El Reglamento de IA de la UE (Reglamento (UE) 2024/1689) clasifica los sistemas de IA en cuatro niveles de riesgo: prohibido, alto riesgo, riesgo limitado y riesgo mínimo. La categoría de alto riesgo — definida en el Artículo 6 más las listas del Anexo I y el Anexo III — es donde se concentran la mayoría de las obligaciones de IA empresarial.

El Anexo III contiene ocho categorías de casos de uso de alto riesgo: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración y justicia/democracia. Si su IA encaja en alguna de ellas, se enfrenta a todo el conjunto de requisitos de evaluación de la conformidad, documentación técnica, supervisión humana y vigilancia poscomercialización — y a sanciones de hasta 15 millones EUR o el 3 % del volumen de negocio mundial.

Las obligaciones de alto riesgo se aplican a partir del 2 de agosto de 2026. El Artículo 6(3) prevé una excepción restringida si la IA solo realiza una "tarea procedimental específica", mejora el resultado de una actividad humana previamente completada, detecta desviaciones respecto a un patrón de decisión sin reemplazarlo, o realiza una tarea preparatoria.

El Reglamento de IA de la UE es la primera regulación horizontal e integral de la IA a nivel mundial. Se aplica a los proveedores que introducen sistemas de IA en el mercado de la UE y a los responsables del despliegue que utilizan sistemas de IA en la UE — incluidas las empresas no pertenecientes a la UE cuyos resultados se utilizan en la UE (Artículo 2).

Al igual que el RGPD, el Reglamento de IA es extraterritorial. Al igual que el RGPD, su incumplimiento conlleva sanciones basadas en un porcentaje del volumen de negocio. A diferencia del RGPD, contiene categorías explícitas de casos de uso prohibidos y un volumen mucho mayor de requisitos previos a la comercialización para los sistemas de alto riesgo.

• Prohibido (Artículo 5). Vetado en la UE con independencia de las medidas de cumplimiento. Sanción: hasta 35 M EUR o el 7 % del volumen de negocio mundial.
• Alto riesgo (Artículo 6 + Anexo I + Anexo III). Permitido pero fuertemente regulado — evaluación de la conformidad, EIDF, registro y supervisión continua. Sanción: hasta 15 M EUR o el 3 % del volumen de negocio mundial.
• Riesgo limitado (Artículo 50). Únicamente obligaciones de transparencia — informar a los usuarios, etiquetar el contenido sintético.
• Riesgo mínimo. Sin obligaciones específicas en virtud del Reglamento de IA. Se fomentan los códigos de conducta voluntarios.

La mayoría de la IA empresarial encaja en alto riesgo (por casos de uso de RR. HH., crédito o biometría) o en riesgo limitado (por despliegues de chatbots).

El Artículo 6 clasifica un sistema de IA como de alto riesgo si cumple cualquiera de estas condiciones:

1. Artículo 6(1) + Anexo I. El sistema es un componente de seguridad de un producto, o es en sí mismo un producto, cubierto por determinada legislación de armonización de la UE (máquinas, juguetes, ascensores, productos sanitarios, productos sanitarios para diagnóstico in vitro, aviación civil, vehículos agrícolas, equipos marinos, equipos radioeléctricos, etc.) Y dicho producto debe someterse a una evaluación de la conformidad por un tercero en virtud de esa legislación.
2. Artículo 6(2) + Anexo III. El sistema entra dentro de una de las ocho categorías de casos de uso del Anexo III.

Muchos sistemas cumplen ambas pruebas; la vía del Anexo III es la que la mayoría de los equipos de producto necesitan comprender.

El Artículo 6(3) establece una exención restringida. Un sistema de IA enumerado en el Anexo III no es de alto riesgo si no plantea un riesgo significativo de causar perjuicios a la salud, la seguridad o los derechos fundamentales de las personas físicas, también por no influir sustancialmente en el resultado de la toma de decisiones. Las condiciones del Artículo 6(3) son:

1. El sistema realiza una tarea procedimental específica;
2. Está destinado a mejorar el resultado de una actividad humana previamente completada;
3. Está destinado a detectar patrones de toma de decisiones o desviaciones respecto a patrones de toma de decisiones anteriores y no pretende reemplazar ni influir en la evaluación humana previamente completada sin una revisión humana adecuada; o
4. Está destinado a realizar una tarea preparatoria de una evaluación pertinente a los efectos de los casos de uso enumerados en el Anexo III.

La excepción no se aplica si el sistema de IA realiza elaboración de perfiles de personas físicas. Cuando un proveedor concluye que un sistema del Anexo III no es de alto riesgo, debe documentar la evaluación (Artículo 6(4)) y registrar el sistema en la base de datos de la UE (Artículo 49).

Las obligaciones de alto riesgo son amplias. Los proveedores deben:

• Sistema de gestión de riesgos (Artículo 9) — proceso continuo, iterativo y de duración igual al ciclo de vida.
• Datos y gobernanza de datos (Artículo 10) — datos de entrenamiento, validación y prueba sujetos a criterios de calidad y examen de sesgos.
• Documentación técnica (Artículo 11) — elaborada antes de la introducción en el mercado y mantenida actualizada.
• Conservación de registros y registro de eventos (Artículo 12) — registros automáticos a lo largo de todo el ciclo de vida.
• Transparencia e información a los responsables del despliegue (Artículo 13) — instrucciones de uso, finalidad prevista, limitaciones.
• Supervisión humana (Artículo 14) — diseño que permita una supervisión efectiva por personas físicas durante el período en que el sistema esté en uso.
• Exactitud, solidez y ciberseguridad (Artículo 15) — niveles adecuados declarados en las instrucciones de uso.
• Sistema de gestión de la calidad (Artículo 17) — políticas, procedimientos e instrucciones por escrito.
• Evaluación de la conformidad (Artículo 43) — procedimiento interno para la mayoría de los sistemas del Anexo III; evaluación por un tercero para la biometría y determinados productos regulados.
• Declaración UE de conformidad y marcado CE (Artículos 47–48).
• Registro en la base de datos de la UE (Artículo 49).
• Vigilancia poscomercialización (Artículo 72) y notificación de incidentes graves (Artículo 73) — a la autoridad de vigilancia del mercado.

Los responsables del despliegue — las personas físicas o jurídicas que utilizan un sistema de IA bajo su autoridad — tienen obligaciones más livianas, pero reales:

• Utilizar el sistema conforme a las instrucciones facilitadas.
• Encomendar la supervisión humana a personas con la competencia, formación y autoridad necesarias.
• Vigilar la aparición de incidentes graves o fallos de funcionamiento y notificarlos conforme al Artículo 73.
• Los responsables del despliegue del sector público y determinados responsables del sector privado deben realizar una Evaluación de Impacto sobre los Derechos Fundamentales (EIDF) conforme al Artículo 27 — documentando el caso de uso, las personas afectadas, los riesgos de perjuicio y las medidas de mitigación.
• Los responsables del despliegue que utilicen IA para tomar decisiones sobre personas físicas deben informar a dichas personas (Artículo 26(11)).

• 2 de febrero de 2025 — entran en vigor las prácticas prohibidas del Artículo 5; obligaciones de alfabetización en materia de IA (Artículo 4).
• 2 de agosto de 2025 — entran en vigor las normas sobre IA de uso general (GPAI); los órganos de gobernanza pasan a ser operativos; las sanciones son aplicables.
• 2 de agosto de 2026 — se aplican las obligaciones para sistemas de alto riesgo del Anexo III.
• 2 de agosto de 2027 — se aplican las obligaciones de alto riesgo del Artículo 6(1) (componentes de seguridad de productos sujetos a la legislación del Anexo I).

• Prácticas prohibidas del Artículo 5 — hasta 35 M EUR o el 7 % del volumen de negocio anual mundial (Artículo 99(3)).
• Incumplimiento de otras obligaciones del Reglamento de IA — hasta 15 M EUR o el 3 % del volumen de negocio anual mundial (Artículo 99(4)).
• Suministro de información incorrecta, incompleta o engañosa a las autoridades — hasta 7,5 M EUR o el 1 % del volumen de negocio anual mundial (Artículo 99(5)).
• Pymes y empresas emergentes — las multas se aplican atendiendo a su viabilidad económica; puede aplicarse un límite porcentual inferior.