Cumplimiento de la Ley de IA de la UE por sector
Guías sectoriales de la Ley de IA de la UE: qué sectores llegan al alto riesgo del Anexo III (2 dic 2027) o a la vía de producto del Anexo I (2 ago 2028).
La Ley de IA de la UE no regula sectores. Regula usos. El Reglamento (UE) 2024/1689 vincula las obligaciones a la finalidad prevista de un sistema de IA, no al sector de la empresa que lo explota. Un modelo de cribado de currículos es de alto riesgo en un hospital, en un banco y en un astillero por igual, porque el punto 4 del Anexo III cubre el empleo, no la sanidad, las finanzas o el sector marítimo.
Aun así, el sector importa, y por eso existe esta sección. Cada industria despliega un conjunto reconocible y recurrente de casos de uso de IA, y esos casos de uso se agrupan en un puñado previsible de puntos del Anexo III. Los fabricantes acaban una y otra vez en la vía de producto del Anexo I. Las aseguradoras acaban en el punto 5 del Anexo III. Conocer el patrón habitual de su sector no clasifica su sistema — eso solo lo hace el análisis de la finalidad prevista conforme al artículo 6 — pero le indica dónde mirar primero.
Estas guías son para responsables de cumplimiento, responsables de producto y asesores jurídicos que necesitan saber qué partes del Reglamento tocan a su sector antes de iniciar una evaluación sistema por sistema.
Las dos vías hacia el alto riesgo
Casi toda clasificación de alto riesgo llega por una de dos vías. La vía en la que se encuentre determina su plazo, su evaluación de la conformidad y su exposición a un organismo notificado.
La vía del Anexo III (artículo 6, apartado 2): alto riesgo autónomo
El Anexo III enumera ocho ámbitos de uso: biometría, infraestructuras críticas, educación y formación profesional, empleo y gestión de trabajadores, acceso a servicios privados esenciales y públicos, aplicación de la ley, migración y asilo, y administración de justicia y procesos democráticos. Si la finalidad prevista de un sistema encaja en alguno de ellos, es provisionalmente de alto riesgo.
Aquí llega la mayor parte de la IA del software, los servicios financieros, RR. HH., la educación, los seguros y el sector público. La evaluación de la conformidad es normalmente el control interno del Anexo VI. El plazo es el 2 de diciembre de 2027.
La vía del Anexo I (artículo 6, apartado 1): alto riesgo integrado en producto
Cuando la IA es un componente de seguridad de un producto ya cubierto por la legislación de armonización de la Unión enumerada en el Anexo I — el Reglamento de productos sanitarios, el Reglamento de máquinas, la homologación de vehículos de motor, la aviación civil, los ascensores, los equipos a presión — la Ley de IA se superpone a ese régimen de marcado CE existente en lugar de discurrir en paralelo.
Los fabricantes de productos sanitarios, de maquinaria y robótica, los proveedores de vehículos y los suministradores aeroespaciales suelen estar en esta vía. La evaluación de la conformidad es la que ya exige la legislación sectorial, ampliada para cubrir los requisitos de la Ley de IA, y por lo general interviene un organismo notificado. El plazo es el 2 de agosto de 2028.
Los sectores no tienen una vía; los sistemas sí
La distinción no es académica. Una empresa de robótica que vende una máquina industrial autónoma está en la vía del Anexo I a través del Reglamento de máquinas. Esa misma empresa, si usa IA para cribar candidatos a ingeniero de mantenimiento, está simultáneamente en la vía del Anexo III por el punto 4, con un plazo veinte meses anterior. Lo esperable es que una empresa tenga sistemas en ambas vías a la vez.
Lo que se aplica a su sector con independencia del nivel de riesgo
Tres bloques de obligaciones alcanzan a prácticamente todas las industrias y no dependen de una clasificación de alto riesgo.
Las prohibiciones del artículo 5, exigibles desde el 2 de febrero de 2025. Ocho prácticas están prohibidas de plano, y varias atraviesan sectores comerciales ordinarios: el reconocimiento de emociones en el lugar de trabajo, la categorización biométrica que infiere atributos sensibles y la explotación de vulnerabilidades. La puntuación social del artículo 5, apartado 1, letra c), no se limita a las autoridades públicas: vincula también a los actores privados, lo que alcanza al comercio minorista, a las aseguradoras y a las plataformas que puntúan a sus clientes por su comportamiento social general.
La alfabetización en IA del artículo 4, también desde el 2 de febrero de 2025. Toda organización que ponga en servicio sistemas de IA debe garantizar que el personal que los maneja tenga un nivel suficiente de alfabetización en IA. No hay excepción sectorial ni umbral por nivel de riesgo.
La transparencia del artículo 50, desde el 2 de agosto de 2026. Los chatbots deben informar de que se interactúa con una máquina, el reconocimiento de emociones debe notificarse a las personas afectadas y el contenido sintético debe divulgarse. La obligación de marcado del contenido en formato legible por máquina del artículo 50, apartado 2, tiene una fecha distinta y posterior: el 2 de diciembre de 2026. El marketing, los medios, los videojuegos, las telecomunicaciones y los sectores intensivos en atención al cliente llegan a estas obligaciones mucho antes que a cualquier plazo de alto riesgo, y a menudo dan por supuesto, erróneamente, que una clasificación de riesgo mínimo significa que no deben nada.
Las sanciones son techos, no suelos: hasta 35 000 000 EUR o el 7 % del volumen de negocios anual total mundial, si esta cifra es superior, por incumplimiento de las prohibiciones del artículo 5 (artículo 99).
Cómo leer una guía sectorial
Cada guía asigna los casos de uso de IA habituales de su sector a los puntos del Anexo III o a la legislación del Anexo I que activan, identifica si la empresa típica es proveedor (artículo 16) o responsable del despliegue (artículo 26) y señala dónde el artículo 25 convierte a un responsable del despliegue en proveedor: normalmente al poner su propia marca en un sistema, modificarlo sustancialmente o cambiar su finalidad prevista. Cuando un sector activa habitualmente una evaluación de impacto sobre los derechos fundamentales (EIDF) conforme al artículo 27 — organismos públicos, calificación crediticia, tarificación de seguros, educación —, la guía lo indica.
Use la guía sectorial para elaborar una lista corta de sistemas candidatos y de clasificaciones probables. Después clasifique cada sistema individualmente conforme al artículo 6 y, cuando encaje en un ámbito del Anexo III, aplique el filtro del artículo 6, apartado 3. Los patrones sectoriales le orientan; no sustituyen a la evaluación.
Una nota temporal que tiñe todas las guías: el Omnibus Digital se adoptó en junio de 2026 — el Parlamento el 16 de junio y el Consejo el 29 de junio — y entra en vigor con su publicación en el Diario Oficial. Fijó las fechas de alto riesgo del 2 de diciembre de 2027 y del 2 de agosto de 2028. No movió las fechas del artículo 5, del artículo 4 ni del artículo 50.
Cómo ayuda Confir
El motor de clasificación de Confir es determinista y basado en reglas. Usted describe la finalidad prevista de un sistema mediante una entrada guiada, y Confir deriva el nivel de riesgo, la vía (Anexo III o Anexo I), su rol y las obligaciones acotadas, mostrando en lenguaje claro la regla que se ha activado. A partir de ahí conduce la EIDF del artículo 27 cuando procede, la documentación técnica del Anexo IV, la declaración UE de conformidad, la transparencia del artículo 50 y la notificación de incidentes del artículo 73, en un único registro alojado en la UE.
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →