Niveles de riesgo de la Ley de IA de la UE: una guía para profesionales

Cómo funciona la pirámide de riesgos en la práctica

La Ley es una ley basada en riesgos. Usos más pesados conllevan deberes más pesados; las prácticas prohibidas no tienen camino de cumplimiento. La visión general de la Comisión es el punto de entrada oficial más breve antes de profundizar en los artículos (Comisión Europea — Ley de IA). Mantenga abierto el texto de la Revista Oficial cuando una diapositiva de un proveedor entre en conflicto con la ley primaria (Reglamento (UE) 2024/1689).

Las fechas cambian. El paquete Digital Omnibus cambió varias fechas de aplicaciones de alto riesgo después de que el calendario original resultó inviable para los estándares y la orientación. Trate cualquier tabla de fechas — incluida la nuestra — como una instantánea y vuelva a verificar una línea de tiempo mantenida antes de comprometer el presupuesto (Línea de tiempo de implementación de la Ley de IA de la UE). "Planeamos para agosto de 2026" no es una defensa si la fecha vinculante es posterior — y tampoco es una razón para congelar el trabajo.

Proveedor versus desplegador en una oración

Los proveedores colocan el sistema en el mercado o lo ponen en servicio bajo su nombre; los desplegadores lo utilizan bajo su autoridad. Muchas pilas de agentes empresariales combinan ambos roles. Clasifique el sistema primero, luego asigne quién es el propietario de qué deber. Mezclar las dos conversaciones es cómo los equipos "finalizan" una lista de verificación que nadie puede firmar.

Riesgo inaceptable: prohibido directamente

El Artículo 5 prohíbe prácticas como la puntuación social por parte de las autoridades públicas, la identificación biométrica remota en tiempo real en espacios accesibles al público (con excepciones estrechas) y el reconocimiento de emociones en lugares de trabajo y escuelas en los contextos que define el artículo. Estas prohibiciones se aplican a partir del 2 de febrero de 2025. No hay un camino de conformidad: si su sistema cae aquí, no puede ser colocado en el mercado de la UE.

Los equipos de productos a veces inventan un "modo limitado" para una práctica prohibida. Eso no crea un camino legal. Si el propósito previsto es la práctica prohibida, deténgase. Si una función podría ser utilizada de esa manera como un uso indebido predecible, documente el uso indebido y los controles técnicos o contractuales que lo bloquean — y obtenga asesoramiento cuando la frontera sea difusa.

Lista de verificación — pantalla de uso prohibido

- Declaración de propósito previsto revisada contra las categorías del Artículo 5 - Lista de uso indebido predecible escrita (no solo demos de camino feliz) - Plan de interruptor de apagado o deshabilitación si una función se desvía hacia el territorio prohibido - Ningún lenguaje de ventas que implique una "versión conforme" de una práctica prohibida

Alto riesgo: la carga de documentación y monitoreo

Un sistema es de alto riesgo a través de dos caminos en el Artículo 6: es un componente de seguridad de un producto cubierto por la ley de armonización de la UE enumerada en el Anexo I, o su propósito previsto cae en uno de los dominios del Anexo III — incluyendo biometría, infraestructura crítica, educación, empleo, acceso a servicios privados y públicos esenciales (el crédito y el seguro son desencadenantes frecuentes), aplicación de la ley, migración y administración de justicia. El capítulo de alto riesgo completo para sistemas independientes del Anexo III ahora se aplica a partir del 2 de diciembre de 2027 bajo las enmiendas del Digital Omnibus (la fecha general original era el 2 de agosto de 2026). Los sistemas de alto riesgo integrados en productos del Anexo I se aplican a partir del 2 de agosto de 2028. Confirme la línea de tiempo en vivo antes de imprimir una diapositiva de la junta.

Cuando eres de alto riesgo, la carga incluye un sistema de gestión de riesgos (Art. 9), gobernanza de datos (Art. 10), documentación técnica (Art. 11), registro automático (Art. 12), transparencia para los desplegadores (Art. 13), supervisión humana (Art. 14) y expectativas de precisión/ciberseguridad (Art. 15). Nuestro artículo hermano analiza las brechas de documentación que los equipos suelen pasar por alto.

Prueba del Artículo 6 — cómo la ejecutamos en un taller

- Escriba el propósito previsto en un párrafo plano. Prohibir adjetivos de marketing. - Pregunte: ¿es este un componente de seguridad de un producto del Anexo I? Si es así, siga la ruta del Anexo I y las interacciones de la ley de productos sectoriales. - De lo contrario, camine a través de los dominios del Anexo III uno por uno. La selección de empleo, la gestión de trabajadores, la solvencia crediticia y la puntuación educativa son los imanes de agente empresarial. - Registre la decisión, el propietario y la fecha. Revíselo cuando cambie el propósito o la clase de desplegador. - Si la respuesta es "quizás", trátelo como de alto riesgo para la planificación hasta que el consejo diga lo contrario. La ambigüedad no es un pase libre para no hacer nada.

Nivel | Ejemplos típicos | Forma del deber central | Nota del calendario (verificar en vivo) Inaceptable | Puntuación social por autoridades públicas; usos biométricos / emocionales prohibidos en el Art. 5 | Prohibición — no hay camino de cumplimiento | A partir del 2 de febrero de 2025 Alto riesgo (Anexo III) | Agentes de contratación, herramientas de puntuación crediticia, herramientas de evaluación educativa | Documentos, registro, supervisión, gestión de riesgos, camino de conformidad | A partir del 2 de diciembre de 2027 (Omnibus) Alto riesgo (Anexo I) | IA como componente de seguridad en productos regulados | Same capítulo de alto riesgo + ley de productos sectoriales | A partir del 2 de agosto de 2028 (Omnibus) Riesgo limitado | Muchos chatbots; medios sintéticos con deberes de transparencia | Divulgar IA / etiquetar contenido sintético (Art. 50 familia) | La transparencia todavía está en la pista de 2026 — revísela la línea de tiempo Riesgo mínimo | Filtros de spam; muchos ayudantes de redacción internos | No hay deberes obligatorios de la Ley de IA; códigos voluntarios solo | Todavía clasifique — no asuma

Riesgo limitado: obligaciones de transparencia

Los chatbots, generadores de deepfakes y reconocimiento de emociones fuera de contextos de alto riesgo suelen caer en esta categoría. La principal obligación es la transparencia: los usuarios deben saber que están interactuando con IA, y el contenido sintético debe estar etiquetado donde lo exija la Ley. No hay evaluación de conformidad para chatbots de riesgo limitado ordinarios. Las sanciones por incumplimientos de información y transparencia están en una banda inferior a las multas por prácticas prohibidas (el Artículo 99 utiliza niveles; consulte el texto de la regulación para los techos exactos).

No trate el "riesgo limitado" como "ignore el calendario". Varias obligaciones de transparencia se mantuvieron en la pista de 2026 incluso cuando las fechas de alto riesgo se movieron. Las reglas de marcado técnico y relacionadas con el marcado de agua para sistemas ya en el mercado tienen sus propias subfechas en las líneas de tiempo públicas. Lea la página de línea de tiempo de implementación antes de decirle a un cliente "todo se desplazó a 2027".

Lista de verificación — honestidad de riesgo limitado

- Divulgación frente al usuario de que el interlocutor es IA (donde se requiera) - Plan de etiquetado de medios sintéticos para audio/vídeo/imagenes generados - No reclamar "certificado de alto riesgo" para un chatbot de riesgo limitado - Nota separada si una función de chatbot se alimenta más adelante de una decisión del Anexo III

Riesgo mínimo: esencialmente no regulado por el Acta

Los filtros de spam, muchos motores de recomendación y la mayoría de los asistentes de redacción internos se encuentran en esta categoría. El Acta no impone obligaciones obligatorias, aunque existen códigos de conducta voluntarios. La mayoría de los agentes de inteligencia artificial empresariales que toman o influyen en decisiones importantes no se encuentran en este nivel — ese es el vacío que los equipos subestiman cuando señalan un asistente de redacción y concluyen que toda la empresa está "fuera del alcance".

Si su agente solo crea borradores y un ser humano siempre vuelve a escribir en otro sistema sin decisión influenciada por la inteligencia artificial, puede estar más cerca del riesgo mínimo. Si la puntuación, clasificación o recomendación del agente es la decisión de facto, revise el Anexo III. El propósito y el uso superan los diagramas de arquitectura.

Sanciones en números simples (todavía verificar en el Art. 99)

El Artículo 99 establece límites por gravedad: prácticas prohibidas de hasta 35 millones de euros o el 7% del volumen de negocios anual global (lo que sea mayor); incumplimiento de alto riesgo de hasta 15 millones de euros o el 3%; cierta información incorrecta / incumplimiento de la transparencia de hasta 7,5 millones de euros o el 1,5%. Estos son máximos, no facturas automáticas. Sin embargo, son la razón por la que la clasificación es un tema a nivel de junta directiva, no una tarea del viernes por la tarde.

Para el vocabulario de procesos fuera del estatuto de la UE, los equipos a veces utilizan el Marco de gestión de riesgos de inteligencia artificial de NIST. Esto está bien para el lenguaje de gobernanza interna (NIST AI RMF). No cambia su nivel en el Reglamento (UE) 2024/1689. El contexto más amplio de la política digital de la UE también se encuentra alrededor de la Ley; las páginas de la Comisión "Europa preparada para la era digital" ayudan a colocar las reglas de inteligencia artificial junto a los archivos digitales vecinos (Europa preparada para la era digital), pero la clasificación por niveles aún comienza con los Artículos 5-6 y los anexos.

Errores comunes de clasificación

- Clasificar el modelo en lugar del uso. El mismo modelo base puede alimentar un filtro de spam y un clasificador de contratación. El uso decide el nivel. - Asumir que "solo interno" significa riesgo mínimo. Las herramientas de empleo interno son un desencadenante clásico del Anexo III. - Congelar el calendario en el 2 de agosto de 2026 para todas las tareas de alto riesgo. El paquete de medidas trasladó las fechas de aplicación de alto riesgo del Anexo III/Anexo I; las obligaciones de transparencia no se trasladaron todas con ellas. - Dejar que las ventas elijan el nivel. Las ventas quieren "riesgo bajo." Ingeniería y jurídico son los dueños del mapa. - Saltarse una decisión escrita. Si no puede mostrar por qué no es de alto riesgo, un revisor asumirá que nunca lo buscó.

Criterios de decisión: qué hacer este trimestre

Si está construyendo o comprando IA con enfrentamiento a la UE en 2026:

- Inventario de sistemas que influyen en el empleo, el crédito, la educación o los servicios esenciales - Ejecute la prueba del Artículo 6 y almacene el resultado escrito - Mantenga el trabajo de prohibición de uso y transparencia en el calendario próximo - Utilice la pista de alto riesgo de 2027/2028 para construir documentación, registro y supervisión — no espere hasta la semana anterior a la fecha - Apunte todos los reclamos externos a EUR-Lex o a la página de la Comisión, no a un resumen de podcast

Qué es esto NO

Esta guía no es un asesoramiento legal, no es una evaluación de conformidad y no es una promesa de que VendorVet (o cualquier herramienta de lista de verificación) garantice una clasificación correcta o que "nunca se pierda" un uso de alto riesgo. No inventamos métricas de cliente ni afirmamos que evitarás "definitivamente" una multa. Las fechas en este artículo reflejan el cambio de Digital Omnibus para aplicaciones de alto riesgo tal como se informa comúnmente después de la adopción de mediados de 2026; siempre verifique contra la Revista Oficial y un calendario de implementación mantenido antes de vincular un programa de cumplimiento.

Cierre

Primero, mapee el nivel. Luego abra la lista de verificación correcta. Las prácticas prohibidas cesan; los sistemas de alto riesgo recopilan evidencia; los sistemas de riesgo limitado informan la verdad a los usuarios; los sistemas de riesgo mínimo aún necesitan un inventario honesto. Cuando comienza la carga de documentación, lea la lista de verificación de documentación técnica a continuación: ahí es donde la mayoría de los equipos descubren las brechas que la clasificación sola no puede solucionar.

Referencias

- Reglamento (UE) 2024/1689 (EUR-Lex) - Comisión Europea — Ley de IA - Ley de IA de la UE — Cronograma de implementación - Marco de gestión de riesgos de IA de NIST - Comisión Europea — Europa preparada para la era digital

Artículos relacionados

- Documentación técnica bajo el Acta de IA: lo que suelen perder los equipos - Explora la matriz completa de temas de micro-SaaS de IA →