Ley de IA y semiconductores: por qué casi toda tu IA es de riesgo mínimo

Si gestionas una fábrica de obleas, diseñas chips o construyes los aceleradores de IA con los que otras empresas entrenan modelos, el titular honesto es este: la mayor parte de la IA de un negocio de semiconductores es de riesgo mínimo, sin más obligación bajo la Ley de IA de la UE que la alfabetización en IA del artículo 4. Los sistemas que sí acarrean deberes son los mismos que los acarrean en cualquier sector: la IA de personal del anexo III, punto 4, y el caso raro en que tu planta alimenta una infraestructura crítica. Los chips en sí, y la IA que usas para fabricarlos, casi nunca disparan la clasificación de alto riesgo.

Esto importa porque la suposición va en sentido contrario. "Estamos en el centro de la cadena de suministro de la IA, así que la Ley de IA debe caernos con fuerza." No lo hace. El reglamento clasifica los sistemas por su uso, no por lo cerca que esté una empresa del silicio. Una compañía que fabrica las GPU con las que el mundo entrena modelos puede tener un perfil de Ley de IA más ligero que una startup de tecnología de RR. HH. de 30 personas.

Los dos hechos que resuelven la mayoría de las dudas sobre semiconductores

Hecho uno: fabricar chips que acaban siendo aceleradores de IA no te convierte en proveedor de IA. Bajo el artículo 3 del Reglamento (UE) 2024/1689, un proveedor es el agente que desarrolla un sistema de IA —software que realiza inferencias, genera resultados, toma o respalda decisiones— y lo introduce en el mercado con su propio nombre. Una GPU, una NPU, una oblea, un ASIC o un chip de memoria es hardware. No es un "sistema de IA" en el sentido del artículo 3(1). El cliente que construye y comercializa un modelo sobre tu acelerador puede ser proveedor de un sistema o de GPAI; tú eres su proveedor de componentes. Vender el motor no es lo mismo que conducir el coche.

Hecho dos: la IA que usas para fabricar chips es operativa, no regulada. La IA de control de proceso que ajusta los parámetros de grabado y deposición, los modelos de predicción de rendimiento que detectan la deriva de un equipo, la visión de detección de defectos en las estaciones de inspección, la IA de EDA y automatización de diseño que coloca y enruta un netlist: ninguna aparece en el anexo III, ninguna está prohibida bajo el artículo 5 y ninguna es uno de los casos de transparencia de riesgo limitado del artículo 50. Se sitúan en el escalón inferior: riesgo mínimo, sin conjunto de obligaciones de cumplimiento. Pueden aplicarse códigos de conducta voluntarios (artículo 95); lo único obligatorio es el deber transversal del artículo 4: adoptar medidas para apoyar la alfabetización en IA del personal que los utiliza.

Clasifica por tu propio uso: un filtro de cuatro preguntas

Pasa cada sistema de IA del negocio por estas preguntas, en orden:

1. ¿Está prohibido (artículo 5)? Casi nunca en una fábrica, salvo una trampa: la IA que infiere el estado emocional de los operarios de sala blanca (estrés, frustración, implicación) es reconocimiento de emociones prohibido en el lugar de trabajo bajo el artículo 5(1)(f), en vigor desde el 2 de febrero de 2025, salvo que el sistema se destine a fines médicos o de seguridad. La fatiga no es una emoción: el considerando 18 excluye los estados físicos como la fatiga, así que una alerta de somnolencia no está prohibida, aunque puede ser de alto riesgo según el anexo III, punto 4, letra b) si se usa para vigilar a trabajadores. El techo de la multa es de 35 000 000 EUR o el 7 % del volumen de negocios anual mundial total, el importe que sea mayor (artículo 99(3)).
2. ¿Es un componente de seguridad de un producto del anexo I, o un uso del anexo III? Aquí viven los deberes reales (más abajo).
3. ¿Es un caso de transparencia de riesgo limitado (artículo 50)? Un chatbot de cara al cliente en tu sitio de soporte, o contenido sintético en marketing, necesita información clara, no el conjunto de obligaciones de alto riesgo.
4. En caso contrario, riesgo mínimo. Documenta el razonamiento y sigue adelante.

Dónde recoge realmente deberes de alto riesgo una empresa de semiconductores

Solo hay dos rutas realistas, y ambas son sobre el uso, no sobre el silicio.

Anexo III, punto 4: empleo y gestión de trabajadores. La IA que criba a los candidatos a puestos de técnico de fábrica o ingeniería, clasifica candidatos, dirige decisiones de promoción o despido, o asigna turnos mediante puntuación automatizada es de alto riesgo bajo el anexo III, punto 4, exactamente igual que para cualquier empleador. Esta es la forma más común en que una empresa de chips entra en el ámbito. Es un deber del responsable del despliegue cuando compras la herramienta (artículo 26) y un deber del proveedor si la construyes internamente (artículo 16). El plazo es el 2 de diciembre de 2027 bajo el calendario del Ómnibus Digital (Reglamento (UE) 2026/1744).

Anexo III, punto 2: infraestructura crítica (estrecho). La mayoría de las fábricas abastecen el mercado general de electrónica y no son infraestructura crítica. Pero una instalación cuya IA gestiona una función de seguridad en el suministro de electricidad, agua, gas o calefacción a una red —por ejemplo, una planta propia de energía o de tratamiento de agua que alimenta a un servicio público— puede caer bajo el anexo III, punto 2. El disparador es la función de gestión de seguridad en una infraestructura crítica, no el valor de los chips. Una herramienta de programación en una fábrica de lógica no lo es; una IA que controla el apagado de emergencia en una subestación conectada a la red podría serlo.

Una nota sobre la ruta del producto: si incrustas un sistema de IA como componente de seguridad de un producto terminado cubierto por la legislación armonizada de la UE del anexo I, esa es la ruta del artículo 6(1) del producto, con plazo del 2 de agosto de 2028. Ojo con las máquinas: desde el Reglamento (UE) 2026/1744, el Reglamento de Máquinas (UE) 2023/1230 figura en la sección B del anexo I, de modo que solo se aplican directamente el artículo 6(1), el artículo 60 bis y los artículos 102 a 112; los requisitos de IA llegan mediante actos delegados del propio Reglamento de Máquinas. Y la IA usada solo para optimizar el rendimiento, automatizar o controlar la calidad no es un componente de seguridad (artículo 6(1 bis)), salvo que su fallo o defecto de funcionamiento pueda poner en peligro la salud y la seguridad (artículo 6(1 ter)). Para la mayoría de los fabricantes de chips puros esto es teórico; plantéalo solo si comercializas equipos regulados, no componentes desnudos.

El panorama de los plazos (léelo antes de planificar)

El aplazamiento del alto riesgo bajo el Ómnibus Digital ya es ley: el Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. Planifica contra el 2 de diciembre de 2027 para los sistemas autónomos de alto riesgo del anexo III (la fecha original era el 2 de agosto de 2026).

Ejemplo práctico: NordSilicon Fab GmbH, ~620 empleados, ~240 M EUR de facturación

NordSilicon gestiona una fábrica analógica de 200 mm en Sajonia y licencia parte de su propiedad intelectual de diseño. Su responsable de cumplimiento inventaría la IA del edificio y pasa cada sistema por el filtro.

• La IA de control de proceso que ajusta las recetas de grabado por plasma, la predicción de rendimiento que detecta la deriva de equipos, la detección de defectos por visión en la línea de inspección y el asistente de place-and-route de EDA del grupo de diseño: todos de riesgo mínimo. Ningún uso del anexo III, ningún papel de componente de seguridad en un producto regulado. Sin obligaciones propias de su nivel de riesgo; solo el deber de alfabetización del artículo 4.
• La IA de gestión de energía de la subestación propia: la subestación de NordSilicon está detrás del contador y no realiza una función de gestión de seguridad en el suministro público de electricidad. No es anexo III, punto 2. Mínimo. (Si gestionara el apagado de emergencia del lado de la red, el veredicto se invertiría.)
• Los chips aceleradores que NordSilicon fabrica para un cliente sin fábrica propia que entrena modelos de visión sobre ellos: NordSilicon es proveedor de componentes bajo el artículo 3, no el proveedor de IA. El cliente asume cualquier deber de proveedor del modelo. Ninguna obligación de la Ley de IA fluye a NordSilicon por el chip en sí.
• La herramienta de cribado de candidatos que RR. HH. compró para clasificar a candidatos a ingeniería junior: alto riesgo, anexo III, punto 4. Como responsable del despliegue (artículo 26), NordSilicon debe usarla según las instrucciones del proveedor, asignar personas competentes para la supervisión (artículo 14 en operación), registrar el uso y vigilar los resultados. El proveedor, como tal, conserva la documentación técnica del artículo 11 / anexo IV.
• El sistema de «control de fatiga» que un jefe de línea pilotó mediante cámara web resultó puntuar también el estrés y la implicación de los operarios: esa parte es reconocimiento de emociones según el artículo 5(1)(f), sin un caso de seguridad que lo respalde. El responsable de cumplimiento cierra el piloto; una alerta solo de somnolencia habría pasado a la comprobación de alto riesgo del anexo III, punto 4, letra b).

Veredicto: de todo el parque de IA de NordSilicon, exactamente un sistema (el cribado de candidatos) acarrea el conjunto de obligaciones de alto riesgo, uno estaba prohibido y se eliminó, y todo lo demás es de riesgo mínimo. Esa es la forma típica de una empresa de semiconductores.

Cómo ayuda Confir

Un negocio de semiconductores con decenas de sistemas de IA necesita un registro defendible de por qué casi todos están fuera del ámbito, no solo la afirmación de que lo están. Confir registra cada sistema de IA que la empresa construye o despliega, clasifica cada uno bajo los artículos 5 y 6 con la lógica del anexo III mediante listas de verificación en lenguaje claro, y deriva el papel —proveedor (artículo 16) o responsable del despliegue (artículo 26)— para los pocos que importan. El motor es determinista y basado en reglas: la misma entrada produce la misma clasificación y nombra la regla que se activó, de modo que un hallazgo de "esto es de riesgo mínimo porque es control de proceso operativo, no un uso del anexo III" es reproducible y auditable. Para el sistema de RR. HH. que sí es de alto riesgo, Confir estructura la documentación del artículo 11 / anexo IV y la declaración de conformidad del artículo 47. Sin consultores, sin despliegues de meses.

Guías relacionadas

• Clasificación de alto riesgo del artículo 6
• Qué es la Ley de IA de la UE
• IA de seguridad en infraestructura crítica bajo el anexo III
• La IA de contratación y cribado como alto riesgo
• La fabricación bajo la Ley de IA de la UE
• La clasificación de riesgo de la IA, explicada