Cómo redactar una declaración de apetito de riesgo de IA
La declaración de apetito de riesgo de IA es una práctica, no una norma: el art. 5 es el suelo legal; el alto riesgo del anexo III exige firma del consejo.
Una «declaración de apetito de riesgo de IA» es una práctica del consejo de administración, no un requisito de la Ley de IA de la UE. La Ley fija un suelo legal; la declaración de apetito de riesgo es la forma en que una empresa decide, por encima de ese suelo, qué IA va a perseguir y cuál no, y quién tiene que dar el sí. Convierte un instinto difuso («deberíamos tener cuidado con la IA») en una regla escrita que un equipo de producto puede aplicar sin escalar cada decisión. Bien hecha, agiliza los proyectos buenos y frena los malos a tiempo.
La disciplina consiste en anclarla en la ley donde la ley es dura, y usar el criterio de gestión donde la ley calla. Bajo el Reglamento (UE) 2024/1689, el suelo duro es el artículo 5; todo lo que queda por encima depende de ti.
El suelo legal: los usos prohibidos del artículo 5 quedan fuera, sin excepción
Empieza por la única parte que no es cuestión de apetito. Las prácticas prohibidas del artículo 5 —puntuación social, técnicas manipuladoras o que explotan vulnerabilidades, reconocimiento de emociones en el trabajo y la educación (artículo 5(1)(f)), extracción no selectiva de imágenes faciales, cierta identificación biométrica en tiempo real en espacios públicos— están prohibidas, y lo están desde el 2 de febrero de 2025. Ningún apetito de riesgo, por audaz que sea, puede autorizarlas; una infracción es el nivel máximo de sanción, 35 000 000 € o el 7 % del volumen de negocios anual mundial (artículo 99(3)). El Ómnibus Digital (Reglamento (UE) 2026/1744) amplía ese suelo: desde el 2 de diciembre de 2026 también quedan prohibidos los sistemas que generan imágenes, vídeo o audio íntimos o sexualmente explícitos de personas identificables sin su consentimiento y los que generan material de abuso sexual infantil (artículo 5(1)(ba) y (bb)), con el mismo nivel de sanción. Por eso la primera línea de cualquier declaración honesta es sencilla: no construimos, no compramos ni desplegamos ninguna práctica prohibida del artículo 5. Eso es un suelo legal enunciado como política, no una elección.
El nivel de firma del consejo: el alto riesgo del anexo III
Por encima del suelo está el terreno donde el apetito realmente opera. Los sistemas de alto riesgo del anexo III (selección de personal, evaluación crediticia, identificación biométrica, acceso a servicios esenciales, y el resto) son lícitos, pero arrastran toda la pila de requisitos y una responsabilidad real. Una declaración sensata convierte estos sistemas en una decisión expresa del consejo o de la dirección: ningún sistema de alto riesgo entra en producción sin la firma del directivo responsable, respaldada por una clasificación completa, la evaluación de riesgos del artículo 9 y —cuando proceda— una EIDF del artículo 27. No estás prohibiendo la IA de alto riesgo; estás negándote a que se despliegue por defecto.
| Nivel | Postura de apetito | Derechos de decisión |
|---|---|---|
| Prohibido (art. 5) | Cero — suelo legal, no una elección | No automático |
| Alto riesgo (anexo III) | Caso por caso, con controles | Firma del directivo responsable |
| Limitado (art. 50) | Aceptable si se cumplen los deberes de transparencia | Responsable de producto |
| Mínimo | Aceptable, registrado | Responsable de producto |
Umbrales y escalado
El apetito solo sirve si fija umbrales que disparan el escalado. Escríbelos en términos concretos que un equipo pueda aplicar en la admisión:
- Cualquier uso que pudiera caer en el anexo III → clasificación obligatoria y revisión central antes de construir.
- Cualquier sistema que perfile a personas físicas → trátalo como de alto riesgo (en el anexo III siempre lo es) y escálalo.
- Cualquier uso que afecte a grupos vulnerables, datos biométricos o decisiones automatizadas con efecto jurídico → escálalo sea cual sea el nivel.
- Un cambio de finalidad prevista o una modificación sustancial → vuelve a clasificar antes de desplegar.
Empareja cada umbral con una vía clara: a quién se notifica, quién decide y qué evidencia (registro de clasificación, evaluación del artículo 9, EIDF) debe acompañar la decisión.
Conéctala al sistema de gestión de riesgos del artículo 9
Una declaración que vive en una presentación es puro teatro. Conéctala a la maquinaria viva: el sistema de gestión de riesgos del artículo 9 para sistemas de alto riesgo es el proceso continuo donde el apetito se pone realmente a prueba: los riesgos que dijiste que no aceptarías son los que el proceso del artículo 9 debe llevar hasta la mitigación o hasta un no-go. Vuelca los resultados en la vigilancia poscomercialización del artículo 72, de modo que un sistema que, una vez en marcha, se aleje del apetito quede detectado y se vuelva a decidir. El apetito, en otras palabras, es la política; los artículos 9 y 72 son donde muerde.
Ejemplo práctico: Lindqvist Finans AB, ~95 empleados, ~19 M€ de facturación
Lindqvist, un prestamista de Gotemburgo, redacta una declaración de una página. Suelo: ninguna práctica del artículo 5 —explícitamente, ni reconocimiento de emociones en el trabajo ni puntuación social. Firma del consejo: su modelo de evaluación crediticia es de alto riesgo según el anexo III, punto 5(b), así que solo entra en producción con la firma del director de riesgos, respaldada por la evaluación del artículo 9 y una EIDF del artículo 27 (los responsables del despliegue en solvencia crediticia deben una). Umbrales: cualquier uso nuevo que toque datos de solicitantes o decisiones automatizadas de préstamo escala al director de riesgos; la IA de marketing y de productividad interna (mínima/limitada) se queda con los responsables de producto. Escalado: una propuesta de «puntuación de confianza conductual» que recopilaba datos sociales no relacionados se marca en la admisión por aproximarse a la puntuación social prohibida y se descarta antes de construir nada. La declaración le da a Lindqvist un sí rápido para la IA de bajo riesgo y un proceso duro y documentado para el resto.
Cómo ayuda Confir
Confir operacionaliza la declaración: filtra cada uso frente al artículo 5 en la admisión (el suelo legal), clasifica conforme al artículo 6 y saca a la superficie los sistemas de alto riesgo del anexo III que necesitan firma de la dirección, y registra la evidencia de los artículos 9 y 27 que el apetito exige antes del go-live. El motor es determinista y basado en reglas, de modo que la línea entre «aprobar automáticamente» y «escalar» se aplica igual cada vez, mostrando en lenguaje llano la regla que se activó: el apetito impuesto por un proceso consistente, no por la memoria.
Guías relacionadas
- Gobernanza de la IA, de principio a fin
- Construir un modelo operativo de gobernanza de IA
- Informar al consejo sobre el riesgo de IA
- Las tres líneas de defensa para la IA
- IA prohibida frente a IA de alto riesgo
- Cómo clasificar tu sistema de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →