Niveles de riesgo del Reglamento de IA: guía práctica

El Reglamento de IA explicado: los niveles de riesgo y dónde encaja tu actividad

Si usas la inteligencia artificial en tu trabajo o la ofreces a tus clientes, seguramente te has preguntado si el Reglamento Europeo de IA te afecta y qué tienes que hacer para cumplirlo. La respuesta depende de cómo uses la IA y del efecto que pueda tener en las personas. No depende de lo avanzada que sea la tecnología.

Con este capítulo empezamos un nuevo bloque de la serie, dedicado al marco regulatorio. Verás cómo funciona el enfoque basado en riesgos del Reglamento, qué se exige en cada nivel y qué plazos se aplican tras la reforma de 2026. También tienes una tabla para situar tus casos de uso y una estrategia de diseño adaptada a profesionales y pymes.

Nota: esta entrada es divulgativa y no sustituye el asesoramiento jurídico. Si tienes un caso concreto, sobre todo si puede ser de alto riesgo, consulta con un especialista.

De «muévete rápido» a cumplir desde el diseño

Durante años, el desarrollo de software siguió el lema que se hizo famoso en Silicon Valley: «Muévete rápido y rompe cosas» (move fast and break things). En la Unión Europea, ese enfoque ya no sirve para la IA.

El Reglamento de Inteligencia Artificial de la UE (RIA, o AI Act) es el primer marco legal amplio que regula el desarrollo, la venta y el uso de sistemas de IA en todos los sectores. Su objetivo no es frenar la innovación. Busca que la IA sea fiable y que respete la salud, la seguridad y los derechos fundamentales de las personas.

Para un profesional o una pyme, entender el RIA no es solo una cuestión legal. También es una cuestión de diseño. Si conoces su estructura, puedes construir sistemas que cumplan desde el principio (compliance by design). Así evitas sanciones, que en los casos más graves llegan a 35 millones de euros o al 7 % de la facturación mundial anual. Además, la transparencia se convierte en un argumento de venta frente a competidores menos rigurosos.

La pirámide de riesgos del RIA

El RIA sigue un enfoque basado en el riesgo. Cuanto mayor es el posible daño de un uso concreto de la IA, más obligaciones tiene.

                    ▲
                   / \
                  / 1 \       RIESGO INACEPTABLE
                 /─────\      Prohibido
                /   2   \     ALTO RIESGO
               /─────────\    Requisitos estrictos
              /     3     \   RIESGO DE TRANSPARENCIA
             /─────────────\  Obligación de informar
            /       4       \ RIESGO MÍNIMO
           /─────────────────\ Sin requisitos específicos del

La clave: se regula el caso de uso, no la tecnología. El mismo modelo de lenguaje puede ser de riesgo mínimo si resume informes internos y de alto riesgo si filtra candidatos para un empleo.

Nivel 1: riesgo inaceptable (prácticas prohibidas)

Son usos de la IA que atentan contra la dignidad y los derechos fundamentales. Están prohibidos desde el 2 de febrero de 2025. Entre ellos están:

• Puntuación social (social scoring): evaluar o clasificar a las personas por su comportamiento social o sus rasgos personales cuando eso provoca un trato perjudicial injustificado o desproporcionado. La prohibición afecta tanto a organismos públicos como a empresas.
• Manipulación subliminal o engañosa que distorsione de forma importante el comportamiento de una persona y le cause, o pueda causarle, un daño significativo.
• Explotación de vulnerabilidades relacionadas con la edad, la discapacidad o la situación social o económica.
• Categorización biométrica para deducir datos sensibles como la raza, las opiniones políticas, la afiliación sindical, las creencias religiosas o la orientación sexual. Hay excepciones muy limitadas.
• Reconocimiento de emociones en el trabajo o en centros educativos, salvo por motivos médicos o de seguridad.

La lista también incluye la creación de bases de datos de reconocimiento facial mediante extracción masiva de imágenes de internet o de cámaras de vigilancia. También incluye predecir delitos solo a partir del perfil de una persona y ciertos usos de la identificación biométrica en tiempo real en espacios públicos.

Nivel 2: alto riesgo (requisitos estrictos)

Son sistemas que pueden influir de forma directa en la vida de las personas, en sus oportunidades o en sus derechos. No están prohibidos, pero exigen un cumplimiento normativo riguroso.

El anexo III del Reglamento recoge los ámbitos principales:

• Educación y formación profesional: admisión de alumnos, evaluación de resultados de aprendizaje y vigilancia de conductas durante los exámenes.
• Empleo y recursos humanos: selección de personal, filtrado de currículums, evaluación del desempeño, decisiones de promoción o despido y asignación de tareas.
• Servicios esenciales y crédito: evaluación de la solvencia, cálculo de riesgos y precios en seguros de vida y salud, acceso a prestaciones públicas y clasificación de llamadas de emergencia.
• Otros ámbitos sensibles: biometría, infraestructuras críticas (tráfico, agua, gas, electricidad), aplicación de la ley, migración y control de fronteras, administración de justicia y procesos democráticos.

Qué exige el alto riesgo:

• Un sistema de gestión de riesgos.
• Gobernanza y calidad de los datos.
• Documentación técnica detallada.
• Registro automático de eventos (logs) para la trazabilidad.
• Información clara para quien usa el sistema.
• Supervisión humana efectiva.
• Precisión, solidez y ciberseguridad.

Nivel 3: riesgo de transparencia

Aquí están los sistemas que interactúan con personas o que generan contenido. El riesgo principal es que alguien se confunda o sea engañado. Las obligaciones se aplican desde el 2 de agosto de 2026:

• Avisar de que se está hablando con una IA: un chatbot o un asistente de atención al cliente debe informar de que no es una persona, salvo que resulte evidente.
• Marcar el contenido generado: los proveedores de herramientas que generan texto, imágenes, audio o vídeo deben marcarlo en un formato legible por máquina. Por ejemplo, con metadatos o marcas de agua digitales. Los sistemas comercializados antes del 2 de agosto de 2026 tienen de plazo hasta el 2 de diciembre de 2026.
• Avisar de las ultrafalsificaciones (deepfakes): quien publique imágenes, audios o vídeos manipulados que parezcan reales debe indicarlo. En obras claramente artísticas, satíricas o de ficción, el aviso puede adaptarse para no estropear la obra, pero no desaparece.
• Avisar en textos de interés público: si publicas textos generados con IA para informar al público sobre asuntos de interés general, debes indicarlo, salvo que una persona los haya revisado y asuma la responsabilidad editorial.

Nivel 4: riesgo mínimo

Aquí encaja la gran mayoría de los usos empresariales y profesionales. Por ejemplo:

• Filtros de correo no deseado.
• Recomendaciones de productos en una tienda en línea.
• Agentes que resumen documentos para uso interno.
• Traducción de borradores.
• Automatización de tareas administrativas que no afectan a derechos de terceros.

Estos usos no tienen requisitos específicos del RIA, pero sí deben cumplir el resto de normas, sobre todo el Reglamento General de Protección de Datos (RGPD). Además, el RIA promueve la alfabetización en IA, es decir, que las personas que usan estos sistemas sepan cómo funcionan y qué riesgos tienen. Revisa cómo se aplica ese deber en su versión actual.

Qué plazos se aplican tras la reforma de 2026

El RIA entró en vigor en 2024, pero sus obligaciones se aplican de forma escalonada. En 2026, la UE aprobó una reforma llamada Ómnibus Digital sobre IA, que retrasa sobre todo las obligaciones de alto riesgo. Se publicó como Reglamento (UE) 2026/1744 en julio de 2026.

Obligación

Fecha de aplicación

Desde el 2 de febrero de 2025

Obligaciones de transparencia (art. 50)

Desde el 2 de agosto de 2026

Marcado de contenido en sistemas ya comercializados

Hasta el 2 de diciembre de 2026

Alto riesgo del anexo III (empleo, educación, crédito…)

Desde el 2 de diciembre de 2027

Alto riesgo en productos regulados (anexo I)

Desde el 2 de agosto de 2028

Un aviso importante: el aplazamiento te da más tiempo, pero no elimina las obligaciones. Si diseñas ahora un sistema de selección de personal o de evaluación educativa, conviene que lo construyas ya pensando en esos requisitos. Además, el RGPD y las normas contra la discriminación se aplican desde hoy.

La estrategia: diseñar fuera del alto riesgo, cuando sea posible

Para muchos profesionales y pymes, cumplir los requisitos del alto riesgo exige recursos de auditoría y documentación que no tienen. Por eso suele ser mejor diseñar los flujos para que se queden en los niveles de transparencia o de riesgo mínimo, siempre que el caso de uso lo permita.

1. Usa la IA como apoyo, no como quien decide

En ámbitos como recursos humanos o educación, el sistema no debería tomar decisiones automáticas que afecten a las personas. Es mejor que haga tareas acotadas: ordenar documentación, preparar un borrador o detectar patrones para que una persona los revise.

El Reglamento prevé que un sistema de un ámbito sensible del anexo III pueda no considerarse de alto riesgo en ciertos casos:

• Si hace una tarea de procedimiento limitada.
• Si mejora el resultado de un trabajo que ya ha hecho una persona.
• Si detecta patrones sin sustituir la valoración humana.
• Si hace una tarea preparatoria.

Pero hay límites:

• Que una persona tome la decisión final no basta. Si el sistema clasifica o descarta candidatos, condiciona esa decisión y sigue siendo de alto riesgo.
• Si el sistema elabora perfiles de personas, se considera siempre de alto riesgo.
• Debes documentar tu análisis. Si concluyes que tu sistema no es de alto riesgo, tienes que justificarlo por escrito y, en su caso, registrarlo.

Es la misma lógica que vimos en el capítulo 4 sobre los niveles de autonomía: en los procesos de alto impacto, el sistema propone y la persona decide.

2. Sé transparente por defecto

Añade avisos claros en todas las interfaces que usen tus clientes o usuarios. Indica cuándo hablan con una IA y cuándo un contenido ha sido generado con IA. Cuesta poco, genera confianza y te prepara para cumplir las obligaciones que ya se aplican.

3. Haz un inventario de tus sistemas

Haz una lista de todos los usos de IA de tu actividad, tanto los que desarrollas como los que contratas. Clasifica cada uno en la pirámide y anota tu justificación. Todo lo demás parte de ese inventario.

Conclusión

El Reglamento de IA no trata igual a todos los sistemas. Pone el foco en el impacto de cada uso sobre las personas. La mayoría de las aplicaciones profesionales tienen un riesgo mínimo o de transparencia. El alto riesgo se concentra en ámbitos como el empleo, la educación o el crédito. Si conoces la pirámide, revisas los plazos y diseñas con supervisión humana real y transparencia desde el principio, puedes convertir el cumplimiento en una ventaja competitiva.

¿Quieres diseñar tus sistemas de IA con criterio y transparencia desde el principio? Visita libertadia.com y regístrate en la aplicación.