El Reglamento y su estructura
El Reglamento Europeo de Inteligencia Artificial (UE 2024/1689) publicado en el Diario Oficial de la Unión Europea (DOUE) el 12 de junio de 2024 [2], marcó un cambio de enfoque en la forma de gestionar el cumplimiento de este tipo de sistemas. Es una normativa centrada en el ser humano y con un enfoque basado en riesgos, que realiza una clasificación de los sistemas y los modelos según el siguiente esquema.
En cuanto a los sistemas del esquema anterior se establecen cuatro grupos en función del uso o sus características (listado enunciativo y no exhaustivo):
Artículo 5 - Sistemas de IA de Riesgo Inaceptable (Prohibidos):
▪️Sistemas que manipulan el comportamiento mediante técnicas subliminales, engañosas o manipuladoras.
▪️Sistemas que explotan vulnerabilidades por edad, discapacidad o situación social o económica.
▪️Sistemas de puntuación social que generen tratos perjudiciales o desproporcionados.
▪️Sistemas que predicen la comisión de delitos basándose únicamente en perfiles o rasgos de personalidad.
▪️Sistemas que creen bases de datos de reconocimiento facial mediante recopilación indiscriminada de imágenes.
▪️Sistemas de inferencia de emociones en el trabajo o en centros educativos.
▪️Sistemas de categorización biométrica para inferir atributos sensibles (raza, ideología, religión, orientación sexual,
etc.).
▪️Sistemas de identificación biométrica remota en tiempo real para fines policiales en espacios públicos (salvo
excepciones legales).
Artículo 6 / Anexos I y III - Sistemas de IA de Alto Riesgo:
▪️Sistemas sujetos a evaluación de conformidad conforme a legislación sectorial de la UE.
▪️Sistemas de identificación y categorización biométrica.
▪️Sistemas para la gestión u operación de infraestructuras críticas.
▪️Sistemas para admisión, evaluación o asignación educativa.
▪️Sistemas para selección, contratación, evaluación, promoción o despido de los trabajadores.
▪️Sistemas que determinan el acceso o las condiciones de servicios esenciales (públicos y privados).
▪️Sistemas utilizados por las autoridades competentes en aplicación de la ley.
▪️Sistemas empleados en procedimientos migratorios y de control fronterizo.
▪️Sistemas que apoyan decisiones judiciales o influyen en procesos democráticos (elecciones o referéndums).
Artículo 50 - Sistemas de IA con obligaciones de transparencia específicas:
▪️Sistemas que interactúan directamente con personas.
▪️Sistemas, incluidos los de propósito general, que generan contenido sintético de audio, imagen, vídeo o texto.
▪️Sistemas de reconocimiento de emociones y categorización biométrica.
▪️Sistemas que generan o manipulan imágenes, audio o vídeo que constituyan una ultrasuplantación (deepfakes).
▪️Sistemas que generan o modifican texto destinado a informar al público sobre asuntos de interés público.
Sistemas de IA de Riesgo inexistente/mínimo o no sujetos a obligaciones específicas del Reglamento:
▪️Sistemas de IA no incluidos en los supuestos de los artículos 5, 6 y 50.
En cuanto a los modelos del esquema anterior se establecen dos grupos en función de sus capacidades y el riesgo (listado enunciativo y no exhaustivo):
Modelos de Propósito General (GPAI, de sus siglas en inglés):
▪️Modelos con capacidades inferiores a las especificadas en los modelos de propósito general con riesgo sistémico.
Modelos de Propósito General con Riesgo Sistémico:
▪️Modelos con capacidades de gran impacto (la cantidad acumulada de cálculo utilizada para su entrenamiento,
medida en operaciones de coma flotante, sea superior a 1025) evaluadas a partir de herramientas y metodologías
técnicas adecuadas, como indicadores y parámetros de referencia.
▪️Modelos con capacidades o un impacto equivalente a los establecidos en el punto anterior, teniendo en cuenta los
criterios establecidos en el Anexo XIII (número de parámetros, calidad o tamaño del conjunto de datos, cantidad de
cálculo, número de usuarios registrados, etc.).
Requisitos y obligaciones para los Sistemas de IA de Alto Riesgo
Dentro de los apartados correspondientes a los sistemas de IA de Alto Riesgo (Artículos 6-49) se definen una serie de requisitos y obligaciones para demostrar el cumplimiento y que se detallan en el siguiente esquema.
Los requisitos de cumplimiento de los artículos 8 a 15 establecen los mínimos de los que deben disponer los sistemas de estas características y son los siguientes:
▪️Necesidad de cumplimiento de los requisitos.
▪️Establecimiento y mantenimiento de un Sistema de Gestión de Riesgos.
▪️Aseguramiento de la calidad y la gobernanza de los datos.
▪️Disposición de la documentación técnica previa a la puesta en producción.
▪️Disposición de registros (logs) de eventos.
▪️Disposición de información e instrucciones de uso (transparencia).
▪️Vigilancia efectiva por parte de personas físicas durante el periodo que estén en uso.
▪️Alcanzar un nivel adecuado de precisión, solidez y ciberseguridad.
Y las obligaciones para las entidades que desarrollen estos sistemas de IA, los introduzcan en el mercado o los pongan en servicio deberán cumplir las siguientes obligaciones establecidas en los artículos 16 a 27:
▪️Aseguran el cumplimiento de los requisitos del apartado anterior.
▪️Disponen de un sistema de gestión de calidad.
▪️Conservan documentación técnica y del sistema de gestión de calidad.
▪️Conservan los registros (logs) cuando estos estén bajo su control.
▪️Adoptan medidas correctoras inmediatamente cuando el sistema no cumpla con el RIA.
▪️Colaboran con las autoridades competentes.
▪️Nombran mediante mandato por escrito a un representante autorizado establecido dentro de la UE, con autoridad
suficiente para desempeñar las tareas requeridas.
▪️Cumplen con las obligaciones establecidas para los importadores, distribuidores y responsables del despliegue.
▪️Regulan las responsabilidades a lo largo de la cadena de valor.
▪️Realizan las evaluaciones de impacto sobre los derechos fundamentales.
¿Qué revisarán las autoridades durante una inspección de un Sistema de Alto Riesgo?
El Reglamento configura un modelo de supervisión apoyado en las autoridades nacionales competentes y, cuando resulte aplicable, en los organismos notificados encargados de intervenir en determinadas evaluaciones de conformidad previas a la comercialización.
En España, la autoridad designada para la supervisión del cumplimiento en materia de Inteligencia Artificial será la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) [1], quién ejercerá las funciones de inspección, comprobación, supervisión y sanción. Sin embargo, en la práctica también podrían intervenir autoridades de vigilancia del mercado, autoridades sectoriales e incluso la Oficina Europea de la IA.
Una inspección no se limitará únicamente a comprobar si existen o no determinados documentos. Lo verdaderamente relevante será el análisis que realizarán para observar la coherencia entre las distintas evidencias disponibles. Si la evaluación de riesgos describe un escenario distinto al contemplado en la documentación técnica, si las métricas de rendimiento no se corresponden con las utilizadas durante la validación o si la supervisión humana existe únicamente sobre el papel, todo esto acabará aflorando durante dicha revisión.
Según los requisitos específicos que hemos visto en las secciones anteriores y algunos genéricos del RIA, durante una inspección por parte de las autoridades, los aspectos clave que revisarían para un sistema de IA de Alto Riesgo serían los siguientes:
Calendario de aplicación y modificaciones introducidas por el Reglamento Europeo Ómnibus de Inteligencia Artificial
El RIA establece una fechas progresivas para la aplicación de los requerimientos, sin embargo en un acto posterior, el regulador europeo ha publicado el Reglamento Ómnibus digital sobre IA (UE 2026/1744) [3] para simplificar la aplicación de las normas armonizadas en materia de IA, especialmente las correspondientes a los sistemas de IA de Alto Riesgo.
Por ello, el calendario consolidado quedaría de la siguiente forma:
| Fecha | Hito |
| 01 de agosto de 2024 | Entrada en vigor del RIA. |
| 02 de febrero de 2025 | Aplicación de los capítulos I y II, incluidas las disposiciones generales y las prohibiciones del art. 5, con las excepciones introducidas posteriormente por el Ómnibus. |
| 02 de agosto de 2025 | Aplicación del capítulo III, sección 4; capítulo V (GPAI); capítulo VII; capítulo XII y art. 78, con la excepción prevista para el art. 101. |
| 02 de agosto de 2026 | Aplicación general del RIA y, entre otras disposiciones, de las obligaciones de transparencia del art. 50. |
| 02 de diciembre de 2026 | Aplicación de determinadas nuevas prohibiciones introducidas por el Ómnibus. Además, los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 disponen hasta esta fecha para adaptar el marcado previsto en el Artículo 50.2. |
| 02 de diciembre de 2027 | Aplicación de los capítulos III, secciones 1, 2 y 3, para los sistemas de IA de alto riesgo clasificados conforme al Artículo 6.2 y Anexo III. |
| 02 de agosto de 2028 | Aplicación de los capítulos III, secciones 1, 2 y 3, para los sistemas de IA de alto riesgo clasificados conforme al Artículo 6.1 y Anexo I. |
Conclusión
Como mencionaba al inicio de esta publicación, el RIA establece un nuevo marco regulatorio basado en riesgo que introduce requisitos y obligaciones específicos para los sistemas de IA y, específicamente los tratados en este artículo, los de alto riesgo. Su cumplimiento requiere disponer no solo de la documentación necesaria, sino también de procesos, controles y evidencias que permitan demostrar que dichos requisitos se encuentran efectivamente implantados y son revisados a lo largo del tiempo, incluso más allá de la puesta en producción.
La preparación ante las futuras inspecciones debería plantearse como un proceso continuo de revisión y mantenimiento del cumplimiento, y en ningún caso como una actuación puntual previa a una posible inspección.
Además, como las capacidades técnicas de los sistemas de IA se encuentran en constante evolución el marco regulatorio también es cambiante. Las modificaciones introducidas por el AI Ómnibus es un claro ejemplo de cómo el marco normativo se adapta, mientras que la rápida evolución tecnológica puede seguir generando nuevos escenarios y riesgos.
Las organizaciones deberán, mantener una vigilancia continua sobre la evolución de la regulación y de las capacidades de los sistemas de IA, revisando periódicamente sus procesos y controles para asegurar que el cumplimiento se mantiene actualizado.
Referencias
[1] Agencia Española de Supervisión de la Inteligencia Artificial (AESIA). (07 de 08 de 2026). Garantizando una IA ética y responsable. Obtenido de https://aesia.digital.gob.es/es
[2] Diario Oficial de la Unión Europea. (2024 de Julio de 12). Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024 (Inteligencia Artificial). Obtenido de https://www.boe.es/buscar/doc.php?id=DOUE-L-2024-81079
[3] Diario Oficial de la Unión Europea. (8 de Julio de 2026). REGLAMENTO (UE) 2026/1744. Obtenido de https://eur-lex.europa.eu/legal-content/ES/TXT/PDF/?uri=OJ:L_202601744
