Los sistemas de IA de alto riesgo son el punto central del Reglamento europeo sobre IA (Reglamento (UE) 2024 / 1689), comúnmente conocida como la Ley de IA, que introduce un marco basado en el riesgo para el desarrollo, suministro y uso de sistemas de inteligencia artificial (IA). Cuanto mayor sea el riesgo para la salud, la seguridad y los derechos fundamentales, mayores serán las obligaciones.
Para las organizaciones, el cumplimiento no comienza con la redacción de la documentación técnica, sino con la clasificación correcta. Primero, establezca qué sistemas de IA se desarrollan, compran o utilizan dentro de la organización. Luego, evalúe si un sistema es prohibidos, de alto riesgo, sujetas a obligaciones de transparencia o fuera de cualquier obligación específica.
Este artículo explica cuándo un sistema de IA puede considerarse de alto riesgo, qué obligaciones recaen sobre los proveedores y los implementadores, y qué medidas pueden adoptar las organizaciones de inmediato. También aborda el cronograma actual, incluidos los cambios derivados del proceso Ómnibus Digital. La fecha de referencia de este artículo es el 25 de julio de 2026.
¿Cuándo se considera que un sistema de IA presenta un alto riesgo?
La evaluación de los sistemas de IA de alto riesgo se realiza principalmente en virtud del artículo 6 y los anexos I y III de la Ley de IA. Hay dos vías.
La primera vía se refiere a los sistemas de IA que forman parte de productos cubiertos por la legislación europea de productos que figura en el Anexo I y que requieren una evaluación de conformidad por parte de terceros. Por ejemplo, ciertos dispositivos médicos, maquinaria, ascensores y juguetes. Para estos sistemas, la Ley de IA se basa en el procedimiento de evaluación de conformidad ya existente.
La segunda vía se refiere a los sistemas de IA utilizados en los ámbitos enumerados en el Anexo III: biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de personal, acceso a servicios públicos y privados esenciales, aplicación de la ley, migración, asilo y control de fronteras, y administración de justicia y procesos democráticos. No todo uso dentro de un ámbito de este tipo conlleva automáticamente su clasificación como sistema de IA de alto riesgo: también deben evaluarse la función específica del sistema y las condiciones del artículo 6.
La excepción del artículo 6(3)
Un sistema que se incluye en el ámbito del Anexo III no se considera automáticamente un sistema de IA de alto riesgo: esta clasificación se excluye cuando no supone un riesgo significativo para la salud, la seguridad o los derechos fundamentales de las personas y no influye de manera sustancial en el resultado de la toma de decisiones. Esto puede ocurrir cuando el sistema realiza únicamente una tarea procedimental específica, simplemente mejora una actividad ya realizada por un ser humano, solo señala desviaciones de decisiones humanas previas sin sustituir dicha evaluación, o realiza únicamente una tarea preparatoria.
La aplicación de esta excepción debe estar debidamente fundamentada y documentada. La organización registra no solo la conclusión, sino también los hechos y la evaluación en que se basa dicha conclusión. Un proveedor que considere que un sistema del Anexo III no pertenece a la categoría de sistemas de IA de alto riesgo debe documentar dicha evaluación antes de que el sistema se comercialice o entre en servicio, y además está sujeto a la obligación de registro prevista en el artículo 49, apartado 2.
En un punto, el Reglamento es absoluto. El artículo 6, apartado 3, establece que un sistema de IA al que se refiere el Anexo III siempre se considerará un sistema de IA de alto riesgo cuando realice la elaboración de perfiles de personas físicas. En ese caso, no se puede invocar la excepción.
¿Qué papel desempeña su organización?
La Ley de IA distingue varios roles en la cadena de valor. Dos de ellos son relevantes para la mayoría de las organizaciones. Una entidad que desarrolla un sistema de IA o lo comercializa bajo su propio nombre o marca registrada se considera proveedor. Una entidad que utiliza un sistema de IA en el curso de su actividad comercial sin haberlo desarrollado generalmente se considera implementador.
La asignación de roles no es estática. Una organización que modifica sustancialmente un sistema adquirido, lo revende bajo su propio nombre o marca comercial, o cambia su propósito original, aún puede ser considerada proveedora y, por lo tanto, estar sujeta a obligaciones más estrictas. Determine para cada sistema qué rol desempeña y registre dicha evaluación.
Las principales obligaciones
Los proveedores de sistemas de IA de alto riesgo están sujetos a obligaciones que incluyen las de los artículos 8 a 17, 43 y 47 a 49:
- un sistema de gestión de riesgos que abarca todo el ciclo de vida
- gobernanza de datos, incluyendo la detección y corrección de sesgos en los datos utilizados, incluyendo datos de entrenamiento, validación y prueba.
- documentación técnica de conformidad con el Anexo IV y registro de eventos
- Instrucciones claras de uso para los implementadores
- un diseño que permite una supervisión humana eficaz
- Requisitos en materia de precisión, robustez y ciberseguridad
- un sistema de gestión de la calidad, una evaluación de la conformidad, una declaración de conformidad de la UE, el marcado CE y el registro en la base de datos de la UE.
Para los sistemas de IA de alto riesgo utilizados para la identificación biométrica remota a que se refiere el Anexo III, punto 1(a), el artículo 14(5) impone un requisito adicional de supervisión humana: no se podrá adoptar ninguna medida ni decisión sobre la base de la identificación a menos que haya sido verificada y confirmada por separado por al menos dos personas físicas con la competencia, la formación y la autoridad necesarias. Esto se conoce como el principio de las cuatro miradas.
Los implementadores están sujetos a las obligaciones menos estrictas, pero no por ello menos importantes, de los artículos 26 y 27: uso conforme a las instrucciones de uso, supervisión humana competente, monitoreo del funcionamiento del sistema, notificación de riesgos e incidentes graves y conservación de los registros durante al menos seis meses. Los empleados que trabajarán con el sistema y las personas a quienes se les aplicará deben ser informados con antelación.
Determinados operadores también deben realizar una evaluación de impacto sobre los derechos fundamentales, la Evaluación de Impacto sobre los Derechos Fundamentales prevista en el artículo 27. Esto se aplica en cualquier caso a los organismos de derecho público, a los proveedores privados de servicios públicos y a los operadores que utilizan sistemas de calificación crediticia o de evaluación de riesgos en seguros de vida y de salud.
Cronograma y estado actual
La Ley de IA entró en vigor el 1 de agosto de 2024 y su aplicación se realizará por fases. En la práctica, es importante distinguir entre las obligaciones que ya están vigentes, las que tendrán una fecha de aplicación futura y las modificaciones anunciadas cuya entrada en vigor formal aún no se ha completado.
Prácticas prohibidas (Artículo 5): Aplicable desde el 2 de febrero de 2025.
Alfabetización en IA (Artículo 4): Aplicable desde el 2 de febrero de 2025.
Modelos de IA de propósito general: Aplicables desde el 2 de agosto de 2025.
Obligaciones de transparencia (Artículo 50): Aplicables a partir del 2 de agosto de 2026; no se aplazan.
Alto riesgo según el Anexo III: Formalmente, todavía el 2 de agosto de 2026; una vez que la Ley Ómnibus entre en vigor, el 2 de diciembre de 2027 como muy tarde.
Alto riesgo según el Anexo I: Formalmente, todavía el 2 de agosto de 2027; una vez que la Ley Ómnibus entre en vigor, el 2 de agosto de 2028 como muy tarde.
El 19 de noviembre de 2025, la Comisión Europea publicó el paquete Ómnibus Digital, en el que proponía aplazar la aplicación de las obligaciones para los sistemas de IA de alto riesgo. El 7 de mayo de 2026 se alcanzó un acuerdo político provisional. El Parlamento Europeo lo ratificó el 16 de junio de 2026 y el Consejo lo aprobó definitivamente el 29 de junio de 2026.
A la fecha de referencia de este artículo, la publicación en el Diario Oficial de la Unión Europea aún no se ha completado. La modificación entrará en vigor el tercer día siguiente a dicha publicación. Hasta entonces, el calendario original de la Ley de IA seguirá siendo la ley aplicable, con el 2 de agosto de 2026 como fecha de aplicación de las obligaciones de alto riesgo previstas en el Anexo III. Se prevé que la publicación se produzca antes de esa fecha, pero aún no está confirmada.
Además, el aplazamiento está condicionado a la aplicación de las obligaciones para los sistemas de IA de alto riesgo. Esta se vincula a una decisión de la Comisión que determine la disponibilidad de las normas armonizadas y los instrumentos de apoyo necesarios, seguida de un período transitorio. Las fechas del 2 de diciembre de 2027 y del 2 de agosto de 2028 funcionan como fechas límite, y no como un simple aplazamiento.
Dos puntos merecen atención por separado. Primero, las obligaciones de transparencia del artículo 50 y la obligación de alfabetización en IA del artículo 4 no se han aplazado: se mantienen en su calendario original. Segundo, el paquete añade una nueva prohibición al artículo 5, dirigida a las aplicaciones de IA que generan imágenes íntimas no consentidas y al material de abuso sexual infantil generado por IA.
Para las organizaciones, esto significa que planificar teniendo en cuenta diciembre de 2027 es sensato, pero que, por ahora, el registro de datos debe organizarse como si agosto de 2026 siguiera vigente, hasta que el Diario Oficial indique lo contrario.
Supervisión y sanciones
En los Países Bajos, a la fecha de referencia de este artículo, aún no existe legislación de implementación para la Ley de IA. Se espera que la Autoridad Neerlandesa de Infraestructura Digital y la Autoridad Neerlandesa de Protección de Datos asuman un papel central de coordinación, mientras que los supervisores sectoriales seguirán siendo responsables dentro de sus respectivos ámbitos. Sin embargo, la distribución precisa de competencias y su fundamento legal deberán determinarse en función de la legislación neerlandesa de implementación definitiva.
El artículo 99 de la Ley de IA establece varias categorías de sanciones máximas. El nivel depende de la naturaleza de la infracción y, cuando corresponda, de la facturación anual mundial de la empresa. La sanción máxima más alta se aplica a la infracción de las prácticas prohibidas del artículo 5; una sanción máxima más baja se aplica a la infracción de las demás obligaciones, incluidas las de los proveedores y operadores de sistemas de IA de alto riesgo; y la más baja se aplica al suministro de información incorrecta, incompleta o engañosa a las autoridades. Se aplica un régimen más favorable a las pequeñas y medianas empresas (pymes), incluidas las empresas emergentes. La sanción efectiva se determina teniendo en cuenta la normativa aplicable en materia de sanciones y las circunstancias del caso.
Hoja de ruta práctica
- Realice un inventario de todos los sistemas de IA que su organización desarrolla, compra o utiliza.
- Determina para cada sistema qué rol desempeñas: proveedor o implementador.
- Determinar la categoría de riesgo para cada sistema y documentar esa evaluación, incluyendo cualquier dependencia de la excepción del Artículo 6(3).
- Establecer un sistema de gobernanza de la IA y designar un responsable.
- Garantizar la alfabetización en inteligencia artificial entre el personal que trabaja con estos sistemas; esa obligación ya se aplica.
- Preparar las medidas de transparencia previstas en el artículo 50 con miras al 2 de agosto de 2026.
- Comience con suficiente antelación la elaboración de la documentación técnica y, cuando sea necesario, la evaluación del impacto en los derechos fundamentales.
- Revisar los contratos con los proveedores en lo que respecta a la asignación de funciones, el suministro de información y los derechos de auditoría.
- Supervise la publicación del paquete informativo en el Diario Oficial y ajuste su planificación en consecuencia.
Conclusión
La Ley de IA afecta fundamentalmente la forma en que las organizaciones desarrollan, adquieren y utilizan la IA. El aplazamiento anunciado de las obligaciones de alto riesgo proporciona tiempo adicional, pero aún no es ley aplicable, y las obligaciones que ya se aplican o entran en vigor el 2 de agosto de 2026 no se ven afectadas por ello. Por lo tanto, un enfoque prudente es planificar en función de las nuevas fechas, sin dejar de estar preparados para las anteriores. Para obtener una visión general más amplia de la normativa, consulte nuestra Guía completa de la Ley de IA de la UE, lo cual complementa el enfoque de este artículo en los sistemas de IA de alto riesgo.
Law & More Ayudamos a las organizaciones a inventariar y clasificar sus sistemas de IA, determinar su rol como proveedor o implementador, revisar y redactar contratos con proveedores de IA y establecer la gobernanza de la IA. ¿Le gustaría saber qué obligaciones se aplican actualmente a su organización y qué pasos deberían ser prioritarios? No dude en contactarnos para una conversación sin compromiso.
Preguntas frecuentes
A continuación respondemos a las preguntas que nos hacen con más frecuencia sobre este tema.
¿Qué es la Ley de IA?
El Reglamento europeo sobre inteligencia artificial (Reglamento (UE) 2024/1689) entró en vigor el 1 de agosto de 2024 y se aplica por fases, con obligaciones que se vuelven más estrictas a medida que aumenta el riesgo que plantea un sistema de IA.
¿Cuándo se considera que un sistema de IA presenta un alto riesgo?
Mediante dos vías: como parte de un producto amparado por la legislación de productos que figura en el Anexo I, o mediante su uso en alguno de los ámbitos enumerados en el Anexo III. En este último caso, el ámbito por sí solo no es determinante; también se tienen en cuenta la función específica y las condiciones del artículo 6.
¿Puede un sistema del Anexo III quedar, no obstante, fuera de la categoría de alto riesgo?
Sí, siempre que no suponga un riesgo significativo ni influya de forma sustancial en la toma de decisiones, por ejemplo, cuando se trate de una tarea procedimental o puramente preparatoria. Dicha evaluación debe documentarse. Cuando el sistema realiza perfiles de personas físicas, la excepción no se aplica en ningún caso.
¿Soy proveedor o implementador?
Se le considera proveedor si desarrolla el sistema o lo comercializa bajo su propio nombre o marca registrada, y generalmente implementador si utiliza un sistema adquirido. Si modifica sustancialmente un sistema adquirido o lo revende bajo su propio nombre, aún podría ser considerado proveedor.
¿Qué obligaciones se aplican a los proveedores?
Entre otros, gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, instrucciones de uso, supervisión humana, requisitos de precisión y ciberseguridad, un sistema de gestión de calidad, una evaluación de la conformidad, marcado CE y registro en la base de datos de la UE.
¿Qué obligaciones se aplican a los operadores de despliegue?
Utilizar el sistema de acuerdo con las instrucciones, bajo la supervisión de personal competente, realizar el seguimiento, notificar los riesgos e incidentes graves y conservar los registros durante al menos seis meses. Los empleados implicados y las personas a las que se les aplique el sistema deberán ser informados con antelación.
¿Cuándo debe realizarse una evaluación de impacto sobre los derechos fundamentales?
El artículo 27 exige esto, entre otros, a los organismos regidos por el derecho público, a los proveedores privados de servicios públicos y a las entidades que utilizan sistemas de calificación crediticia o de evaluación de riesgos en los seguros de vida y de salud.
¿Se han aplazado las obligaciones de alto riesgo?
Una enmienda aprobada aplaza la aplicación del Anexo III hasta, como máximo, el 2 de diciembre de 2027 y la del Anexo I hasta el 2 de agosto de 2028. A la fecha de referencia de este artículo, dicha enmienda aún no se ha publicado en el Diario Oficial, por lo que la fecha original del 2 de agosto de 2026 sigue vigente formalmente.
¿Qué es aplicable hoy en día?
Las prácticas prohibidas del artículo 5 y la obligación de alfabetización en IA desde el 2 de febrero de 2025, y las normas para modelos de IA de propósito general desde el 2 de agosto de 2025. Las obligaciones de transparencia del artículo 50 entran en vigor el 2 de agosto de 2026 y no se han aplazado.
¿Quién supervisa la Ley de IA en los Países Bajos?
Aún falta la legislación de implementación. Se espera que la Autoridad Neerlandesa de Infraestructura Digital y la Autoridad Neerlandesa de Protección de Datos asuman un papel central de coordinación, junto con los organismos de supervisión sectoriales. La distribución final de competencias se definirá en la legislación neerlandesa de implementación.
¿Qué debería hacer mi organización ahora?
Comience con un inventario de todos los sistemas de IA que desarrolle, adquiera o utilice. Registre para cada sistema su rol, la categoría de riesgo aplicable y las obligaciones que conlleva. Además, establezca la gobernanza de la IA, garantice la alfabetización en IA y revise los contratos con los proveedores en cuanto a la asignación de roles, el suministro de información y los derechos de auditoría.
