C3 AI ante el Reglamento de IA: se clasifica por la aplicación, no por C3
C3 AI no tiene nivel de riesgo propio. Cada app se clasifica por su uso (art. 6): casi todas mínimas; un componente de seguridad de red, anexo III, punto 2.
C3 AI no tiene un nivel de riesgo propio bajo el Reglamento de IA. Cada aplicación que ejecutas o construyes sobre la plataforma se clasifica por lo que hace.
C3 AI es un proveedor de IA empresarial con dos caras: la plataforma C3 AI, sobre la que desarrollas y operas aplicaciones de IA, y un catálogo de más de 40 aplicaciones llave en mano para fabricación, servicios financieros, petróleo y gas y —de forma destacada— servicios públicos y energía. Bajo el Reglamento (UE) 2024/1689, el objeto regulado es el sistema de IA que hay detrás de cada aplicación, clasificado por su finalidad prevista según el artículo 6, y no «C3 AI» como una sola etiqueta.
Aquí esto importa más que en una plataforma de datos genérica, porque el centro de gravedad de C3 AI son las infraestructuras críticas: gestión de redes, detección de fallos, previsión energética. La mayoría de esas aplicaciones son herramientas operativas de riesgo mínimo, pero un sistema que actúe como componente de seguridad en la gestión o el funcionamiento de infraestructuras críticas puede ser de alto riesgo según el anexo III punto 2. Esta página clasifica por uso, traza esa línea y desarrolla un ejemplo práctico.
Clasifica la aplicación, no C3 AI
Ejecutar una app de previsión de C3 AI, construir una aplicación a medida sobre la plataforma o monitorizar una flota de activos no conlleva ningún nivel obligatorio para C3 AI en sí. La clasificación depende de esto: ¿qué hace esta aplicación concreta y podría incidir en la seguridad de una infraestructura crítica o en los derechos de una persona?
Aplica el artículo 6 a cada aplicación:
| Aplicación de C3 AI | Nivel probable |
|---|---|
| Previsión de demanda o de carga energética (entrada de planificación, revisada por humanos) | Mínimo |
| Mantenimiento predictivo que marca activos para inspección | Mínimo |
| Optimización de inventario, cadena de suministro o atención al cliente | Mínimo |
| Un sistema de IA usado como componente de seguridad en la gestión o el funcionamiento de la red eléctrica, el agua, el gas o la calefacción | Alto riesgo — anexo III punto 2 |
| Una app que puntúa a empleados o clientes sobre sus derechos o su acceso | Alto riesgo — anexo III punto 4 o 5 |
El concepto decisivo es el anexo III punto 2: sistemas de IA destinados a usarse como componentes de seguridad en la gestión y el funcionamiento de infraestructuras digitales críticas, el tráfico rodado o el suministro de agua, gas, calefacción y electricidad. La prueba está en si el sistema es un componente de seguridad —si su fallo o mal funcionamiento pone en peligro la salud, la seguridad o el propio suministro—. Un panel de previsión que un operador lee y sobre el que actúa generalmente no es un componente de seguridad; una función automatizada de protección o control cuya salida gobierna directamente el funcionamiento seguro de la red sí puede serlo. Traza esa línea con criterio, aplicación por aplicación.
Ten en cuenta la vía alternativa del anexo I: cuando la IA es un componente de seguridad de un producto ya cubierto por la legislación de productos de la UE (máquinas, ciertos equipos energéticos), se canaliza por esa normativa sectorial con el plazo del 2 de agosto de 2028 en lugar de la vía del anexo III. Para las máquinas, el Ómnibus Digital trasladó el Reglamento (UE) 2023/1230 a la sección B del anexo I: los requisitos de IA llegan mediante actos delegados de ese Reglamento, aplicables a más tardar en esa fecha.
La mayoría de las aplicaciones de C3 AI —previsión, optimización, cribado de mantenimiento sobre el que actúa un humano— se sitúan en riesgo mínimo, sin más obligación que la alfabetización en IA del artículo 4, en vigor desde el 2 de febrero de 2025. Aplica el filtro del artículo 6(3) a todo lo que parezca dudoso: una tarea procedimental acotada o una salida consultiva revisada por humanos puede quedar fuera del alto riesgo, salvo que elabore perfiles de personas físicas.
Quién es el proveedor y quién el responsable del despliegue
Según el artículo 3(3), un proveedor desarrolla un sistema de IA (o encarga su desarrollo) y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca; un responsable del despliegue (artículo 26) usa un sistema en sus propias operaciones.
- Si ejecutas una aplicación llave en mano de C3 AI en tus operaciones, normalmente eres el responsable del despliegue.
- Si construyes una aplicación a medida sobre la plataforma C3 AI y la operas tú mismo, sigues siendo, por lo general, responsable del despliegue de un sistema que has ensamblado.
- Si construyes una aplicación sobre la plataforma y la distribuyes a terceros con tu propio nombre, te conviertes en su proveedor según el artículo 16, y se aplica el cambio de la cadena de valor del artículo 25 si modificas sustancialmente un sistema o lo reorientas a un uso de alto riesgo.
Si la aplicación es de alto riesgo (por ejemplo, un sistema componente de seguridad de la red), el proveedor asume el conjunto completo: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11 / anexo IV), registros (artículo 12), transparencia hacia los responsables del despliegue (artículo 13), supervisión humana (artículo 14), precisión y solidez (artículo 15), evaluación de la conformidad (artículo 43), declaración de conformidad (artículo 47) y registro (artículo 49). El responsable del despliegue de un sistema de alto riesgo asume los deberes del artículo 26: uso conforme a las instrucciones, supervisión humana y registros.
Y la aclaración de siempre: cuando una aplicación se construye sobre un modelo de IA de uso general de un tercero, las obligaciones del capítulo V para ese modelo (artículo 53) recaen en el proveedor del modelo, no en ti ni en C3 AI como plataforma de aplicaciones.
Qué debe cada rol
| Rol | Activador | Deberes principales |
|---|---|---|
| Responsable del despliegue (artículo 26) | Ejecutas una aplicación de C3 AI en tus operaciones | Uso conforme a las instrucciones, garantizar la supervisión humana, conservar registros |
| Proveedor (artículo 16) | Construyes y distribuyes una aplicación con tu nombre | Conjunto completo de alto riesgo: arts. 9-15, más 43, 47 y 49 si es anexo III |
| Proveedor de modelo GPAI (capítulo V) | Introduces un modelo de IA de uso general en el mercado | Documentación del art. 53 y resumen de datos de entrenamiento; art. 55 si hay riesgo sistémico |
El plazo
Si una aplicación es de alto riesgo autónomo del anexo III —incluido un sistema componente de seguridad de la red según el punto 2—, sus obligaciones se aplican desde el 2 de diciembre de 2027 (en lugar del 2 de agosto de 2026 original) según el Ómnibus Digital —Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—. El 2 de diciembre de 2027 es la fecha legal para el alto riesgo autónomo del anexo III. Cuando la IA es un componente de seguridad de un producto del anexo I, el plazo es el 2 de agosto de 2028. La alfabetización del artículo 4 y las prohibiciones del artículo 5 ya están en vigor; la transparencia del artículo 50 se aplica ya, desde el 2 de agosto de 2026.
Ejemplo práctico: Rheinkraft Netz GmbH
Rheinkraft Netz GmbH, una operadora regional de red eléctrica alemana con unos 340 empleados y unos 90 millones de euros de facturación, ejecuta tres aplicaciones de C3 AI:
- Previsión de carga que entrega a su equipo de planificación una curva de demanda para el día siguiente que los programadores revisan. Es una entrada consultiva sobre la que actúa un humano, no un componente de seguridad: riesgo mínimo, solo alfabetización del artículo 4.
- Mantenimiento predictivo que marca transformadores para inspección. Criba una lista de tareas de mantenimiento; decide un ingeniero: riesgo mínimo.
- Una función automatizada de protección frente a fallos de red construida sobre la plataforma C3 AI cuya salida gobierna directamente el aislamiento en tiempo real de tramos de línea con fallo. Esto es un componente de seguridad en el funcionamiento del suministro eléctrico: alto riesgo del anexo III punto 2. Como Rheinkraft lo construyó y lo opera internamente con su propio nombre, Rheinkraft es a la vez proveedor (artículo 16) y responsable del despliegue (artículo 26) de ese sistema, y asume el conjunto completo del proveedor más los deberes del responsable del despliegue, y el registro (art. 49). Plazo: 2 de diciembre de 2027, la fecha legal fijada por el Ómnibus Digital (Reglamento (UE) 2026/1744).
El mismo proveedor, tres veredictos: dos herramientas operativas mínimas y un componente de seguridad de alto riesgo, definidos por completo por el papel que cada sistema desempeña para mantener las luces encendidas.
Cómo ayuda Confir
Registra cada aplicación de C3 AI por separado —no «C3 AI» como una sola línea— y el motor basado en reglas de Confir clasifica cada una por su finalidad prevista, aplica la prueba del componente de seguridad del anexo III punto 2 para el uso en infraestructuras críticas y deriva tu rol (responsable del despliegue, o proveedor por el cambio del artículo 25). Una app de previsión o de mantenimiento devuelve una lista breve de riesgo mínimo; un sistema componente de seguridad de la red devuelve el conjunto de obligaciones del proveedor de alto riesgo y el esquema de documentación del artículo 11 / anexo IV. La lógica es determinista: la misma entrada, el mismo resultado, y la regla que se activó mostrada en lenguaje claro.
Guías relacionadas
- Clasificación de alto riesgo del artículo 6
- Casos de uso de alto riesgo del anexo III
- ¿es de alto riesgo la IA de infraestructuras críticas?
- obligaciones del proveedor según el artículo 16
- proveedor frente a responsable del despliegue, explicado
- el Reglamento de IA para la fabricación
- ¿es mi IA de alto riesgo?
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →