Las directrices de clasificación de 2026 (borrador)

El 19 de mayo de 2026, la Comisión Europea publicó su borrador de directrices sobre la clasificación de los sistemas de IA de alto riesgo con arreglo al artículo 6(5) del Reglamento (UE) 2024/1689 (Reglamento de IA o RIA). Llegó unos tres meses y medio después del plazo del 2 de febrero de 2026 que la propia Ley había fijado. El borrador se compone de tres documentos: los principios generales de clasificación, la vía del artículo 6(1) para los productos y componentes de seguridad del anexo I, y la vía del artículo 6(2) a través de los casos de uso del anexo III. Cada uno incluye ejemplos prácticos de lo que entra y lo que queda fuera del alto riesgo.

Estado: la consulta estuvo abierta del 19 de mayo al 23 de julio de 2026 (ampliada desde el 23 de junio); la Comisión afirma que adoptará las directrices definitivas antes de que termine 2026. Hasta entonces, el borrador es la mejor indicación de la lectura de la Comisión, pero no es vinculante y puede cambiar. Las autoridades de vigilancia del mercado lo tratarán como la lectura por defecto del artículo 6, de modo que una clasificación que se aparte de él necesita una documentación más sólida, no silencio. Esta página expone lo que el borrador aclara capítulo a capítulo, cuánto peso jurídico tiene y cómo mantener defendibles tus clasificaciones hasta que llegue el texto definitivo.

Última revisión: 23 de octubre de 2026. A esa fecha no se habían publicado las directrices definitivas; esta página se actualizará cuando lleguen.

---

Tres meses y medio de retraso: llega el borrador de directrices

Lo que se publicó el 19 de mayo de 2026 — artículo 6(5)

El artículo 6(5) exigía a la Comisión proporcionar directrices que precisaran la aplicación práctica del artículo 6, junto con una lista de ejemplos prácticos de casos de uso de alto riesgo y de no alto riesgo, antes del 2 de febrero de 2026. El borrador llegó el 19 de mayo de 2026, aproximadamente tres meses y medio tarde. Se publicó en digital-strategy.ec.europa.eu como tres documentos descargables, y apareció a través de la Plataforma Única de Información sobre la Ley de IA.

El retraso importa menos de lo que habría importado un año antes. Días antes, el acuerdo del Ómnibus Digital había trasladado la fecha principal de alto riesgo del anexo III al 2 de diciembre de 2027 — un aplazamiento en vigor desde el 27 de julio de 2026 —, de modo que las directrices llegan con margen utilizable en lugar de semanas antes de que las obligaciones sean exigibles. El detalle de esa adopción se aborda más abajo.

La consulta: cerrada el 23 de julio de 2026

La consulta específica se abrió junto al borrador el 19 de mayo de 2026 y, tras ampliarse desde el 23 de junio, se cerró el 23 de julio de 2026. Estaba abierta a cualquier persona interesada en desarrollar, desplegar, supervisar o utilizar sistemas de IA —proveedores, responsables del despliegue, autoridades, investigadores y organizaciones de la sociedad civil— a través del cuestionario EUSurvey de la Comisión.

La Comisión afirma que adoptará las directrices definitivas antes de que termine 2026, una vez que el Comité de IA haya aportado su contribución. A 23 de octubre de 2026 no se habían publicado directrices definitivas.

Qué contiene el borrador: tres documentos, una lógica de decisión

Las tres partes del borrador reflejan las dos vías legales hacia el estatus de alto riesgo con arreglo a las reglas de clasificación del artículo 6:

1. Principios generales: cómo leer la finalidad prevista, cuándo algo es siquiera un sistema de IA y cómo se evalúan los flujos de trabajo integrados.
2. Artículo 6(1) y anexo I: sistemas de IA que son productos, o componentes de seguridad de productos, cubiertos por la legislación de armonización de la Unión.
3. Artículo 6(2) y anexo III: sistemas de IA autónomos en los ocho ámbitos del anexo III, con ejemplos prácticos de lo que entra y lo que queda fuera por ámbito.

Dos notas de lectura. Primera, la Comisión afirma que los ejemplos no son exhaustivos y pueden actualizarse con el tiempo, de modo que la ausencia de tu caso de uso de las listas no es una exención. Segunda, lee primero los principios generales, porque condicionan todo lo que sigue, y luego lee solo la vía que corresponda a tu sistema: integrado en un producto (anexo I) o autónomo (anexo III).

Principios generales: la sustancia por encima de los descargos

El primer documento se abre con la pregunta de entrada: ¿es el sistema siquiera un sistema de IA con arreglo al artículo 3(1)? La definición gira en torno a la autonomía, la adaptabilidad y la capacidad de inferir, y el borrador confirma que no toda herramienta automatizada o basada en reglas cumple los requisitos. Ese es el primer filtro práctico. A continuación, tres principios sostienen la mayor parte del análisis.

La finalidad prevista se lee de todo lo que publicas — artículo 3(12)

La finalidad prevista (art. 3(12)) se evalúa a partir de las instrucciones de uso, los materiales promocionales y de venta y la documentación técnica. Cuenta todo el registro publicado, no la única página que se redactó con cuidado. El borrador de directrices extrae la consecuencia de forma explícita: un descargo en las condiciones de servicio que excluya los usos de alto riesgo es insuficiente si tu marketing, tus presentaciones de venta o tu documentación sugieren que esos usos están previstos.

Esto da a quienes revisan la clasificación un conjunto de pruebas nombrado que auditar (documentación, afirmaciones de marketing, materiales de venta, contratos) en lugar de discutir sobre la intención en abstracto.

Añadir supervisión humana no saca a un sistema del alto riesgo

Añadir un revisor humano no elimina por sí solo el estatus de alto riesgo. Según el borrador de directrices, los factores decisivos siguen siendo el papel del sistema en la decisión y la relevancia de su resultado. Una herramienta de cribado para selección de personal cuya clasificación determina de hecho quién llega a una entrevista es de alto riesgo con independencia de que una persona haga clic en «aprobar» al final del proceso.

No puedes trocear un flujo de trabajo en piezas inocentes

Cuando varios componentes de IA forman un flujo de trabajo integrado que sirve a una finalidad de alto riesgo, el borrador los evalúa como un único sistema. Un proveedor no puede descomponer la arquitectura (un módulo de análisis por aquí, un módulo de puntuación por allá) y argumentar que cada fragmento, visto de forma aislada, escapa a la clasificación. Lo que gobierna el análisis es la finalidad del flujo de trabajo, no el diagrama de componentes.

Artículo 6(1) y anexo I: productos y componentes de seguridad

Dos condiciones acumulativas

Un sistema de IA es de alto riesgo con arreglo al artículo 6(1) solo cuando se cumplen ambas condiciones:

1. El sistema de IA es un producto, o un componente de seguridad de un producto, cubierto por la legislación de armonización de la Unión enumerada en el anexo I: máquinas, productos sanitarios, vehículos de motor, equipos de aviación civil, juguetes, ascensores y el resto.
2. Ese producto debe someterse a una evaluación de la conformidad por un tercero con arreglo al acto pertinente del anexo I.

Las condiciones son acumulativas. La cobertura por un acto del anexo I sin intervención de un organismo notificado no convierte al sistema en de alto riesgo por esta vía. Así que los equipos de producto tienen una comprobación en dos pasos: relacionar el producto con el acto del anexo I que lo cubre y luego confirmar si un organismo notificado interviene en la evaluación de la conformidad.

Función de seguridad frente a función de optimización — artículo 3(14)

Según el artículo 3, punto 14, modificado por el Reglamento (UE) 2026/1744, un sistema de IA solo es componente de seguridad si cumple una función de seguridad (su finalidad prevista es prevenir o mitigar los riesgos para la salud y la seguridad de las personas o los bienes) o si su fallo o defecto de funcionamiento pone en peligro la salud y la seguridad. El borrador confirma que un componente puede cumplir los requisitos incluso cuando no fue diseñado con una finalidad de seguridad; lo que cuenta es la consecuencia del fallo, no la intención del diseño. Sus ejemplos son los sistemas de cierre de puertas en ascensores y los sistemas de asistencia al mantenimiento de carril en vehículos.

El borrador traza la frontera opuesta para las funciones de eficiencia, confort o comodidad, y el texto modificado la fija ahora: quedan excluidos los sistemas que se utilicen «únicamente para aspectos no relacionados con la seguridad» de la asistencia al usuario, la optimización del rendimiento, la eficiencia del servicio, la automatización, la comodidad o el control de calidad, salvo que su fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad (artículo 6, apartados 1 bis y 1 ter). Una evaluación por terceros exigida solo por riesgos distintos de la salud y la seguridad, como la compatibilidad electromagnética, no cuenta (artículo 6, apartado 1 quater). En cuanto a los plazos, los casos del anexo I llevan la fecha de aplicación posterior: 2 de agosto de 2028 con arreglo al Ómnibus Digital, en vigor desde el 27 de julio de 2026, aplazada desde el 2 de agosto de 2027 original. En los productos de la sección B del anexo I (p. ej., vehículos, aviación y, desde el Reglamento (UE) 2026/1744, máquinas), los requisitos llegan a través de la legislación sectorial, no directamente de la Ley de IA.

Artículo 6(2) y anexo III: los ejemplos de dentro/fuera, ámbito por ámbito

Dónde ayudan de verdad los ejemplos a los equipos operativos

El tercer documento recorre los ocho ámbitos del anexo III con ejemplos concretos; consulta el anexo III explicado para la lista legal completa. En biometría, la identificación biométrica remota, el reconocimiento de emociones y la categorización por atributos sensibles entran. En infraestructuras críticas, los componentes de seguridad de las infraestructuras digitales críticas, el tráfico rodado y el suministro de agua, gas, calefacción y electricidad entran. Educación, empleo (las herramientas de contratación y selección y los sistemas de gestión de la mano de obra entran), servicios esenciales privados y públicos, garantía del cumplimiento del Derecho, migración y control de fronteras y la administración de justicia y procesos democráticos reciben cada uno el mismo tratamiento.

Una distinción recorre los ejemplos y decide la mayoría de los casos:

Si tu sistema incide en los resultados de las personas, es decir, en quién es contratado, puntuado, concedido o señalado, los ejemplos lo empujan hacia dentro. Si incide en la higiene de datos en torno a un proceso dirigido por humanos, tienden a empujarlo hacia fuera.

El filtro del artículo 6(3): cuatro salidas estrechas

El artículo 6(3) ofrece cuatro vías de exención para un sistema del anexo III que no plantee un riesgo significativo de daño: realiza una tarea procedimental acotada; mejora el resultado de una actividad humana previamente completada; detecta patrones de decisión o desviaciones sin sustituir ni influir en una evaluación humana previa; o realiza una tarea preparatoria de una evaluación. El borrador lee las cuatro de forma estricta. El capítulo 3 de esta guía diseca cada vía en detalle.

El filtro no está exento de papeleo. Un proveedor que se acoja a él debe documentar su evaluación antes de que el sistema se introduzca en el mercado o se ponga en servicio (art. 6(4)) y debe registrar el sistema en la base de datos de la UE (art. 49(2)). Una exención que no puedas evidenciar no se sostendrá.

La elaboración de perfiles cierra todas las salidas

El tercer párrafo del artículo 6(3) es absoluto: un sistema del anexo III que realice elaboración de perfiles de personas físicas es siempre de alto riesgo. La elaboración de perfiles elimina la elegibilidad para las cuatro vías del filtro. Esto afecta sobre todo a la tecnología de RR. HH., a los servicios financieros y a la publicidad digital, donde la elaboración de perfiles es a menudo el mecanismo central del producto y no un efecto secundario.

La tarea que esto plantea es concreta. Relaciona cada clasificación del anexo III que mantengas con un ejemplo nombrado del borrador, y decide si el borrador respalda tu decisión, la cuestiona o guarda silencio. Registra el ejemplo y el párrafo exactos en cada caso. Ese registro es el activo de trabajo para la sección final.

Estatus jurídico: no vinculante, pero no ignorable

Las directrices no son jurídicamente vinculantes, y la propia Comisión lo dice en el borrador: la interpretación autorizada del Reglamento (UE) 2024/1689 corresponde al Tribunal de Justicia de la Unión Europea. El texto final también puede cambiar tras la aportación del Comité de IA. Por eso cada posición de esta página se atribuye a «el borrador de directrices».

Las autoridades de vigilancia del mercado se apoyarán, no obstante, en las directrices como la lectura por defecto del artículo 6. Una clasificación que se aparte de ellas no se vuelve automáticamente incorrecta, pero necesita una documentación más sólida, no silencio.

Lo que en juego financiero hace que la documentación importe. Clasificar erróneamente un sistema fuera del alto riesgo alimenta la exposición con arreglo al artículo 99(4): multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, si esta cifra es superior. Una evaluación del artículo 6(4) incorrecta, incompleta o engañosa facilitada a las autoridades cae bajo el artículo 99(5): hasta 7,5 millones de euros o el 1 % del volumen de negocios. Para las pymes y las empresas emergentes, el artículo 99(6) limita cada multa a la menor de las dos cifras, un tope de proporcionalidad y no una exención. Para las pequeñas empresas de mediana capitalización, el menor importe se aplica solo a las multas de los apartados 4 y 5 del artículo 99, no a las de prácticas prohibidas del apartado 3 (art. 99, apartado 6 bis).

El telón de fondo del Ómnibus Digital: a qué plazos sirven realmente estas directrices

En vigor desde el 27 de julio de 2026

El Ómnibus Digital (Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026), que alcanzó un acuerdo político el 6 y 7 de mayo de 2026, fue adoptado por el Parlamento Europeo el 16 de junio y por el Consejo el 29 de junio de 2026. Aplaza las obligaciones de alto riesgo de los sistemas autónomos del anexo III (art. 6(2)) del 2 de agosto de 2026 al 2 de diciembre de 2027, y el alto riesgo integrado en productos del anexo I (art. 6(1)) del 2 de agosto de 2027 al 2 de agosto de 2028.

El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Los antecedentes están en qué cambió el Ómnibus Digital, y el detalle del aplazamiento en el Ómnibus Digital y el plazo de 2027.

Las nuevas fechas son fechas de calendario fijas, y eso es fácil de equivocar. La propuesta de la Comisión de noviembre de 2025 habría vinculado el inicio a la disponibilidad de normas y herramientas de apoyo, con fechas límite de respaldo; los colegisladores adoptaron en su lugar fechas fijas, de modo que el aplazamiento no está vinculado a la disponibilidad de normas armonizadas, y las obligaciones no se retrasarán más solo porque las normas estén sin terminar.

Lo que no se movió

No todo se movió. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025 y las obligaciones de la IA de uso general con arreglo a los artículos 51-55 desde el 2 de agosto de 2025; ambas quedan intactas. El artículo 50, incluido el marcado del apartado 2, se aplica desde el 2 de agosto de 2026. Los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 (art. 111(4)), la misma fecha que dos nuevas prohibiciones del artículo 5, letras ba) y bb). Ambas fechas son anteriores a cualquiera de las fechas de alto riesgo aplazadas.

Así que el trabajo de clasificación realizado ahora debería volver a contrastarse con las directrices finales una vez que lleguen, en lugar de rehacerse repetidamente a medida que la orientación se asienta.

Qué hacer hasta el texto definitivo

Anota fecha y versión del borrador en cada clasificación

El plazo formal de consulta ya se ha cerrado, así que la palanca ahora es tu propio registro. El procedimiento consta de cuatro pasos:

1. Extrae tu inventario de clasificaciones del anexo III y del anexo I.
2. Contrasta cada una con los ejemplos nombrados del borrador y fecha el resultado frente al borrador del 19 de mayo de 2026.
3. Cuando te apartes de un ejemplo del borrador, deja por escrito el motivo ahora, citando el ejemplo concreto y tu razonamiento.
4. Plantea los casos límite controvertidos a través de las asociaciones sectoriales.

Registra, no reclasifiques

No reclasifiques sistemas sobre la base del borrador por sí solo. El texto definitivo puede diferir del borrador, y reclasificar dos veces cuesta presupuesto y credibilidad ante las partes interesadas internas. En su lugar, construye el registro de clasificación descrito arriba: para cada sistema de IA, anota si el borrador respalda, cuestiona o guarda silencio sobre tu decisión, con el ejemplo y el párrafo concretos citados. Mantén tus evaluaciones del artículo 6(3) documentadas con arreglo al artículo 6(4) exactamente como antes.

Vuelve a contrastar cuando llegue la versión final

Vuelve a revisar los sistemas en casos límite en un plazo de 30 días desde el texto definitivo, que la Comisión afirma que adoptará antes de que termine 2026. Tus fechas de obligación ya están fijadas: el Reglamento (UE) 2026/1744 está en vigor desde el 27 de julio de 2026. Ejecutar el registro de respaldo/cuestionamiento dentro de un flujo de trabajo estructurado de clasificación de riesgos mantiene esa nueva revisión barata. Si quieres saber dónde se sitúa cada sistema frente a la pila completa de obligaciones hoy, realiza una evaluación de preparación.

La decisión que tienes que tomar: Anota en cada clasificación la fecha y la versión del borrador (19 de mayo) en que se basa. Cuando te apartes de un ejemplo del borrador, deja por escrito el motivo ahora. Vuelve a revisar los sistemas en casos límite en un plazo de 30 días desde el texto definitivo. El plazo formal de consulta ya se ha cerrado; plantea los casos límite controvertidos a través de las asociaciones sectoriales.

Cómo ayuda Confir

El módulo de clasificación de riesgos de Confir ejecuta exactamente el flujo de trabajo que describe esta página. Formula preguntas en lenguaje claro sobre lo que hace cada sistema de IA, deriva el nivel de riesgo con arreglo a los artículos 5 y 6 (incluidas las vías del filtro del artículo 6(3) y la anulación por elaboración de perfiles) y produce la evaluación documentada que exige el artículo 6(4). El motor es determinista y basado en reglas: las mismas entradas producen la misma clasificación cada vez, sin inferencia de modelos ni alucinaciones. Esa es precisamente la propiedad que quieres en una prueba mostrada a una autoridad de vigilancia del mercado.

Dado que cada decisión de clasificación y su justificación quedan en un registro de auditoría de solo adición, con sello de tiempo y bloqueado frente a modificaciones, anotar dónde el borrador de directrices respalda o cuestiona cada decisión es un ejercicio estructurado y no una hoja de cálculo. El conjunto de reglas de Confir refleja el Reglamento (UE) 2026/1744 tal como se publicó y, cuando se adopten las directrices definitivas, se actualiza a las posiciones finales, de modo que la nueva revisión que recomienda esta página se ejecuta contra reglas actuales, no obsoletas.

Preguntas frecuentes

¿Qué son las directrices de la Comisión sobre la clasificación de los sistemas de IA de alto riesgo?

Son un borrador de directrices interpretativas publicado por la Comisión Europea el 19 de mayo de 2026 con arreglo al artículo 6(5) de la Ley de IA de la UE. A lo largo de tres documentos explican cómo decidir si un sistema de IA es de alto riesgo: principios generales de clasificación, productos y componentes de seguridad del anexo I, y los casos de uso del anexo III — con ejemplos prácticos de sistemas que entran y quedan fuera del ámbito.

¿Es jurídicamente vinculante el borrador de directrices de clasificación de IA de alto riesgo?

No. Las directrices reflejan la interpretación de la Comisión del artículo 6 pero no son jurídicamente vinculantes — solo el Tribunal de Justicia de la Unión Europea puede interpretar la Ley de IA de forma autorizada. En la práctica, se espera que las autoridades de vigilancia del mercado se apoyen en ellas, de modo que una clasificación que las contradiga debería documentarse con especial cuidado.

¿Todavía puedo responder a la consulta sobre las directrices de clasificación de alto riesgo?

No. La consulta específica estuvo abierta del 19 de mayo al 23 de julio de 2026 (ampliada desde el 23 de junio) y ya se ha cerrado. La Comisión afirma que adoptará las directrices definitivas antes de que termine 2026. Plantea los casos límite controvertidos a través de las asociaciones sectoriales y deja por escrito ahora por qué una clasificación se aparta de un ejemplo del borrador.

¿Por qué se publicaron tarde las directrices de clasificación de alto riesgo?

El artículo 6(5) de la Ley de IA exigía a la Comisión entregar las directrices antes del 2 de febrero de 2026. El borrador llegó el 19 de mayo de 2026, aproximadamente tres meses y medio tarde, apareciendo días después del acuerdo del Ómnibus Digital que — ya en vigor como Reglamento (UE) 2026/1744 — aplaza la fecha principal de alto riesgo del anexo III al 2 de diciembre de 2027, lo que suaviza el impacto práctico del retraso.

¿La revisión humana impide que un sistema de IA sea de alto riesgo?

No por sí sola. El borrador de directrices afirma que añadir una revisión humana no basta para que un sistema deje de ser de alto riesgo — lo que importa es el papel del sistema y el peso de su resultado en la decisión. Las exenciones del artículo 6(3) se leen de forma estricta, y cualquier sistema del anexo III que realice elaboración de perfiles de personas físicas sigue siendo de alto riesgo con independencia de ello.

¿Deberían las empresas reclasificar sus sistemas de IA basándose en el borrador de directrices?

No — no sobre el borrador por sí solo. El texto puede cambiar antes de que la Comisión adopte las directrices definitivas, lo que afirma que hará antes de que termine 2026. La mejor jugada es registrar qué clasificaciones existentes respalda o cuestiona el borrador, mantener tus evaluaciones del artículo 6(3) documentadas con arreglo al artículo 6(4), y volver a contrastar las decisiones limítrofes con la versión final.

¿Cuándo empiezan a aplicarse las reglas de clasificación de IA de alto riesgo?

Las obligaciones de alto riesgo del anexo III se aplican a partir del 2 de diciembre de 2027 con arreglo al Ómnibus Digital (Reglamento (UE) 2026/1744, de 8 de julio de 2026, DO L de 24.7.2026), que las aplazó desde el 2 de agosto de 2026 original, con los casos de producto del anexo I trasladándose al 2 de agosto de 2028. El Reglamento (UE) 2026/1744 se firmó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026.

---

Guías relacionadas

• La Guía del Alto Riesgo de la Ley de IA de la UE
• Capítulo 3: la exención del artículo 6(3)
• Capítulo 5: obligaciones del proveedor frente al responsable del despliegue
• Reglas de clasificación del artículo 6
• El anexo III explicado
• Qué cambió el Ómnibus Digital
• El Ómnibus Digital y el plazo de alto riesgo de 2027