El Reglamento de IA de la Unión Europea prohíbe nueve prácticas. Ocho se aplican desde el 2 de febrero de 2025 y la novena, relacionada con la IA que genera contenido sexual explícito o íntimo sin consentimiento, entrará en diciembre de 2026. Casi todas están pensadas para vigilancia, manipulación o abuso, y una pyme normal que usa IA para atender clientes, ordenar facturas o redactar presupuestos rara vez se acerca a ellas.
Aun así, conviene conocerlas. Son la única parte del Reglamento que simplemente dice "esto no se hace", sin grados de riesgo ni trámites intermedios, y alguna puede aparecer sin que lo notes dentro de una herramienta que has contratado. Esta es la lista corta, pensada para quien decide y no para quien programa.
¿Cuáles son las nueve prácticas de IA prohibidas?
Son estas, descritas con palabras llanas. El texto exacto de cada una, con sus excepciones, está en el artículo 5 del Reglamento, y quien debe interpretarlo en un caso concreto es tu asesor jurídico.
- Manipular a las personas con técnicas que actúan por debajo de su conciencia o que las engañan, para llevarlas a decidir algo que no habrían decidido y que les causa un perjuicio.
- Aprovecharse de una vulnerabilidad, como la edad, una discapacidad o una situación social o económica difícil, para distorsionar su comportamiento.
- Puntuar socialmente a las personas según su conducta o sus rasgos, con consecuencias injustificadas o desproporcionadas.
- Predecir que alguien cometerá un delito basándose únicamente en su perfil o en sus rasgos de personalidad.
- Crear bases de datos de reconocimiento facial extrayendo imágenes de internet o de cámaras de vigilancia de forma indiscriminada.
- Reconocer emociones en el trabajo y en centros educativos, salvo razones médicas o de seguridad.
- Clasificar a las personas por rasgos biométricos para deducir datos especialmente sensibles, como el origen, las ideas políticas, las creencias o la orientación sexual.
- Identificar a personas a distancia y en tiempo real con datos biométricos en espacios públicos para fines policiales, salvo excepciones muy tasadas.
- Generar contenido sexual explícito o íntimo no consentido, o material de abuso sexual infantil, como las aplicaciones de "desnudar" a personas con IA.
¿Cuáles se aplican ya y cuál entra en diciembre de 2026?
Las ocho primeras ya se aplican: según la Comisión Europea, las prácticas de IA prohibidas son exigibles desde el 2 de febrero de 2025. La novena es la más reciente: se añadió con la reforma conocida como "Digital Omnibus on AI" y será efectiva desde diciembre de 2026. A principios de octubre de 2026, esa última todavía está anunciada y aún no es exigible.
Las fechas de otras partes del Reglamento son distintas. Las reglas generales se aplican desde el 2 de agosto de 2026, y las de los sistemas de alto riesgo se han aplazado hasta 2027 y 2028. No las confundas con las prohibiciones, que ya están en marcha. Si quieres profundizar en los plazos, mira AI Act: sanciones y plazos que debe conocer tu pyme.
¿Puede una pyme rozar alguna sin darse cuenta?
Puede, aunque es poco probable. Las prohibiciones 4, 5 y 8 se refieren a policía, vigilancia y bases de imágenes masivas, que no son el día a día de una pyme. Donde sí conviene mirar dos veces es en los usos que tocan a personas concretas:
- Empleados: un programa que analiza la cara o la voz de tu plantilla para deducir su estado de ánimo (prohibición 6). Si alguien te lo ofrece como "medidor de motivación", es una señal para parar y preguntar.
- Clientes: campañas que usan la IA para empujar a decidir aprovechando la edad, la soledad o los apuros económicos de un colectivo (prohibiciones 1 y 2), o sistemas que puntúan a clientes por su conducta con consecuencias desproporcionadas (prohibición 3).
- Cámaras y biometría: herramientas que clasifican a personas por rasgos físicos para deducir creencias o preferencias (prohibición 7).
- Contenido: cualquier aplicación que fabrique imágenes íntimas de personas reales (prohibición 9).
El reconocimiento facial para fichar o controlar accesos no está entre las nueve, pero trata datos biométricos y tiene sus propias exigencias de protección de datos. Para eso, consulta con tu asesor. Y si trabajas con cámaras o biometría, tienes un repaso en AI Act y biometría: qué usos de IA están prohibidos.
Un repaso de diez minutos en tu empresa
Esto lo puede preparar un agente y lo debe validar una persona:
- Inventario: lista las herramientas con IA que usa tu equipo, incluidas las que vienen dentro de otros programas. Un agente puede ayudarte a recogerlas a partir de las facturas y los accesos.
- Una pregunta por herramienta: ¿analiza emociones, perfila a personas o genera imágenes de personas reales?
- Preguntar al proveedor por escrito si alguna función entra en las prácticas prohibidas.
- Guardar la respuesta junto al resto de la documentación de la herramienta.
- Revisión humana: lo que despierte dudas lo decide el responsable y, si hace falta, el asesor jurídico. El agente no valora la legalidad de un uso.
¿Qué pasa si se incumple una prohibición?
Las multas por incumplir las prácticas prohibidas son las más altas del Reglamento: pueden llegar a 35 millones de euros o, si el infractor es una empresa, al 7 % de su volumen de negocios mundial del ejercicio anterior, aplicándose la cuantía mayor. En el caso de las pymes, incluidas las empresas emergentes, se aplica la cuantía que sea menor. No son importes que se impongan de forma automática: la sanción concreta depende de las circunstancias y de las autoridades de cada país. Lo que debes retener es que esta es la categoría más grave y que el mejor seguro es no usar nada que se parezca a la lista.
Fuentes
- Comisión Europea, AI Act: marco regulatorio de la IA, consultada el 1 de octubre de 2026.
- Comisión Europea, AI Act Service Desk, artículo 99: sanciones, consultado el 1 de octubre de 2026.
Conclusión
Las nueve prácticas prohibidas forman una lista corta y fácil de recordar: manipular, explotar vulnerabilidades, puntuar socialmente, predecir delitos por perfil, rastrear rostros masivamente, leer emociones en el trabajo y la escuela, deducir rasgos sensibles con biometría, identificar en público para la policía y generar contenido íntimo no consentido. Una pyme rara vez las roza, pero merece la pena preguntar a cada proveedor y dejar la respuesta por escrito.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica: no diseñamos agentes para ninguna de estas prácticas y dejamos las decisiones sobre personas en manos de profesionales.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.