Reglamento de IA: los 4 niveles de riesgo y qué exige cada uno

El Reglamento (UE) 2024/1689, conocido como AI Act, no trata igual un chatbot de atención al cliente que un sistema que decide a quién contrata tu empresa: los clasifica en cuatro niveles de riesgo, y cada nivel trae obligaciones muy distintas — desde ninguna hasta la prohibición directa. En Evicron, estudio de IA y software a medida de Barcelona, es la primera pregunta que respondemos cuando una empresa nos pide ayuda con cumplimiento: no “¿cumplo o no?”, sino “¿en qué nivel cae cada sistema que uso?”. Esta guía explica los cuatro niveles con ejemplos concretos y cómo clasificar los tuyos.

Por qué esta clasificación importa más que “cumplir la ley” en abstracto

Muchas pymes abordan el Reglamento de IA como un único bloque de obligaciones que hay que cumplir entero. No funciona así: el marcado, el aviso al usuario, la evaluación de conformidad o la prohibición directa dependen de en qué categoría cae cada sistema concreto, no de la empresa en su conjunto. Una asesoría puede tener un chatbot en riesgo limitado (solo debe avisar de que es IA) y, al mismo tiempo, estar valorando una herramienta de scoring para preseleccionar candidatos que cae de lleno en riesgo alto. Clasificar mal —o no clasificar— es el motivo más habitual por el que la AESIA ya puede sancionar a una empresa sin que nadie dentro de la empresa lo viera venir.

Riesgo inaceptable: lo que ninguna empresa puede usar

Es la categoría más corta y la más tajante: estas prácticas están prohibidas, sin matices ni plazo de adaptación, desde febrero de 2025. Incluye la manipulación subliminal que induce a decisiones perjudiciales, la puntuación social de personas por parte de organismos públicos o privados, el reconocimiento de emociones en el puesto de trabajo o en centros educativos (salvo excepciones médicas o de seguridad muy concretas), y la identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo supuestos tasados por ley. Si alguna herramienta que usa tu empresa hace algo de esto —a veces disfrazado de “análisis de sentimiento del equipo” o “control de productividad”—, no se trata de documentarlo mejor: hay que retirarlo.

Riesgo alto: el nivel que exige más papeleo

Aquí están los sistemas que pueden afectar de forma seria a los derechos de una persona: selección y evaluación de personal, scoring crediticio, admisión educativa, gestión de infraestructuras críticas o sistemas biométricos de identificación. Estos casos exigen evaluación de conformidad, documentación técnica detallada, supervisión humana efectiva y trazabilidad de las decisiones automatizadas. La buena noticia para quien ya tiene uno de estos sistemas en marcha: el paquete Ómnibus Digital aplazó la exigencia plena de los sistemas de Anexo III hasta el 2 de diciembre de 2027, así que hay margen real para hacerlo bien sin improvisar bajo presión.

Riesgo limitado: la transparencia que ya es obligatoria hoy

Este es el nivel que afecta a más pymes ahora mismo, porque cubre chatbots, asistentes de voz, generadores de imagen o texto y cualquier contenido sintético dirigido a personas. La obligación no es técnica ni cara de cumplir: informar de que es una IA cuando no resulte obvio, y marcar como sintético el contenido generado (imagen, audio, vídeo o texto sobre asuntos de interés público). Estas obligaciones del artículo 50, que detallamos cuando se aprobaron, llevan aplicándose desde el 2 de agosto de 2026 — y son, con diferencia, la infracción más habitual que vemos al auditar sistemas de clientes: un aviso que falta en el primer mensaje del chatbot, o una imagen generada para marketing sin el marcado correspondiente.

Riesgo mínimo: la mayoría de la IA que ya usas

Filtros de spam, correctores gramaticales, motores de recomendación de un catálogo, generación de borradores internos sin destinatario final: la inmensa mayoría de las herramientas de IA que una pyme usa a diario caen aquí, sin obligaciones específicas del Reglamento más allá de las que ya existían (RGPD, propiedad intelectual). El riesgo real en este nivel no es legal, es de criterio: dar por hecho que “es solo IA de las buenas” cuando en realidad el sistema toma decisiones sobre personas y debería estar en un nivel superior.

Cómo clasificar tus propios sistemas, en la práctica

1. Haz un inventario real, no de memoria: cada chatbot, generador de contenido, herramienta de scoring o sistema de selección que toque a un cliente, empleado o candidato.
2. Pregunta qué decide o influye, no qué hace técnicamente: un modelo que “solo sugiere” un candidato preseleccionado ya influye en una decisión de contratación, y eso puede bastar para entrar en riesgo alto.
3. Revisa la documentación del proveedor: cualquier herramienta seria de IA para empresas debería declarar en qué nivel de riesgo se sitúa según el Reglamento. Si no lo hace, es una señal de alarma, no un detalle menor.
4. Prioriza por exposición, no por miedo: los sistemas en riesgo limitado que hablan con clientes hoy son la prioridad inmediata; los de riesgo alto tienen margen hasta 2027, pero conviene empezar a documentarlos ya.

Cómo lo trabajamos en Evicron

No sustituimos a un despacho jurídico —la interpretación legal fina corresponde a tus abogados—, pero sí somos quienes auditan qué sistemas de IA tiene realmente una empresa, en qué nivel cae cada uno y qué falta técnicamente para que el aviso, el marcado o la trazabilidad funcionen en producción. En nuestra consultoría de IA para empresas empezamos siempre por ese inventario, con una sesión de descubrimiento gratuita, antes de recomendar ningún cambio.

Si no tienes claro en qué nivel de riesgo cae algún sistema de IA de tu empresa, escríbenos: salimos de la primera sesión con una clasificación concreta, no con una lista genérica de buenas prácticas.