La Ley de IA de la UE y la defensa: qué cubre —y qué no— la exclusión del artículo 2(3)

Parcialmente excluida. Esa es la respuesta honesta de una línea para una empresa de defensa, y la palabra «parcialmente» es donde vive todo el problema. El artículo 2(3) de la Ley de IA de la UE, el Reglamento (UE) 2024/1689, retira del ámbito cualquier sistema de IA introducido en el mercado, puesto en servicio o utilizado exclusivamente con fines militares, de defensa o de seguridad nacional, sea quien sea quien lo opere. Pero un contratista de defensa no es una unidad militar. Su IA de selección, su chatbot corporativo, sus productos civiles y de doble uso viven enteramente fuera de esa excepción y están plenamente dentro del ámbito. Trazar esa línea correctamente es la tarea de cumplimiento más importante para una empresa de defensa.

Qué dice realmente el artículo 2(3)

El artículo 2(3) es una exclusión basada en la finalidad, no en el sector. El Reglamento no se aplica a los sistemas de IA cuando se introducen en el mercado, se ponen en servicio o se utilizan —con o sin modificación— exclusivamente con fines militares, de defensa o de seguridad nacional. La exclusión se adhiere al uso, y se aplica con independencia de quién opere el sistema: un contratista privado que ejecuta una herramienta de IA exclusivamente para una finalidad de defensa está tan excluido como las propias fuerzas armadas.

Dos rasgos del texto hacen el trabajo. Primero, está ligada a la finalidad: el detonante es la finalidad a la que sirve la IA, no la identidad de la empresa. Segundo, y decisivo, exige que esa finalidad sea exclusiva. Un sistema de IA usado con fines militares y civiles no obtiene la exclusión. Esa única palabra es la línea divisoria que una empresa de defensa tiene que gestionar.

La prueba de la «exclusividad»

La exclusión es binaria por sistema y por uso. Pregunta de cada sistema de IA: ¿se usa solo con una finalidad militar, de defensa o de seguridad nacional? Si la respuesta es sí, el artículo 2(3) lo saca del ámbito por completo: sin clasificación, sin conjunto de obligaciones de alto riesgo, sin deber de transparencia. Si tiene cualquier uso civil o comercial sustantivo, la exclusión no aplica y el sistema se evalúa según la Ley como cualquier otro.

El encuadre del considerando lo refuerza: cuando un sistema se desarrolla o se usa tanto para fines excluidos como no excluidos, la naturaleza dual implica que la Ley se aplica. Así, una empresa no puede etiquetar todo su parque de IA como «defensa» y desentenderse. La prueba se ejecuta sistema por sistema, uso por uso.

Dónde un contratista de defensa está plenamente dentro del ámbito

Los sistemas que pillan desprevenidas a las empresas de defensa son los corporativos ordinarios: la IA que nada tiene que ver con un arma.

IA de RR. HH. y selección — anexo III, punto 4. Un contratista de defensa que criba ingenieros, analistas o personal de producción con una herramienta de contratación con IA está operando un sistema de empleo de alto riesgo del anexo III, punto 4. El producto que la empresa construye puede ser un subsistema de guiado de un misil; el cribador de CV que contrató al equipo es IA de alto riesgo sin más, plenamente dentro del ámbito.

Chatbots corporativos y contenido generativo — artículo 50. Un chatbot de atención al cliente o de la web, o contenido de marketing generado por IA, entra en los deberes de transparencia del artículo 50, en vigor desde el 2 de agosto de 2026: el chatbot debe estar diseñado para informar al usuario de que interactúa con una IA y la herramienta generativa debe marcar el contenido sintético (deberes de diseño del proveedor, que recaen en la propia empresa si construyó el sistema), y la empresa, como responsable del despliegue, debe revelar las ultrafalsificaciones que publique (artículo 50(4)). Nada militar en ello, plenamente dentro del ámbito.

Productos civiles y de doble uso. Una empresa de defensa con una línea de aviación civil, un producto comercial de ciberseguridad o un sensor de doble uso vendido tanto a mercados militares como civiles no puede invocar el artículo 2(3) para la parte civil o de doble uso. Esos productos se evalúan según su uso como los de cualquier otro fabricante.

Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican a los sistemas dentro de ámbito con normalidad —en vigor desde el 2 de febrero de 2025— y el deber de alfabetización en IA alcanza al personal que opera cualquier IA dentro de ámbito.

La línea, trazada

El modelo mental limpio: la exclusión sigue a la finalidad del sistema, no a la naturaleza del negocio. Una empresa de defensa es una empresa normal de la UE que además opera algo de IA exclusivamente de defensa. Sus sistemas exclusivamente militares quedan fuera por el artículo 2(3). Todo lo demás —RR. HH., IA de marketing, productos civiles, cualquier doble uso— entra. El trabajo de seguridad nacional encargado y usado exclusivamente con esa finalidad queda excluido; la oficina corporativa que lo apoya, no.

Una nota sobre la normativa relacionada: la IA usada exclusivamente para la seguridad nacional se sitúa en la competencia de los Estados miembros, y los regímenes específicos de la UE de defensa y de control de exportaciones de doble uso siguen aplicándose con sus propios criterios. El artículo 2(3) solo rige si se aplica la Ley de IA; no desactiva otra normativa.

Ejemplo práctico: Falke Defence Systems OÜ

Falke Defence Systems OÜ, un contratista registrado en Estonia con unos 210 empleados y alrededor de 58 millones de euros de facturación, construye un subsistema de apoyo a la designación de objetivos vendido exclusivamente a ministerios de defensa de países miembros de la OTAN. Ese subsistema queda fuera de ámbito por el artículo 2(3): finalidad exclusiva, operador irrelevante.

Pero el parque de IA de Falke no es un solo sistema. Usa una herramienta de cribado de CV de un proveedor para contratar ingenieros: anexo III, punto 4, alto riesgo, plenamente dentro de ámbito, con Falke como responsable del despliegue (artículo 26). Su web ejecuta un chatbot de ventas con IA generativa: transparencia del artículo 50 (el chatbot debe informar de que es una IA, un deber de diseño de su proveedor), dentro de ámbito. También vende un producto de sensorización perimetral de doble uso a operadores civiles de infraestructura crítica y a bases militares: el doble uso pierde la exclusión, así que la versión de mercado civil se evalúa según la Ley. La posición conforme de Falke es precisa: un sistema militar excluido, tres sistemas dentro de ámbito y una prueba del artículo 2(3) documentada por sistema para cada uno. «Somos una empresa de defensa» no es una respuesta de cumplimiento; la prueba por uso sí lo es.

Cómo ayuda Confir

Confir aplica la exclusión del artículo 2(3) a nivel de sistema, no de empresa: cada sistema de IA se prueba para ver si su uso es exclusivamente militar, de defensa o de seguridad nacional, y si no lo es, se clasifica según los artículos 5, 6 y 50 como cualquier otro. El motor determinista y basado en reglas registra por qué cada sistema quedó excluido o se mantuvo dentro de ámbito, que es exactamente la justificación documentada por uso que una empresa de defensa necesita cuando un auditor pregunta cómo trazó la línea. Misma entrada, mismo resultado, la regla visible.

Guías relacionadas

• El ámbito de la Ley de IA de la UE
• Artículo 2: ámbito y exclusiones
• Ámbito extraterritorial
• IA de cribado de selección: ¿alto riesgo?
• Deberes de transparencia del artículo 50
• Proveedor frente a responsable del despliegue