Los 4 niveles de riesgo del AI Act explicados por sector (ejemplos concretos)

Nivel 1 — Riesgo inaceptable (prohibido)

Estos sistemas están completamente prohibidos desde el 2 de febrero de 2025. Atentan contra los valores y derechos fundamentales de la UE.

• RRHH: un software que analiza las emociones de los empleados mediante la webcam durante las reuniones (reconocimiento de emociones en el trabajo — prohibido).
• Sector público: un sistema de puntuación social de los ciudadanos basado en su comportamiento.
• Marketing: una IA que explota las vulnerabilidades psicológicas de personas mayores para incitarlas a la compra.
• Seguridad: la recopilación no dirigida de imágenes faciales en internet para constituir una base de reconocimiento.

Ver: análisis de emociones en entrevista: lo que está prohibido.

Nivel 2 — Alto riesgo (Anexo III)

Es el nivel que concentra las obligaciones más exigentes. El Anexo III enumera ocho ámbitos. Los casos más frecuentes:

• RRHH: clasificación automatizada de CV, puntuación de candidatos, análisis de vídeo de entrevistas, calificación del rendimiento.
• Finanzas: scoring de solvencia, decisión de concesión de crédito, evaluación del riesgo en seguros de vida y salud.
• Salud / sociosanitario: ayuda al diagnóstico, priorización del acceso a la asistencia.
• Educación: calificación automática de exámenes, orientación de alumnos.
• Servicios esenciales: decisión de acceso a una prestación social.

Para estos sistemas: gestión de riesgos, calidad de los datos, documentación técnica, registro, transparencia, supervisión humana, robustez y ciberseguridad. Aplicables el 2 de diciembre de 2027 (aplazamiento del Digital Omnibus), pero su preparación debe comenzar mucho antes.

Nivel 3 — Riesgo limitado (transparencia)

Estos sistemas interactúan con humanos o generan contenido. La obligación es la transparencia (art. 50).

• Atención al cliente: un chatbot debe indicar claramente que se trata de una IA.
• Comunicación: una imagen o un texto generados por IA deben etiquetarse como tales.
• Medios: un deepfake debe identificarse como contenido artificial.
• Contabilidad: un asistente conversacional fiscal debe señalar su naturaleza y sus límites.

Detalles: obligaciones de transparencia (artículo 50).

Nivel 4 — Riesgo mínimo (ninguna obligación específica)

La gran mayoría de los sistemas de IA existentes pertenecen a este nivel: filtros antispam, correctores ortográficos, motores de recomendación básicos, IA de videojuegos. No se aplica ninguna obligación específica; se recomienda un código de conducta voluntario.

Punto de atención: una misma herramienta puede acumular varios niveles según sus funciones. Un SIRH puede tener un módulo de nóminas (riesgo mínimo) y un módulo de puntuación de candidatos (alto riesgo). Es la función la que se clasifica, no el software en su conjunto.

Cómo clasificar sus propios sistemas

El método es siempre el mismo: inventariar cada sistema, identificar su finalidad precisa, confrontarla con el Anexo III y el artículo 5, y después documentar la decisión de clasificación. Es este razonamiento, sistema por sistema, el que nuestro módulo AI Act automatiza y que nuestros expertos DPO validan. Punto de partida: cartografiar sus sistemas de IA en un registro.