con obligaciones de transparencia — por ejemplo, avisar de que quien le escribe es una IA. Aplica con independencia de lo anterior.

Cómo se decide si lo suyo es «de alto riesgo»

Hay dos vías [Fuente: Reglamento (UE) 2024/1689, art. 6 y Anexo III, EUR-Lex, 2024]. La que afecta a la mayoría es la segunda: que el uso del sistema figure en una lista (el Anexo III) de ámbitos sensibles — entre ellos empleo y gestión de trabajadores, acceso a servicios esenciales (incluido el crédito), infraestructuras críticas o educación. Si su IA decide o influye en algo de esa lista, probablemente es de alto riesgo.

La lista del Anexo III: las ocho categorías, con ejemplos

Estas son las ocho categorías de la lista, con el tipo de uso que cada una cubre (Fuente: Reglamento (UE) 2024/1689, Anexo III, EUR-Lex, 2024):

  1. Biometría — identificación biométrica remota, categorización por atributos sensibles y reconocimiento de emociones.
  2. Infraestructuras críticas — componentes de seguridad en la gestión del tráfico o del suministro de agua, gas, calefacción y electricidad.
  3. Educación y formación profesional — sistemas que deciden la admisión, evalúan resultados de aprendizaje o vigilan exámenes.
  4. Empleo y gestión de trabajadores — cribar currículos, seleccionar candidatos, decidir promociones o despidos, asignar tareas o evaluar el rendimiento. Es la categoría que alcanza a más empresas privadas: basta un filtro de IA en la contratación.
  5. Acceso a servicios esenciales — evaluar la solvencia o la puntuación crediticia de una persona, tarificar seguros de vida y salud, clasificar llamadas de emergencia o decidir el acceso a prestaciones públicas.
  6. Garantía del cumplimiento del Derecho — usos policiales.
  7. Migración, asilo y control fronterizo.
  8. Administración de justicia y procesos democráticos.

Las tres últimas atañen sobre todo al sector público. Para una empresa privada, las casillas que conviene mirar primero son la 4 y la 5: si su IA participa en decisiones sobre personas —contratar, evaluar, conceder crédito, tarificar un seguro—, probablemente está en la lista. Y estar en la lista tiene precio conocido: las multas por IA de alto riesgo llegan, con carácter general, hasta 15 000 000 EUR o el 3 % de la facturación mundial.

Hay una salida —la ley permite alegar que su caso concreto no plantea un riesgo importante—, pero viene con una trampa que conviene conocer.

La trampa: decir «no es de alto riesgo» también hay que demostrarlo

Aunque su sistema esté en la lista, puede quedar fuera del alto riesgo si encaja en ciertas excepciones (por ejemplo, que solo haga una tarea preparatoria). Pero la ley exige algo: debe documentar esa evaluación por escrito antes de poner el sistema en marcha, y enseñarla si la autoridad la pide [Fuente: Reglamento (UE) 2024/1689, art. 6.3 y 6.4, EUR-Lex, 2024]. Y hay un límite que no admite excepción: si su IA elabora perfiles de personas, siempre es de alto riesgo.

Dicho de otro modo: decir «lo mío no aplica» no le ahorra el trabajo de gobernanza. Se lo cambia de forma — en vez de cumplir las obligaciones de alto riesgo, tiene que poder justificar, con un documento, por qué no le aplican. Sin un inventario de sus sistemas y de su finalidad, esa justificación no existe.

Por eso el problema es de gobernanza, no de modelo

Responder «¿me aplica?» con solvencia exige tres cosas que no tienen que ver con la tecnología:

  1. La lista de sus sistemas de IA (los que hay, no los que cree que hay).
  2. La finalidad de cada uno: qué decide, sobre quién, con qué datos.
  3. La trazabilidad para sostener, ante quien pregunte, que su clasificación es correcta.

Eso es exactamente un ejercicio de gobernanza de datos — el mismo que hace que la IA opere de verdad su negocio. No son dos proyectos: la base que pone su IA a funcionar es la que le deja clasificarla y defenderla.

Qué hacer con esto

Si no tiene aún esa lista, ese es el primer paso, y no es grande: empieza por un departamento. En nuestro método, el inventario y la clasificación de riesgo son lo primero que queda por escrito — los primeros quince días. No para tranquilizarle, sino para que usted, y no un tercero, sepa dónde está parado. Con la casilla decidida, el resto es una secuencia ordenada: la recorremos en Cómo cumplir el reglamento de IA, paso a paso.

Las fechas de aplicación del régimen de alto riesgo están sujetas a un posible diferimiento en discusión a nivel europeo; conviene confirmarlas antes de tomar decisiones con calendario.