El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y se aplica por fases: prácticas prohibidas y deber de alfabetización en IA desde el 2 de febrero de 2025, obligaciones de los modelos de IA de propósito general desde el 2 de agosto de 2025, el grueso del régimen de alto riesgo desde el 2 de agosto de 2026 y los sistemas de alto riesgo integrados en productos ya regulados desde el 2 de agosto de 2027. La Comisión ha propuesto después ajustes en partes de ese calendario, así que un plan de cumplimiento conviene fecharlo contra el texto vigente el día en que se escribe.
Los niveles
Riesgo inaceptable, prohibido: puntuación social, extracción indiscriminada de imágenes faciales, inferencia de emociones en el trabajo y en la educación y determinados usos de categorización biométrica y de policía predictiva. Alto riesgo: los casos de uso del anexo III, que cubren ámbitos como empleo, educación, servicios esenciales, aplicación de la ley e infraestructuras críticas, más los componentes de seguridad de productos ya regulados. Son los que llevan las obligaciones pesadas, entre ellas gestión de riesgos, gobernanza del dato, documentación técnica, registro de eventos, supervisión humana y evaluación de la conformidad. Riesgo limitado: deberes de transparencia, avisar a la persona de que trata con una máquina y marcar el contenido sintético. Riesgo mínimo: ninguna obligación específica.
Lo que se suele pasar por alto
La clasificación depende del uso, no de la tecnología. El mismo modelo puede estar en un producto de riesgo mínimo y en uno de alto riesgo, y las obligaciones siguen al caso de uso. Así que el inventario que importa es un inventario de usos, y hay que mantenerlo a medida que aparecen nuevos.