Los sistemas de IA de alto riesgo son la categoría más exigente del Reglamento de IA (Reglamento UE 2024/1689): la que más obligaciones impone y la que concentra el grueso de las sanciones. Se definen en el artículo 6 y se enumeran en el Anexo III (sistemas autónomos, como una herramienta de selección de personal) y en el Anexo I (IA integrada en productos ya regulados, como un producto sanitario o una máquina). Tras el Digital Omnibus aprobado en 2026, sus obligaciones se aplican desde el 2 de diciembre de 2027 (Anexo III) y el 2 de agosto de 2028 (Anexo I): fechas fijas, no una eliminación. Esta guía explica qué es exactamente un sistema de alto riesgo, con ejemplos, cómo saber si tu empresa usa uno y qué obligaciones te tocan según seas proveedor o responsable del despliegue.
¿No sabes si tu IA es de alto riesgo? Es la pregunta que más se equivoca. Nuestro diagnóstico gratuito clasifica cada sistema de IA que uses (prohibido, alto riesgo, transparencia o mínimo) y te dice qué obligaciones te aplican y desde cuándo.
Qué es un sistema de IA de alto riesgo
El Reglamento clasifica la IA por riesgo. Por encima de los sistemas de riesgo mínimo y de los de riesgo de transparencia (chatbots, contenido generado), y por debajo de las prácticas prohibidas del artículo 5, están los sistemas de alto riesgo. El artículo 6 los define por dos vías: los del Anexo I, que son componentes de seguridad o productos ya cubiertos por legislación de armonización de la UE (máquinas, juguetes, productos sanitarios, ascensores…) y que exigen evaluación de conformidad por un tercero; y los del Anexo III, sistemas autónomos en ocho ámbitos sensibles donde una decisión automatizada afecta a derechos, seguridad o acceso a servicios de las personas.
Existe una excepción importante: un sistema listado en el Anexo III no se considera de alto riesgo si no plantea un riesgo significativo para la salud, la seguridad o los derechos (por ejemplo, si solo realiza una tarea preparatoria o de gestión meramente accesoria). Pero esa excepción no aplica nunca cuando el sistema hace perfilado de personas: ahí siempre es de alto riesgo.
Ejemplos de sistemas de alto riesgo (Anexo III y Anexo I)
Los ocho ámbitos del Anexo III son:
- Empleo y RR. HH.: IA para cribar currículums, ordenar candidatos o evaluar el rendimiento y promoción de trabajadores. Es el caso más común en una pyme (ver IA en selección de personal).
- Acceso a servicios esenciales: scoring crediticio, evaluación de solvencia, priorización de servicios públicos, seguros de vida y salud.
- Biometría: identificación biométrica remota, categorización biométrica y reconocimiento de emociones (cuando no está directamente prohibido).
- Educación y formación: admisión, evaluación de resultados de aprendizaje o detección de fraude en exámenes.
- Infraestructuras críticas: gestión de tráfico, suministro de agua, gas, electricidad.
- Aplicación de la ley, migración y justicia: usos policiales, control de fronteras y apoyo a decisiones judiciales.
El Anexo I, en cambio, cubre la IA embebida en productos regulados. Ejemplo típico de la duda real de una empresa: un software de IA para diagnóstico dental puede ser un producto sanitario según el Reglamento (UE) 2017/745; si además incorpora IA que influye en decisiones clínicas, entra como alto riesgo por la vía del Anexo I y hereda la evaluación de conformidad del producto sanitario.
¿Usa tu pyme un sistema de alto riesgo?
La mayoría de pymes no desarrollan sistemas de alto riesgo, pero muchas los usan, y ahí está la confusión más cara. El Reglamento distingue dos roles con obligaciones muy distintas: el proveedor (quien desarrolla el sistema o lo pone en el mercado con su marca) y el responsable del despliegue o deployer (quien lo utiliza en el marco de su actividad profesional). Si contratas un software externo de selección de personal, tú eres responsable del despliegue: no tienes que certificar el sistema, pero sí cumplir las obligaciones de uso. Ojo: si modificas sustancialmente un sistema o lo comercializas bajo tu marca, puedes convertirte en proveedor y asumir todas sus obligaciones.
Obligaciones según tu rol
El proveedor asume el paquete completo (artículos 8 a 17): sistema de gestión de riesgos, gobernanza de datos de entrenamiento, documentación técnica, registro automático de eventos (logs), transparencia e instrucciones de uso, supervisión humana por diseño, y niveles adecuados de precisión, robustez y ciberseguridad. Además debe registrar el sistema en la base de datos de la UE y superar la evaluación de conformidad con el marcado CE.
El responsable del despliegue (artículo 26) tiene obligaciones más ligeras pero reales: usar el sistema conforme a las instrucciones del proveedor, garantizar supervisión humana por personas competentes, vigilar su funcionamiento y suspenderlo si detecta riesgos, conservar los logs, y —muy relevante en el trabajo— informar a los trabajadores y a sus representantes antes de poner en marcha un sistema de alto riesgo en el puesto de trabajo (ver información al comité de empresa). En algunos casos deberá también realizar una evaluación de impacto sobre derechos fundamentales.
Cuándo se aplica
Tras el Digital Omnibus, las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027 para los sistemas del Anexo III y desde el 2 de agosto de 2028 para los del Anexo I. Es un aplazamiento respecto al calendario original (era agosto de 2026/2027), no una exención: la obligación llega igual, y la documentación de un sistema de alto riesgo no se improvisa. Consulta el calendario completo de aplicación para ver cómo encaja con el resto de fechas.
Sanciones
Incumplir las obligaciones de los sistemas de alto riesgo puede acarrear multas de hasta 15 millones de euros o el 3 % del volumen de negocio mundial, la cifra que sea mayor (para pymes se aplica la menor de las dos). Es el segundo tramo sancionador más alto, solo por debajo de las prácticas prohibidas. Tienes el detalle en la guía de sanciones y multas del Reglamento de IA.
Preguntas frecuentes
¿Un chatbot o ChatGPT son de alto riesgo?
No por sí mismos. Un chatbot de atención al cliente o el uso general de ChatGPT entran en el nivel de riesgo de transparencia, no de alto riesgo, salvo que los apliques a una función del Anexo III (por ejemplo, cribar candidatos).
Uso un software externo de alto riesgo. ¿Tengo que certificarlo yo?
No. La certificación (marcado CE y evaluación de conformidad) es obligación del proveedor. Como responsable del despliegue, tu deber es usarlo según las instrucciones, mantener supervisión humana, conservar registros e informar a tu plantilla si afecta al trabajo.
¿La mayoría de pymes tiene sistemas de alto riesgo?
La mayoría no, pero es fácil tener uno sin saberlo: un software de selección de personal, un scoring de clientes o una herramienta biométrica de control de acceso ya lo son. Por eso conviene inventariar cada sistema de IA y clasificarlo.
Fuentes
- Reglamento (UE) 2024/1689 (Reglamento de IA), artículos 6, 8-17 y 26; Anexos I y III.
- Digital Omnibus sobre IA (2026): aplazamiento de las obligaciones de alto riesgo a 2 dic 2027 (Anexo III) y 2 ago 2028 (Anexo I).
- AESIA — Agencia Española de Supervisión de la Inteligencia Artificial.
Esta guía es orientativa y no sustituye el asesoramiento jurídico.