IA de riesgo limitado bajo la Ley de IA de la UE: definición y deberes
La IA de riesgo limitado en la Ley de IA de la UE implica deberes de transparencia del artículo 50: comunicación, no un régimen pesado. Definición y fechas.
La IA de riesgo limitado es la IA que no está prohibida ni es de alto riesgo, pero que conlleva deberes de transparencia del artículo 50 de la Ley de IA de la UE (Reglamento (UE) 2024/1689). La idea central es la comunicación, no un régimen pesado de cumplimiento: las personas deben saber cuándo tratan con una máquina o con contenido sintético. No hay evaluación de la conformidad, ni paquete de documentación técnica, ni sistema de gestión de riesgos. Hay un deber de decir la verdad sobre lo que es la IA.
Conviene situar el riesgo limitado en la escalera de cuatro niveles de la Ley. Las prácticas de riesgo inaceptable están prohibidas de plano (artículo 5). Los sistemas de alto riesgo (artículo 6, anexo III) cargan con todo el peso de la Ley. Los sistemas de riesgo limitado solo cargan con las obligaciones de transparencia del artículo 50. Los sistemas de riesgo mínimo —la gran mayoría de la IA de uso empresarial cotidiano— no cargan con ninguna obligación obligatoria. El riesgo limitado es el más ligero de los regímenes que de hecho imponen un deber.
Qué exige realmente el artículo 50
"Riesgo limitado" no es una expresión que aparezca en el texto del Reglamento: es la etiqueta de los profesionales para los sistemas que caen bajo el artículo 50. Importan cuatro deberes:
| Deber del artículo 50 | Sobre quién recae | Qué exige |
|---|---|---|
| 50(1) — interacción con IA | Proveedor que diseña el sistema | Hay que avisar a las personas cuando interactúan con un sistema de IA (p. ej., un chatbot), salvo que sea evidente |
| 50(2) — marcado de contenido sintético | Proveedor | Los resultados de una IA que genera audio, imagen, vídeo o texto sintéticos deben marcarse en un formato legible por máquina y ser detectables como generados artificialmente |
| 50(3) — aviso de reconocimiento de emociones / categorización biométrica | Responsable del despliegue | Hay que informar a las personas expuestas a un sistema de reconocimiento de emociones o de categorización biométrica (donde sea lícito) |
| 50(4) — ultrafalsificaciones y texto de interés público | Responsable del despliegue | Las ultrafalsificaciones de imagen/audio/vídeo deben divulgarse como generadas artificialmente; el texto generado por IA publicado para informar al público sobre asuntos de interés público debe divulgarse |
Son obligaciones de transparencia. Un chatbot necesita una línea que diga que es un bot. El contenido generado por IA necesita una etiqueta. Una demo de reconocimiento de emociones necesita un aviso. Nada de esto requiere un organismo notificado, un marcado CE ni una inscripción en una base de datos de la UE: eso pertenece al nivel de alto riesgo.
Un límite importante: el reconocimiento de emociones en el lugar de trabajo y en la educación no es de riesgo limitado, sino que está prohibido conforme al artículo 5(1)(f), salvo por motivos médicos o de seguridad. El deber de aviso del artículo 50(3) solo se aplica cuando el reconocimiento de emociones o la categorización biométrica son lícitos por lo demás. No trates una práctica prohibida como un caso de transparencia.
Cuándo se aplican los deberes de transparencia
La mayor parte del artículo 50 se aplica desde el 2 de agosto de 2026, la fecha de aplicación general de la Ley, no el plazo de alto riesgo. Eso incluye el marcado de contenido del apartado 2: bajo el Ómnibus Digital, solo los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplirlo (artículo 111, apartado 4).
Una nota sobre los plazos más amplios, porque la confusión aquí es habitual: el régimen de alto riesgo se aplazó al 2 de diciembre de 2027 (anexo III autónomo) y al 2 de agosto de 2028 (integrado en productos), y ese aplazamiento es derecho vigente —voto del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026, Reglamento (UE) 2026/1744 publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—. Las fechas de transparencia del artículo 50, en cambio, forman parte del calendario de aplicación general y no se aplazaron. Si operas un chatbot o generas contenido sintético, planifica con el 2 de agosto de 2026 como fecha vigente (y el 2 de diciembre de 2026 solo si tu sistema generativo ya estaba en el mercado antes).
Riesgo limitado frente a riesgo mínimo frente a alto riesgo
La línea que confunde a la gente es riesgo limitado frente a riesgo mínimo, porque ambos son niveles "bajos", pero solo uno conlleva un deber.
- Riesgo mínimo: ninguna obligación obligatoria. Un filtro antispam, un modelo de previsión de inventario, un motor de recomendación que no interactúa conversacionalmente: no cargan con nada bajo la Ley más allá de la expectativa general de alfabetización en IA del artículo 4, según la cual el personal debe entender las herramientas que usa.
- Riesgo limitado: los deberes de transparencia del artículo 50, y solo esos. El sistema interactúa con personas o genera contenido sintético, así que se debe comunicación.
- Alto riesgo: el régimen completo (artículos 9 a 15, evaluación de la conformidad, registro). Un sistema llega aquí por su uso —cae en una categoría del anexo III—, no porque sea más "avanzado".
Un sistema puede cargar con un deber del artículo 50 y ser de alto riesgo al mismo tiempo: un sistema de alto riesgo que además genera ultrafalsificaciones debe tanto las obligaciones de alto riesgo como la transparencia del artículo 50(4). Los niveles no son mutuamente excluyentes en los bordes.
Las sanciones por incumplir el artículo 50 se sitúan en la banda de 15 M€ o el 3 % conforme al artículo 99(4) —el mismo nivel que la mayoría de las demás obligaciones, no el nivel superior del artículo 5. Para las pymes y las empresas emergentes, el artículo 99(6) limita la multa al menor entre el importe fijo o el porcentaje.
Ejemplo práctico: un conjunto de obligaciones de riesgo limitado en una pyme
Toma a Tramontana Reisen GmbH, una empresa ficticia de reservas de viajes de 60 personas y ~9 M€ de facturación. Tiene un chatbot de atención al cliente en su web, usa una herramienta de IA para generar imágenes de marketing para las páginas de destinos y publica resúmenes de tendencias de viaje asistidos por IA en su blog.
- El chatbot activa el artículo 50(1): lo satisface una comunicación visible del tipo "Estás chateando con nuestro asistente de IA".
- Las imágenes de marketing generadas por IA activan el marcado de contenido del artículo 50(2) sobre el proveedor de la herramienta de imagen, y, si alguna imagen es una ultrafalsificación realista, la transparencia del artículo 50(4) sobre Tramontana como responsable del despliegue. La obligación de marcado se aplica desde el 2 de agosto de 2026 (hasta el 2 de diciembre de 2026 para herramientas ya introducidas en el mercado antes).
- Las publicaciones de tendencias de viaje asistidas por IA son interesantes: el artículo 50(4) vincula un deber de transparencia al texto generado por IA publicado para informar al público sobre asuntos de interés público. Es improbable que un texto ligero de marketing sobre tendencias de viaje cuente como información de interés público, así que esto probablemente queda fuera del 50(4), pero si Tramontana empezara a publicar piezas generadas por IA sobre, por ejemplo, seguridad en los viajes o avisos de salud, el deber de transparencia de interés público podría vincularse.
El veredicto de Tramontana: un conjunto de obligaciones de riesgo limitado. Toda su obligación bajo la Ley de IA aquí es comunicación: unas pocas etiquetas claras y una línea de aviso. Sin evaluación de la conformidad, sin registro, sin EIDF. Esa es exactamente la proporcionalidad para la que está diseñado el nivel de riesgo limitado.
Cómo ayuda Confir
El riesgo práctico con la IA de riesgo limitado es etiquetarla mal: tratar un caso de transparencia como de alto riesgo (esfuerzo desperdiciado) o pasar por alto el deber de transparencia por completo (una exposición del 3 %).
El motor de clasificación de Confir es basado en reglas y determinista: recorre cada sistema por los artículos 5, 6 y 50 con reglas explícitas, de modo que la misma entrada produce siempre el mismo resultado y te dice qué regla se activó, incluido si se vincula un deber de transparencia del artículo 50 y qué subapartado. Mantiene el resultado en un registro de IA de toda la organización con un registro de auditoría, de modo que la clasificación de cada sistema de riesgo limitado queda documentada y es reproducible.
Guías relacionadas
- ejemplos de IA de riesgo limitado
- el nivel de riesgo limitado en profundidad
- las obligaciones de transparencia explicadas
- los deberes de transparencia del artículo 50
- qué cuenta como ultrafalsificación
- los sistemas de IA de alto riesgo definidos
- el calendario de aplicación corregido
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →