18.08.2026
¿Es mi sistema de IA de alto riesgo?
El Reglamento (UE) 2024/1689 (AI Act), ya es una realidad operativa para las empresas que desarrollan, comercializan o utilizan sistemas de inteligencia artificial en Europa. Desde agosto de 2024, el Reglamento está en vigor y sus obligaciones se aplican de forma escalonada, con plazos que ya están llegando a vencimiento. Sin embargo, una de las preguntas más frecuentes y más decisivas que recibimos de nuestros clientes sigue sin tener una respuesta sencilla: ¿Mi sistema de IA es de alto riesgo?
La respuesta a esta pregunta determina todo lo demás: si la empresa necesita una evaluación de conformidad, documentación técnica exhaustiva, un sistema de gestión de calidad, supervisión humana obligatoria, marcado CE y registro en la base de datos europea, o si puede operar con obligaciones significativamente menores.
Clasificar incorrectamente un sistema de IA no es un error menor. Las consecuencias incluyen multas de hasta 15 millones de euros o el 3 % del volumen de negocio mundial para incumplimientos graves del régimen de sistemas de alto riesgo, el bloqueo de la comercialización del producto, la retirada del mercado por orden de la autoridad de vigilancia y, en España, sanciones adicionales conforme al Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, actualmente en tramitación parlamentaria.
La Reforma del AI Act vigente desde el 27 de julio de 2026 (Digital Omnibus on AI) ha aplazado la entrada en aplicación de las obligaciones de alto riesgo del Anexo III al 2 de diciembre de 2027, y las del Anexo I al 2 de agosto de 2028. Sin embargo, esto no debe generar una falsa sensación de seguridad: las empresas deben prepararse ahora, porque la clasificación, la documentación y los sistemas de gestión de calidad requieren meses de trabajo previo.
¿Cuándo un sistema de IA es de alto riesgo?
El AI Act establece dos vías principales de clasificación de alto riesgo, reguladas en el artículo 6 del Reglamento:
- La primera vía (artículo 6.1) se aplica cuando el sistema de IA es un componente de seguridad de un producto regulado por la legislación de armonización de la Unión (Anexo I), o es él mismo uno de esos productos, y además dicho producto debe someterse a una evaluación de conformidad de terceros. Aquí entran dispositivos médicos, vehículos, aviación, maquinaria, equipos radioeléctricos y productos similares.
- La segunda vía (artículo 6.2) incluye los sistemas de IA contemplados en el Anexo III del Reglamento, que abarca ocho ámbitos especialmente sensibles: biometría e identificación remota, infraestructuras críticas, educación y formación profesional, empleo y gestión de trabajadores, acceso a servicios esenciales y prestaciones públicas, evaluación crediticia, cumplimiento del Derecho, administración de justicia y procesos democráticos.
No obstante, el artículo 6.3 permite excluir de la clasificación de alto riesgo a sistemas del Anexo III que no planteen riesgo importante para la salud, seguridad o derechos fundamentales, siempre que realicen tareas de procedimiento limitado, mejoren resultados de actividades humanas previas, detecten patrones sin sustituir la valoración humana, o efectúen tareas preparatorias. Sin embargo, si el sistema realiza elaboración de perfiles de personas físicas (profiling), será siempre de alto riesgo, sin excepciones.
Es fundamental entender que esta autoexclusión no es libre ni opaca. El proveedor que considere que su sistema no es de alto riesgo debe documentar esa evaluación antes de comercializarlo y registrarla conforme al artículo 49 AI Act.
¿Qué diferencia hay entre las obligaciones del provider y del deployer?
El AI Act distingue claramente entre el proveedor (provider) y el responsable del despliegue (deployer), y las obligaciones de cada uno son muy diferentes:
- El proveedor es quien desarrolla el sistema de IA o para quien se desarrolla, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca. Sus obligaciones incluyen garantizar que el sistema cumple todos los requisitos técnicos, contar con un sistema de gestión de calidad, conservar la documentación técnica y los registros, someter el sistema a evaluación de conformidad, elaborar la declaración UE de conformidad, colocar el marcado CE, registrar el sistema y adoptar medidas correctoras cuando proceda.
- El responsable del despliegue (deployer) es quien utiliza el sistema de IA bajo su propia autoridad en el ejercicio de su actividad profesional. Sus obligaciones incluyen utilizar el sistema conforme a las instrucciones del proveedor, garantizar que las personas encargadas de la supervisión humana tengan competencia y formación suficientes, vigilar el funcionamiento del sistema, conservar los registros bajo su control, notificar incidentes graves e informar a las personas afectadas.
Existe además un supuesto crítico que muchas empresas desconocen: un deployer, importador o distribuidor puede convertirse en proveedor si pone su nombre o marca en un sistema de alto riesgo, si introduce una modificación sustancial o si cambia la finalidad prevista del sistema. Esto es especialmente relevante para empresas tecnológicas que integran, personalizan o re-etiquetan soluciones de IA de terceros.
Cómo puede ayudar Rebes-Ferrer
En Rebes-Ferrer acompañamos a empresas proveedoras y deployers de IA en todo el ciclo de cumplimiento normativo.
- Realizamos la clasificación regulatoria de cada sistema de IA.
- Ejecutamos gap assessments regulatorios completos, identificando las brechas entre la situación actual de la empresa y los requisitos del AI Act.
- Y asistimos en la preparación documental integral.
Trabajamos tanto con proveedores que necesitan cumplir antes de introducir su producto en el mercado, como con responsables del despliegue que deben garantizar un uso diligente y conforme del sistema en su organización.
Actúe antes de que los plazos le alcancen. Aunque la reforma de 2026 ha concedido un tiempo adicional, los plazos están definidos y son firmes: diciembre de 2027 para sistemas de alto riesgo del Anexo III, agosto de 2028 para los del Anexo I. El trabajo de clasificación, documentación, implantación de sistemas de calidad y preparación de la evaluación de conformidad requiere una planificación anticipada que no admite improvisación.
Alba Terés | Departamento IA-Gobernanza Digital
