Servicio 04.4
Reglamento europeo de IA
El mismo modelo puede ser de alto riesgo en selección de personal y de riesgo mínimo en una tarea interna. Lo que clasifica no es la tecnología: es el uso.
Qué es
El trabajo sobre el Reglamento europeo de inteligencia artificial determina la clasificación de riesgo de cada sistema que la entidad usa o comercializa, el papel que ocupa respecto de él y las obligaciones que se derivan. Economía y Diplomacia entrega el inventario de sistemas y el plan de conformidad.
¿Le aplica?
Marque los supuestos que reconozca en su organización.
Qué ocurre si no se actúa
El incumplimiento de la prohibición de las prácticas del artículo 5 se sanciona con multas de hasta treinta y cinco millones de euros o el siete por ciento del volumen de negocios mundial total del ejercicio anterior, la cuantía que sea mayor. Otros incumplimientos alcanzan quince millones o el tres por ciento. El tramo más alto no exige un sistema sofisticado: basta con incurrir en una práctica prohibida.
Qué recibe
Inventario de sistemas y plan de conformidad: cada sistema con su clasificación justificada, el papel de la entidad, las obligaciones que le corresponden y el calendario para cumplirlas.
Fases del encargo
- 01
Inventario
Se identifican todos los sistemas de IA en uso o comercializados, con su finalidad concreta.
- 02
Papel
Se determina si la entidad es proveedor, responsable del despliegue, importador o distribuidor de cada sistema.
- 03
Clasificación
Se clasifica por riesgo atendiendo a finalidad y contexto de uso, con la justificación por escrito.
- 04
Obligaciones
Se derivan las obligaciones concretas de cada sistema y se contrastan con lo existente.
- 05
Plan
Se fija el calendario de conformidad y la evidencia que debe producirse.
Qué convierte un sistema en de alto riesgo
El artículo 6 y el anexo III del Reglamento (UE) 2024/1689 lo definen: ser componente de seguridad de un producto sujeto a legislación armonizada, o destinarse a biometría, infraestructuras críticas, educación, empleo y selección de personal, acceso a servicios esenciales y a crédito, aplicación de la ley, migración o administración de justicia.
Confundir el papel altera el régimen entero
El proveedor debe establecer gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana y niveles de precisión y ciberseguridad. El responsable del despliegue debe usar el sistema conforme a instrucciones, encomendar la supervisión a personas competentes y conservar los registros. Usar el sistema de un tercero no traslada la responsabilidad.
Errores frecuentes
Clasificar por tecnología y no por finalidad; suponer que integrar un modelo de terceros elimina obligaciones propias; y no documentar la razón por la que un sistema se considera fuera del anexo III, que es exactamente lo que se pedirá.
Lo que preguntan antes de contratar
¿Cuánto cuesta la adecuación al Reglamento de IA?
Depende del número de sistemas y de cuántos resulten de alto riesgo, porque el régimen documental de estos es sustancialmente mayor. Economía y Diplomacia empieza por el inventario y la clasificación, que es lo que permite dimensionar el resto.
¿Cuánto tarda?
El inventario y la clasificación son acotados. La producción de documentación técnica y la implantación de registro de eventos y supervisión humana en sistemas ya desplegados es la parte larga.
¿A quién obliga?
A proveedores, responsables del despliegue, importadores y distribuidores de sistemas de IA que se comercialicen o se usen en la Unión Europea, con independencia de dónde estén establecidos.
¿Qué pasa si mi sistema no es de alto riesgo?
Siguen aplicando las prohibiciones del artículo 5, las obligaciones de transparencia cuando el sistema interactúa con personas o genera contenido, y la obligación de alfabetización del artículo 4. Quedar fuera del alto riesgo no es quedar fuera del reglamento.