La clasificación de riesgo de la ley de IA de la UE ubica cada sistema de IA en uno de cuatro niveles: práctica prohibida, alto riesgo, riesgo limitado (obligaciones de transparencia) o riesgo mínimo. El nivel, junto con el rol de la organización (proveedor, responsable del despliegue, importador o distribuidor), define las obligaciones. Esta herramienta aplica las reglas de los artículos 5, 6 y 50 y de los anexos I y III a tus respuestas y muestra un resultado indicativo.
Cómo usar
- Pon nombre al sistema e indica si es un sistema de IA o un modelo de uso general.
- Elige el rol de tu organización y la relación del sistema con la Unión Europea.
- Marca las prácticas prohibidas, los ámbitos de alto riesgo y las condiciones de la excepción del artículo 6(3), si las hay.
- Marca los disparadores de transparencia y lee el nivel, el rol y las obligaciones indicativas.
- Exporta en DOCX o PDF y guarda la clasificación junto al inventario de IA.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Nombre del sistema o caso de uso | Cómo se conoce el sistema en la organización. |
| ¿Es un sistema de IA? | Sistema basado en máquinas que infiere, a partir de sus entradas, cómo generar predicciones, contenidos, recomendaciones o decisiones. |
| ¿Es un modelo de IA de uso general que introduces en el mercado? | Modelo capaz de realizar muchas tareas distintas e integrable en otros sistemas. |
| ¿Cuál es el rol de tu organización? | La ley reparte las obligaciones según el rol en la cadena de valor. |
| ¿Eres un organismo público o prestas un servicio público? | Cambia la obligación de evaluar el impacto en los derechos fundamentales. |
| Relación con la Unión Europea | Marca todas las que apliquen. Sin relación con la UE, la ley no aplica. |
| Exclusiones | Marca solo si el uso es exclusivamente uno de estos. |
| ¿El sistema realiza alguna de estas prácticas? | Prácticas prohibidas por el artículo 5. Deja vacío si ninguna aplica. |
| ¿Es componente de seguridad de un producto regulado (anexo I)? | Ej.: máquinas, productos sanitarios, juguetes, cuando exigen evaluación por un tercero. |
| Ámbitos de alto riesgo (anexo III) | Marca los ámbitos en los que se usa el sistema. |
| Condiciones de la excepción del artículo 6(3) | Solo para sistemas del anexo III que no influyen de forma sustancial en el resultado de la decisión. |
| ¿El sistema elabora perfiles de personas físicas? | Con elaboración de perfiles, la excepción no se puede usar. |
| Disparadores de transparencia (artículo 50) | Marca lo que hace el sistema. |
Ejemplo
Un banco ficticio, Banco Aurora, usa en la UE un modelo de calificación crediticia comprado a un proveedor, y el modelo elabora perfiles de los clientes. La herramienta marca el ámbito de servicios esenciales del anexo III y, como hay elaboración de perfiles, la excepción no aplica: el resultado es alto riesgo, con el banco como responsable del despliegue. Salen nueve obligaciones indicativas, entre ellas supervisión humana con personas capacitadas, conservación de registros, evaluación de impacto en los derechos fundamentales (FRIA), EIPD y alfabetización en IA.
Cuándo usar
- Al registrar un nuevo caso de uso de IA en el inventario de la organización.
- Antes de comprar o contratar un sistema de IA a un proveedor.
- Cuando un sistema existente cambia de finalidad, de público o de mercado.
- Para preparar la conversación con el área jurídica sobre lo que la ley exige a cada sistema.
Preguntas frecuentes
¿Cuáles son los niveles de riesgo de la ley de IA?
Son cuatro: prácticas prohibidas (artículo 5), sistemas de alto riesgo (artículo 6 y anexos I y III), sistemas con obligaciones de transparencia (artículo 50) y riesgo mínimo. Los modelos de IA de uso general tienen reglas propias, que se suman a las del sistema.
¿Qué diferencia hay entre proveedor y responsable del despliegue?
El proveedor desarrolla el sistema y lo introduce en el mercado o lo pone en servicio con su propio nombre. El responsable del despliegue usa el sistema bajo su autoridad, en un contexto profesional. Quien pone su marca en un sistema de alto riesgo o lo modifica sustancialmente pasa a ser tratado como proveedor.
¿Todo sistema del anexo III es de alto riesgo?
No. El artículo 6(3) prevé una excepción para sistemas que no influyen de forma sustancial en la decisión, por ejemplo cuando solo realizan una tarea procedimental limitada o preparatoria. La excepción nunca aplica si el sistema elabora perfiles de personas físicas, y debe documentarse.
¿Cuándo empiezan a aplicar las obligaciones?
La ley de IA se aplica por fases, y los plazos se modificaron después de su publicación. Por eso la herramienta no muestra fechas: verifica en el texto oficial y en las comunicaciones de la Comisión Europea la fecha vigente para cada obligación antes de planificar.
¿El resultado es asesoría legal?
No. Es una clasificación indicativa, hecha a partir de tus respuestas, para ordenar el análisis. Los casos límite, como la definición de sistema de IA o la excepción del anexo III, necesitan validación de una asesoría calificada.
¿Qué certificación de DPCert cubre la ley de IA?
La RAIF (Responsible AI Foundation), de nivel inicial, cubre los principios y marcos de referencia, incluidos los niveles de riesgo de la ley de IA. La RAIP (Responsible AI Practitioner) profundiza en el panorama regulatorio y en la evaluación de riesgo e impacto.