Autodiagnóstico EU AI Act: ¿qué nivel de riesgo tiene tu IA?

Clasifica tu sistema de IA en los niveles de riesgo del Reglamento Europeo de IA (Reglamento UE 2024/1689) a partir de 10 preguntas: prácticas prohibidas, alto riesgo, riesgo limitado o riesgo mínimo, más la rama GPAI. El resultado incluye las obligaciones y plazos de tu nivel. Es orientativo: la clasificación formal exige un inventario y un análisis sistema a sistema.

Cuatro: inaceptable (prohibido: manipulación subliminal, scoring social, vigilancia biométrica masiva), alto (regulado estrictamente: RRHH, crédito, justicia, salud, educación, infraestructuras críticas), limitado (obligaciones de transparencia: chatbots, deepfakes) y mínimo (sin obligaciones específicas). Los modelos de propósito general (GPAI) tienen además obligaciones propias.

Se aplican los requisitos completos para los sistemas de IA de alto riesgo del Anexo III: gestión de riesgos, calidad de datos, documentación técnica, supervisión humana y robustez. Ese mismo día pasan a ser aplicables las multas a los proveedores de modelos GPAI. Para la IA de alto riesgo integrada en productos regulados (Anexo I), el plazo llega el 2 de agosto de 2027.

Hasta 35M€ o el 7% de la facturación anual mundial (la cifra mayor) por prácticas prohibidas. Para el resto de infracciones, incluidas las obligaciones de alto riesgo y las de proveedores GPAI: hasta 15M€ o el 3%. Por facilitar información incorrecta a las autoridades: hasta 7,5M€ o el 1%. Para pymes y startups se aplica el menor de los dos importes (Art. 99.6).

Sí. Aunque solo uses IA de terceros (un chatbot, ChatGPT, una herramienta de RRHH), eres deployer y tienes obligaciones propias: alfabetización en IA de tu equipo (Art. 4, en vigor desde el 2 de febrero de 2025), no usar prácticas prohibidas y, si el sistema es de alto riesgo, supervisión humana, transparencia y evaluación de impacto. Estas obligaciones no se pueden delegar en el proveedor.

Un modelo de IA de propósito general (GPAI) es un modelo entrenado a gran escala que sirve para muchas tareas distintas, como GPT, Claude o Gemini. Sus proveedores tienen obligaciones desde el 2 de agosto de 2025 (documentación técnica, transparencia, cumplimiento de copyright) y las multas asociadas son aplicables desde el 2 de agosto de 2026. Si integras uno de estos modelos vía API, eres deployer, con obligaciones propias pero distintas.

No. El autodiagnóstico es orientativo y no constituye asesoramiento jurídico ni sustituye el análisis de tu caso por profesionales cualificados. Para una clasificación formal necesitas un inventario de sistemas, la clasificación por riesgo según el Anexo III y un gap analysis documentado: ese es el trabajo de un diagnóstico de cumplimiento.