Reglament d'IA: els 4 nivells de risc i què exigeix cadascun

El Reglament (UE) 2024/1689, conegut com a AI Act, no tracta igual un xatbot d’atenció al client que un sistema que decideix a qui contracta la teva empresa: els classifica en quatre nivells de risc, i cada nivell porta obligacions molt diferents — des de cap fins a la prohibició directa. A Evicron, estudi d’IA i software a mida de Barcelona, és la primera pregunta que responem quan una empresa ens demana ajuda amb compliment normatiu: no “compleixo o no?”, sinó “en quin nivell cau cada sistema que faig servir?”. Aquesta guia explica els quatre nivells amb exemples concrets i com classificar els teus.

Per què aquesta classificació importa més que “complir la llei” en abstracte

Moltes pimes aborden el Reglament d’IA com un únic bloc d’obligacions que cal complir sencer. No funciona així: el marcatge, l’avís a l’usuari, l’avaluació de conformitat o la prohibició directa depenen de en quina categoria cau cada sistema concret, no de l’empresa en conjunt. Una assessoria pot tenir un xatbot en risc limitat (només ha d’avisar que és IA) i, alhora, estar valorant una eina de puntuació per preseleccionar candidats que cau de ple en risc alt. Classificar malament —o no classificar— és el motiu més habitual pel qual la AESIA ja pot sancionar una empresa sense que ningú a dins ho veiés venir.

Risc inacceptable: el que cap empresa pot fer servir

És la categoria més curta i la més taxativa: aquestes pràctiques estan prohibides, sense matisos ni termini d’adaptació, des de febrer de 2025. Inclou la manipulació subliminal que indueix a decisions perjudicials, la puntuació social de persones per part d’organismes públics o privats, el reconeixement d’emocions al lloc de treball o en centres educatius (llevat d’excepcions mèdiques o de seguretat molt concretes), i la identificació biomètrica remota en temps real en espais públics amb finalitats policials, fora d’uns supòsits molt tancats per llei. Si alguna eina que fa servir la teva empresa fa alguna cosa d’aquesta llista —de vegades disfressada d‘“anàlisi de sentiment de l’equip” o “control de productivitat”—, no es tracta de documentar-ho millor: cal retirar-la.

Risc alt: el nivell que exigeix més paperassa

Aquí hi ha els sistemes que poden afectar seriosament els drets d’una persona: selecció i avaluació de personal, puntuació creditícia, admissió educativa, gestió d’infraestructures crítiques o sistemes biomètrics d’identificació. Aquests casos exigeixen avaluació de conformitat, documentació tècnica detallada, supervisió humana efectiva i traçabilitat de les decisions automatitzades. La bona notícia per a qui ja té un d’aquests sistemes en marxa: el paquet Òmnibus Digital va ajornar l’exigència plena dels sistemes de l’Annex III fins al 2 de desembre de 2027, així que hi ha marge real per fer-ho bé sense improvisar sota pressió.

Risc limitat: la transparència que ja és obligatòria avui

Aquest és el nivell que afecta més pimes ara mateix, perquè cobreix xatbots, assistents de veu, generadors d’imatge o text i qualsevol contingut sintètic adreçat a persones. L’obligació no és tècnica ni cara de complir: informar que és una IA quan no resulti obvi, i marcar com a sintètic el contingut generat (imatge, àudio, vídeo o text sobre assumptes d’interès públic). Aquestes obligacions de l’article 50, que vam detallar quan es van aprovar, s’apliquen des del 2 d’agost de 2026 — i són, de llarg, la infracció més habitual que veiem en auditar sistemes de clients: un avís que falta al primer missatge del xatbot, o una imatge generada per a màrqueting sense el marcatge corresponent.

Risc mínim: la majoria de la IA que ja fas servir

Filtres d’spam, correctors gramaticals, motors de recomanació d’un catàleg, generació d’esborranys interns sense destinatari final: la immensa majoria de les eines d’IA que una pime fa servir cada dia cauen aquí, sense obligacions específiques del Reglament més enllà de les que ja existien (RGPD, propietat intel·lectual). El risc real en aquest nivell no és legal, és de criteri: donar per fet que “és només IA de les bones” quan en realitat el sistema pren decisions sobre persones i hauria d’estar en un nivell superior.

Com classificar els teus propis sistemes, a la pràctica

1. Fes un inventari real, no de memòria: cada xatbot, generador de contingut, eina de puntuació o sistema de selecció que toqui un client, empleat o candidat.
2. Pregunta’t què decideix o influeix, no què fa tècnicament: un model que “només suggereix” un candidat preseleccionat ja influeix en una decisió de contractació, i això pot bastar per entrar en risc alt.
3. Revisa la documentació del proveïdor: qualsevol eina seriosa d’IA per a empreses hauria de declarar en quin nivell de risc se situa segons el Reglament. Si no ho fa, és un senyal d’alarma, no un detall menor.
4. Prioritza per exposició, no per por: els sistemes en risc limitat que parlen amb clients avui són la prioritat immediata; els d’alt risc tenen marge fins al 2027, però convé començar a documentar-los ja.

Com ho treballem a Evicron

No substituïm un despatx jurídic —la interpretació legal fina correspon als teus advocats—, però sí que som qui audita quins sistemes d’IA té realment una empresa, en quin nivell cau cadascun i què falta tècnicament perquè l’avís, el marcatge o la traçabilitat funcionin en producció. Al nostre servei de consultoria d’IA per a empreses comencem sempre per aquest inventari, amb una sessió de descobriment gratuïta, abans de recomanar cap canvi.

Si no tens clar en quin nivell de risc cau algun sistema d’IA de la teva empresa, escriu-nos: sortim de la primera sessió amb una classificació concreta, no amb una llista genèrica de bones pràctiques.