Qué sistemas de IA de alto riesgo usa una pyme sin saberlo (anexo III)
28 de octubre de 2026 · Fuentes comprobadas el 28 de octubre de 2026.
El Reglamento europeo de IA (Reglamento (UE) 2024/1689) llama «de alto riesgo» a dos grupos de sistemas (art. 6): los que son componentes de seguridad de productos regulados por las normas de la Unión del anexo I, o son esos mismos productos (juguetes, máquinas, productos sanitarios, equipos de protección individual, entre otros), y los que caen en alguno de los ocho ámbitos del anexo III. Los primeros los fabrica la industria; los segundos son, muchas veces, programas de gestión que una pyme contrata sin pensar en el Reglamento: un filtro de currículums, una herramienta que reparte tareas o evalúa el rendimiento, un sistema que puntúa la solvencia de los clientes.
Las reglas del alto riesgo (capítulo III, secciones 1 a 3) todavía no se aplican. Tras el Reglamento (UE) 2026/1744, el art. 113, párrafo tercero, letra c), fija dos fechas: el 2 de diciembre de 2027 para los sistemas del anexo III y el 2 de agosto de 2028 para los del anexo I. Este artículo resume el texto oficial tal como rige hoy; no interpreta y no constituye asesoramiento jurídico.
Los ocho ámbitos del anexo III
| Punto | Ámbito | Qué sistemas incluye (resumen del texto oficial) |
|---|---|---|
| 1 | Biometría, en la medida en que su uso esté permitido | Identificación biométrica remota (no la verificación que solo confirma que una persona es quien dice ser); categorización biométrica por atributos sensibles o protegidos; reconocimiento de emociones |
| 2 | Infraestructuras críticas | Componentes de seguridad en la gestión y el funcionamiento de infraestructuras digitales críticas, del tráfico rodado o del suministro de agua, gas, calefacción o electricidad |
| 3 | Educación y formación profesional | Decidir el acceso o la admisión a centros educativos y de formación profesional; evaluar los resultados del aprendizaje; evaluar el nivel de educación que recibirá una persona; vigilar comportamientos prohibidos durante los exámenes |
| 4 | Empleo, gestión de los trabajadores y acceso al autoempleo | Contratación o selección (publicar anuncios de empleo específicos, analizar y filtrar solicitudes, evaluar candidatos); decisiones sobre las condiciones laborales, la promoción o la rescisión, asignar tareas según el comportamiento o los rasgos personales y supervisar y evaluar el rendimiento y el comportamiento |
| 5 | Acceso a servicios privados esenciales y a servicios y prestaciones públicos esenciales | Evaluar el derecho a prestaciones de asistencia pública (por las autoridades o en su nombre); evaluar la solvencia o la calificación crediticia de personas físicas (salvo la detección de fraudes financieros); evaluar riesgos y fijar precios en los seguros de vida y de salud; clasificar llamadas de emergencia y priorizar servicios de emergencia y triaje |
| 6 | Garantía del cumplimiento del Derecho | Sistemas usados por las autoridades garantes del cumplimiento del Derecho, o en su nombre, para los fines que enumera el punto |
| 7 | Migración, asilo y gestión del control fronterizo | Sistemas usados por las autoridades competentes, o en su nombre, para los fines que enumera el punto |
| 8 | Administración de justicia y procesos democráticos | Ayudar a una autoridad judicial a investigar e interpretar hechos y la ley (o en una resolución alternativa de litigios); influir en el resultado de una elección o referéndum o en el comportamiento electoral |
La tabla resume; el texto que vale es el oficial, enlazado al final.
Los que más se acercan al día a día de una pyme
Los puntos 6 y 7 se refieren a autoridades, y el 2 y el 8 a actividades muy concretas. Los que pueden aparecer en una empresa cualquiera son estos:
- **Punto 4, empleo.** Un programa de selección que analiza y filtra las solicitudes de empleo o evalúa a los candidatos (letra a). Una herramienta que asigna tareas a partir del comportamiento individual o de los rasgos personales, o que supervisa y evalúa el rendimiento y el comportamiento de la plantilla (letra b).
- **Punto 5, letras b) y c).** Un sistema que evalúa la solvencia de clientes que son personas físicas o establece su calificación crediticia (por ejemplo, para vender a plazos), salvo que se use para detectar fraudes financieros; y la evaluación de riesgos y la fijación de precios de seguros de vida y de salud.
- **Punto 1, letra c).** Un sistema destinado al reconocimiento de emociones (por ejemplo, en el análisis de llamadas), en la medida en que su uso esté permitido. Ojo: en el lugar de trabajo, inferir las emociones de una persona está prohibido desde el 2 de febrero de 2025, salvo por motivos médicos o de seguridad (art. 5.1, letra f).
- **Punto 3, educación.** Para academias, autoescuelas o centros de formación: los sistemas que deciden la admisión, evalúan el aprendizaje o vigilan los exámenes.
Lo que cuenta es la finalidad para la que el proveedor concibe el sistema («finalidad prevista», art. 3, punto 12) y el uso que se le da. Si la empresa cambia la finalidad de un sistema que no era de alto riesgo, incluido uno de uso general, de modo que pase a serlo, el art. 25.1, letra c), la considera proveedora de un sistema de alto riesgo.
La excepción del art. 6.3 y la regla de los perfiles
Un sistema del anexo III no se considera de alto riesgo cuando no plantea un riesgo importante de perjuicio para la salud, la seguridad o los derechos fundamentales, también al no influir sustancialmente en el resultado de la toma de decisiones (art. 6.3). Se aplica cuando se cumple cualquiera de cuatro condiciones: que el sistema esté destinado a una tarea de procedimiento limitada; a mejorar el resultado de una actividad humana previa; a detectar patrones de decisión o desviaciones sin sustituir ni influir en la valoración humana previa sin una revisión humana adecuada; o a una tarea preparatoria de una evaluación de los casos del anexo III.
La excepción tiene un límite: los sistemas del anexo III que elaboran perfiles de personas físicas «siempre se considerarán de alto riesgo» (art. 6.3, párrafo tercero). Y quien la invoca es el proveedor, que documenta su evaluación antes de comercializar el sistema y la facilita a las autoridades si se la piden (art. 6.4). Para quien lo usa, la pregunta práctica es qué clasificación declara el proveedor y por qué.
Qué cambia el 2 de diciembre de 2027 para quien los usa
Desde esa fecha se aplican, para los sistemas del anexo III, las obligaciones del responsable del despliegue del art. 26: usarlos con arreglo a las instrucciones de uso, encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, vigilar su funcionamiento y conservar los registros que generen, entre otras. Tres de ellas tocan directamente a una pyme:
- **Art. 26.7.** Antes de poner en servicio o utilizar un sistema de alto riesgo en el lugar de trabajo, el empleador informa a los representantes de los trabajadores y a los trabajadores afectados.
- **Art. 26.11.** Quien use un sistema del anexo III para tomar decisiones, o ayudar a tomarlas, sobre personas físicas les informa de que están expuestas a su utilización.
- **Art. 27.** Los organismos de Derecho público, las entidades privadas que prestan servicios públicos y quienes usen sistemas del punto 5, letras b) y c) (solvencia y seguros de vida y de salud), hacen una evaluación de impacto relativa a los derechos fundamentales antes de desplegarlos.
Para los sistemas del anexo I, el art. 26 se aplica desde el 2 de agosto de 2028.
Cómo revisarlo, sistema por sistema
- Lista los sistemas de IA que usa la empresa, también los que vienen dentro de otro programa, con su proveedor y para qué se usan.
- Compara el uso de cada uno con los ocho ámbitos del anexo III y anota el que corresponda, o ninguno.
- Si encaja en un ámbito, anota si elabora perfiles de personas físicas y si se da alguna de las cuatro condiciones del art. 6.3.
- Pide al proveedor la clasificación que declara y la documentación de su evaluación, y anótalas.
- Guarda la fecha de la revisión y repítela cuando cambie el sistema o su uso; antes del 2 de diciembre de 2027, para tener preparadas las obligaciones del art. 26.
La plantilla Inventario de IA lleva esta revisión precargada: la base «Clasificación (art. 6 y anexo III)» tiene las reglas del art. 6 y los ocho ámbitos del anexo III, cada fila con su resumen, el enlace a EUR-Lex y la fecha de comprobación; y en «Sistemas de IA» cada sistema tiene «Ámbito del anexo III», «Elabora perfiles de personas físicas (art. 6.3)», «Condición de la excepción del art. 6.3» y «Clasificación declarada por el proveedor», que entran en su «Nivel orientativo» y en la vista «Posible alto riesgo (orientativo)»: Inventario de IA.
Fuentes (abiertas el 28 de octubre de 2026)
- Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026, la versión consolidada vigente que da EUR-Lex (EUR-Lex): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:02024R1689-20260727 — arts. 3, 5, 6, 25, 26, 27 y 113 y anexos I y III.
- Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (DOUE L de 24 de julio de 2026): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32026R1744
Herramienta de organización documental basada en textos oficiales; no constituye asesoramiento jurídico.