Plantilla de clasificación de riesgos del EU AI Act
Clasifique cada sistema de IA que use o desarrolle
El EU AI Act introduce cuatro niveles de riesgo para los sistemas de IA, cada uno con obligaciones de cumplimiento diferentes. Esta plantilla le ayuda a clasificar cada sistema de IA de su cartera, entender qué se requiere para cada nivel y construir la base de pruebas que necesita para el cumplimiento. Se aplica a las organizaciones que despliegan IA en la UE, independientemente de dónde tengan su sede. Actualizada en julio de 2026 para reflejar el ómnibus digital de junio de 2026 y los plazos aplazados para los sistemas de riesgo alto.
Árbol de decisión rápido para la clasificación
Calendario de cumplimiento
El ómnibus digital de la UE, adoptado formalmente en junio de 2026, aplazó los plazos para los sistemas de riesgo alto sin tocar las prohibiciones, las obligaciones GPAI ni las obligaciones de transparencia. Estas son las fechas que importan para la clasificación.
Guía de referencia de niveles de riesgo
Riesgo inaceptable
ProhibidoSistemas de IA que suponen una amenaza clara para los derechos fundamentales, la seguridad o los valores de la UE. Estas prácticas están prohibidas a partir del 2 de febrero de 2025. El ómnibus digital de junio de 2026 añadió una prohibición adicional para la IA que genera imágenes íntimas no consentidas o material de abuso sexual infantil, aplicable a partir del 2 de diciembre de 2026.
- •Sistemas de categorización biométrica que infieren atributos sensibles (origen, opinión política, religión, orientación sexual) a partir de datos biométricos
- •Identificación biométrica remota en tiempo real en espacios de acceso público por parte de las fuerzas del orden (con excepciones limitadas)
- •Sistemas de puntuación social por parte de autoridades públicas que conducen a un trato perjudicial
- •Sistemas de IA que explotan vulnerabilidades (edad, discapacidad, situación social/económica) para manipular el comportamiento
- •Técnicas subliminales que eluden la conciencia para distorsionar el comportamiento y causar daño
- •Vigilancia policial predictiva basada únicamente en la elaboración de perfiles o rasgos de personalidad (no en hechos objetivos y verificables)
- •Sistemas de IA que generan imágenes íntimas no consentidas o material de abuso sexual infantil (prohibición añadida por el ómnibus digital de junio de 2026, aplicable a partir del 2 de diciembre de 2026)
- Cesar el uso de inmediato
- No adquirir ni desplegar
- Documentar la revisión y la justificación de la exclusión
Riesgo alto
Cumplimiento total requeridoSistemas de IA utilizados en sectores críticos o aplicaciones de seguridad. Sujetos a requisitos estrictos antes de su comercialización. Los sistemas autónomos del Annex III deben cumplir a partir del 2 de diciembre de 2027, y la IA integrada en productos regulados del Annex I a partir del 2 de agosto de 2028 (fechas aplazadas por el ómnibus digital de junio de 2026).
- •Identificación y categorización biométricas (Annex III, 1)
- •Gestión de infraestructuras críticas: electricidad, agua, gas, transporte (Annex III, 2)
- •Evaluación educativa/profesional que determina el acceso a instituciones (Annex III, 3)
- •Decisiones de empleo: contratación, cribado de CV, asignación de tareas, promoción, despido (Annex III, 4)
- •Acceso a servicios esenciales: scoring crediticio, evaluación de riesgos de seguros, despacho de emergencias (Annex III, 5)
- •Fuerzas del orden: evaluación de riesgo individual, polígrafo, análisis criminal (Annex III, 6)
- •Gestión de migración, asilo y control de fronteras (Annex III, 7)
- •Administración de justicia y procesos democráticos (Annex III, 8)
- Sistema de gestión de riesgos (continuo, documentado)
- Gobernanza de datos y documentación de los datos de entrenamiento
- Documentación técnica (antes de la comercialización)
- Mantenimiento de registros y registro automático de eventos
- Transparencia y suministro de información a los implementadores
- Medidas de supervisión humana integradas desde el diseño
- Requisitos de exactitud, robustez y ciberseguridad
- Evaluación de conformidad de la UE (autoevaluación o por un tercero)
- Registro en la base de datos de la UE (Art. 71)
- Marcado CE y declaración de conformidad
- Sistema de vigilancia poscomercialización
- Notificación de incidentes a las autoridades nacionales
Riesgo limitado
Obligaciones de transparenciaSistemas de IA con riesgos específicos de transparencia. Los usuarios deben saber que están interactuando con una IA. Estas obligaciones se aplican desde el 2 de agosto de 2026; los sistemas generativos ya comercializados antes de esa fecha tienen hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado legible por máquina del artículo 50, apartado 2.
- •Chatbots y asistentes virtuales que interactúan con personas físicas
- •Sistemas de reconocimiento de emociones (divulgación obligatoria a las personas)
- •Imágenes, audio o vídeos deepfake generados por IA
- •Texto generado por IA publicado para informar al público sobre asuntos de interés público
- •Sistemas de categorización biométrica o de reconocimiento de emociones que no figuran en el Annex III
- Informar a los usuarios de que están interactuando con un sistema de IA (salvo que sea evidente por el contexto)
- Etiquetar el contenido generado por IA (imágenes, audio, vídeo, texto) como generado artificialmente
- Implementar soluciones técnicas para la procedencia del contenido (marca de agua recomendada)
Riesgo mínimo
Sin requisitos obligatoriosLa gran mayoría de los sistemas de IA en uso hoy en día entran aquí. Sin requisitos obligatorios del EU AI Act más allá del derecho general (RGPD, responsabilidad por productos, protección del consumidor). Se fomentan los códigos de conducta voluntarios.
- •Filtros antispam basados en IA
- •Gestión de inventario habilitada por IA
- •Motores de recomendación de productos
- •Moderación de contenido basada en IA (fuera del contexto de empleo o servicio público)
- •Herramientas de business intelligence y análisis
- •Asistentes de redacción de IA para uso interno (no noticias de cara al público)
- •Planificación y optimización logística asistidas por IA
- Sin obligaciones obligatorias en virtud del EU AI Act
- Considerar un código de conducta de IA voluntario
- Siguen aplicándose las obligaciones estándar del RGPD y de protección de datos
- Documentar la justificación de la clasificación con fines de auditoría
Automatice su cumplimiento del EU AI Act
Aona AI descubre cada herramienta de IA de su organización, la clasifica por riesgo y le ofrece los controles de gobernanza que exige el EU AI Act.