El Reglamento de IA para telecomunicaciones: red, atención al cliente y biometría
La mayoría de la IA de telecos es de riesgo mínimo. Cuándo la red es infraestructura crítica (anexo III), el artículo 50 y la biometría 1:1.
La mayor parte de la IA que despliega un operador de telecomunicaciones queda fuera de las obligaciones de alto riesgo de la Ley de IA de la UE. Optimización de red, mantenimiento predictivo de estaciones base, atención al cliente automatizada, detección de fraude, asignación dinámica de espectro — son herramientas operativas de riesgo mínimo. El reglamento no las regula en ningún sentido relevante. Lo que sí regula, con precisión, son tres zonas: la IA que gestiona la seguridad de la infraestructura digital crítica (anexo III, punto 2), la transparencia de los chatbots de atención (artículo 50) y la biometría en la verificación de identidad — donde la línea entre verificación e identificación lo cambia todo.
La mayoría de la IA de telecomunicaciones es de riesgo mínimo
Conviene empezar aquí, porque la suposición contraria está extendida y resulta cara.
La Ley de IA de la UE, en virtud del Reglamento (UE) 2024/1689, clasifica los sistemas en cuatro niveles de riesgo. El inferior — riesgo mínimo — no conlleva obligaciones obligatorias. Cubre todo lo que no captura la lista de prácticas prohibidas (artículo 5), las clasificaciones de alto riesgo (artículo 6 y anexo III) o las reglas de transparencia de riesgo limitado (artículo 50). La inmensa mayoría de la IA de telecos vive ahí.
La IA que equilibra la carga entre celdas para mantener la calidad de servicio es de riesgo mínimo. El mantenimiento predictivo que anticipa el fallo de un equipo de radio es de riesgo mínimo. La detección de fraude que marca patrones de uso anómalos — clonación de SIM, tráfico de revenue-share fraudulento — es de riesgo mínimo. La detección de fraude está, además, expresamente excluida de la categoría de alto riesgo de servicios esenciales del anexo III: el anexo III, punto 5, letra b), cubre la evaluación de la solvencia de personas físicas, pero excluye la detección de fraude financiero. Ninguno de estos sistemas figura en el anexo III ni funciona como componente de seguridad de un producto regulado.
La pregunta correcta sobre cada sistema no es «¿usa IA?», sino «¿gestiona la seguridad de la red como infraestructura crítica, interactúa con un cliente o trata biometría para identificar?». Para casi todo el conjunto de obligaciones de red y operaciones, la respuesta es no.
Cuándo la red es infraestructura crítica: anexo III, punto 2
Aquí está la vía de alto riesgo específica de las telecos, y es más estrecha de lo que suena.
El anexo III, punto 2, clasifica como alto riesgo los sistemas de IA destinados a utilizarse como componentes de seguridad en la gestión y el funcionamiento de infraestructuras digitales críticas. La clave está en tres palabras: «componente de seguridad». No basta con que la IA opere en una red de telecomunicaciones; tiene que desempeñar una función de gestión de la seguridad cuyo fallo ponga en peligro la vida, la salud o la continuidad de un servicio esencial.
Un sistema de IA que protege la integridad de la red de transporte de un operador designado como infraestructura digital crítica — gestionando conmutaciones de protección, aislando fallos en cascada o salvaguardando la continuidad del servicio en una crisis — puede entrar aquí. Un optimizador de tráfico ordinario que mejora la eficiencia espectral, no. La distinción es la misma de siempre: función de seguridad frente a función operativa. La mayoría de la IA de red de un operador mejora el rendimiento; solo un subconjunto reducido gestiona la seguridad de una infraestructura crítica.
Cuando la vía sí se activa, se despliega todo el conjunto de alto riesgo — gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), supervisión humana (artículo 14). El plazo para los sistemas autónomos del anexo III es el 2 de diciembre de 2027, fijado por el Ómnibus Digital, adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio).
Atención al cliente: el artículo 50 y los chatbots
La mayoría de los operadores despliega asistentes conversacionales y bots de voz para atención y ventas. Aquí la obligación es ligera, pero real.
El artículo 50, apartado 1, obliga al responsable del despliegue a informar al usuario de que interactúa con un sistema de IA, salvo que resulte obvio para una persona razonablemente informada. En la práctica: un aviso claro al inicio — «está hablando con un asistente automatizado» — antes de que el cliente empiece a tratar asuntos de su cuenta. No es alto riesgo; es transparencia de riesgo limitado, y se aplica desde el 2 de agosto de 2026. Su incumplimiento se sitúa en el tramo de 15 000 000 de euros o el 3 % del volumen de negocios anual mundial, lo que sea mayor (artículo 99, apartado 4).
Si el bot genera o reproduce contenido sintético — por ejemplo, una voz clonada de marca — entran también los deberes de marcado del artículo 50, apartado 2, que recaen sobre el proveedor del sistema generativo.
Biometría en la verificación de identidad: dónde está la línea
Las telecos usan biometría para dar de alta clientes y autenticar el acceso: huella, reconocimiento facial para desbloqueo o verificación de selfie contra documento. Aquí la clasificación depende por completo de un matiz técnico.
La verificación biométrica uno a uno (1:1) — confirmar que una persona es quien dice ser, cotejando una muestra contra una única plantilla de referencia (login, acceso a la cuenta, alta con verificación de documento) — está excluida de la categoría de alto riesgo del anexo III, punto 1 (considerando 54). No es alto riesgo. La autenticación facial para acceder a la propia cuenta es un uso 1:1 corriente.
La identificación biométrica uno a varios (1:N) — determinar la identidad de una persona desconocida cotejándola contra una base de muchas plantillas — es muy distinta: es de alto riesgo y, en el caso de la identificación biométrica remota, sigue la ruta de organismo notificado del anexo VII. Y la identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales está, salvo excepciones tasadas, prohibida por el artículo 5, apartado 1, letra h). Un operador que solo verifica identidades 1:1 para dar acceso a la cuenta está en terreno de riesgo mínimo; uno que construye una base para identificar rostros desconocidos no.
Por encima de todo esto, el RGPD se aplica siempre: los datos biométricos para identificar de forma unívoca a una persona son categoría especial conforme al RGPD artículo 9, y necesitan una base de tratamiento reforzada con independencia de la clasificación bajo la Ley de IA.
Tabla: dónde cae la IA de telecomunicaciones
| Caso de uso de telecos | Nivel | Base |
|---|---|---|
| Optimización de red, asignación de espectro | Mínimo | Sin obligaciones |
| Mantenimiento predictivo de red | Mínimo | Sin obligaciones |
| Detección de fraude | Mínimo | Excluida del anexo III 5.b) |
| Chatbot / bot de voz de atención | Limitado | Divulgar interacción con IA (Art. 50.1) |
| IA de seguridad de infraestructura crítica | Alto riesgo | Anexo III, punto 2 — 2 dic 2027 |
| Verificación de identidad 1:1 (acceso a cuenta) | Mínimo | Excluida del anexo III 1 (considerando 54) + RGPD |
| Identificación biométrica 1:N | Alto riesgo | Anexo III, punto 1 — ruta anexo VII |
Un ejemplo concreto
Tomemos RedAndaluza Telecom S.A., un operador regional de Sevilla con unos 600 empleados y alrededor de 95 M€ de facturación. Sus sistemas: un optimizador de red, mantenimiento predictivo de estaciones base, un motor de detección de fraude, un chatbot de atención, verificación facial 1:1 para el alta de clientes y un sistema de IA que protege la continuidad de su red de transporte, designada como infraestructura digital crítica por la autoridad nacional.
El recorrido es claro. Optimizador, mantenimiento predictivo y detección de fraude: riesgo mínimo — y el fraude, además, expresamente excluido del anexo III. El chatbot: artículo 50, apartado 1 — un aviso de interacción con IA. La verificación facial 1:1 para alta: riesgo mínimo, excluida del anexo III, punto 1, pero con el RGPD encima. Y el sistema que gestiona la seguridad de la red crítica: alto riesgo del anexo III, punto 2, plazo 2 de diciembre de 2027, con RedAndaluza como proveedor o responsable del despliegue según quién lo construya. Resultado: un único sistema de alto riesgo, una comunicación de transparencia y todo lo demás de riesgo mínimo. Mucho menos de lo que el equipo legal temía.
Cómo ayuda Confir a los operadores de telecomunicaciones
Para una teleco, la dificultad no es el volumen de IA — es separar el subconjunto reducido que de verdad se regula (la IA de seguridad de infraestructura crítica, los chatbots, la biometría 1:N) del grueso operativo que no, y no clasificar mal la verificación 1:1 ni la detección de fraude como alto riesgo cuando están expresamente excluidas.
La lógica de clasificación determinista y basada en reglas de Confir recorre cada sistema y saca a la luz los hechos que importan: ¿gestiona la seguridad de una infraestructura digital crítica (anexo III, punto 2)?, ¿hay interacción con un cliente (artículo 50.1)?, ¿la biometría es 1:1 (excluida) o 1:N (alto riesgo)? Produce una justificación de clasificación documentada que un equipo interno o un revisor externo puede seguir e impugnar — las mismas entradas, el mismo resultado, sin inferencia ni alucinación. El Registro de Riesgos mantiene la función, el nivel y el plazo visibles en toda la cartera. Sin consultores, sin implantación de varios meses.
Guías relacionadas
- Anexo III: usos de alto riesgo
- Transparencia del artículo 50: chatbots y contenido sintético
- Identificación biométrica remota
- Componente de seguridad
- El RGPD y la Ley de IA
- Plazos y calendario de la Ley de IA de la UE
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →