Las prácticas prohibidas del RIA (artículo 5): los ocho usos vetados
Las ocho prácticas de IA prohibidas por el art. 5 del RIA, en vigor desde el 2 feb 2025. Multas de hasta 35 M€ o 7 %, con tabla y ejemplo.
Algunos usos de la IA no están regulados: están vetados sin más. El artículo 5 del RIA, el Reglamento (UE) 2024/1689, enumera ocho prácticas prohibidas que nadie puede introducir en el mercado, poner en servicio ni usar en la UE. Están en vigor desde el 2 de febrero de 2025, y cargan con la multa más alta del reglamento: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial (artículo 99(3)). Si un uso cae en el artículo 5, ninguna cantidad de documentación o supervisión lo hace lícito —te detienes—.
Lo difícil para la mayoría de las empresas no son los usos prohibidos en sí, sino los parecidos lícitos que se sitúan justo al lado. Esta guía enumera los ocho y luego traza las líneas que de verdad importan.
Las ocho prácticas prohibidas
| # | Artículo 5(1) | Práctica prohibida |
|---|---|---|
| 1 | (a) | Técnicas subliminales, manipuladoras o engañosas que distorsionan materialmente el comportamiento y causan un perjuicio considerable |
| 2 | (b) | Aprovechamiento de vulnerabilidades por edad, discapacidad o una situación social/económica específica para distorsionar el comportamiento y causar un perjuicio considerable |
| 3 | (c) | Puntuación social — evaluar o clasificar a personas a lo largo del tiempo a partir de su comportamiento social o rasgos personales, con un trato perjudicial como resultado |
| 4 | (d) | Predecir la comisión de delitos basándose únicamente en la elaboración de perfiles o en rasgos de personalidad (no en hechos objetivos y verificables vinculados a una actividad delictiva) |
| 5 | (e) | Extracción no selectiva de imágenes faciales de internet o de CCTV para crear o ampliar bases de datos de reconocimiento facial |
| 6 | (f) | Reconocimiento de emociones en los entornos de trabajo y de educación (salvo por motivos médicos o de seguridad) |
| 7 | (g) | Categorización biométrica que infiere atributos sensibles —raza, opiniones políticas, afiliación sindical, religión, vida sexual, orientación sexual— |
| 8 | (h) | Identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley (solo excepciones autorizadas y muy limitadas) |
Son vetos sobre el uso, no sobre una herramienta o una marca. La misma tecnología subyacente —reconocimiento facial, análisis de sentimiento, puntuación— puede ser lícita en un despliegue y prohibida en otro. Clasifica siempre por para qué se usa el sistema.
Los parecidos lícitos (donde las empresas se equivocan)
La calificación crediticia no es puntuación social. Evaluar la solvencia de una persona es de alto riesgo (anexo III, punto 5(b)), no está prohibido. La puntuación social del 5(1)(c) es la evaluación intercontextual del comportamiento social general de las personas que lleva a un trato perjudicial injustificado o desproporcionado —por ejemplo, denegar una prestación pública no relacionada por una conducta privada no relacionada—. Un banco que puntúa a un solicitante de préstamo con datos financieros pertinentes está haciendo IA de alto riesgo regulada, no una práctica vetada.
La verificación uno a uno no es identificación biométrica remota en tiempo real. Desbloquear un teléfono o confirmar la identidad de un empleado en un torno (cotejo 1:1, con consentimiento, contra una plantilla conocida) no es la prohibición del 5(1)(h). El veto se dirige a la identificación en tiempo real, remota, uno a muchos de personas en espacios públicos con fines de aplicación de la ley. La mayoría de la biometría de trabajo y de consumo es verificación, no identificación remota.
El reconocimiento de emociones fuera del trabajo y la escuela puede ser lícito. El veto del 5(1)(f) es específico del trabajo y la educación. La misma capacidad usada en otro sitio puede ser lícita —aunque puede ser biometría de alto riesgo (anexo III, punto 1) y suele activar un aviso del artículo 50(3) de que se está analizando a la persona—. Un error habitual es llamar "de alto riesgo" al reconocimiento de emociones en el lugar de trabajo —ahí está prohibido—.
El calendario y el nuevo veto del 2 de diciembre de 2026
Las ocho prohibiciones se aplican desde el 2 de febrero de 2025. No se vieron afectadas por el aplazamiento del régimen de alto riesgo del Ómnibus Digital —están activas ahora—.
Una nueva prohibición llega el 2 de diciembre de 2026: la IA usada para generar o manipular material de abusos sexuales a menores (MASNI), y las llamadas aplicaciones de "desnudado". Trátala como una adición a corto plazo a la lista del artículo 5, no como algo en un horizonte lejano.
Una nota sobre el calendario más amplio: el plazo de alto riesgo del anexo III se traslada al 2 de diciembre de 2027 bajo el Ómnibus Digital, ya adoptado —votación del Parlamento el 16 de junio de 2026, adopción por el Consejo el 29 de junio de 2026— y a la espera solo de su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, para entrar en vigor. Nada de eso toca el artículo 5, que ya está en vigor.
Ejemplo práctico
Nordkran GmbH, una empresa de logística de ~140 personas en Hamburgo (~31 M€ de facturación), sopesa tres ideas de IA. (1) Un sistema de cámaras que lee las expresiones faciales del personal del almacén para marcar la "desconexión" ante los responsables. (2) Un escaneo facial 1:1 para abrir puertas seguras a empleados con credencial. (3) Un modelo que puntúa el riesgo de las rutas de reparto a partir de datos de tráfico y meteorológicos.
Veredictos: la idea (1) está prohibida —reconocimiento de emociones en el lugar de trabajo, artículo 5(1)(f)—; no puede lanzarse, punto. La idea (2) es verificación biométrica lícita, no el veto de identificación remota del 5(1)(h) —adelante, con el cuidado habitual de protección de datos—. La idea (3) no es ni biométrica ni está prohibida en absoluto; el riesgo de ruta a partir de datos operativos es, con estos hechos, IA de riesgo mínimo. Una idea de producto muere en la línea de la prohibición; las otras dos siguen adelante. Ese es el valor de clasificar cada uso antes de construirlo.
Cómo ayuda Confir
Confir examina cada uso registrado frente a las ocho categorías del artículo 5 primero, antes de cualquier análisis de alto riesgo, y marca un uso prohibido con el subapartado exacto y la razón por la que se activó —de modo que una idea vetada se detecta en la fase de diseño, no después del lanzamiento—. El motor es determinista y basado en reglas: la misma recopilación de datos siempre devuelve el mismo veredicto, y puedes ver qué regla se aplicó.
Guías relacionadas
- El artículo 5 del RIA, explicado
- Práctica de IA prohibida, definida
- IA de riesgo inaceptable
- La prohibición de identificación biométrica en tiempo real
- IA de puntuación social
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →