No todos los usos de IA en una empresa se someten al mismo nivel de exigencia legal. Un chatbot que responde preguntas frecuentes sobre horarios de atención no tiene nada que ver, a ojos del AI Act europeo, con un sistema que decide a quién se contrata o a quién se le concede un préstamo. Esa diferencia de tratamiento se organiza alrededor de un concepto central del reglamento: la IA de alto riesgo, una categoría que determina si tu empresa se enfrenta a un puñado de recomendaciones de buenas prácticas o a un conjunto extenso de obligaciones legales exigibles.
Qué es la IA de alto riesgo
El AI Act europeo clasifica los sistemas de IA en distintos niveles según el riesgo que representan para los derechos, la seguridad o los intereses de las personas. En el nivel más exigente, sin llegar a estar directamente prohibidos, están los sistemas de alto riesgo: aquellos usados en ámbitos como la selección de personal, la evaluación crediticia, el acceso a servicios esenciales, la educación, ciertos usos en infraestructuras críticas o la administración de justicia, entre otros listados de forma expresa en el reglamento.
Una forma sencilla de entenderlo es pensar en cómo se regulan los medicamentos. Un analgésico de venta libre y un fármaco de uso hospitalario controlado no se someten a los mismos requisitos, aunque ambos sean medicamentos: cuanto mayor es el impacto potencial en la salud de la persona, más estrictos son los controles exigidos antes de que pueda comercializarse y usarse. El AI Act aplica una lógica parecida: cuanto más puede afectar un sistema de IA a la vida, los derechos o las oportunidades de una persona, más obligaciones exige a quien lo desarrolla y a quien lo utiliza.
Es importante entender que la calificación de "alto riesgo" no depende de la tecnología en sí —no es que un modelo más potente sea automáticamente de mayor riesgo—, sino del uso concreto que se le da. El mismo modelo de IA puede ser de bajo riesgo si se usa para generar borradores de textos internos, y de alto riesgo si se usa para filtrar candidaturas de empleo.
Por qué importa para la decisión de negocio
El primer motivo es que las obligaciones para un sistema de alto riesgo no son simbólicas: incluyen la exigencia de una evaluación de conformidad, sistemas de gestión de riesgos, calidad de los datos de entrenamiento, documentación técnica detallada, supervisión humana efectiva y registro del sistema en una base de datos europea, entre otros requisitos. Una empresa que use un sistema de este tipo sin cumplir estas obligaciones se enfrenta a un riesgo legal considerablemente mayor que con otros usos de IA.
El segundo motivo es que la responsabilidad no recae únicamente en quien desarrolla el sistema. El AI Act distingue entre proveedor y "responsable del despliegue" (la empresa que usa el sistema en su actividad), y este último también tiene obligaciones propias, como usar el sistema conforme a las instrucciones del proveedor, garantizar la supervisión humana o informar a las personas afectadas cuando corresponda. No basta con "comprarle la conformidad" a un buen proveedor: tu empresa también tiene deberes que cumplir en su propio uso del sistema.
El tercer motivo es estratégico: identificar a tiempo si un proyecto de IA entra en la categoría de alto riesgo permite planificar el cumplimiento desde el diseño, en lugar de descubrirlo tarde y tener que reconstruir procesos y documentación bajo presión, con el coste y el riesgo que eso implica.
Hay también un efecto sobre los plazos del propio proyecto: los sistemas de alto riesgo requieren procesos de evaluación y documentación que no se improvisan en pocas semanas, así que identificar esta clasificación tarde puede retrasar meses la puesta en marcha, con el coste de oportunidad que eso implica frente a competidores que sí lo planificaron desde el principio.
Qué preguntas debe hacer tu empresa al proveedor
- ¿Este sistema de IA está clasificado, o podría estarlo según su uso previsto en mi empresa, como de alto riesgo conforme al AI Act?
- ¿El proveedor ha realizado ya la evaluación de conformidad correspondiente, y puede compartir la documentación técnica que la respalda?
- ¿Qué obligaciones concretas traslada el proveedor a mi empresa como responsable del despliegue del sistema?
- ¿Qué mecanismos de supervisión humana incorpora el sistema, y son suficientes para cumplir con lo que exige el reglamento en este tipo de uso?
- ¿Cómo se documentan las decisiones del sistema para poder demostrar, si es necesario, que se ha usado conforme a la normativa?
Estas preguntas conectan directamente con el análisis de seguridad y privacidad de los agentes de IA, y conviene resolverlas antes de poner el sistema en producción, no después de un incidente: las sanciones por incumplir el AI Act recaen precisamente sobre quienes descubren tarde en qué categoría estaba su sistema.
Qué NO es la IA de alto riesgo
Un error extendido es pensar que solo las grandes empresas tecnológicas, o quienes desarrollan modelos desde cero, están sujetas a estas obligaciones. En realidad, cualquier pyme que use un sistema de IA de alto riesgo en su actividad —aunque lo haya comprado como servicio a un tercero, sin haber programado una sola línea de código— asume obligaciones propias como responsable del despliegue.
Tampoco es cierto que la clasificación dependa del tamaño del proyecto o del presupuesto invertido en él. Una pequeña herramienta de cribado de currículums construida con recursos limitados puede entrar en la categoría de alto riesgo exactamente igual que un sistema desarrollado por una gran consultora, porque lo que determina la clasificación es el ámbito de uso, no la envergadura del proyecto.
Tampoco es correcto asumir que un sistema queda fuera de la categoría de alto riesgo solo porque interviene una persona en la decisión final: si esa supervisión humana es meramente formal, sin capacidad real de cuestionar o corregir la recomendación del sistema, la normativa puede seguir considerando que el riesgo del sistema automatizado no se ha mitigado de forma efectiva. Y, por último, no es una categoría permanente e inmutable para un mismo sistema: si tu empresa cambia el uso que le da a una herramienta de IA —por ejemplo, empieza a usar para decisiones de contratación una herramienta que originalmente solo generaba borradores de ofertas de empleo—, la clasificación de riesgo puede cambiar con ese nuevo uso, y las obligaciones aplicables cambian con ella.
Conclusión
Saber si un sistema de IA entra en la categoría de alto riesgo del AI Act no es un ejercicio teórico: determina si tu empresa se enfrenta a un puñado de buenas prácticas recomendables o a un marco legal detallado de obligaciones exigibles, con consecuencias reales si no se cumplen. Identificarlo antes de implantar el sistema es mucho más sencillo que corregirlo después.
Si tu empresa quiere saber si un proyecto de IA que está evaluando podría clasificarse como de alto riesgo, pide un diagnóstico gratuito y lo analizamos juntos.