Clasificador de riesgo del Reglamento de IA (AI Act): ¿qué obligaciones tiene tu sistema?

Cinco niveles de riesgo, un reglamento que ya aplica.

El AI Act — Reglamento (UE) 2024/1689 — es la primera ley integral de inteligencia artificial del mundo. Entró en vigor el 1 de agosto de 2024, pero no se aplica de golpe: lo hace por fases, y cada fase trae obligaciones y sanciones distintas según lo que haga tu sistema y el papel que juegues respecto a él. La confusión más habitual entre pymes españolas no es no saber que existe el AI Act, sino no saber en qué nivel de riesgo cae su caso concreto — y esa clasificación es la que determina si hay que actuar ya, en unos meses, o en absoluto.

El Reglamento organiza los sistemas de IA en una pirámide de cuatro niveles. En la base, la mayoría de usos de IA (analítica interna, automatización de tareas, IA como copiloto de productividad) no generan obligaciones específicas más allá de la alfabetización en IA del art. 4: que quien opera o usa el sistema entienda sus capacidades y límites. Por encima, el riesgo limitado del art. 50 obliga a la transparencia: que quede claro cuándo se interactúa con un chatbot y que el contenido sintético — imágenes, audio, vídeo o texto generado o manipulado, incluidos los deepfakes — quede identificado como tal. Estas obligaciones se aplican desde el 2 de agosto de 2026. El Ómnibus digital sobre IA —publicado en el DOUE el 24 de julio de 2026— prevé un plazo hasta el 2 de diciembre de 2026 solo para que los proveedores de sistemas ya comercializados antes de esa fecha implementen el marcado técnico (art. 50.2); hasta su publicación, la fecha vinculante es el 2 de agosto de 2026.

Alto riesgo: las ocho áreas del Anexo III

El nivel de alto riesgo cubre sistemas que intervienen en decisiones con impacto real sobre las personas: biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, acceso a servicios esenciales (crédito, seguros, prestaciones sociales), actuación policial, migración y control fronterizo, y administración de justicia. A esto se suma el Anexo I: sistemas de IA que son un componente de seguridad de un producto ya regulado por otra normativa europea — maquinaria, juguetes, dispositivos médicos, ascensores, aviación, vehículos. Aquí es donde más se equivocan las pymes: una herramienta de selección de personal, un scoring de riesgo crediticio o un sistema de videovigilancia con analítica pueden caer en el Anexo III sin que nadie en la empresa lo haya etiquetado nunca como "IA de alto riesgo".

Y aquí está el dato que más cambia el cálculo de plazos, con un matiz que conviene no pasar por alto. A día de hoy, la fecha legalmente vigente para las obligaciones de alto riesgo del Anexo III es el 2 de diciembre de 2027: el art. 113 del Reglamento fue modificado por el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. El paquete de simplificación conocido como Ómnibus digital sobre IA aplazó esas obligaciones desde el 2 de agosto de 2026, y las del Anexo I (productos regulados) del 2 de agosto de 2027 al 2 de agosto de 2028. Ese aplazamiento ya es firme: se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27. Lo que en ningún caso se mueve es la aplicación general del Reglamento el 2 de agosto de 2026: ese día entran en vigor la transparencia del art. 50, la alfabetización en IA y la plena exigibilidad de las sanciones para prohibiciones, GPAI y transparencia. Confirma siempre la fecha vigente en la redacción actual del art. 113 antes de fijar tu plan.

Prácticas prohibidas y modelos GPAI

En el vértice de la pirámide están las ocho prácticas prohibidas del art. 5 — manipulación subliminal, explotación de vulnerabilidades, social scoring, predicción de delitos por perfilado, scraping masivo de rostros, reconocimiento de emociones en el trabajo o la educación, categorización biométrica de datos sensibles e identificación biométrica remota policial en tiempo real. Están prohibidas sin excepciones desde el 2 de febrero de 2025: no se legalizan ajustando el consentimiento, se retiran. Aparte de esta pirámide de riesgo por uso, el capítulo V regula a los proveedores de modelos de IA de propósito general (GPAI) — los modelos base que otros construyen sobre ellos — con obligaciones de documentación técnica, resumen de datos de entrenamiento y cumplimiento de derechos de autor exigibles desde el 2 de agosto de 2025.

En España, la autoridad de referencia es la Agencia Española de Supervisión de Inteligencia Artificial (AESIA, con sede en A Coruña, creada por el Real Decreto 729/2023), pero el marco legal que detalla su régimen sancionador nacional — el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, remitido al Congreso el 26 de mayo de 2026 — todavía está en tramitación parlamentaria. Esto no retrasa nada: al ser un Reglamento y no una Directiva, el AI Act y sus sanciones del art. 99 son de aplicación directa en toda la UE sin esperar a que cada país apruebe su ley de desarrollo, igual que ocurre con DORA en el sector financiero.

Si el test te sitúa en alto riesgo o prohibido, en el plan de 90 días para adecuar una pyme al Anexo III del AI Act tienes la hoja de ruta completa, y si prefieres un sistema de gestión certificable en lugar de un plan ad hoc, la ISO 42001 de gestión de la IA cubre gran parte de las mismas obligaciones documentales. Todo esto forma parte de nuestra área de cumplimiento normativo, donde tratamos también el ENS, la NIS2, DORA y el RGPD. Y si todavía no tienes claro si además te aplican esas normativas, la herramienta hermana ¿qué normativa me aplica? las cruza todas de una sola vez.