Clasificación de riesgo del AI Act: cómo clasificar tus sistemas de IA paso a paso

Los cuatro niveles

• Prohibido (Art. 5): prácticas que el Reglamento no permite, como la manipulación que causa daño o la puntuación social. Se aplican desde febrero de 2025.
• Alto riesgo (Art. 6 y Anexo III): sistemas que afectan a derechos o seguridad de las personas. Son los que más obligaciones tienen.
• Riesgo limitado (Art. 50): chatbots, contenido generado y deepfakes. La obligación principal es informar y etiquetar.
• Riesgo mínimo: el resto, como filtros de spam o recomendaciones sencillas. No hay obligaciones específicas, salvo las generales como la alfabetización en IA.

Las cuatro preguntas, en orden

1. ¿Está entre las prácticas prohibidas?

Revisa la lista del Art. 5: manipulación subliminal que cause daño, explotación de vulnerabilidades, puntuación social, categorización biométrica sensible, reconocimiento de emociones en el trabajo o la escuela, entre otras. Si encaja, no se puede usar en la UE.

2. ¿Está en el Anexo III, o es un componente de seguridad de un producto regulado?

El Anexo III agrupa usos como empleo y gestión de personal (selección de candidatos, evaluación del rendimiento), acceso a servicios esenciales (solvencia crediticia, seguros de vida y salud), educación, infraestructuras críticas, biometría, migración y justicia. También son de alto riesgo los sistemas que sean componente de seguridad de productos regulados (juguetes, máquinas, dispositivos médicos), con calendario propio.

Hay una salida: según el Art. 6(3), un sistema del Anexo III puede no considerarse de alto riesgo si no supone un riesgo significativo (por ejemplo, si solo hace una tarea limitada o preparatoria). Nunca se aplica si el sistema elabora perfiles de personas, y la conclusión hay que documentarla.

3. ¿Interactúa con personas o genera contenido?

Si es un chatbot, genera texto, imagen, audio o vídeo, o hace deepfakes, entra en las obligaciones de transparencia del Art. 50: avisar de que se habla con una IA y marcar el contenido generado.

4. ¿Qué papel tienes?

Las obligaciones cambian según seas proveedor (desarrollas el sistema o lo comercializas con tu nombre) o responsable del despliegue (lo usas en tu empresa). Una empresa que usa Copilot o ChatGPT Enterprise es normalmente responsable del despliegue. Si adaptas un sistema y lo ofreces con tu marca, puedes pasar a ser proveedor.

Errores habituales

• Clasificar por la tecnología y no por el uso. El mismo modelo puede ser de riesgo mínimo en un chat interno y de alto riesgo si filtra currículos.
• Olvidar la IA que ya usas. Los sistemas contratados a terceros y la IA que usan tus empleados sin avisar también cuentan; empieza por el inventario.
• No dejar constancia. Si concluyes que algo no es de alto riesgo, guarda el razonamiento y la fecha: es lo que te pedirán si alguien pregunta.
• Dar el resultado por definitivo. Revisa la clasificación cuando cambie el uso del sistema o el calendario normativo.

Qué hacer con el resultado

1. Anota el nivel, el papel y la justificación en tu inventario de sistemas de IA.
2. Para cada sistema de alto riesgo, abre su expediente: documentación, supervisión humana y registros.
3. Para los de riesgo limitado, prepara los avisos y el etiquetado.
4. Fija una fecha de revisión, por ejemplo cada seis meses.

Las fechas de aplicación del alto riesgo y de la transparencia se han movido con el Digital Omnibus; comprueba el calendario vigente en nuestro artículo del calendario y en el texto oficial.

Preguntas frecuentes

¿Cómo sé si soy proveedor o responsable del despliegue?

Si desarrollas el sistema o lo pones en el mercado con tu nombre, eres proveedor. Si lo usas bajo tu autoridad dentro de tu actividad profesional, eres responsable del despliegue. Puedes ser ambas cosas con sistemas distintos.

¿Un chatbot de atención al cliente es de alto riesgo?

Normalmente no: suele ser de riesgo limitado y exige avisar al usuario de que habla con una IA. Cambia si el chatbot toma decisiones que caen en el Anexo III, por ejemplo conceder o denegar un crédito.

¿Y los modelos de uso general como ChatGPT?

Los modelos de IA de uso general tienen obligaciones propias para sus proveedores. Tú, como empresa usuaria, clasificas el uso concreto que haces de ellos.

Contenido informativo, no asesoramiento jurídico. La regulación de la IA cambia con rapidez: comprueba siempre el texto oficial vigente antes de decidir. Información revisada a 15 de octubre de 2026.

Esto te da el método. Si prefieres el documento ya hecho: Checklist de Clasificación de Riesgo AI Act.