Cómo clasificar la IA de visión artificial bajo la Ley de IA
La IA de visión artificial no es un solo nivel. Clasifica por uso: reconocimiento facial, inspección, imagen médica y ADAS caen en niveles muy distintos.
"¿La visión artificial es de alto riesgo?" no tiene una sola respuesta, porque la visión artificial no es una categoría de riesgo: es una tecnología que aparece en todos los niveles. La Ley de IA clasifica por uso, nunca por la técnica subyacente (artículo 6). El mismo modelo convolucional que inspecciona tapones de botella en una línea de producción, lee una radiografía de tórax, reconoce una cara entre una multitud y conduce un coche se sitúa en cuatro lugares regulatorios completamente distintos.
El mapa breve: el reconocimiento facial es de alto riesgo según el anexo III, punto 1, o, en una configuración concreta en espacio público en tiempo real, está prohibido según el artículo 5(1)(h). La inspección de defectos y calidad es de riesgo mínimo. La imagen médica es de alto riesgo por la vía del producto (anexo I, el Reglamento de productos sanitarios), con plazo el 2 de agosto de 2028. La visión de asistencia a la conducción también es un caso de la vía de producto (homologación de vehículos). Una tecnología, cuatro respuestas. Esta página es el recorrido de decisión que te lleva a la correcta.
La única regla: clasifica por el uso, no por el modelo
La maquinaria de clasificación de la Ley nunca pregunta "¿es esto un modelo de visión?". Pregunta para qué se usa el sistema. El artículo 6 establece dos vías de alto riesgo: la 6(1) para la IA que es un componente de seguridad de un producto cubierto por las leyes sectoriales del anexo I (productos sanitarios, vehículos, máquinas) y la 6(2) para la IA usada en una de las áreas del anexo III. Cualquier cosa que no esté en ninguna vía, y no esté prohibida según el artículo 5, es de riesgo limitado o mínimo.
Así que la pregunta de clasificación para cualquier sistema de visión artificial es una secuencia, no una etiqueta:
- ¿El uso está prohibido según el artículo 5? (p. ej., identificación biométrica remota en tiempo real en espacios públicos para fines policiales; categorización de atributos sensibles; puntuación social.) Si la respuesta es sí, para: está prohibido.
- ¿Es un componente de seguridad de un producto del anexo I? (producto sanitario, vehículo, máquina.) Si la respuesta es sí, es de alto riesgo por la vía de producto, 6(1), 2 de agosto de 2028.
- ¿El uso está nombrado en el anexo III? (biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración, justicia.) Si la respuesta es sí, es de alto riesgo, 6(2), 2 de diciembre de 2027 (fecha fijada por el Ómnibus Digital, Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026).
- ¿Nada de lo anterior? De riesgo limitado si se aplica un deber de transparencia del artículo 50; en su defecto, de riesgo mínimo, sin obligaciones específicas más allá de la alfabetización en IA del artículo 4.
Pasa cualquier sistema de visión por esas cuatro preguntas y el nivel sale solo.
Reconocimiento facial: de alto riesgo, o prohibido
La visión artificial de imágenes faciales es el caso que la gente tiene en mente cuando pregunta "¿la visión artificial es de alto riesgo?", y aun aquí la respuesta se bifurca.
La identificación biométrica remota (uno a varios) —cotejar una cara con muchos registros para establecer quién es una persona— es de alto riesgo según el anexo III, punto 1(a), con la vía de conformidad por organismo notificado (anexo VII).
La identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley está en gran medida prohibida según el artículo 5(1)(h), sujeta a excepciones autorizadas restringidas.
La categorización de atributos sensibles a partir de una cara —inferir etnia, religión, orientación sexual— está prohibida según el artículo 5(1)(g).
La verificación uno a uno —desbloqueo facial contra tu propia plantilla registrada— está excluida del anexo III, punto 1, y es de riesgo mínimo (sigue aplicándose el artículo 9 del RGPD). Así que, incluso dentro del "reconocimiento facial", puedes estar prohibido, de alto riesgo o en mínimo según sea uno a varios frente a uno a uno y público en tiempo real frente a no.
Inspección de defectos: riesgo mínimo
El uso industrial de visión artificial más común es también el más fácil de resolver. Un modelo de visión que inspecciona productos en busca de defectos —arañazos en un panel, una soldadura ausente, una caja mal etiquetada— y aparta los rechazos de una línea es de riesgo mínimo. No está en ninguna área del anexo III (evalúa objetos, no personas), y no es un componente de seguridad de un producto del anexo I en el sentido regulado; es una herramienta de control de calidad. Desde el Ómnibus Digital, el artículo 6(1 bis) lo dice expresamente: la IA usada únicamente para control de calidad no es un componente de seguridad, salvo que su fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad.
Riesgo mínimo significa ninguna obligación específica de la Ley de IA más allá de la alfabetización en IA del artículo 4: ni evaluación de la conformidad, ni registro, ni EIDF. Los pasos voluntarios sensatos (un registro interno, pruebas básicas de precisión) son buena práctica, no deberes legales. La línea que vigilar: si la misma cámara se reutiliza para monitorizar la productividad o el comportamiento de los trabajadores, abandona el control de calidad y entra en el anexo III, punto 4 (empleo / gestión de trabajadores): alto riesgo. La distinción objeto/persona es lo que mantiene la inspección en mínimo.
Imagen médica: alto riesgo por la vía de producto
La IA que lee imágenes médicas —detectar un tumor en una exploración, triar una radiografía de tórax— sí es de alto riesgo, pero no por el anexo III. Alcanza el alto riesgo a través del artículo 6(1): la IA es un componente de seguridad de —o es en sí misma— un producto sanitario regulado por el Reglamento (UE) 2017/745 de productos sanitarios (MDR) (o el IVDR), que figura en el anexo I.
Ese enrutamiento cambia tres cosas. Primera, el plazo es el 2 de agosto de 2028, no la fecha del anexo III. Segunda, los requisitos de alto riesgo de la Ley de IA se integran en la evaluación de la conformidad existente del MDR —la revisión por organismo notificado que un fabricante de productos sanitarios ya ejecuta— en lugar de en un procedimiento aparte de la Ley de IA. Tercera, el fabricante es claramente el proveedor, con el hospital como responsable del despliegue. Un proveedor de IA de radiología no elige entre el MDR y la Ley de IA; satisface los requisitos de la Ley de IA dentro de su vía de conformidad del MDR.
Visión de asistencia a la conducción (ADAS): de nuevo la vía de producto
Las cámaras de un sistema avanzado de asistencia a la conducción —mantenimiento de carril, detección de peatones, frenado automático— son visión artificial que realiza una función de seguridad en un vehículo. Como la imagen médica, este es el caso de la vía de producto del artículo 6(1): los vehículos se homologan según la legislación automovilística de la UE recogida en el anexo I, y los requisitos de alto riesgo de la Ley de IA se integran a través de ese marco sectorial, con el plazo del 2 de agosto de 2028.
La consecuencia práctica refleja la de los productos sanitarios: el fabricante del vehículo (o del componente) es el proveedor; la conformidad transcurre por la homologación, no por una evaluación autónoma de la Ley de IA; y el calendario del anexo III no se aplica. La visión ADAS es un buen recordatorio de que "alto riesgo" no siempre significa "anexo III": la vía de producto es una pista de alto riesgo paralela con su propio plazo.
La tabla de decisión
| Uso de visión artificial | Vía | Nivel | Plazo |
|---|---|---|---|
| Identificación facial remota en tiempo real en público, aplicación de la ley | Artículo 5(1)(h) | Prohibido | En vigor (2 feb 2025) |
| Categorización de atributos sensibles a partir de una cara | Artículo 5(1)(g) | Prohibido | En vigor (2 feb 2025) |
| Identificación facial remota (1:varios) | Anexo III, pt. 1 | Alto riesgo | 2 dic 2027 |
| Verificación facial (1:1, plantilla propia) | — | Mínimo | Ninguno |
| Inspección de defectos / calidad de objetos | — | Mínimo | Ninguno |
| Visión de monitorización de trabajadores | Anexo III, pt. 4 | Alto riesgo | 2 dic 2027 |
| Imagen médica (producto MDR) | Anexo I / art. 6(1) | Alto riesgo (producto) | 2 ago 2028 |
| Visión ADAS / conducción autónoma | Anexo I / art. 6(1) | Alto riesgo (producto) | 2 ago 2028 |
En esa tabla conviven dos pistas de fechas: alto riesgo autónomo del anexo III (2 dic 2027; originalmente 2 ago 2026) y alto riesgo integrado en producto (2 ago 2028; originalmente 2 ago 2027). Ambas fechas las fijó el Ómnibus Digital, Reglamento (UE) 2026/1744, ya en vigor. Mantenlas separadas.
Ejemplo práctico: OptiSicht GmbH, una empresa de visión artificial
OptiSicht GmbH, una empresa alemana de visión artificial, unos 95 empleados, unos 16 M€ de facturación, vende una familia de modelos en tres productos. La misma tecnología base, tres clasificaciones.
- FactoryEye inspecciona piezas de automoción en una línea en busca de defectos. Evalúa objetos. Riesgo mínimo: ninguna obligación de la Ley de IA, aunque OptiSicht conserva registros de precisión voluntarios para sus clientes.
- MediScan señala sospechas de fractura en radiografías y lleva el marcado CE como producto sanitario según el MDR. Alto riesgo por la vía de producto (artículo 6(1)), plazo 2 de agosto de 2028; OptiSicht cumple los requisitos de la Ley de IA dentro de su evaluación de la conformidad del MDR, como proveedor.
- GateGuard coteja caras en la entrada segura de un cliente contra una galería registrada del personal para registrar quién entró. Como busca en una galería para establecer la identidad, es identificación remota uno a varios: alto riesgo según el anexo III, punto 1(a), que requiere la vía de organismo notificado del anexo VII y el registro según el artículo 49. (Si, en cambio, hubiera comprobado la cara de cada persona contra su propia plantilla de credencial, sería verificación 1:1: riesgo mínimo.)
El error que OptiSicht debe evitar es tratar "somos una empresa de visión artificial" como una única postura de cumplimiento. Tres productos, tres programas, dos plazos. Un incumplimiento de las obligaciones de alto riesgo en MediScan o GateGuard se situaría en 15 millones de euros o el 3 % del volumen de negocios mundial (artículo 99(4)), con el límite para pymes del artículo 99(6) aplicando la cifra menor; FactoryEye no acarrea esa exposición porque es de riesgo mínimo.
Cómo ayuda Confir
El motor basado en reglas de Confir pasa cada sistema de visión artificial por la secuencia del artículo 6 —test de prohibición (artículo 5), vía de producto (anexo I / artículo 6(1)), test del anexo III (artículo 6(2)) y después transparencia (artículo 50)— y devuelve un nivel por uso, no por empresa. Así, una firma de visión con una herramienta de inspección, un dispositivo de imagen médica y un producto de reconocimiento facial ve tres resultados separados con tres plazos, cada uno citando la regla que se activó. La clasificación es determinista y basada en reglas: la misma entrada produce el mismo nivel cada vez, que es lo que te permite mostrar a un auditor por qué la inspección de defectos es mínima mientras que la identificación facial es de alto riesgo.
Guías relacionadas
- Cómo clasificar tu sistema de IA
- Identificación biométrica (anexo III)
- IA de imagen médica
- Clasificación del artículo 6
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →