Riesgo limitado frente a riesgo mínimo en la Ley de IA
Riesgo limitado frente a mínimo en la Ley de IA: transparencia del art. 50 (aplicable desde el 2 ago 2026) frente a ninguna obligación, con tabla comparativa.
La mayoría de la IA empresarial no es de alto riesgo. Aterriza en uno de los dos niveles más ligeros —riesgo limitado o riesgo mínimo— y la diferencia entre ambos es una sola disposición legal breve: el artículo 50. Si un sistema queda atrapado por el artículo 50, debe un deber de transparencia (decir a la gente que trata con IA, marcar el contenido sintético, revelar una ultrafalsificación). Si no, no debe ninguna obligación específica de la Ley de IA. Esa es toda la distinción. Esta página traza la línea con precisión, con una tabla comparativa y un ejemplo práctico.
El test rápido: ¿el sistema interactúa con personas, genera medios sintéticos, hace reconocimiento de emociones o categorización biométrica, o produce ultrafalsificaciones? Si la respuesta es sí → riesgo limitado (artículo 50). Si es no → riesgo mínimo.
Riesgo limitado = transparencia del artículo 50
"Riesgo limitado" no es una etiqueta que la Ley use para un nivel de sistemas: es un atajo para los sistemas que activan los deberes de transparencia del artículo 50 del Reglamento (UE) 2024/1689. Los deberes son específicos y recaen sobre el actor que nombre el subapartado:
- Artículo 50(1): los sistemas que interactúan con personas deben revelar que son IA, salvo que sea evidente. (Es un deber de diseño del proveedor: quien construye el chatbot, o lo comercializa con su propia marca, debe incorporar el aviso.)
- Artículo 50(2): los proveedores de sistemas que generan audio, imagen, vídeo o texto sintéticos deben marcar la salida como generada artificialmente en un formato legible por máquina.
- Artículo 50(3): los responsables del despliegue de sistemas de reconocimiento de emociones o categorización biométrica deben informar a las personas expuestas a ellos.
- Artículo 50(4): los responsables del despliegue que producen o manipulan ultrafalsificaciones (y cierto texto de interés público) deben revelar que el contenido se ha generado o manipulado artificialmente.
Todo el artículo 50 —incluido el deber de marcado del 50(2)— se aplica desde el 2 de agosto de 2026. (No lo confundas con el 2 de diciembre de 2026, que es solo una transición del artículo 111(4): da a los sistemas generativos ya presentes en el mercado antes del 2 de agosto de 2026 hasta esa fecha para cumplir el deber de marcado; un sistema lanzado después debe marcar desde el primer día. Ese mismo 2 de diciembre de 2026 empiezan a aplicarse las dos nuevas prohibiciones de las imágenes íntimas no consentidas de una persona identificable y del material de abuso sexual infantil, artículo 5(1)(ba) y (bb). Ambas novedades proceden del Ómnibus Digital, Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026.) Un incumplimiento del artículo 50 se sitúa en el nivel de sanción de 15 000 000 € o el 3 % según el artículo 99(4).
El riesgo limitado no arrastra la maquinaria de alto riesgo: ni evaluación de la conformidad, ni expediente técnico, ni sistema de gestión de riesgos. Es una obligación de transparencia, nada más.
Riesgo mínimo = ningún deber específico de la Ley de IA
Si un sistema no está prohibido, no es de alto riesgo y no queda atrapado por el artículo 50, es de riesgo mínimo. La Ley no impone ninguna obligación obligatoria a los sistemas de riesgo mínimo. Filtros de spam, previsión de inventario, motores de recomendación, analítica interna, la mayoría del software de productividad: la inmensa mayoría de la IA empresarial aterriza aquí.
Dos cosas siguen aplicándose, pero ninguna es específica de un nivel:
- La alfabetización en IA del artículo 4 se aplica a toda la IA, en vigor desde el 2 de febrero de 2025: proveedores y responsables del despliegue deben adoptar medidas para apoyar el desarrollo de la alfabetización en IA de su personal. Desde el 27 de julio de 2026, tras el Ómnibus Digital, ya no se exige garantizar un nivel concreto de competencia de cada persona, pero el deber sigue siendo suyo. No es una obligación de riesgo mínimo; es universal.
- Los códigos de conducta voluntarios del artículo 95. La Ley anima a los proveedores y responsables del despliegue de sistemas que no son de alto riesgo a adoptar códigos voluntarios, por ejemplo aplicando por elección algunas salvaguardas al estilo del alto riesgo. Son voluntarios y no crean ningún deber legal; adoptar uno es una señal de confianza, no un requisito de cumplimiento. (No confundas los códigos de conducta del artículo 95 con los códigos de buenas prácticas del artículo 56, que son para los proveedores de modelos de IA de uso general.)
Así que el contenido práctico de "riesgo mínimo" es: clasifícalo, registra por qué es mínimo, forma a tu personal según el artículo 4, y listo.
Limitado frente a mínimo, lado a lado
| Riesgo limitado | Riesgo mínimo | |
|---|---|---|
| Qué lo desencadena | Artículo 50: interacción con IA, contenido sintético, reconocimiento de emociones/biométrico, ultrafalsificaciones | Ninguno de los desencadenantes del artículo 50, y no es de alto riesgo ni está prohibido |
| Obligación principal | Transparencia / comunicación (artículo 50(1)–(4)) | Ninguna específica de la Ley de IA |
| Evaluación de la conformidad | No | No |
| Documentación técnica / gestión de riesgos | No | No |
| Alfabetización en IA del artículo 4 | Sí (universal, desde el 2 feb 2025) | Sí (universal, desde el 2 feb 2025) |
| Medidas voluntarias | — | Códigos de conducta del artículo 95 (opcional) |
| Se aplica desde | 2 de agosto de 2026 | Sin fecha de inicio específica de la Ley de IA |
| Nivel de sanción si se incumple | 15 M€ / 3 % (art. 99(4)) | n/d |
| Ejemplos típicos | Chatbot de atención al cliente, generador de imágenes con IA, herramienta de ultrafalsificación, quiosco de reconocimiento de emociones | Filtro de spam, previsión de demanda, recomendador, analítica interna |
Cómo distinguirlos en la práctica
Pasa la misma comprobación breve por cada sistema:
- ¿Una persona interactúa con él y podría no darse cuenta de que es IA? → comunicación del 50(1) → limitado.
- ¿Genera salida de audio, imagen, vídeo o texto? → marcado del 50(2) (proveedor) → limitado.
- ¿Infiere emociones o clasifica a las personas en categorías biométricas? → aviso del 50(3) → limitado. (Vigila la línea: el reconocimiento de emociones en el lugar de trabajo o la educación está prohibido según el artículo 5(1)(f), salvo por motivos médicos o de seguridad; no es limitado.)
- ¿Crea o altera medios realistas de personas o hechos reales? → transparencia sobre ultrafalsificación del 50(4) → limitado.
- ¿Nada de lo anterior, y no es de alto riesgo ni está prohibido? → mínimo.
El error más común es aparcar un chatbot de cara al cliente en "mínimo" porque parece de poco calado. Si habla con personas, es de riesgo limitado y debe la comunicación del 50(1). El segundo más común es tratar una herramienta de analítica interna como limitada porque es "IA": si no activa un desencadenante del 50, es mínima.
Ejemplo práctico: Tirol Reisen, unos 45 empleados, unos 7 M€ de facturación
Tirol Reisen, una agencia de viajes de Innsbruck, opera cuatro funciones de IA:
- Un chatbot de reservas en su web. Interactúa con clientes → transparencia del artículo 50(1) → riesgo limitado. Tirol lo usa tal como se le suministra, así que es el responsable del despliegue: el deber de diseño del aviso recae en el proveedor del chatbot, y Tirol comprueba que esté activo.
- Una herramienta de IA que genera imágenes de marketing para campañas. Produce imágenes sintéticas → el marcado del artículo 50(2) se aplica al proveedor de ese generador; Tirol, como responsable del despliegue, no debe eliminar el marcado y, si una imagen constituye una ultrafalsificación, lo revela según el artículo 50(4) → riesgo limitado en la cadena.
- Un modelo de previsión de demanda para el inventario hotelero. Sin interacción humana, sin medios sintéticos, sin biometría → riesgo mínimo; solo se aplica la alfabetización del artículo 4.
- Una herramienta interna de categorización de gastos. Igual: riesgo mínimo.
Veredicto: dos sistemas de riesgo limitado que llevan comunicaciones del artículo 50, dos sistemas de riesgo mínimo que no llevan nada específico de la Ley de IA. Tirol documenta cada clasificación, verifica que las comunicaciones del chatbot y de las imágenes estén operativas (son exigibles desde el 2 de agosto de 2026) y forma al personal según el artículo 4. Ninguna evaluación de la conformidad en ningún punto: ninguno de estos es de alto riesgo.
Cómo ayuda Confir
El motor basado en reglas de Confir ejecuta las comprobaciones de los desencadenantes del artículo 50 para cada sistema y devuelve "limitado" con el subapartado exacto (50(1)–(4)) y la comunicación que se debe, o "mínimo" con el motivo registrado. Es determinista: la misma entrada siempre da el mismo nivel, de modo que un chatbot nunca aterriza calladamente en "mínimo" y una simple herramienta de analítica nunca se sobreclasifica. La regla que se activó se muestra en lenguaje claro para tu pista de auditoría.
Preguntas frecuentes
¿Cuál es la diferencia entre riesgo limitado y riesgo mínimo?
Riesgo limitado significa que el sistema activa un deber de transparencia del artículo 50: revelar la interacción con IA, marcar el contenido sintético, notificar el reconocimiento de emociones/biométrico o revelar una ultrafalsificación. Riesgo mínimo significa que ninguno de esos desencadenantes se aplica y que el sistema no es de alto riesgo ni está prohibido, así que no debe ninguna obligación específica de la Ley de IA. La línea divisoria es, sencillamente, si el artículo 50 está implicado.
¿Cuándo empiezan los deberes de transparencia del riesgo limitado?
Los deberes de transparencia del artículo 50, incluido el deber de marcado de contenido sintético del 50(2), se aplican desde el 2 de agosto de 2026. No lo confundas con el 2 de diciembre de 2026, que es solo el plazo transitorio del artículo 111(4) para los sistemas generativos ya presentes en el mercado antes del 2 de agosto de 2026 (y la fecha de aplicación de las dos nuevas prohibiciones de las imágenes íntimas no consentidas de una persona identificable y del material de abuso sexual infantil), ambas introducidas por el Ómnibus Digital, Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Un sistema generativo lanzado después del 2 de agosto de 2026 debe marcar desde el primer día.
¿Un sistema de riesgo mínimo tiene alguna obligación?
Ninguna obligación obligatoria específica de la Ley de IA. Siguen aplicándose dos cosas no específicas de un nivel: la alfabetización en IA del artículo 4, que cubre toda la IA y está en vigor desde el 2 de febrero de 2025, y la opción de adoptar códigos de conducta voluntarios según el artículo 95. Adoptar un código voluntario es una señal de confianza, no un deber legal, así que un sistema de riesgo mínimo que simplemente se clasifica, se documenta y forma al personal cumple.
¿Un chatbot de atención al cliente es de riesgo limitado o mínimo?
Riesgo limitado. Un sistema que interactúa con personas debe revelar que es IA según el artículo 50(1), salvo que sea evidente por el contexto. Aparcar un chatbot de cara al cliente en "mínimo" es una clasificación errónea habitual: si habla con personas, el deber de transparencia se aplica y el sistema es de riesgo limitado, aunque no deba nada más allá de ese aviso de transparencia.
¿Cuál es la sanción por incumplir un deber de transparencia del artículo 50?
Un incumplimiento del artículo 50 entra en el nivel de 15 000 000 € o el 3 % del volumen de negocios anual mundial total, lo que sea mayor, según el artículo 99(4): el mismo nivel que la mayoría de los deberes de proveedor y responsable del despliegue, no el nivel máximo de prácticas prohibidas de 35 M€/7 %. Para las pymes, el artículo 99(6) aplica el menor de entre el porcentaje y la cuantía fija.
¿El reconocimiento de emociones es siempre de riesgo limitado?
No. El reconocimiento de emociones en el lugar de trabajo y en la educación está prohibido según el artículo 5(1)(f), no es de riesgo limitado. En otros contextos puede ser lícito y entonces lleva el aviso del artículo 50(3), y también puede ser biometría de alto riesgo según el anexo III, punto 1. Comprueba siempre el nivel de prohibición antes de concluir que un uso de reconocimiento de emociones es meramente de riesgo limitado.
Guías relacionadas
- Riesgo limitado explicado
- Riesgo mínimo explicado
- Cómo clasificar tu sistema de IA
- Riesgo limitado (glosario)
- Ultrafalsificación
- Artículo 50 — obligaciones de transparencia
- Códigos de buenas prácticas
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →