IA de asilo, migración y control fronterizo bajo el Reglamento de IA de la UE: anexo III, punto 7
La IA en asilo, migración y control fronterizo es de alto riesgo (anexo III, punto 7): EIDF, registro no público y una línea prohibida que vigilar.
Si desarrollas o despliegas IA en cualquier punto del proceso de asilo, migración, visados o control fronterizo, la clasificación por defecto es alto riesgo. El anexo III, punto 7 del Reglamento (UE) 2024/1689 nombra esta área de uso de forma directa, y aquí las obligaciones pesan más que casi en ningún otro sitio, porque las personas afectadas están, por definición, en una posición vulnerable y a menudo no pueden impugnar fácilmente una decisión. Esta página detalla exactamente qué usos son de alto riesgo, dónde está la línea de lo prohibido y qué tiene que hacer cada parte: la autoridad pública y el proveedor.
El régimen de alto riesgo para los sistemas autónomos del anexo III se aplica a partir del 2 de diciembre de 2027 en virtud del Ómnibus Digital, adoptado por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026). Un detalle que conviene tener presente, y que se explica más abajo: la entrada en vigor formal está pendiente solo de la publicación en el Diario Oficial de la UE.
Qué cubre realmente el anexo III, punto 7
El anexo III, punto 7 enumera cuatro familias de IA como de alto riesgo cuando las usan, o las usan en su nombre, las autoridades públicas competentes (u organismos de la UE) en migración, asilo y control fronterizo:
- IA como polígrafo o herramienta similar: sistemas destinados a detectar el estado emocional o la veracidad de una persona.
- Evaluación de riesgos de las personas que entran: evaluar el riesgo de seguridad, de migración irregular o de salud que plantea una persona que pretende entrar, o ha entrado, en el territorio.
- Examen de solicitudes: asistir a las autoridades competentes en el examen de solicitudes de asilo, visado o permiso de residencia, y de las reclamaciones asociadas, incluida la evaluación de la fiabilidad de las pruebas.
- Detección, reconocimiento e identificación de personas: en el contexto de migración, asilo y control fronterizo, con la excepción explícita de la verificación de documentos de viaje (un control 1:1 en un control de pasaportes no es, por sí solo, un sistema del anexo III, punto 7).
Si tu sistema hace cualquiera de estas cosas, es de alto riesgo. Aquí no hay escapatoria del tipo «es solo apoyo a la decisión»: el anexo III, punto 7 está redactado precisamente para captar el apoyo a la decisión, porque estos sistemas condicionan resultados que cambian vidas.
Traza primero la línea de lo prohibido
Antes de clasificar un sistema de migración como «de alto riesgo, a documentar», contrástalo con el artículo 5, porque algunos usos en este ámbito no son de alto riesgo, sino que están directamente prohibidos, sin ninguna vía de cumplimiento.
- La identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley está prohibida en virtud del artículo 5(1)(h), salvo excepciones enumeradas de forma exhaustiva y autorizadas previamente. Una zona fronteriza que sea un espacio de acceso público, usada para identificación biométrica en directo con fines policiales, puede caer del lado prohibido de esta línea, no del lado de alto riesgo.
- La evaluación de riesgos que predice la comisión de delitos basándose únicamente en la elaboración de perfiles de una persona o de sus rasgos de personalidad está prohibida en virtud del artículo 5(1)(d). Una «puntuación de riesgo» migratoria que pasa de evaluar el riesgo de entrada a predecir la criminalidad solo a partir del perfil abandona el anexo III, punto 7 y se convierte en una práctica prohibida.
- La extracción no selectiva de imágenes faciales para crear o ampliar bases de datos de reconocimiento está prohibida en virtud del artículo 5(1)(e).
Las prohibiciones del artículo 5 están en vigor desde el 2 de febrero de 2025, y las infracciones se sitúan en el tramo superior de sanciones: hasta 35 M€ o el 7 % del volumen de negocios anual mundial total (artículo 99(3)). Acierta con esta frontera antes que con nada más: un sistema prohibido documentado como «alto riesgo» sigue estando prohibido.
Las obligaciones que muerden: EIDF, registro no público y la pila completa del proveedor
Como los sistemas del punto 7 los despliegan organismos públicos, dos obligaciones destacan por encima de los requisitos generales de alto riesgo.
La Evaluación de Impacto en los Derechos Fundamentales (artículo 27). Los responsables del despliegue que sean organismos públicos o prestadores de servicios públicos deben completar una EIDF antes del primer uso, evaluando el impacto del sistema en los derechos fundamentales de las personas a las que afecta. Es obligatoria para los responsables del despliegue en migración y asilo, no una buena práctica opcional. Es distinta de la EIPD del artículo 35 del RGPD, aunque el artículo 27(4) permite que una EIDF se apoye en una EIPD existente en lugar de duplicarla.
Registro en la sección no pública de la base de datos de la UE. Los sistemas de alto riesgo se registran en la base de datos de la UE en virtud del artículo 49 (la propia base de datos la establece el artículo 71). Para los sistemas de migración, asilo y control fronterizo en concreto, el registro va a una sección no pública, de acceso restringido de esa base de datos, no a la parte de búsqueda pública, reflejando la sensibilidad del ámbito.
A todo ello se suma el régimen estándar de alto riesgo: un sistema de gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11 / anexo IV), supervisión humana (artículo 14), exactitud, solidez y ciberseguridad (artículo 15) y, para el proveedor, la evaluación de la conformidad en virtud del artículo 43. La mayoría de los puntos del anexo III siguen la vía del control interno (anexo VI); solo la biometría del punto 1 exige un organismo notificado.
| Pregunta | IA de migración / asilo / control fronterizo |
|---|---|
| Clasificación por defecto | Alto riesgo (anexo III, punto 7) |
| Solapamientos prohibidos que comprobar primero | Art. 5(1)(h) IBR pública en tiempo real; 5(1)(d) predicción solo por perfil; 5(1)(e) extracción facial |
| EIDF (art. 27) | Obligatoria para el responsable del despliegue (organismo público), antes del primer uso |
| Registro en base de datos de la UE | Sí (art. 49), sección no pública |
| Vía de conformidad | Control interno del anexo VI (art. 43) |
| Plazo | 2 de diciembre de 2027 (adoptado) |
| Tramo de sanción (infracción de alto riesgo) | 15 M€ o 3 % — art. 99(4) |
La salvedad del plazo (apúntatela)
El aplazamiento del régimen de alto riesgo al 2 de diciembre de 2027 ya está adoptado: el Parlamento Europeo lo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026 — un trámite formal que no altera las fechas ya fijadas. Planifica con el 2 de diciembre de 2027 para las obligaciones autónomas de alto riesgo del anexo III. Las prohibiciones del artículo 5, en cambio, ya están en vigor y no se mueven.
Ejemplo práctico: una autoridad de inmigración y su proveedor
La Bundesamt für Migrationsdienste (BMD) —una autoridad nacional de inmigración ficticia— contrata una herramienta de clasificación de expedientes a VisaTriage OÜ, un proveedor de software estonio ficticio de 40 personas (~6 M€ de volumen de negocios). La herramienta ayuda a los gestores a priorizar solicitudes de asilo y señala incoherencias en las pruebas presentadas.
- VisaTriage OÜ es el proveedor (artículo 16). La herramienta asiste en el examen de solicitudes de asilo y en la evaluación de la fiabilidad de las pruebas: de lleno en el anexo III, punto 7. VisaTriage debe ejecutar la evaluación de la conformidad del artículo 43 (control interno del anexo VI), construir el expediente técnico del artículo 11 / anexo IV, el sistema de gestión de riesgos (art. 9), la gobernanza de datos (art. 10) y diseñar la supervisión humana (art. 14). Como pyme, su exposición se limita a la cifra inferior en virtud del artículo 99(6).
- BMD es el responsable del despliegue (artículo 26). Antes del primer uso debe completar la EIDF del artículo 27, registrar el sistema en la sección no pública de la base de datos de la UE (art. 49), asignar supervisores humanos formados y garantizar que los gestores no se remitan automáticamente a las señales de la herramienta.
- La línea que no deben cruzar. Si una versión posterior añadiera un módulo que puntuara la probabilidad de criminalidad futura de los solicitantes solo a partir de su perfil, ese módulo abandonaría el anexo III, punto 7 y pasaría a estar prohibido en virtud del artículo 5(1)(d): ninguna documentación lo rescata. La vía de alto riesgo solo permanece abierta mientras el sistema respalda un juicio humano fundamentado en hechos objetivos y verificables.
Mismo ámbito, dos roles, una línea nítida, y ambas partes cargan con deberes reales y separados.
Cómo ayuda Confir
La lógica de clasificación de Confir contrasta un uso de migración o de frontera primero con las prohibiciones del artículo 5 y solo después con el anexo III, punto 7, de modo que un uso prohibido de perfilado o de IBR en tiempo real se marca como prohibido en lugar de clasificarse mal como «alto riesgo a documentar». Para los usos genuinamente de alto riesgo, monta la pila del proveedor, el paquete técnico del artículo 11 / anexo IV y la EIDF del artículo 27, y deja constancia de la obligación de registrar en la sección no pública en virtud del artículo 49. El motor es determinista y basado en reglas: la misma entrada produce el mismo resultado, y cada resultado cita el artículo o el punto del anexo que se activó.
Guías relacionadas
- Anexo III, punto 7 — IA de solicitudes de visado
- IA de solicitudes de asilo
- IA de control fronterizo
- Prácticas prohibidas del artículo 5
- La EIDF en virtud del artículo 27
- Cómo clasifica el anexo III la IA de alto riesgo
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →