IA en servicios públicos esenciales: alto riesgo según el Reglamento de IA de la UE
La IA que decide el acceso a prestaciones públicas —concederlas, reducirlas o revocarlas— es de alto riesgo (anexo III, 5(a)). La EIDF es obligatoria.
La IA utilizada por una autoridad pública —o por cuenta de ella— para decidir quién accede a prestaciones y servicios públicos esenciales es de alto riesgo con arreglo al anexo III, punto 5(a) del Reglamento de IA de la UE. Eso abarca evaluar la admisibilidad a las prestaciones, así como concederlas, reducirlas, revocarlas o reclamarlas. Las obligaciones se aplican a partir del 2 de diciembre de 2027 y, para un responsable del despliegue que sea un organismo público, una de ellas es innegociable: hay que completar una evaluación de impacto relativa a los derechos fundamentales (EIDF) con arreglo al artículo 27 antes de utilizar el sistema.
Esta página expone qué cubre el punto 5(a), cómo se relaciona con sus puntos hermanos sobre crédito y seguros, y qué tiene que hacer en la práctica una agencia de prestaciones.
Qué cubre el anexo III, punto 5(a)
El anexo III, punto 5(a) clasifica como de alto riesgo la IA destinada a ser utilizada por las autoridades públicas, o por cuenta de ellas, para evaluar la admisibilidad de las personas físicas a las prestaciones y servicios de asistencia pública esenciales —incluidos los servicios de asistencia sanitaria— y para conceder, reducir, revocar o reclamar dichas prestaciones y servicios.
El desencadenante es la función y el contexto: una decisión sobre el acceso a un apoyo público esencial, adoptada por una autoridad pública o por cuenta de ella. Alcanza a una comprobación automatizada de recursos para una prestación por desempleo o por vivienda, a un sistema que puntúa las solicitudes de prestaciones para reducirlas según el riesgo de fraude, a un algoritmo que prioriza las listas de espera de vivienda social y a una herramienta que señala prestaciones que deben recuperarse. La expresión «por cuenta de» es deliberada: que un contratista privado opere el sistema para la agencia no lo deja fuera del ámbito de aplicación: sigue siendo de alto riesgo con arreglo al punto 5(a), y la autoridad pública sigue siendo, en esencia, el responsable del despliegue.
El filtro del artículo 6(3) es restringido en este caso y rara vez está disponible, porque estos sistemas evalúan e influyen en decisiones sobre personas concretas; y cualquier sistema que elabore perfiles de una persona física es siempre de alto riesgo. Documenta la evaluación y regístralo con arreglo al artículo 49.
Los puntos hermanos: 5(b) solvencia y 5(c) seguros
El punto 5 tiene tres apartados; conviene no confundirlos, porque las reglas de la EIDF difieren.
| Anexo III, punto | Uso | Responsable del despliegue habitual | ¿EIDF? |
|---|---|---|---|
| 5(a) | Admisibilidad a prestaciones y servicios públicos esenciales; conceder/reducir/revocar/reclamar | Autoridad pública (o su contratista) | Sí — como responsable del despliegue público |
| 5(b) | Solvencia / calificación crediticia (excluida la detección de fraude) | Prestamista privado | Sí — el crédito es un desencadenante expreso de la EIDF |
| 5(c) | Evaluación de riesgos y tarificación en seguros de vida y de salud | Aseguradora privada | Sí — el seguro es un desencadenante expreso de la EIDF |
Dos cosas que conviene tener presentes. El punto 5(b) excluye expresamente la IA utilizada para detectar fraude financiero: la detección de fraude no es de alto riesgo por este motivo. Y aunque el 5(b) y el 5(c) se sitúan en el sector privado, son los dos usos del sector privado que el Reglamento señala para una EIDF del artículo 27 obligatoria, junto con todos los responsables del despliegue públicos. Así, la EIDF llega más lejos que «solo a los organismos públicos», pero no alcanza a la mayoría de los demás responsables del despliegue privados.
Qué debe hacer una agencia de prestaciones: el artículo 26 más la EIDF obligatoria
Una autoridad pública que opere un sistema del punto 5(a) es el responsable del despliegue con arreglo al artículo 26. Debe utilizar el sistema conforme a las instrucciones del proveedor, asignar una supervisión humana competente (artículo 14), supervisar el funcionamiento, conservar los registros y notificar los incidentes graves por la vía correspondiente. El proveedor que desarrolló la herramienta —ya sea un equipo interno o un proveedor externo— asume el conjunto de obligaciones del artículo 16: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica conforme al anexo IV (artículo 11), transparencia e instrucciones de uso (artículo 13), precisión y solidez (artículo 15), evaluación de la conformidad (artículo 43) y registro (artículo 49).
El deber adicional decisivo para el responsable del despliegue público es la evaluación de impacto relativa a los derechos fundamentales del artículo 27. Antes del primer uso de un sistema del punto 5(a), la agencia debe evaluar el impacto del sistema sobre los derechos fundamentales de las personas afectadas: a quién afecta, las categorías de perjuicio, las medidas de supervisión humana y qué ocurre si la evaluación saca a la luz un riesgo. Esto es obligatorio para los responsables del despliegue que sean organismos públicos; no es lo mismo que una EIPD (evaluación de impacto relativa a la protección de datos) del artículo 35 del RGPD, aunque el artículo 27(4) permite que la EIDF se apoye en una EIPD existente en lugar de duplicarla.
Ejemplo práctico: Stadt-Sozialamt (una oficina municipal de prestaciones)
Una oficina municipal de servicios sociales, la Stadt-Sozialamt, con unos 250 empleados, que atiende a una ciudad alemana de tamaño medio, contrata un sistema de IA a un proveedor privado para clasificar las solicitudes de prestación de vivienda y señalar los casos que deben reducirse o recuperarse. Como la oficina es una autoridad pública que decide la admisibilidad a una prestación esencial, el sistema es de alto riesgo con arreglo al anexo III, punto 5(a), y la expresión «por cuenta de» significa que el hecho de que el proveedor lo opere no cambia eso.
La Stadt-Sozialamt es el responsable del despliegue (artículo 26): debe asignar una supervisión humana con arreglo al artículo 14, conservar los registros y —antes de la puesta en marcha— completar una EIDF obligatoria del artículo 27. El proveedor es el proveedor (artículo 16) y debe el conjunto de documentación y la evaluación de la conformidad, y tiene que registrar el sistema con arreglo al artículo 49. Una decisión de «reducir o reclamar» adoptada sobre la base del resultado del modelo sin la supervisión y la EIDF en su sitio incumpliría el régimen de alto riesgo: artículo 99(4), hasta 15 millones de euros o el 3 %.
Cómo ayuda Confir
Confir registra cada uso de IA del sector público, lo clasifica con arreglo al anexo III, punto 5(a) (y distingue los puntos hermanos 5(b)/5(c)), deriva el reparto entre responsable del despliegue y proveedor y marca la EIDF del artículo 27 como obligatoria para un responsable del despliegue público; después ejecuta la propia EIDF estructurada. Para la parte del proveedor, reúne la documentación del anexo IV y la vía de evaluación de la conformidad del artículo 43. El motor es determinista y basado en reglas: misma recopilación de datos, mismo resultado, cada uno citado al artículo o punto del anexo que se activó.
Guías relacionadas
- IA de prestaciones sociales con arreglo al anexo III
- IA de calificación crediticia (anexo III, punto 5(b))
- IA de tarificación de seguros (anexo III, punto 5(c))
- La EIDF con arreglo al artículo 27
- Obligaciones del responsable del despliegue con arreglo al artículo 26
- Cómo clasifica el artículo 6 la IA de alto riesgo
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →