Sistema de IA de alto riesgo: cómo saber si el tuyo lo es (y cuándo te aplica)
Saber si tienes un sistema de IA de alto riesgo es la pregunta que decide cuánto trabajo de cumplimiento te espera. Y hay una novedad que mucha gente todavía no ha incorporado: las fechas cambiaron en julio de 2026, así que lo que leíste hace unos meses probablemente ya no vale.
Qué cambió en julio y por qué importa
El Reglamento Europeo de IA fijaba el 2 de agosto de 2026 como fecha para las obligaciones de los sistemas de alto riesgo del Anexo III. Sin embargo, el llamado Digital Omnibus se publicó en el Diario Oficial el 24 de julio de 2026 y movió esa fecha.
Ahora el calendario queda así:
- Obligaciones de transparencia del artículo 50: aplicables desde el 2 de agosto de 2026.
- Alto riesgo del Anexo III, es decir, los sistemas autónomos: aplazado al 2 de diciembre de 2027.
- Alto riesgo del Anexo I, la IA embebida en productos regulados: aplazado al 2 de agosto de 2028.
Por tanto, si alguien te está vendiendo urgencia sobre el alto riesgo, conviene que compruebe la fecha. Aplazamiento no es exención, aunque sí cambia bastante la prioridad de este trimestre.
Qué es un sistema de IA de alto riesgo
En primer lugar, la norma no clasifica por tecnología sino por uso. Da igual el modelo que haya debajo: lo que determina la categoría es para qué se emplea y a quién puede afectar.
Además, el Anexo III recoge los ámbitos en los que un sistema entra en esta categoría. En resumen, son estos:
- Biometría, incluida además la identificación y la categorización de personas.
- Infraestructuras críticas, por ejemplo las de suministro.
- Educación y formación profesional, por ejemplo la evaluación de alumnos o el acceso a estudios.
- Empleo y gestión de trabajadores, desde la criba de currículums hasta decisiones de promoción.
- Acceso a servicios esenciales, públicos y privados, incluida la evaluación crediticia.
- Aplicación de la ley y, del mismo modo, migración y asilo.
- Administración de justicia y procesos democráticos.
De esa lista, dos casillas explican la mayoría de las dudas en empresas normales: empleo y evaluación crediticia. En cambio, casi nada de lo que hace una pyme con IA generativa entra ahí.
El filtro que decide si es un sistema de IA de alto riesgo
Aquí está, por ejemplo, el matiz que ahorra muchos sustos. Estar en un ámbito del Anexo III no convierte automáticamente a tu herramienta en un sistema de IA de alto riesgo.
El reglamento prevé una excepción cuando el sistema no influye de forma relevante en el resultado de la decisión. Es decir, cuando solo realiza una tarea limitada, mejora una actividad humana previa, detecta patrones sin sustituir la valoración de una persona o hace trabajo preparatorio.
Ahora bien, esa excepción no es gratis. Si la invocas, tienes que documentar por qué, y esa documentación es exactamente lo que te van a pedir si alguien pregunta. Por eso conviene escribirla ahora, mientras el proyecto está fresco, y no dentro de un año.
Además, el perfilado de personas nunca se beneficia de esa excepción.
Cómo clasificar un sistema de IA de alto riesgo en la práctica
Este es el orden que seguimos y que, de hecho, puedes replicar sin ayuda externa.
- Parte del inventario de sistemas de IA. Sin la lista completa no hay clasificación posible.
- Después, por cada sistema escribe en una frase qué decisión apoya y sobre quién.
- Luego comprueba si esa decisión cae en alguno de los ámbitos del Anexo III.
- Si cae, valora la excepción y documenta el razonamiento, sea cual sea la conclusión.
- Marca también si usáis IA que habla con personas o genera contenido, ya que eso activa transparencia aunque no sea alto riesgo.
En resumen, de veinte sistemas inventariados lo normal es que ninguno sea de alto riesgo, que dos o tres toquen transparencia y que el resto no tenga obligaciones específicas. Saberlo por escrito vale mucho más que suponerlo.
Lo que sí te aplica ya
Por otro lado, conviene no distraerse con 2027. Es decir, las obligaciones de transparencia del artículo 50 están vigentes desde agosto de 2026 y afectan a cosas muy cotidianas.
Primero, si tenéis un chatbot que atiende a personas, debe quedar claro que es una máquina salvo que resulte evidente por el contexto. Segundo, el contenido sintético debe marcarse. Y tercero, quien difunda ultrafalsos tiene que etiquetarlos como generados artificialmente.
De hecho, esa es la parte que afecta a casi cualquier empresa con atención al cliente automatizada, y es la que conviene resolver este trimestre.
Preguntas frecuentes sobre el sistema de IA de alto riesgo
Usamos IA para filtrar currículums. ¿Eso es alto riesgo?
Está en un ámbito del Anexo III, por tanto hay que analizarlo. Si la herramienta solo ordena o resume y la decisión la toma una persona, puede caber la excepción. Aun así, documéntalo.
¿El aplazamiento significa que no hay que hacer nada?
No. En cambio, significa que tienes margen para hacerlo bien. La clasificación y la documentación técnica llevan meses, así que empezar en 2027 es empezar tarde.
¿Quién responde, el proveedor o nosotros?
Depende del papel. Es decir, quien desarrolla y pone en el mercado el sistema tiene unas obligaciones y quien lo utiliza tiene otras. Conviene dejarlo cerrado por contrato con tu proveedor.
¿Esto sustituye al asesoramiento jurídico?
No. Este artículo es orientación de implantación, por lo que cualquier decisión con efectos legales conviene validarla con vuestra asesoría. Puedes ver el análisis del cambio de plazos en Garrigues.
Si quieres salir de dudas, hablemos
En ArtiLabs hacemos esta clasificación como parte del trabajo de gobernanza, y en la mayoría de empresas termina en una buena noticia por escrito. Así que, si prefieres tenerlo claro antes de que lo pregunte un cliente, cuéntanos tu caso.
