Ley de IA de la UE para ONG, fundaciones y entidades sin ánimo de lucro
La mayoría de la IA del tercer sector es de riesgo mínimo. La exposición real: scoring de beneficiarios, contratación, art. 4 y chatbots del art. 50.
Es muy probable que sea de riesgo mínimo, y la mayor parte de tu stack no acarrea ninguna obligación obligatoria. La analítica de captación de fondos, la segmentación de donantes, el asistente de redacción de solicitudes de subvención, el chatbot de la web, la automatización administrativa: nada de esto figura en el anexo III del Reglamento (UE) 2024/1689 —la Ley de IA de la UE— ni está prohibido por el artículo 5. Así que el régimen pesado de alto riesgo (gestión de riesgos, documentación técnica, evaluación de la conformidad) no se aplica al instrumental habitual de una entidad sin ánimo de lucro. Tu exposición real es estrecha y concreta: el scoring de elegibilidad de beneficiarios, que puede pasar a ser de alto riesgo en una situación definida; la IA de contratación del anexo III, punto 4; el deber de alfabetización del artículo 4, que afecta a toda organización; y la información del artículo 50 cuando operas un chatbot.
El error que cometen los equipos con poco presupuesto es sobrerreaccionar —montar un programa de conformidad que una entidad benéfica no necesita— o infrarreaccionar y pasar por alto la una o dos superficies que sí muerden. Esta guía clasifica por uso, nombra los deberes que de verdad aplican y mantiene la respuesta proporcionada. Empieza por cómo funciona la clasificación de riesgo mínimo, porque ahí es donde aterriza la mayoría de tus sistemas.
La Ley aplica a las entidades sin ánimo de lucro: no hay exención para el tercer sector
Existe una esperanza persistente de que la Ley de IA de la UE deje fuera al tercer sector. No es así. La Ley vincula a los proveedores y a los responsables del despliegue de sistemas de IA con independencia de la forma jurídica o del ánimo de lucro: una entidad benéfica registrada, una fundación, una ONG y una empresa social son todas responsables del despliegue cuando usan un sistema de IA en el curso de su actividad. Lo que cambia la obligación no es tu condición fiscal, sino qué hace el sistema.
Esa es la buena noticia, bien planteada. Como las entidades sin ánimo de lucro rara vez desarrollan u operan los casos de uso que enumera el anexo III, la carga práctica suele ser pequeña. Heredas un puñado de deberes ligeros y horizontales y —en dos situaciones concretas— uno más pesado. Clasifica por uso, documenta el razonamiento y listo.
Dónde te sitúas en la cadena de valor
Casi toda entidad sin ánimo de lucro es un responsable del despliegue (una organización que usa un sistema de IA bajo su propia autoridad), no un proveedor (la organización que desarrolla un sistema y lo introduce en el mercado). Los deberes del responsable del despliegue del artículo 26 son sustancialmente más ligeros que los del proveedor del artículo 16, y solo se activan en su totalidad para sistemas de alto riesgo. Para el instrumental de riesgo mínimo que compone la mayor parte del patrimonio de una entidad benéfica, el artículo 26 no impone ningún programa de conformidad. Si dudas qué papel tienes, proveedor frente a responsable del despliegue traza la línea.
Qué es la mayor parte de tu stack: riesgo mínimo
Haz el inventario y el patrón es consistente. Lo siguiente es de riesgo mínimo: ninguna obligación obligatoria de la Ley de IA más allá del deber horizontal de alfabetización.
- Captación de fondos y analítica de donantes: segmentación, scoring de propensión a donar, optimización de campañas. Apuntan al comportamiento organizativo y al marketing, no a un caso de uso del anexo III.
- Comunicación y contenido: un asistente generativo que redacta boletines, publicaciones en redes, solicitudes de subvención e informes.
- Operaciones y administración: programación, categorización de gastos, resumen de documentos, traducción.
- Analítica de programas: paneles que miden alcance e impacto, donde no se toma ninguna decisión automatizada sobre el acceso de una persona a un servicio.
Nada de esto aparece en el anexo III, ni queda atrapado por el artículo 5. El RGPD sigue rigiendo cualquier dato personal que trates —el perfilado de donantes necesita una base jurídica y transparencia conforme al RGPD—, pero ese es un régimen paralelo, no un deber de alto riesgo de la Ley de IA. La condición de riesgo mínimo no desactiva ninguna obligación del RGPD y, para muchas entidades benéficas, el RGPD es el más pesado de los dos.
El único punto donde el scoring de beneficiarios pasa a alto riesgo: anexo III, punto 5(a)
Esta es la superficie que más importa, y es estrecha. El anexo III, punto 5(a) califica de alto riesgo un sistema de IA destinado a ser utilizado por autoridades públicas, o en su nombre, para evaluar la elegibilidad de personas físicas a prestaciones y servicios esenciales de asistencia pública —incluida la asistencia sanitaria— y para concederlas, reducirlas, revocarlas o recuperarlas.
El detonante es el contexto de prestación de un servicio público, no el acto de hacer scoring en abstracto. Buena parte del trabajo del tercer sector se presta en nombre de una autoridad pública: una entidad benéfica que gestiona un servicio de atención a personas sin hogar encargado por un ayuntamiento, una fundación que administra un fondo de emergencia financiado por el Estado, una ONG que evalúa la elegibilidad a un programa de apoyo de financiación pública. Si un sistema de IA decide o configura de forma material quién recibe una prestación o servicio esencial en ese marco de función pública delegada, puede entrar en el anexo III, punto 5(a) y pasar a ser de alto riesgo.
Cuándo no se activa
La mayoría de las decisiones sobre beneficiarios que toma una entidad benéfica no alcanzan el 5(a):
- El apoyo financiado de forma privada, decidido bajo la propia autoridad de la entidad sin delegación de ninguna autoridad pública, queda fuera del texto sobre asistencia pública.
- Un sistema que se limita a señalar o priorizar solicitudes para que un trabajador social humano tome la decisión real puede quedar exento por el filtro del artículo 6(3) —véase más abajo—.
- La medición de impacto, la gestión de listas de espera y la segmentación para la captación, que asignan esfuerzo organizativo en lugar del derecho de una persona, no son determinaciones de elegibilidad.
La línea está en si un sistema de IA determina el acceso de una persona física a una prestación o servicio público esencial en nombre de una autoridad pública. Donde lo hace, trátalo como de alto riesgo; donde no, documenta por qué y sigue adelante. IA de elegibilidad a prestaciones sociales cubre este caso de uso en detalle.
El filtro del artículo 6(3): tu herramienta más útil
Incluso un sistema del anexo III no es de alto riesgo si no plantea un riesgo significativo de daño porque solo realiza una tarea procedimental estricta, mejora el resultado de una actividad humana previamente completada, detecta patrones de decisión sin sustituir ni influir en la valoración humana, o efectúa una labor preparatoria. Basta con una de las cuatro condiciones. Así, una herramienta de triaje que aflora solicitudes para que un humano las valore —sin tomar ni dirigir la decisión— puede quedar filtrada.
El límite duro: cualquier sistema que elabore perfiles de personas físicas es siempre de alto riesgo, sin escapatoria por el artículo 6(3). Si tu herramienta de elegibilidad construye un perfil conductual o de riesgo de los solicitantes, el filtro te queda cerrado. Documenta la evaluación en cualquier caso y, donde el sistema siga siendo de alto riesgo, regístralo conforme al artículo 49.
IA de contratación: anexo III, punto 4
La segunda superficie de alto riesgo es la misma a la que se enfrenta todo empleador. El anexo III, punto 4 califica de alto riesgo la IA usada para la selección de personal (punto 4(a): dirigir anuncios de empleo, cribar o filtrar solicitudes, evaluar candidatos) y para las decisiones laborales dentro de la relación de trabajo (punto 4(b): promoción, despido, asignación de tareas, evaluación del desempeño basada en el comportamiento individual).
Si tu entidad benéfica usa un cribador de CV con IA, un evaluador automatizado de videoentrevistas o una herramienta de clasificación algorítmica para contratar personal o voluntariado en una relación de tipo laboral, ese sistema es de alto riesgo igual que el de cualquier empresa. El filtro del artículo 6(3) puede aplicar —una herramienta que solo extrae un CV en campos, o que elimina solicitudes duplicadas, puede calificar como tarea procedimental estricta—, pero perfilar candidatos lo cierra. Véase IA de cribado de candidatos y cumplimiento de la IA en RR. HH. y selección para el conjunto completo de obligaciones.
Una nota práctica: la mayoría de las entidades benéficas contratan en bajo volumen y con un proceso dirigido por personas, así que un sistema de contratación de alto riesgo es la excepción, no la norma. Inventaríalo; no lo des por sentado.
Los dos deberes horizontales que toda entidad sin ánimo de lucro asume
Dos obligaciones aplican a tu patrimonio de riesgo mínimo, sea cual sea el nivel.
Artículo 4: alfabetización en materia de IA
El artículo 4 exige a proveedores y responsables del despliegue garantizar un nivel suficiente de alfabetización en materia de IA entre el personal y demás personas que operen sistemas de IA en su nombre, teniendo en cuenta sus conocimientos técnicos, su experiencia y el contexto de uso. Está en vigor desde el 2 de febrero de 2025 y aplica a toda la IA, incluidas las herramientas de riesgo mínimo de captación de fondos y administración. Para una entidad sin ánimo de lucro esto es ligero: una sesión informativa breve y documentada sobre qué hacen tus herramientas, sus límites, cuándo un humano debe revisar el resultado y nociones básicas de protección de datos. Es un deber de competencia y registro, no una certificación. Requisitos de alfabetización en IA explica cómo es ese nivel «suficiente».
Artículo 50: transparencia para chatbots y contenido sintético
Si operas un chatbot que interactúa con socios, beneficiarios o el público, el artículo 50(1) te obliga a informar a las personas de que tratan con un sistema de IA, salvo que sea evidente. Una etiqueta breve al inicio de la conversación lo satisface. Si publicas imágenes, vídeo o audio generados por IA en campañas, aplican el marcado del artículo 50(2) (deber del proveedor) y la información sobre ultrafalsificación del artículo 50(4) (deber del responsable del despliegue); las obligaciones de marcado de contenido aterrizan en una fecha fija, el 2 de diciembre de 2026. La mayoría de los deberes del artículo 50 aplican desde el 2 de agosto de 2026. Nada de esto acarrea una carga de documentación técnica ni de conformidad: es información. Véase obligaciones de transparencia del artículo 50.
Ejemplo práctico: una ONG mediana clasifica su stack
Considera Brückenhilfe e.V., una ONG alemana de servicios sociales con unos 90 empleados y unos 6 millones de euros de ingresos anuales, un tercio de ellos por encargo de ayuntamientos. Opera cinco sistemas de IA: una herramienta de analítica de donantes, un asistente generativo de redacción de subvenciones, un chatbot web, un cribador de CV con IA para contratar trabajadores sociales y una herramienta de scoring de elegibilidad usada dentro de un fondo de emergencia encargado por un ayuntamiento para decidir qué solicitantes reciben ayudas de urgencia.
Llevar cada sistema a un nivel
La herramienta de analítica de donantes y el asistente de redacción de subvenciones son de riesgo mínimo: no están en el anexo III; el RGPD rige los datos de los donantes. El chatbot web es de riesgo limitado, con la información del artículo 50(1). El cribador de CV es de alto riesgo según el anexo III, punto 4(a) —criba y clasifica candidatos, lo que cierra el filtro del artículo 6(3) por perfilado—. La herramienta de elegibilidad del fondo de emergencia es la que detiene la revisión: como Brückenhilfe administra el fondo en nombre del ayuntamiento y la herramienta determina el acceso a una prestación pública esencial, entra en el anexo III, punto 5(a) y es de alto riesgo; y como elabora perfiles de riesgo de los solicitantes, el filtro del artículo 6(3) no está disponible.
El resultado proporcionado
De cinco sistemas, dos son de alto riesgo (el cribador de CV y la herramienta del fondo de emergencia) y tres no lo son. La carga de trabajo de Brückenhilfe bajo la Ley de IA es, por tanto: la sesión de alfabetización del artículo 4 para toda la plantilla; la etiqueta de chatbot del artículo 50(1); y un programa completo de alto riesgo —gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), supervisión humana (artículo 14) y registro del artículo 49— solo para los dos sistemas de alto riesgo. Y algo crucial: como organización de escala pyme, cualquier multa se limita conforme al artículo 99(6) a la menor de las dos cifras, el porcentaje o el importe fijo. Las subvenciones financiadas de forma privada que la entidad decide bajo su propia autoridad quedan fuera del 5(a): una distinción que conviene documentar, porque mantiene el alcance de alto riesgo en exactamente dos sistemas en lugar de todo el programa.
El mapa de caso de uso a riesgo para el tercer sector
| Uso de IA en el tercer sector | Nivel probable | Obligación clave y artículo |
|---|---|---|
| Captación de fondos / analítica de donantes | Mínimo | Perfilado RGPD; alfabetización del artículo 4 |
| Asistente de subvenciones / comunicación | Mínimo | Alfabetización del artículo 4; artículo 50 si publica contenido sintético |
| Chatbot de la web / de socios | Limitado | Información de interacción con IA del artículo 50(1) |
| Scoring de elegibilidad para un servicio delegado por una autoridad pública | Alto riesgo | Anexo III 5(a); artículos 9 a 15, 49 completos |
| Decisiones de subvención financiadas de forma privada (autoridad propia) | Mínimo–limitado | Por lo general, fuera del anexo III 5(a); aplica el RGPD |
| IA de contratación / cribado de CV para personal o voluntariado | Alto riesgo | Anexo III, punto 4; artículos 9 a 15, 49 |
Las únicas filas habitualmente de alto riesgo son la herramienta de elegibilidad de delegación pública y la herramienta de contratación. Todo lo demás es de riesgo mínimo o limitado, más el RGPD.
Los niveles de sanción, con el límite para pymes
Las infracciones del artículo 5 están en lo más alto: hasta 35 000 000 EUR o el 7 % del volumen de negocios anual total mundial, lo que sea mayor, conforme al artículo 99(3). La mayoría de las demás infracciones, incluidos los deberes de alto riesgo y del artículo 50, llegan hasta 15 000 000 EUR o el 3 % según el artículo 99(4). Facilitar información incorrecta o engañosa a las autoridades alcanza hasta 7 500 000 EUR o el 1 % según el artículo 99(5). Para las organizaciones de escala pyme y de nueva creación —que es lo que son la mayoría de las entidades benéficas por volumen de negocio—, el artículo 99(6) limita la multa a la menor de las dos cifras. Véase el régimen sancionador del artículo 99.
Plazos y cómo ayuda Confir
Qué aplica y cuándo
Dos deberes ya muerden: las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 están en vigor desde el 2 de febrero de 2025. La mayoría de los deberes de transparencia del artículo 50 aplican desde el 2 de agosto de 2026, con el marcado de contenido y las marcas de agua desde el 2 de diciembre de 2026.
Para tus sistemas de alto riesgo —la herramienta de elegibilidad de delegación pública y cualquier herramienta de contratación con IA—, las obligaciones autónomas del anexo III del artículo 6(2) siguen fijando legalmente el 2 de agosto de 2026 en el texto promulgado. El Digital Omnibus, que las aplaza al 2 de diciembre de 2027, fue adoptado: el Parlamento Europeo lo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026; entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El aplazamiento es a fechas de calendario fijas; se rechazó la variante de «parar el reloj» supeditada a normas. Planifica frente al 2 de diciembre de 2027. Véase ¿está retrasada la Ley de IA?.
Qué hace Confir
Confir registra cada sistema de IA que despliega una entidad benéfica y lo clasifica conforme al artículo 5 y al artículo 6 con la lógica del anexo III a partir de un cuestionario en lenguaje claro, separando el instrumental de riesgo mínimo de captación de fondos y administración de los uno o dos sistemas (elegibilidad de delegación pública, contratación con IA) que de verdad alcanzan el alto riesgo. Ejecuta el filtro del artículo 6(3) como un paso explícito y documentado, deriva el papel de responsable del despliegue conforme al artículo 26 y genera la documentación del artículo 11 / anexo IV y el registro del artículo 49 solo donde realmente se deben.
El motor es determinista y basado en reglas: las mismas respuestas del cuestionario producen el mismo resultado, con la regla que se activó mostrada en lenguaje claro —reproducible y defendible ante una auditoría, lo que importa para un equipo con poco presupuesto que necesita demostrar una decisión proporcionada sin un consultor—. Sin inferencia de modelos, sin conjeturas.
Preguntas frecuentes
¿La Ley de IA de la UE aplica a las entidades sin ánimo de lucro y benéficas?
Sí. La Ley de IA de la UE vincula a los proveedores y responsables del despliegue de sistemas de IA con independencia de la forma jurídica o del ánimo de lucro, así que las entidades benéficas registradas, las fundaciones y las ONG están dentro de su ámbito cuando usan IA. No hay exención para el tercer sector. Lo que mantiene la carga pequeña es que la clasificación es por uso: la mayor parte del instrumental del tercer sector —captación de fondos, comunicación, operaciones— es de riesgo mínimo y no acarrea obligaciones obligatorias más allá del deber de alfabetización en IA del artículo 4. El régimen más pesado de alto riesgo solo se activa cuando hay presente un caso de uso concreto del anexo III.
¿Es de alto riesgo el scoring de elegibilidad de beneficiarios bajo la Ley de IA de la UE?
Puede serlo, en una situación definida. El anexo III, punto 5(a) califica de alto riesgo un sistema de IA usado por una autoridad pública, o en su nombre, para evaluar la elegibilidad a prestaciones o servicios esenciales de asistencia pública. Una entidad benéfica que administra un programa encargado por un ayuntamiento o financiado por el Estado y que usa IA para decidir quién recibe una prestación esencial puede entrar en él. El apoyo financiado de forma privada, decidido bajo la propia autoridad de la entidad, suele quedar fuera del 5(a). Una herramienta que solo señala solicitudes para un trabajador social humano puede quedar exenta por el filtro del artículo 6(3), salvo que elabore perfiles de los solicitantes, lo cual es siempre de alto riesgo.
¿Es de alto riesgo la IA usada para contratar en una entidad sin ánimo de lucro?
Por lo general, sí, si criba, clasifica o evalúa candidatos. El anexo III, punto 4 califica de alto riesgo la IA de selección de personal en pie de igualdad para una entidad benéfica y para cualquier empleador, cubriendo el cribado de CV, la puntuación automatizada de entrevistas y la clasificación de candidatos. El filtro del artículo 6(3) puede eximir una herramienta procedimental estricta —por ejemplo, una que solo extrae un CV en campos—, pero perfilar candidatos lo cierra. La mayoría de las entidades benéficas contratan en bajo volumen con un proceso dirigido por personas, así que un sistema de contratación de alto riesgo es la excepción más que la norma; inventaríalo antes de darlo por sentado.
¿Cuál es el deber de alfabetización en IA para una entidad benéfica?
El artículo 4 exige a los responsables del despliegue garantizar un nivel suficiente de alfabetización en IA entre el personal que opera sistemas de IA, en vigor desde el 2 de febrero de 2025 y aplicable a toda la IA, incluidas las herramientas de riesgo mínimo de captación de fondos y administración. Para una entidad sin ánimo de lucro esto es ligero: una sesión informativa breve y documentada que cubra qué hace cada herramienta, sus límites, cuándo un humano debe revisar el resultado y nociones básicas de protección de datos. Es un deber de competencia y registro, no una certificación, y se ajusta al tamaño y al riesgo de la organización.
¿Tenemos que etiquetar como IA el chatbot de nuestra entidad benéfica?
Sí, en casi todos los casos. El artículo 50(1) te obliga a informar a las personas de que interactúan con un sistema de IA, salvo que sea evidente para un usuario razonable. Una etiqueta breve al inicio de la conversación lo satisface. Si publicas imágenes, audio o vídeo generados por IA en campañas, aplican el marcado del artículo 50(2) y la información sobre ultrafalsificación del artículo 50(4), con los deberes de marcado de contenido aterrizando el 2 de diciembre de 2026. Nada de esto acarrea una carga de documentación técnica ni de evaluación de la conformidad: es información, no un programa de alto riesgo.
¿Qué plazos de la Ley de IA de la UE debería tener en cuenta una entidad sin ánimo de lucro?
Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 están en vigor desde el 2 de febrero de 2025. La mayoría de los deberes de transparencia del artículo 50 aplican desde el 2 de agosto de 2026, con el marcado de contenido desde el 2 de diciembre de 2026. Para cualquier sistema de alto riesgo que despliegues —una herramienta de elegibilidad de delegación pública o de contratación con IA—, las obligaciones autónomas del anexo III siguen fijando legalmente el 2 de agosto de 2026 en el texto; un aplazamiento al 2 de diciembre de 2027 fue adoptado (Parlamento Europeo: 16 de junio de 2026; Consejo: 29 de junio de 2026), en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica frente al 2 de diciembre de 2027.
Guías relacionadas
- Cómo funciona la clasificación de riesgo mínimo
- IA de elegibilidad a prestaciones sociales bajo el anexo III
- IA de selección de personal bajo el anexo III
- Requisitos de alfabetización en IA del artículo 4
- Obligaciones de transparencia del artículo 50
- Roles de proveedor y responsable del despliegue
- Cumplimiento de la IA en el sector público
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →