Requisitos de Alto Riesgo de la Ley de IA de la UE: Lo Que Las Empresas Necesitan Saber
Con la implementación de la Ley de IA de la UE, las organizaciones que desarrollen, utilicen, importen y distribuyan sistemas de IA de alto riesgo enfrentarán nuevas obligaciones establecidas en las Secciones 2 y 3 de la ley. De estas, los proveedores y desplegadores enfrentarán el conjunto más sustantivo y estructurado de obligaciones, como se encuentra en los Artículos 9 a 15. Estos requisitos están diseñados para asegurar que los sistemas de IA de alto riesgo identificados no socaven los derechos fundamentales, la seguridad y la salud de los ciudadanos europeos.
La Ley de IA define cuatro niveles de riesgo: prohibido, alto riesgo, riesgo limitado y riesgo mínimo. Los sistemas prohibidos están totalmente prohibidos (Artículo 5), mientras que los sistemas de riesgo limitado enfrentan solo ligeras obligaciones de transparencia (por ejemplo, divulgaciones de chatbots). En contraste, los sistemas de alto riesgo vienen con la carga de cumplimiento más detallada, especialmente para proveedores y desplegadores. Por esta razón, nos enfocaremos aquí: estas son las reglas que más probablemente impactarán los procesos organizacionales, la adquisición y la supervisión.
¿Qué Son los Sistemas de IA de Alto Riesgo?
Además del alcance delineado, que indica que los sistemas de IA de alto riesgo tienen el potencial de socavar intereses públicos protegidos identificados, la Ley de IA proporciona una definición adicional al establecer casos de uso específicos (que se encuentran en el Anexo III). Estos casos de uso se discuten dentro de Dominios, que incluyen: biometría; infraestructura crítica; educación y formación profesional; empleo, gestión de trabajadores y acceso al autoempleo; acceso y disfrute de servicios y beneficios privados y públicos esenciales; aplicación de la ley; gestión de migración, asilo y control fronterizo; y la administración de justicia y procesos democráticos. Dentro de cada uno de estos Dominios, se aclaran los casos de uso o aplicaciones de alto riesgo. La Comisión ha dejado claro que estos Dominios y Casos de Uso pueden evolucionar con el tiempo.
Además del enfoque de Dominios y Casos de Uso, la definición de sistemas de IA de alto riesgo se extiende a los sistemas de IA cubiertos por legislación de armonización específica (encontrada en el Anexo I). Esto incluye sistemas de IA que son componentes de seguridad de productos ya regulados bajo las leyes de seguridad de productos de la UE, como los que se encuentran en dispositivos médicos (por ejemplo, el Reglamento de Dispositivos Médicos) o maquinaria (por ejemplo, el Reglamento de Maquinaria).
Fechas Clave a Conocer:
- 2 de agosto de 2026 → Todos los sistemas de IA de alto riesgo deben cumplir con los requisitos básicos (Artículos 9–49), incluyendo gestión de riesgos, gobernanza de datos y evaluación de conformidad.
- 2 de agosto de 2027 → Fecha límite de cumplimiento para sistemas de IA de alto riesgo integrados en productos regulados (por ejemplo, dispositivos médicos, maquinaria) bajo las leyes de seguridad de productos de la UE.
Si su organización construye, compra o utiliza IA en estas áreas, es probable que se vea afectada, y la preparación debe comenzar ahora.
Antes de profundizar en el cumplimiento, primero debe saber con certeza si su organización desarrolla o utiliza sistemas de IA que caen en la categoría de alto riesgo. Sin esta claridad, está expuesto a riesgos significativos. Esta evaluación no siempre es clara, ya que algunos casos de uso especializados pueden requerir consulta con equipos legales. Por ejemplo, un agente de detección de fraude podría usarse de tal manera que evalúe el riesgo de fraude y lo incorpore en el costo de una prima de seguro. Si esto califica como un sistema de alto riesgo requiere consideración: la IA para detectar fraude no es inherentemente de alto riesgo; pero usar IA para determinar los costos del seguro sí lo es. Por lo tanto, el primer paso para cualquier organización es una evaluación exhaustiva y documentada de su cartera de IA para calificar qué sistemas están afectados.
Artículos 9-15: Obligaciones Clave y Preguntas Abiertas
Una vez que haya evaluado su cartera y identificado sus sistemas de alto riesgo, ¿qué sigue? En el resto de este artículo, recorreremos las obligaciones centrales delineadas en los Artículos 9-15. Mientras que estos son críticos, hay más en la historia de la Ley de IA de la UE, incluyendo los roles de diferentes actores, cumplimiento para IA de propósito general y cómo funcionará la ejecución (lo que cubriremos en actualizaciones futuras).
1. Artículo 9 – Sistema de Gestión de Riesgos
Lo que sabemos: Debe implementar un proceso de gestión de riesgos documentado y continuo que cubra todo el ciclo de vida de la IA, desde el diseño hasta el monitoreo post-mercado. Esto incluye identificar y evaluar riesgos conocidos y previsibles para la salud, la seguridad y los derechos fundamentales.
Lo que es ambiguo:
- Qué cuenta como un riesgo “conocido y previsible”;
- Cómo se pueden identificar riesgos donde los sistemas de IA son novedosos y donde los datos operativos son limitados (un problema de brecha de datos);
- Cómo deberían ser las metodologías de reentrenamiento cuando se descubren nuevos riesgos y cómo el reentrenamiento debería integrarse en la actualización de controles de riesgo (un problema de mejores prácticas).
2. Artículo 10 – Datos y Gobernanza de Datos
Lo que sabemos: Los sistemas de IA deben ser entrenados, validados y probados en conjuntos de datos que sean relevantes, representativos, libres de errores y completos, dentro de límites razonables.
Lo que es ambiguo:
- Definiciones operativas de “representativo” o “libre de errores”;
- Umbrales aceptables para imperfecciones de datos;
- Qué medidas de mitigación son aceptables cuando los datos ideales no están disponibles (por ejemplo, conjuntos de datos históricos sesgados).
3. Artículo 11 – Documentación Técnica
Lo que sabemos: Debe mantener documentación técnica detallada que demuestre el cumplimiento (incluyendo diseño del sistema, propósito previsto, fuentes de datos de entrenamiento, métodos de prueba y controles de riesgo) como se describe en el Anexo IV de la ley.
Lo que es ambiguo:
- Aclaración sobre el nivel de detalle requerido en múltiples temas obligatorios;
- Orientación sobre cómo manejar información confidencial o sensible de propiedad intelectual;
- Cómo gestionar actualizaciones a lo largo del tiempo (por ejemplo, versionado, trazabilidad).
4. Artículo 12 – Mantenimiento de Registros
Lo que sabemos: Los sistemas de alto riesgo deben registrar automáticamente eventos para apoyar la trazabilidad, el seguimiento del rendimiento y el monitoreo post-mercado. Los registros deben ser resistentes a manipulaciones y retenidos adecuadamente.
Lo que es ambiguo:
- Las directrices de implementación que cubren temas clave como la granularidad, formato y retención de registros son esperadas, especialmente en relación con el monitoreo post-mercado (Artículos 29–30).
5. Artículo 13 – Transparencia e Información para Usuarios
Lo que sabemos: Los usuarios deben ser informados en términos claros sobre:
- El propósito previsto del sistema,
- Sus limitaciones y características de rendimiento,
- Cómo utilizarlo adecuadamente.
Lo que es ambiguo:
- Qué califica como información significativa para los usuarios finales o individuos afectados;
- Cómo los requisitos de alfabetización en IA (Art 4) se alinean con el Art 13;
- Cómo esto interactúa con secretos comerciales o modelos de caja negra (por ejemplo, aprendizaje profundo).
6. Artículo 14 – Supervisión Humana
Lo que sabemos: Debe diseñar sistemas para asegurar supervisión humana efectiva que prevenga o minimice riesgos. Los mecanismos de supervisión deben ser documentados, y las personas asignadas a roles de supervisión deben estar adecuadamente capacitadas.
Lo que es ambiguo:
- Qué cuenta como supervisión humana suficiente en la práctica;
- Aclaración sobre los modos de interacción con el sistema (por ejemplo, humano-en-el-ciclo, en-el-ciclo, sobre-el-ciclo);
- Qué nivel de autoridad o capacidad de intervención debe tener el humano.
7. Artículo 15 – Precisión, Robustez y Ciberseguridad
Lo que sabemos: Los sistemas de IA de alto riesgo deben mantener niveles apropiados de precisión, robustez y ciberseguridad a lo largo de su ciclo de vida, y resistir errores, abusos o ataques adversariales.
Lo que es ambiguo:
- Referencias de rendimiento o umbrales de tolerancia;
- Si la precisión debe ser uniforme a través de subpoblaciones o contextos;
- Qué estándares o certificaciones de ciberseguridad se esperan.
Monitoreo Post-Mercado (Artículos 29-30)
Los Artículos 9–15 interactúan estrechamente con las obligaciones de monitoreo post-despliegue. Por ejemplo:
- Si la precisión de su sistema se degrada con el tiempo, debe ser detectada, reportada y corregida.
- Se requieren evaluaciones de riesgo continuas después de la entrada al mercado; este no es un proceso de «una sola vez».
Estamos esperando más orientación sobre cómo alinear estas tareas operativas con los requisitos de cumplimiento.
¿Qué Puede Hacer Ahora?
Para asegurar que las partes interesadas y los equipos estén preparados para cumplir con las nuevas obligaciones una vez que lleguen al mercado, muchas organizaciones están tomando medidas hacia el cumplimiento a pesar de las ambigüedades existentes. Si bien esto puede requerir revisar las aproximaciones operativas de lo que se espera según la guía que se publique más adelante, el objetivo es reducir la distancia entre las prácticas actuales hoy y las prácticas delineadas bajo la guía una vez que esté disponible.
Aunque se espera la guía, algunos ejemplos de lo que los stakeholders no técnicos pueden hacer para comenzar a prepararse:
- Obtener una sólida comprensión de los requisitos de alto riesgo según lo delineado en la Ley de IA.
- Mapear su uso actual y planificado de IA contra el Anexo III (dominios de alto riesgo) y el Anexo I (legislación de armonización de la Unión) para designar cuáles de sus sistemas de IA pueden calificar como de alto riesgo.
- Evaluar si sus prácticas actuales cumplen con los Artículos 9–15 en principio.
- Identificar brechas clave como prácticas de registro, roles de supervisión, políticas de gobernanza de datos y definición de responsabilidades en su equipo y organización para que sepa dónde enfocar sus energías más adelante.
- Comenzar a construir una política de cumplimiento respaldada por documentación, que se necesitará más adelante.
¿Qué Siguiente?
Se espera que la Comisión publique directrices de implementación en la segunda mitad de 2025. Mientras tanto, una preparación temprana, guiada por la estructura de los Artículos 9–15, es la mejor manera de mantenerse a la vanguardia y demostrar un liderazgo responsable en IA.
Esté atento: continuaremos publicando actualizaciones prácticas para ayudarle a operacionalizar la Ley de IA de la UE con claridad y confianza.
