El Reglamento de Inteligencia Artificial de la Unión Europea ha convertido la clasificación de sistemas de IA en una obligación jurídica de primer orden para cualquier empresa que desarrolle, importe, distribuya o utilice esta tecnología en su actividad. No se trata de una cuestión técnica menor que pueda delegarse al departamento de TI. Es una decisión con consecuencias directas sobre la exposición regulatoria de la organización, su responsabilidad frente a las autoridades competentes y la viabilidad comercial de sus productos y servicios. La dirección debe conocer el marco, los plazos y las implicaciones antes de que la norma comience a desplegar todos sus efectos.
La normativa europea de inteligencia artificial establece un sistema de clasificación basado en el riesgo que el sistema puede generar para las personas y para la sociedad. Este enfoque no es nuevo en el Derecho de la Unión Europea: la legislación de productos, la normativa de dispositivos médicos y la regulación financiera ya operaban con lógicas similares. Lo que sí es nuevo es la escala de aplicación y la transversalidad de la norma.
El régimen distingue cuatro niveles. El riesgo inaceptable agrupa los sistemas directamente prohibidos: aquellos que manipulan el comportamiento humano de forma subconsciente, que explotan vulnerabilidades de grupos específicos o que sirven para la puntuación social generalizada. Ninguna empresa puede desplegarlos en la Unión Europea.
El riesgo alto es la categoría que concentra las obligaciones más exigentes. Abarca sistemas que operan en sectores como la infraestructura crítica, la educación, el empleo, los servicios esenciales, la administración de justicia, la gestión migratoria y determinados usos en materia de seguridad. Un sistema de selección de personal automatizada, un motor de scoring crediticio o una herramienta de diagnóstico médico asistido pueden quedar en esta categoría. Para estos sistemas, la norma exige, entre otras cosas, evaluaciones de conformidad, registros técnicos detallados, sistemas de supervisión humana y, en muchos casos, registro previo en una base de datos específica de la Unión Europea.
El riesgo limitado se aplica, principalmente, a sistemas que interactúan con personas y generan contenido que podría confundirse con comunicación humana. Aquí se sitúan los chatbots y los sistemas generadores de contenido sintético. Las obligaciones son menos gravosas: esencialmente, transparencia e identificación ante el usuario.
El riesgo mínimo engloba la mayoría de los sistemas de IA actualmente en el mercado. Filtros de correo, herramientas de recomendación de contenido, sistemas de optimización logística. Para estos, la normativa no impone obligaciones adicionales, aunque las empresas pueden adherirse voluntariamente a códigos de conducta.
¿Dónde encaja el sistema que su empresa utiliza o desarrolla? Esa es la pregunta que todo responsable de cumplimiento debe plantearse con rigor antes de que los plazos de adaptación venzan.
La clasificación no es un trámite automático. Requiere un análisis funcional y contextual del sistema que va más allá de la etiqueta que le haya puesto el proveedor. En nuestra práctica hemos observado que muchas empresas reciben un sistema como "herramienta de análisis de datos" y no identifican que, en su contexto de uso específico, ese sistema podría quedar sometido a las obligaciones del riesgo alto.
El proceso de clasificación sigue una lógica de tres pasos esenciales.
Primer paso: identificar la función real del sistema. No basta con el nombre comercial ni con la descripción del proveedor. Es necesario determinar qué hace el sistema en la práctica: qué inputs procesa, qué outputs genera y qué decisión, recomendación o acción facilita. Un sistema de "análisis de rendimiento de empleados" que genera puntuaciones comparativas y alimenta decisiones de promoción o despido tiene una función de gestión de recursos humanos con consecuencias directas sobre personas físicas. Eso lo acerca a la categoría de riesgo alto.
Segundo paso: analizar el contexto de despliegue. El mismo sistema puede tener clasificaciones distintas según quién lo usa y en qué entorno. Un modelo de reconocimiento de imágenes utilizado para optimizar una cadena de montaje industrial tiene un perfil de riesgo diferente al del mismo modelo empleado para identificar personas en un espacio público. La normativa atiende al contexto real, no al técnicamente posible.
Tercer paso: contrastar con los anexos regulatorios. La norma incluye listados de sectores y tipos de uso que determinan la clasificación de riesgo alto. La empresa debe revisar si su sistema encaja en alguno de esos supuestos. Este contraste debe hacerse con la redacción final de la norma y sus desarrollos posteriores, porque la lista puede actualizarse.
Un error muy frecuente es asumir que la clasificación la hace el proveedor del sistema. La normativa distribuye responsabilidades entre proveedores y desplegadores (en terminología de la norma, entre quienes desarrollan el sistema y quienes lo ponen en práctica). Una empresa que adquiere un sistema de IA para integrarlo en su proceso de contratación de personal asume obligaciones propias, independientemente de lo que diga el contrato con el proveedor.
Conocer la categoría de riesgo es el punto de partida. Las obligaciones que se derivan de esa clasificación son el verdadero objeto del programa de cumplimiento. Conviene tener una visión ordenada de qué exige cada nivel.
Para los sistemas de riesgo alto, el régimen de obligaciones es sustancial. La empresa debe contar con un sistema de gestión de riesgos documentado y actualizado durante todo el ciclo de vida del sistema. Debe garantizar la calidad y representatividad de los datos utilizados para el entrenamiento y la operación. Debe elaborar y mantener documentación técnica detallada. Debe implementar mecanismos de supervisión humana efectiva. Y debe registrar automáticamente los eventos relevantes (trazabilidad). En muchos casos, antes de poner el sistema en el mercado o en servicio, será necesario superar una evaluación de conformidad, que puede ser una autoevaluación o requerir la intervención de un organismo notificado, según el sector.
Además, los sistemas de riesgo alto que operen en sectores como la seguridad, los dispositivos médicos o determinadas infraestructuras críticas deberán registrarse en la base de datos de la Unión Europea antes de su puesta en servicio. Este registro no es un formalismo menor: es una condición de legalidad del despliegue.
Para los sistemas de riesgo limitado, la obligación central es la transparencia. El usuario debe saber que está interactuando con un sistema de IA. En el caso de sistemas generadores de contenido sintético (deepfakes, texto generado), la norma exige que el contenido sea identificable como tal. Estas obligaciones son gestionables, pero requieren una revisión de los flujos de interacción con usuarios y de las políticas de información.
Para los sistemas de riesgo mínimo, no hay obligaciones adicionales bajo la norma de IA. Sin embargo, eso no significa que el sistema quede fuera de todo marco regulatorio. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) siguen siendo aplicables si el sistema procesa datos personales. Y el marco de compliance penal puede exigir controles adicionales si el sistema interviene en procesos con riesgo de irregularidades.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la intersección entre la normativa de IA y el RGPD ha resultado ser el punto de mayor complejidad. No son marcos paralelos: son marcos que se superponen y que deben gestionarse de forma coordinada.
La normativa europea de inteligencia artificial establece un calendario de aplicación escalonado. Los plazos no son uniformes para todos los tipos de sistemas ni para todos los operadores. Esto tiene una implicación práctica importante: la urgencia de actuar no es la misma para todas las empresas, pero tampoco puede postergarse indefinidamente la evaluación de la propia posición.
Las prohibiciones relativas a los sistemas de riesgo inaceptable entraron en vigor en una fase temprana del calendario. Si su empresa opera o ha operado algún sistema que pudiera encuadrarse en esa categoría, la actuación es inmediata y no admite dilación.
Para los sistemas de riesgo alto, los plazos de adaptación son más extensos, pero la carga de trabajo que implica el cumplimiento es considerable. Documentar el sistema, establecer el sistema de gestión de riesgos, implementar la supervisión humana y, en su caso, obtener la conformidad no son tareas que puedan ejecutarse en semanas. Las empresas que posterguen el inicio del proceso hasta los meses previos al vencimiento del plazo se enfrentarán a una situación de presión que eleva el coste y reduce la calidad del cumplimiento.
Tres decisiones son especialmente críticas para la dirección. La primera es el inventario de sistemas de IA: identificar todos los sistemas que la empresa usa, desarrolla o distribuye y que podrían quedar bajo el ámbito de la norma. Sin un inventario completo, no hay clasificación posible. La segunda es la asignación de roles regulatorios: determinar si la empresa actúa como proveedor, desplegador, importador o distribuidor respecto de cada sistema. Cada rol conlleva obligaciones distintas. La tercera es la integración con otros marcos de cumplimiento: la normativa de IA no opera en el vacío. Su aplicación debe coordinarse con el RGPD, con el programa de compliance penal y, en sectores regulados, con la normativa sectorial específica.
¿Tiene su empresa un mapa actualizado de todos los sistemas de IA que utiliza? En nuestra experiencia asesorando a empresas en España, la respuesta habitual es negativa. Y esa ausencia de visibilidad es, en sí misma, un riesgo regulatorio.
La normativa de inteligencia artificial no sustituye al marco de protección de datos: lo complementa y, en muchos casos, lo intensifica. Un sistema de IA que procesa datos personales debe cumplir simultáneamente con los requisitos de la normativa de IA y con los del Reglamento General de Protección de Datos y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Esto incluye la base jurídica del tratamiento, el principio de minimización de datos, la limitación de la finalidad y los derechos de los interesados.
La Agencia Española de Protección de Datos (AEPD) ha asumido un papel activo en la supervisión de los sistemas de IA que procesan datos personales, anticipándose incluso a la plena aplicación de la norma de IA. Sus guías sobre inteligencia artificial y protección de datos son un referente para las empresas que buscan alinear ambos marcos antes de que la presión regulatoria se materialice en expedientes sancionadores.
Por otro lado, muchos sistemas de IA intervienen en procesos donde el riesgo de incumplimiento normativo o de conductas irregulares es relevante. Un sistema de decisión crediticia, un motor de fijación de precios o una herramienta de selección de proveedores pueden facilitar, sin intención, prácticas que activen la responsabilidad penal de la persona jurídica. El programa de compliance penal de la empresa debe prever mecanismos de control sobre estos sistemas, incluyendo la revisión periódica de sus outputs y la existencia de un canal de denuncias accesible para quienes detecten anomalías en su funcionamiento.
La notificación de brechas de seguridad a la AEPD en el plazo de 72 horas es una obligación que no se suspende porque el incidente haya sido generado o agravado por un sistema de IA. Al contrario: la intervención de un sistema de IA en un incidente de seguridad puede añadir complejidad al análisis de las causas y a la determinación de las medidas correctoras. El protocolo de gestión de brechas debe contemplar expresamente esta posibilidad.
El error más extendido que encontramos en las empresas que se acercan a nosotros es creer que con una cláusula de privacidad en la web ya se cumple con el RGPD. Esa creencia es equivocada. El cumplimiento real exige el registro de actividades de tratamiento, la evaluación de impacto cuando el riesgo lo requiere, el protocolo de gestión de brechas y los procedimientos para atender los derechos de los interesados en plazo. Cuando a ese escenario se añade un sistema de IA, la complejidad se multiplica y la necesidad de asesoramiento estructurado se vuelve urgente.
Las consecuencias de una clasificación incorrecta o de la ausencia de clasificación son múltiples y se materializan en planos distintos. No se reducen a la sanción administrativa, aunque esta puede ser muy relevante.
En el plano regulatorio, la normativa de IA establece un régimen sancionador escalonado que guarda proporcionalidad con la gravedad del incumplimiento y con la categoría del sistema afectado. Las infracciones más graves, como el despliegue de sistemas prohibidos o el incumplimiento de obligaciones clave en sistemas de riesgo alto, conllevan sanciones que la norma fija en función del volumen de negocio de la empresa. Las cifras son comparables a las del RGPD en su tramo máximo: un factor de disuasión que los responsables de cumplimiento no pueden ignorar.
En el plano comercial, la ausencia de conformidad puede impedir la comercialización del sistema en la Unión Europea. Para una empresa tecnológica que ha invertido en el desarrollo de un producto de IA, esa consecuencia puede ser determinante para la viabilidad del negocio. La marcación CE, cuando es exigible, no es un trámite opcional.
En el plano reputacional, los expedientes de las autoridades de supervisión son públicos en muchos casos. La asociación del nombre de una empresa con un incumplimiento en materia de IA puede tener efectos sobre su posición ante clientes, inversores y socios comerciales que van más allá del importe de la sanción.
En el plano de la responsabilidad civil, la normativa europea refuerza las posibilidades de que los afectados por sistemas de IA defectuosos o ilegalmente desplegados puedan reclamar daños. Las directivas de responsabilidad en preparación en el ámbito de la Unión Europea apuntan en esa dirección. Una empresa que no puede acreditar que clasificó correctamente su sistema y adoptó las medidas exigidas se encontrará en una posición de debilidad procesal frente a esas reclamaciones.
El registro de actividades de tratamiento, el protocolo de brechas y el modelo de compliance, aplicados de forma integrada con la clasificación del sistema de IA, reducen de forma sustancial tanto la probabilidad de sanción como su cuantía en caso de que se produzca. La acreditación documental del proceso de clasificación es, en sí misma, un elemento de defensa.
La clasificación de un sistema de IA no es un acto puntual. Es un proceso que debe iniciarse antes del despliegue y mantenerse durante todo el ciclo de vida del sistema. Cuando se inicia de forma ordenada y con el apoyo adecuado, el coste es significativamente inferior al de una adaptación reactiva forzada por un requerimiento de la autoridad o por un incidente.
El proceso que recomendamos en nuestra firma sigue una secuencia de fases que permite a la dirección tomar decisiones informadas en cada etapa.
Fase 1 – Inventario y mapeo. Identificar todos los sistemas de IA en uso, desarrollo o distribución en la organización. Documentar para cada uno su función, los datos que procesa, los usuarios afectados y el rol de la empresa (proveedor, desplegador, importador o distribuidor). Esta fase no requiere conocimientos técnicos profundos, pero sí un método estructurado y la implicación de las áreas de TI, operaciones, recursos humanos y finanzas.
Fase 2 – Análisis de clasificación. Aplicar la metodología regulatoria a cada sistema inventariado. Contrastar con los listados de sistemas de riesgo alto e identificar posibles supuestos de sistemas prohibidos. Documentar el razonamiento de clasificación, no solo el resultado. Esta documentación será clave si la autoridad supervisora cuestiona la clasificación adoptada.
Fase 3 – Evaluación de brechas. Comparar el estado actual de cumplimiento con las obligaciones que corresponden a la categoría de riesgo asignada. Identificar las brechas: qué documentación falta, qué controles no están implementados, qué procesos necesitan ser diseñados o modificados.
Fase 4 – Plan de remediación. Diseñar un programa de trabajo con responsables, plazos y recursos para cerrar las brechas identificadas. Priorizar las acciones según el riesgo que representa cada brecha y el calendario regulatorio aplicable.
Fase 5 – Implementación y documentación. Ejecutar el plan. Documentar cada medida implementada de forma que sea acreditable ante la autoridad supervisora. En esta fase, la intersección con el RGPD, el programa de compliance penal y el canal de denuncias debe resolverse de forma coordinada, no en silos.
Fase 6 – Mantenimiento y revisión periódica. El cumplimiento en materia de IA no es estático. Los sistemas evolucionan, los contextos de uso cambian y la normativa se desarrolla mediante actos delegados y guías de las autoridades. El programa de cumplimiento debe incluir revisiones periódicas y un mecanismo de alerta ante cambios que puedan alterar la clasificación de un sistema.
Las empresas que inician este proceso con suficiente antelación pueden diseñar soluciones a medida, negocias con sus proveedores los compromisos contractuales necesarios y formar a sus equipos de forma ordenada. Las que esperan al último momento se encuentran con que las opciones se reducen, los costes se disparan y la calidad del cumplimiento se resiente. El asesoramiento temprano es, en este contexto, una decisión de gestión de riesgos, no solo un gasto jurídico.
¿Evalúa cómo posicionar su empresa ante la normativa de IA? Le ayudamos a comparar la vía adecuada para su situación: escriba a info@velardevidal.com.
A modo de referencia operativa, reproducimos los elementos de documentación que un programa de cumplimiento en materia de IA debe poder acreditar ante la autoridad supervisora.
Ninguno de estos elementos es prescindible en un programa robusto. La ausencia de cualquiera de ellos es, en un eventual procedimiento sancionador, un argumento a favor de la autoridad.
La clasificación de sistemas de IA se integra de forma natural en el programa general de protección de datos y compliance de la empresa. Las organizaciones del sector de la salud y las empresas farmacéuticas enfrentan particularidades adicionales que desarrollamos en nuestro análisis sobre clasificación de sistemas de IA en el sector sanitario y farmacéutico. Para las empresas tecnológicas y de software que gestionan un canal de denuncias, encontrará respuestas a las preguntas más frecuentes en nuestro dosier de preguntas sobre el canal de denuncias en tecnología y software.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.