Cuando un sistema de IA cambia de tramo de riesgo según el RIA

La clasificación no es un sello de una sola vez. Un sistema que registraste correctamente como de riesgo mínimo o limitado puede pasar a ser de alto riesgo más adelante —y el cambio puede convertirte a ti en su proveedor, con todo el conjunto de deberes del artículo 16, aunque solo pretendieras ser un responsable del despliegue—. Según el RIA, el Reglamento (UE) 2024/1689, dos hechos lo desencadenan: una modificación sustancial y un cambio de la finalidad prevista. Ambos están en el artículo 25, y en ambos es fácil meterse sin darse cuenta.

Esta guía explica cuándo cambia un tramo, cuándo volver a ejecutar la evaluación del artículo 6(3), y qué debes una vez que ocurre.

Los dos desencadenantes que mueven un sistema a alto riesgo

El artículo 25(1) enumera las formas en que una parte distinta del proveedor original asume las obligaciones de proveedor. Dos de ellas vuelcan el tramo:

• Artículo 25(1)(b) — modificación sustancial. Realizas una modificación sustancial de un sistema de alto riesgo ya en el mercado o en servicio. Una modificación sustancial (artículo 3(23)) es un cambio, no previsto en la evaluación de la conformidad del proveedor original, que afecta a la conformidad del sistema con los requisitos o cambia su finalidad prevista. Las correcciones rutinarias de errores y las actualizaciones planificadas que el proveedor ya documentó no son sustanciales; un reentrenamiento material o una rearquitectura que el proveedor nunca evaluó sí lo es.
• Artículo 25(1)(c) — cambio de la finalidad prevista. Cambias la finalidad prevista de un sistema —incluido uno que no es de alto riesgo— de modo que pase a ser de alto riesgo según el artículo 6. Este es el que se les escapa a los fundadores: toma una herramienta general de analítica y dirígela a puntuar a candidatos a un puesto, y habrás creado un nuevo sistema de alto riesgo del anexo III, punto 4 solo con reorientarla.

Hay una tercera vía en el mismo artículo —el artículo 25(1)(a), poner tu nombre o marca en un sistema de alto riesgo ya introducido en el mercado—. Eso no cambia el tramo; cambia quién responde por un sistema que ya es de alto riesgo. Mantenlo distinto de las dos anteriores, que tratan del tramo que se mueve.

---

Cuándo debes volver a ejecutar la evaluación del artículo 6(3)

El filtro del artículo 6(3) permite que un sistema del anexo III escape al estatus de alto riesgo cuando no plantea un riesgo significativo de perjuicio —una tarea procedimental limitada, mejorar una actividad humana completada, detectar patrones sin sustituir el juicio humano, o un trabajo preparatorio (basta una sola, pero un sistema que elabora perfiles de personas físicas es siempre de alto riesgo y no puede usarlo)—. Ese filtro es tan bueno como la finalidad prevista frente a la que se ejecutó.

Vuelve a ejecutarlo siempre que cambien los hechos de los que dependía:

• Alteras la finalidad prevista —la exención se circunscribió a la finalidad antigua—.
• Realizas una modificación sustancial que cambia cómo influye el sistema en una decisión (p. ej., ahora puntúa a los candidatos en lugar de solo ordenarlos).
• Trasladas el sistema de un papel de oficina, supervisado por una persona, a uno que materialmente impulsa un resultado.

Si la nueva ejecución cae en alto riesgo, el sistema es de alto riesgo desde ese momento —no desde alguna fecha de revisión futura—.

Qué cambia cuando el tramo vuelca: puedes ser el nuevo proveedor

Esta es la parte que muerde. Según el artículo 25(1), la parte que modifica sustancialmente un sistema de alto riesgo o reorienta un sistema hacia uno de alto riesgo es considerada proveedor de ese sistema de alto riesgo y asume las obligaciones del artículo 16 por completo:

El proveedor original no se esfuma sin más: el artículo 25(2), reescrito por el Ómnibus Digital (Reglamento (UE) 2026/1744), le exige cooperar con el nuevo proveedor —entregarle la documentación técnica, las limitaciones y modos de fallo conocidos y un acceso técnico específico para las pruebas—, salvo que hubiera especificado claramente que su sistema no debía convertirse en uno de alto riesgo; a cambio, puede quedar relevado de obligaciones adicionales respecto de ese sistema modificado. El deber se ha trasladado a ti.

Las sanciones siguen al deber. Una infracción de proveedor/responsable del despliegue de estas obligaciones se sitúa en el tramo de 15 000 000 € o el 3 % del volumen de negocios anual mundial (artículo 99(4)), no en el tramo de prohibiciones del artículo 5. Desde el Ómnibus Digital, ese tramo cubre también los deberes de cooperación en la cadena de valor del artículo 25(2) y (4), según la nueva letra d bis) del artículo 99, apartado 4. Para pymes y empresas emergentes, la multa es el menor del porcentaje o el importe fijo (artículo 99(6)), y el artículo 99(6 bis) aplica ese mismo límite a las pequeñas empresas de mediana capitalización en las multas de los apartados 4 y 5.

Documenta el cambio como documentaste el original

Una reclasificación es un hecho de cumplimiento, así que deja un rastro: qué cambió (la modificación o la nueva finalidad), la fecha, el razonamiento de la nueva ejecución de los artículos 6 y 6(3), el nuevo tramo y el nuevo papel. Si te has convertido en el proveedor, la documentación técnica (artículo 11, anexo IV) debe reflejar ahora el sistema modificado, y lo registras con arreglo al artículo 49 antes de que se apliquen las obligaciones de alto riesgo. Ese registro es tu defensa cuando una autoridad de vigilancia del mercado pregunte por qué el mismo sistema se trata ahora de forma distinta.

Ejemplo práctico: Strandbyte GmbH, ~140 empleados, ~26 M€ de facturación

Strandbyte, una empresa de software logístico de Hamburgo, despliega una herramienta de terceros de triaje de documentos para ordenar los correos entrantes de proveedores —una tarea procedimental limitada, registrada como exenta por el artículo 6(3), con Strandbyte como responsable del despliegue—. Un jefe de producto conecta entonces la misma herramienta al sistema de seguimiento de candidatos y la usa para clasificar a candidatos a un puesto. Eso es un cambio de la finalidad prevista: la nueva finalidad se sitúa en el anexo III, punto 4 (empleo), el sistema ahora elabora perfiles de personas físicas, y la exención del 6(3) ya no se sostiene. Según el artículo 25(1)(c), Strandbyte se convierte en el proveedor de un sistema de alto riesgo y debe el conjunto de obligaciones del artículo 16. Lo correcto habría sido volver a ejecutar la clasificación antes de reorientar la herramienta. Strandbyte revierte el cambio, vuelve a registrar el sistema como el uso procedimental original y encauza la idea de contratación a través de una evaluación de proveedor adecuada.

Cómo ayuda Confir

Confir mantiene viva la clasificación de cada sistema registrado, de modo que un cambio de finalidad o una modificación sustancial vuelve a ejecutar la lógica de los artículos 5, 6 y 6(3) y muestra el nuevo tramo, el vuelco del artículo 25 y el nuevo papel con la regla citada que se activó. El motor es determinista y basado en reglas —el mismo cambio siempre produce la misma reclasificación y lista de obligaciones— y señala cuándo una modificación ha convertido a un responsable del despliegue en proveedor antes de que los nuevos deberes se acumulen en silencio.

Guías relacionadas

• Cómo funciona la clasificación de riesgo de la IA
• Cómo clasificar tu sistema de IA
• La exención del artículo 6(3) explicada
• Proveedor frente a responsable del despliegue
• Artículo 25: responsabilidades a lo largo de la cadena de valor
• Modificación sustancial (artículo 3(23))