Revisión normativa: .
Los niveles de riesgo del AI Act casi siempre se explican con una pirámide. Sirve para orientarte, pero no para clasificar tu herramienta. Para eso tienes que mirar para qué se usa, cómo funciona y qué efecto tiene sobre las personas.
Que un producto lleve IA no te dice qué reglas le tocan. Que una persona revise el último paso, tampoco.
En esta guía vas a ver cómo distinguir lo prohibido, lo que es de alto riesgo y lo que solo te obliga a ser transparente. Con ejemplos de oficina: el anuncio de empleo, el filtro de currículos y el chatbot de la web.
Los niveles de riesgo del AI Act: qué dice de verdad la pirámide
Lo habitual es hablar de cuatro niveles: riesgo inaceptable, alto, limitado y mínimo.
Está bien como resumen. Pero no es un formulario de cuatro casillas que sustituya al Reglamento europeo. Para decidir, tienes que ir a los casos concretos que describe el texto:
- Prácticas prohibidas: mira si se cumplen las condiciones del artículo 5.
- Alto riesgo: revisa el artículo 6 y los anexos I y III.
- Transparencia: revisa lo que pide el artículo 50 sobre el sistema y sobre el contenido que genera.
- El resto de usos: se aplican las reglas generales y lo que digan otras normas.
Ojo con un error típico. La transparencia no es una casilla que excluya a las demás.
Una misma herramienta puede necesitar un aviso a los usuarios y, además, ser de alto riesgo por lo que hace. Y no mezcles los niveles de riesgo de los sistemas con las reglas para los modelos de IA de uso general, incluidas las de los modelos con riesgo sistémico. Son cosas distintas.
Qué usos de IA pueden estar prohibidos
El artículo 5 tiene una lista de prácticas prohibidas, cada una con sus condiciones y sus excepciones. No es una lista de palabras malditas.
Un ejemplo: inferir las emociones de las personas en el trabajo o en clase, salvo ciertos casos médicos o de seguridad. ¿Significa eso que no puedes analizar una encuesta de clima? No necesariamente. No todo análisis de opinión es inferir emociones en el sentido de la ley. Mira la definición, qué datos usa la herramienta y qué saca realmente de ellos.
Otro ejemplo: crear determinadas bases de datos de reconocimiento facial recopilando imágenes de internet o de cámaras de videovigilancia de forma indiscriminada. Lee el caso completo antes de concluir que cualquier uso de imágenes está prohibido.
Hay novedades. El Ómnibus digital sobre IA añadió prohibiciones sobre sistemas para generar ciertos contenidos sexuales o íntimos no consentidos y material de abuso sexual infantil. Se aplican desde el 2 de diciembre de 2026, según el artículo 113 modificado. No las confundas con las prohibiciones originales, que se aplican desde febrero de 2025.
Un consejo práctico: si el proveedor describe una función con palabras vagas, pídele un ejemplo concreto. «Mide el compromiso de la plantilla» puede querer decir contar quién asiste, analizar una encuesta o deducir cómo se siente cada persona.
Son tres cosas muy distintas.
Cómo saber si tu herramienta de IA es de alto riesgo
El artículo 6 tiene dos vías para llegar al alto riesgo.
La primera es para sistemas que son productos, o componentes de seguridad de productos, regulados por las normas del anexo I, cuando ese producto tiene que pasar una evaluación de conformidad por un tercero. El texto actualizado también aclara qué funciones que no tienen que ver con la seguridad quedan fuera de «componente de seguridad», y cuándo un fallo puede poner en peligro la salud o la seguridad.
La segunda vía es el anexo III. Recoge usos concretos en ámbitos como el empleo, la educación y ciertos servicios esenciales.
Aquí está la clave: «usamos IA en recursos humanos» no es una clasificación. Tienes que saber qué hace exactamente. ¿Redacta un anuncio? ¿Filtra candidaturas? ¿Evalúa perfiles? ¿Ayuda a decidir sobre trabajadores? Cada respuesta te lleva a un sitio distinto.
Cuándo se puede librar: la excepción del artículo 6.3
Un sistema del anexo III puede quedar fuera del alto riesgo si no supone un riesgo importante para la salud, la seguridad o los derechos fundamentales. Eso incluye los casos en los que no influye de forma sustancial en una decisión. Además, tiene que cumplir alguna de las condiciones de la lista, por ejemplo, hacer una tarea de procedimiento limitada o ciertas tareas preparatorias.
Que el proveedor diga que su herramienta es «solo preparatoria» no basta.
Imagina un filtro de CV que ordena candidatos y esconde los últimos de la lista. Eso puede decidir, en la práctica, quién llega a la entrevista. Para revisarlo, tienes que describir qué ve la persona de RR. HH., qué opciones se quedan fuera y cómo puede corregir lo que recomienda la herramienta.
Y una regla que no tiene vuelta: si un sistema del anexo III hace perfiles de personas, la excepción no lo saca del alto riesgo. Cuando un proveedor considera que su sistema del anexo III se acoge a la excepción, el artículo 6.4 le obliga a documentar su evaluación y le remite al registro del artículo 49.2.
Qué pasa después de clasificarlo
Clasificar es el principio, no el final. Clasificar el sistema no demuestra que ya cumplas todo lo que toca.
El proveedor (quien desarrolla la herramienta) tiene que revisar los requisitos y obligaciones que le correspondan: gestión de riesgos, documentación, registros, supervisión y conformidad, entre otros. La empresa que la usa (el «responsable del despliegue», en la ley) tiene que revisar sus propias obligaciones, entre ellas las del artículo 26 cuando le apliquen.
Cuándo tienes que avisar de que hay IA
¿La gente habla directamente con una IA? ¿La herramienta genera o retoca contenidos? Entonces toca mirar el artículo 50.
Ese artículo separa tres cosas: informar a las personas, marcar técnicamente el contenido y avisar de que ciertos contenidos están hechos con IA.
El chatbot que responde dudas en tu web puede obligarte a revisar cómo informas de que se está hablando con una IA. Si el equipo de marketing usa una herramienta para generar un vídeo que imita de forma realista a una persona, lo que importa es el tipo de contenido y la obligación de avisar. Las condiciones y excepciones se revisan apartado por apartado. Poner un icono de IA no resuelve nada por sí solo.
Con los textos, fíjate en la finalidad. El artículo 50.4 habla de textos para informar al público sobre asuntos de interés público. Y prevé una excepción si hay revisión humana o control editorial y alguien asume la responsabilidad editorial. No lo extiendas a cada correo o párrafo que tu equipo escribe con ayuda de ChatGPT o Copilot.
Los niveles de riesgo del AI Act en tres ejemplos de oficina
Un asistente redacta la oferta de empleo
Alguien de RR. HH. decide las condiciones, pide un borrador a ChatGPT y lo revisa antes de publicarlo. Ese encargo, por sí solo, no evalúa a ningún candidato. Aun así, comprueba que el texto describe requisitos reales y que el proceso no añade nada más, como elegir a qué personas se les enseña el anuncio.
Una herramienta recomienda candidatos
El sistema lee currículos y ordena perfiles. Aquí la salida influye en quién accede a un empleo, así que toca revisar el anexo III y el artículo 6.
Haz estas preguntas. ¿Se descarta a quien saca una puntuación baja? ¿La persona que revisa sabe dónde falla la herramienta? ¿Qué datos usa? Si la herramienta hace perfiles de personas, mira la regla específica del artículo 6.3.
Un chatbot informa sobre un servicio
No es lo mismo contestar a qué hora abrís que evaluar solicitudes para decidir quién accede al servicio.
En el primer caso, revisa la transparencia y que la información sea correcta. En el segundo, además, comprueba la finalidad concreta y si encaja en el anexo III. Y si un día le añadís una función nueva, vuelve a analizarlo desde el principio.
Revisa el riesgo de tu caso
Antes de hacer el test, apunta tres cosas: quién usa la herramienta, qué hace con la respuesta y qué pasa si se equivoca. Si interviene en una decisión, anota también qué revisa la persona responsable y qué puede corregir.
Haz el test de la ley de IA para tener una primera orientación. Después, contrasta tu caso con el artículo y el anexo que toquen.
Test gratuito para empresas
¿Cumple tu empresa la ley de IA?
Marca qué herramientas de IA usa tu equipo y con qué datos, responde unas pocas preguntas y obtén una nota sobre 100 con los huecos frente a los artículos 4, 5 y 50 del AI Act y el RGPD. Con tu correo desbloqueas el detalle y un dossier en PDF.
Qué apuntar para poder justificar tu decisión
Apunta la finalidad, el proveedor, tu papel, a quién afecta, qué devuelve la herramienta y qué artículo has revisado. Añade por qué la has clasificado así y qué dudas quedan abiertas.
Guarda también la fecha y la versión de la herramienta. Una función nueva puede dejar viejo un análisis que era correcto.
¿Dos equipos no se ponen de acuerdo sobre el riesgo? Volved al proceso. Pedid un ejemplo de entrada, la salida y la decisión que viene después. Muchas veces la discusión se acaba al aclarar si la herramienta informa, recomienda o filtra.
Si afecta de verdad a personas y no salís de la duda, pide una revisión especializada antes de dar la clasificación por cerrada.
Los niveles de riesgo del AI Act sirven cuando los conviertes en preguntas sobre usos reales. Empieza por la finalidad y guarda lo que te ha llevado a la conclusión.
Forma a tu equipo y guarda la evidencia
El artículo 4 pide a las empresas que usan IA que tomen medidas para que su gente sepa usarla (la ley lo llama «alfabetización en IA»), adaptadas a quién la usa y para qué. Formar al equipo en las herramientas que usa cada día es la manera más directa de hacerlo y de poder demostrarlo después.
Growit School · formación para empresas
Formación en IA para equipos, bonificable por FUNDAE
Formamos a equipos en el uso responsable de ChatGPT, Claude, Gemini y Copilot: qué datos no compartir, cómo revisar un resultado y cuándo hay que avisar de que se usa IA. La plataforma registra quién se ha formado, cuándo y en qué.
La formación se puede bonificar con el crédito FUNDAE de tu empresa. Ninguna formación certifica por sí sola el cumplimiento: la responsabilidad es de la empresa, y la formación es una pieza necesaria.
Sigue explorando el AI Act
- Guía de la ley de inteligencia artificial
- Obligaciones de la ley de IA para empresas
- Cuándo se aplica el AI Act
Preguntas frecuentes
¿Cuáles son los niveles de riesgo del AI Act?
Para explicarlo se suele hablar de cuatro: riesgo inaceptable, alto, limitado y mínimo. Para clasificar de verdad, comprueba en el Reglamento los casos de prácticas prohibidas, alto riesgo y transparencia.
¿Toda IA en recursos humanos es de alto riesgo?
No, depende de para qué se use. El anexo III recoge ciertos usos en empleo, como evaluar candidatos. Pedir un borrador de texto interno no equivale, por sí solo, a evaluar personas.
¿Que una persona revise el resultado elimina el alto riesgo?
No, por sí solo no. Hay que comprobar la finalidad, las condiciones del artículo 6, si hay perfilado y cuánto influye de verdad la herramienta en el resultado.
¿Un chatbot es siempre de alto riesgo?
No, no por ser un chatbot. Depende de su finalidad y de las condiciones de la norma. Avisar de que se está hablando con una IA es otra obligación, que se analiza aparte.
¿Es lo mismo un modelo con riesgo sistémico que un sistema de alto riesgo?
No. El riesgo sistémico se aplica a ciertos modelos de IA de uso general; el alto riesgo de los sistemas se analiza con el artículo 6 y sus anexos.
¿Hay que volver a clasificar una herramienta si cambia el uso?
Sí, si cambia la finalidad, el funcionamiento o el efecto sobre las personas: comprueba si la clasificación y las obligaciones siguen valiendo y documenta esa revisión.
Guía elaborada por el equipo de Growit School, escuela de formación en inteligencia artificial para profesionales y empresas. Es información general y no sustituye el asesoramiento jurídico de tu caso.
