Ideas clave
- La clasificación depende de la finalidad prevista del sistema, no de la tecnología. Un chatbot no es de alto riesgo por defecto, pero el mismo modelo usado para filtrar candidatos sí lo es.
- Hay dos vías hacia el alto riesgo: la IA que es componente de seguridad de un producto del anexo I y la IA usada en una de las ocho áreas del anexo III.
- Un sistema del anexo III que elabora perfiles de personas siempre es de alto riesgo. Otros pueden acogerse a la excepción del artículo 6.3, pero el proveedor debe documentar esa evaluación antes del lanzamiento y registrar igualmente el sistema.
- Las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 según el Reglamento (UE) 2026/1744, y desde el 2 de agosto de 2028 para la IA en productos regulados. Comprueba EUR-Lex antes de planificar.
- Las pymes no quedan exentas de la clasificación. Sus multas se limitan al menor entre el importe fijo y el porcentaje del volumen de negocio (artículo 99).
¿Cómo saber si tu sistema de IA es de alto riesgo?
Hazte dos preguntas. Primera, ¿el sistema es un componente de seguridad de un producto cubierto por las normas de la UE del anexo I, o es ese producto, y ese producto exige una evaluación de conformidad por un tercero? Segunda, ¿sirve a un fin del anexo III? Si la respuesta a alguna es sí, el sistema es de alto riesgo (artículo 6.1 y 6.2), salvo que se aplique al sistema del anexo III la excepción del artículo 6.3. Si ambas respuestas son no, el sistema no es de alto riesgo, pero pueden aplicarse la transparencia del artículo 50 y el RGPD.
La mayoría del software empresarial queda fuera de ambas vías. Un chatbot de atención, un transcriptor de reuniones o un buscador de documentos no suele figurar en el anexo III. Decide el uso, así que el mismo modelo de lenguaje puede ser de bajo riesgo en un producto y de alto riesgo en otro. Desde el Reglamento (UE) 2026/1744, la IA usada solo con fines ajenos a la seguridad, como la asistencia al usuario, la optimización del rendimiento o la comodidad, no cuenta como componente de seguridad, salvo que su fallo ponga en peligro la salud o la seguridad (artículo 6.1 bis y 6.1 ter).
Las ocho áreas del anexo III en términos sencillos
| Área | Usos cubiertos, en resumen |
|---|---|
| 1. Biometría | Identificación biométrica remota, categorización biométrica por rasgos sensibles y reconocimiento de emociones, cuando el uso no está ya prohibido. |
| 2. Infraestructuras críticas | Componentes de seguridad en infraestructuras digitales, tráfico rodado y suministro de agua, gas, calefacción y electricidad. |
| 3. Educación y formación | Decisiones de admisión, evaluación de resultados de aprendizaje, decidir el nivel de educación al que se accede y detectar trampas en exámenes. |
| 4. Empleo y gestión de trabajadores | Contratación y selección (anuncios dirigidos, filtrado de solicitudes, evaluación de candidatos), decisiones de ascenso o despido, asignación de tareas y supervisión del rendimiento. |
| 5. Servicios esenciales | Elegibilidad para prestaciones públicas, puntuación crediticia, evaluación de riesgos y tarificación de seguros de vida y salud, y triaje de llamadas de emergencia. |
| 6. Garantía del cumplimiento del Derecho | Sistemas usados por o para las autoridades policiales, como la evaluación del riesgo de personas y de pruebas. |
| 7. Migración, asilo y control fronterizo | Sistemas usados por o para las autoridades públicas en estos ámbitos, como la evaluación de riesgos y el examen de solicitudes. |
| 8. Justicia y procesos democráticos | Sistemas que ayudan a una autoridad judicial a investigar y aplicar el Derecho, y sistemas destinados a influir en el resultado de una elección o en el comportamiento de voto. |
Esta tabla resume el anexo. Cada punto tiene sus propias condiciones, así que lee la redacción exacta del punto que corresponda a tu sistema.
¿Puedes acogerte a la excepción del artículo 6.3?
Un sistema del anexo III no es de alto riesgo si no plantea un riesgo significativo para la salud, la seguridad o los derechos fundamentales, incluso por no influir materialmente en el resultado de la toma de decisiones, y se cumple al menos una condición. El sistema realiza una tarea procedimental limitada, mejora el resultado de una actividad humana ya completada, detecta patrones de decisión o desviaciones sin sustituir ni influir en la evaluación humana, o realiza una tarea preparatoria de una evaluación.
La excepción nunca se aplica si el sistema elabora perfiles de personas físicas. Las herramientas de selección de personal y de puntuación crediticia suelen elaborar perfiles, así que cuenta con que sigan siendo de alto riesgo. Si te acoges a la excepción, debes documentar la evaluación antes de comercializar el sistema y entregarla a las autoridades si la piden (artículo 6.4). También debes registrar el sistema en la base de datos de la UE (artículo 49.2). El Reglamento (UE) 2026/1744 simplificó la información que exige ese registro.
¿Qué cambia cuando tu sistema es de alto riesgo?
Los proveedores deben mantener un sistema de gestión de riesgos, gobernar la calidad de los datos, conservar documentación técnica y registros, diseñar para la supervisión humana, la exactitud y la solidez, y completar una evaluación de conformidad (artículos 9 a 17 y 43). Los responsables del despliegue deben seguir las instrucciones del proveedor, asignar a personas formadas la supervisión, conservar los registros que controlan e informar a los trabajadores y personas afectados (artículo 26). Nuestras guías de verificación de la Ley de IA recorren estos controles.
Te conviertes en proveedor si pones tu nombre a un sistema de alto riesgo, lo modificas sustancialmente o cambias su finalidad para que pase a ser de alto riesgo (artículo 25). Las pymes reciben un trato proporcionado, como el límite de multa más bajo del artículo 99, pero no una exención de la clasificación.
¿En qué punto están las directrices de la Comisión?
El 19 de mayo de 2026 la Comisión publicó un borrador de directrices sobre la clasificación de sistemas de alto riesgo según el artículo 6.5, con ejemplos prácticos de sistemas que deben y no deben considerarse de alto riesgo. Siguen siendo un borrador para la consulta de las partes interesadas y la Comisión indica que los ejemplos no son exhaustivos. Tómalas como indicación de su criterio y comprueba si hay versión definitiva.
Clasifica tu sistema en cuatro pasos
- Escribe la finalidad prevista en una frase: qué hace el sistema, a quién afecta y qué decisión orienta.
- Comprueba el anexo I. ¿El sistema forma parte de un producto regulado, como un juguete, un ascensor o un producto sanitario, que exige evaluación por un tercero?
- Contrasta las ocho áreas del anexo III con tu finalidad. Compara la redacción del punto, no solo el título.
- Si coincides con el anexo III, comprueba si se aplica el artículo 6.3 y si el sistema elabora perfiles de personas. Anota tu razonamiento y la fecha, decidas lo que decidas.
Envíanos una frase que describa tu sistema de IA, a quién afecta y qué decisión orienta. Respondemos en menos de 4 horas laborables y podemos revisar si es probable que sea de alto riesgo y qué trabajo de cumplimiento exigiría su desarrollo.
Revisa el nivel de riesgo de mi sistemaFAQ
¿Es un chatbot de alto riesgo según la Ley de IA?
No por defecto. Un chatbot de atención al cliente no figura en el anexo III, pero debe cumplir las normas de transparencia del artículo 50. El mismo chatbot pasa a ser de alto riesgo si realiza una función del anexo III, por ejemplo filtrar candidatos.
¿Mi sistema de IA es de alto riesgo si solo lo compro a un proveedor?
La clasificación sigue a la finalidad del sistema, lo haya creado quien lo haya creado. Si usas un sistema de alto riesgo, tienes obligaciones de responsable del despliegue según el artículo 26. Te conviertes en proveedor si pones tu nombre, lo modificas sustancialmente o cambias su finalidad a una de alto riesgo (artículo 25).
¿Cuándo empiezan a aplicarse las normas de alto riesgo?
Para los sistemas del anexo III, desde el 2 de diciembre de 2027, y para la IA en productos del anexo I, desde el 2 de agosto de 2028, según el Reglamento (UE) 2026/1744. Confirma las fechas en EUR-Lex antes de planificar.
¿Quién decide si mi sistema es de alto riesgo?
Lo decides tú, como proveedor, según la finalidad prevista. Las autoridades de vigilancia del mercado pueden revisar una clasificación que trate un sistema del anexo III como no de alto riesgo (artículo 80), así que documenta tu razonamiento.
Fuentes
- Reglamento (UE) 2024/1689 (Ley de IA), artículos 6, 9 a 17, 25, 26, 43, 49, 50, 80 y 99 y anexos I y III, Diario Oficial de la UE
- Reglamento (UE) 2026/1744 (Ómnibus Digital de IA), Diario Oficial de la UE, 24 de julio de 2026
- Comisión Europea, borrador de directrices sobre la clasificación de sistemas de IA de alto riesgo, 19 de mayo de 2026
Sobre el autor
Artem Synytskyi · Cofundador · IA
Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.