Copyrights. SANDRA GARCÍA MUÑOZ ,
2026. Todos los derechos reservados.
html
El Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial o Ley de IA, constituye el primer marco jurídico integral en el mundo para regular el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial. Su enfoque basado en el riesgo implica que la carga regulatoria se concentra en aquellas aplicaciones con mayor potencial de impacto sobre los derechos fundamentales, la salud o la seguridad. Dentro de su arquitectura normativa, los sistemas de alto riesgo ocupan un lugar central: concentran el grueso de las obligaciones técnicas, documentales y organizativas previstas en el Capítulo III. Para cualquier organización que desarrolle, importe, distribuya o utilice este tipo de sistemas en la Unión Europea, comprender estos requisitos es esencial para operar con seguridad jurídica y evitar sanciones administrativas.
La norma no solo afecta a los proveedores que diseñan los sistemas, sino también a toda la cadena de valor, incluyendo a los responsables del despliegue, es decir, las entidades que los incorporan en sus procesos internos. Este artículo analiza las obligaciones legales específicas para los sistemas de alto riesgo y ofrece una guía práctica para implantar una gobernanza algorítmica corporativa sólida, alineada con las exigencias del Reglamento y las mejores prácticas del mercado.
El Reglamento define tres categorías de riesgo: riesgo inaceptable (prácticas prohibidas), riesgo alto (sistemas sujetos a requisitos estrictos) y riesgo limitado o mínimo (obligaciones de transparencia o ninguna regulación específica). Los sistemas de alto riesgo se caracterizan por poder afectar negativamente a la salud, la seguridad o los derechos fundamentales de las personas. Su clasificación no depende de que el daño se materialice, sino del potencial intrínseco del sistema y del contexto en el que se utiliza.
El artículo 6 del Reglamento establece dos vías para considerar un sistema de IA como de alto riesgo: por integrarse como componente de seguridad de un producto sujeto a normativa armonizada de la UE (Anexo I), o por estar destinado a usos específicos enumerados en el Anexo III. Existe además la posibilidad de excluir un sistema del ámbito de alto riesgo si, pese a figurar en el Anexo III, no plantea un riesgo significativo de perjuicio para la salud, la seguridad o los derechos fundamentales, siempre que se documente debidamente la evaluación realizada.
La primera vía de clasificación (Anexo I) se refiere a sistemas de IA utilizados como componentes de seguridad de productos ya regulados por más de veinte actos legislativos de armonización, como máquinas, juguetes, ascensores, equipos radioeléctricos, dispositivos médicos o embarcaciones de recreo. En estos casos, el sistema de IA debe someterse a una evaluación de conformidad por terceros con arreglo a la normativa sectorial correspondiente.
La segunda vía (Anexo III) es más amplia y se centra en la finalidad del sistema. Incluye ocho ámbitos sensibles donde la IA puede tener un impacto directo en derechos fundamentales: biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de trabajadores, acceso a servicios esenciales públicos y privados, garantía del cumplimiento del Derecho, migración y asilo, y administración de justicia y procesos democráticos. La Comisión Europea puede actualizar este anexo mediante actos delegados, a medida que evolucione la tecnología y se identifiquen nuevos riesgos.
Para facilitar la comprensión, se recogen a continuación los ámbitos del Anexo III con ejemplos ilustrativos de sistemas que quedarían sujetos a las obligaciones de alto riesgo:
| Ámbito del Anexo III | Ejemplo de sistema de IA de alto riesgo |
|---|---|
| Biometría no prohibida | Sistema de identificación remota de personas en tiempo real, categorización biométrica o reconocimiento de emociones (salvo casos prohibidos). |
| Infraestructuras críticas | Sistema de IA que gestiona el tráfico rodado o controla el suministro de agua, gas, electricidad o calefacción. |
| Educación y formación profesional | Sistema que decide la admisión a centros educativos, evalúa el aprendizaje o detecta comportamientos prohibidos durante exámenes. |
| Empleo y gestión de trabajadores | Software de cribado curricular, evaluación de candidatos o sistemas que determinan condiciones laborales, ascensos o despidos. |
| Acceso a servicios esenciales | Sistema de puntuación crediticia, evaluación de riesgos en seguros de vida o salud, o priorización de llamadas de emergencia. |
| Garantía del cumplimiento del Derecho | Herramientas de evaluación de pruebas, predicción del riesgo de delincuencia o elaboración de perfiles en contextos policiales. |
| Migración, asilo y control fronterizo | Sistema de apoyo a la tramitación de solicitudes de asilo o visados, o evaluación de riesgos para la seguridad. |
| Administración de justicia y procesos democráticos | Sistema que asiste a jueces en la interpretación de hechos o leyes, o que influye en el resultado electoral o el comportamiento de los votantes. |
Esta clasificación no es exhaustiva, pero refleja la filosofía del Reglamento: regular de forma proporcionada allí donde la IA puede afectar derechos esenciales. Las empresas deben realizar un análisis cuidadoso de la finalidad prevista de sus sistemas para determinar si entran en alguna de estas categorías y, en caso de duda, documentar su posición.
El Capítulo III del Reglamento impone un conjunto de requisitos técnicos y organizativos que deben cumplir los sistemas de alto riesgo antes de su introducción en el mercado o puesta en servicio. Estas obligaciones recaen principalmente en los proveedores, pero también se extienden a importadores, distribuidores y responsables del despliegue, creando una cadena de responsabilidad integral. El incumplimiento puede dar lugar a sanciones administrativas significativas, incluyendo multas de hasta 15 millones de euros o el 3% del volumen de negocio total mundial anual, según la gravedad.
La lógica subyacente es doble: por un lado, garantizar que los sistemas se diseñen y desarrollen con altos estándares de calidad y seguridad; por otro, asegurar que quienes los utilizan lo hagan de forma informada y controlada. A continuación se detallan los requisitos esenciales y las obligaciones de cada operador económico.
Los proveedores de sistemas de alto riesgo deben implementar, entre otros, los siguientes requisitos establecidos en los artículos 8 a 15:
Además, los proveedores deben establecer un sistema de gestión de la calidad (artículo 17), conservar documentación técnica durante diez años, llevar a cabo la evaluación de conformidad (artículo 43) y colocar el marcado CE antes de comercializar el sistema. Si el proveedor está establecido fuera de la UE, debe designar un representante autorizado en territorio europeo.
Los importadores y distribuidores actúan como eslabones intermedios de la cadena de suministro y comparten responsabilidad en la verificación de que los sistemas que introducen o comercializan cumplen con la normativa. Deben comprobar, entre otros aspectos, que el sistema cuenta con el marcado CE, la documentación técnica requerida y que el proveedor ha cumplido con sus obligaciones de registro. Si detectan un incumplimiento o un riesgo, deben informar a las autoridades competentes y abstenerse de comercializar el producto.
Los responsables del despliegue —entidades que utilizan el sistema bajo su propia autoridad— tienen obligaciones propias recogidas en los artículos 26 y 27. Deben adoptar medidas técnicas y organizativas para garantizar que el sistema se utiliza conforme a las instrucciones del proveedor, asignar la supervisión humana a personal cualificado, vigilar su funcionamiento y conservar los registros generados. Cuando se trate de sistemas de alto riesgo en el lugar de trabajo, deben informar a los representantes de los trabajadores y a los trabajadores afectados de que estarán expuestos al sistema.
La vigilancia del mercado corresponde a las autoridades nacionales competentes designadas por cada Estado miembro. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es una de las entidades clave, junto con la Agencia Española de Protección de Datos, el Banco de España o el Consejo General del Poder Judicial, según el sector afectado. Estas autoridades tienen potestades de inspección, requerimiento de información y adopción de medidas correctoras, incluyendo la retirada del mercado o la suspensión del uso del sistema.
El régimen sancionador previsto en el Reglamento establece multas graduadas en función de la gravedad de la infracción. Las prácticas prohibidas pueden conllevar sanciones de hasta 35 millones de euros o el 7% del volumen de negocio mundial; el incumplimiento de obligaciones de los sistemas de alto riesgo, hasta 15 millones o el 3%; y el suministro de información incorrecta a las autoridades, hasta 7,5 millones o el 1%. Estas cifras evidencian la necesidad de implantar controles internos sólidos desde el inicio del ciclo de vida del sistema.
Más allá del cumplimiento normativo formal, el Reglamento impulsa un cambio cultural hacia la gobernanza algorítmica corporativa: la integración de principios éticos, de responsabilidad y de transparencia en el diseño, despliegue y supervisión continua de los sistemas de IA. Esta gobernanza no es una opción, sino una obligación implícita derivada de los requisitos de gestión de riesgos, documentación y supervisión humana. Las organizaciones que adopten un enfoque proactivo podrán no solo evitar sanciones, sino también generar confianza entre clientes, empleados y reguladores.
La gobernanza algorítmica se articula en torno a tres ejes: un marco normativo interno claro, una estructura organizativa con responsabilidades definidas y un sistema de trazabilidad y auditoría. Cada uno de estos ejes debe estar respaldado por documentación actualizada y por la implicación de los órganos directivos, que deben asumir la máxima responsabilidad sobre los riesgos asociados a la IA.
El responsable del despliegue es la figura que materializa la gobernanza algorítmica en la práctica. Según el artículo 26, debe adoptar medidas técnicas y organizativas adecuadas para garantizar que el sistema se utiliza con arreglo a las instrucciones del proveedor y que se cumplen los requisitos de supervisión humana. Esto implica designar explícitamente a personas con formación y autoridad suficientes para intervenir, detener o corregir el funcionamiento del sistema cuando sea necesario.
Además, el responsable del despliegue debe asegurar que los datos de entrada sean pertinentes y representativos, vigilar el rendimiento del sistema sobre la base de las instrucciones y conservar los registros generados automáticamente. Estas obligaciones no son estáticas; requieren una revisión periódica y la actualización de los procedimientos internos a medida que cambian las condiciones de uso o se detectan incidencias.
El artículo 27 introduce la obligación de realizar una evaluación de impacto relativa a los derechos fundamentales para determinados sistemas de alto riesgo, especialmente cuando sean utilizados por organismos públicos o entidades privadas que prestan servicios esenciales. Esta evaluación debe realizarse antes de la puesta en funcionamiento del sistema y debe documentarse, incluyendo las medidas de mitigación adoptadas. Es complementaria a la evaluación de impacto en protección de datos del RGPD y a otras evaluaciones sectoriales.
El cumplimiento continuo exige también la actualización de la documentación técnica, la revisión del sistema de gestión de riesgos y la comunicación de incidentes graves o fallos de funcionamiento a las autoridades. Las organizaciones deben designar un responsable interno de cumplimiento en materia de IA y establecer canales de denuncia o comunicación con los proveedores para reportar cualquier anomalía. La gobernanza algorítmica no termina con la compra o despliegue del sistema, sino que se extiende durante todo su ciclo de vida operativo.
El Reglamento entró en vigor el 1 de agosto de 2024 y su aplicación es escalonada. Las prohibiciones de prácticas de IA consideradas inaceptables y las obligaciones de alfabetización en materia de IA comenzaron a aplicarse el 2 de febrero de 2025. Las normas de transparencia para modelos de IA de propósito general entraron en vigor el 2 de agosto de 2025, y las obligaciones de transparencia para sistemas como chatbots o generadores de contenido profundo se aplicarán a partir del 2 de agosto de 2026.
Para los sistemas de alto riesgo, las fechas clave son más tardías. Los sistemas integrados en productos regulados por el Anexo I disponen de un período transitorio ampliado hasta el 2 de agosto de 2028. Los sistemas incluidos en el Anexo III, es decir, los destinados a ámbitos como educación, empleo o infraestructuras críticas, se aplicarán a partir del 2 de diciembre de 2027. Estas fechas pueden verse afectadas por el Reglamento Ómnibus de IA, adoptado en 2025, que introdujo simplificaciones y ajustes en la gobernanza, así como la prohibición de los sistemas que generan contenido sexualmente explícito no consentido.
El Reglamento Europeo de Inteligencia Artificial es una norma que busca proteger a las personas frente a los riesgos que pueden derivarse del uso de la IA en ámbitos sensibles como la salud, la educación, el empleo o la justicia. Si su organización utiliza herramientas de IA para tomar decisiones importantes sobre personas, es probable que esté ante un sistema de alto riesgo y deba cumplir una serie de requisitos legales. No basta con adquirir un sistema con el marcado CE; también hay que usarlo de forma responsable, bajo supervisión humana y documentando su funcionamiento.
La buena noticia es que la ley da tiempo suficiente para adaptarse y ofrece orientaciones y herramientas de apoyo. Lo recomendable es iniciar cuanto antes un proceso interno de identificación de sistemas de IA, evaluar si son de alto riesgo y, en caso afirmativo, designar a una persona o equipo responsable de su cumplimiento. La transparencia y la supervisión humana no solo son exigencias legales, sino también garantías de confianza para empleados, clientes y ciudadanos.
Desde una perspectiva técnica, la clave está en alinear los procesos de ingeniería de datos, gestión de riesgos y documentación con los requisitos del Reglamento. Los sistemas de alto riesgo deben integrar desde su diseño medidas de trazabilidad (registros automáticos), robustez ante entradas adversas y ciberseguridad acorde a estándares como ISO/IEC 42001 o las futuras normas armonizadas europeas. La evaluación de conformidad requiere una estrategia de cumplimiento que combine documentación técnica, auditorías internas y, en algunos casos, intervención de organismos notificados.
Las entidades que despliegan estos sistemas deben implementar un marco de gobernanza algorítmica que incluya la gestión de la configuración, la monitorización continua del rendimiento y la gestión de incidentes, con especial atención a las evaluaciones de impacto sobre derechos fundamentales. Integrar el cumplimiento del Reglamento con los requisitos del RGPD y la normativa sectorial aplicable es un reto, pero también una oportunidad para estandarizar procesos y mejorar la explicabilidad y auditabilidad de los modelos. La anticipación en la documentación y en la definición de responsabilidades internas será decisiva para superar las inspecciones de las autoridades de vigilancia del mercado.
En Sandra García Muñoz ofrecemos asesoría legal personalizada y confidencial. Con nosotros, resolverás tus gestiones legales de forma efectiva y elegante.
