Las prácticas prohibidas del Reglamento de IA (artículo 5): los ocho usos vetados
Las ocho prácticas prohibidas del artículo 5 del Reglamento de IA, en vigor desde el 2 de febrero de 2025. Multas de hasta 35 M€ o el 7%.
Hay usos de la IA que no se regulan: se prohíben sin más. El artículo 5 del Reglamento de IA, Reglamento (UE) 2024/1689, enumera ocho prácticas prohibidas que nadie puede comercializar, poner en servicio ni utilizar en la UE. Están en vigor desde el 2 de febrero de 2025 y conllevan la sanción más alta del Reglamento: hasta 35 millones de euros o el 7% del volumen de negocios anual mundial total (artículo 99(3)). Si un uso cae dentro del artículo 5, ninguna documentación ni supervisión lo hace lícito: simplemente no se hace.
Lo difícil para la mayoría de las empresas no son los usos prohibidos en sí, sino los usos lícitos parecidos que quedan justo al lado. Esta guía enumera los ocho y, después, traza las líneas que de verdad importan.
Las ocho prácticas prohibidas
| # | Artículo 5(1) | Práctica prohibida |
|---|---|---|
| 1 | (a) | Técnicas subliminales, manipuladoras o engañosas que distorsionan el comportamiento de forma sustancial y causan un perjuicio importante |
| 2 | (b) | Explotación de vulnerabilidades por edad, discapacidad o situación social/económica para distorsionar el comportamiento y causar un perjuicio importante |
| 3 | (c) | Puntuación social (social scoring): evaluar o clasificar a las personas a lo largo del tiempo por su comportamiento social o rasgos personales, con un trato perjudicial |
| 4 | (d) | Predicción de la comisión de delitos basada únicamente en la elaboración de perfiles o en rasgos de personalidad (no en hechos objetivos y verificables) |
| 5 | (e) | Extracción no selectiva de imágenes faciales de internet o de cámaras (CCTV) para crear o ampliar bases de datos de reconocimiento facial |
| 6 | (f) | Reconocimiento de emociones en el lugar de trabajo y en la educación (salvo por motivos médicos o de seguridad) |
| 7 | (g) | Categorización biométrica que infiere atributos sensibles: raza, opiniones políticas, afiliación sindical, religión, vida sexual u orientación sexual |
| 8 | (h) | Identificación biométrica remota en tiempo real en espacios de acceso público con fines de garantía del cumplimiento del Derecho (excepciones autorizadas muy concretas) |
Son prohibiciones del uso, no de una herramienta ni de una marca. La misma tecnología de base —reconocimiento facial, análisis de sentimiento, puntuación— puede ser lícita en un despliegue y estar prohibida en otro. Clasifica siempre por aquello para lo que se usa el sistema.
Los usos lícitos parecidos (donde se equivocan las empresas)
La evaluación de solvencia no es puntuación social. Evaluar la solvencia crediticia de una persona es de alto riesgo (anexo III, punto 5(b)), no una práctica prohibida. La puntuación social del artículo 5(1)(c) es la evaluación del comportamiento social general de las personas, en contextos no relacionados, que conduce a un trato perjudicial injustificado o desproporcionado —por ejemplo, denegar una prestación pública ajena por una conducta privada sin relación—. Un banco que puntúa a un solicitante con datos financieros pertinentes hace IA de alto riesgo regulada, no una práctica vetada.
La verificación uno a uno no es identificación biométrica remota en tiempo real. Desbloquear un móvil o confirmar la identidad de un empleado en un torno (cotejo 1:1, con consentimiento, contra una plantilla conocida) no es la prohibición del 5(1)(h). El veto se dirige a la identificación remota, en tiempo real y de uno a muchos de personas en espacios públicos con fines policiales. La mayoría de la biometría laboral y de consumo es verificación, no identificación remota.
El reconocimiento de emociones fuera del trabajo y la educación puede ser lícito. El veto del 5(1)(f) es específico del lugar de trabajo y la educación. La misma capacidad usada en otro ámbito puede ser lícita —aunque puede ser biometría de alto riesgo (anexo III, punto 1) y suele activar un aviso del artículo 50(3) de que se está analizando a la persona—. Un error frecuente es llamar "de alto riesgo" al reconocimiento de emociones en el trabajo: ahí está prohibido.
Plazos y la nueva prohibición del 2 de diciembre de 2026
Las ocho prohibiciones se aplican desde el 2 de febrero de 2025. El aplazamiento del Digital Omnibus no las afectó —están vigentes ahora—.
Llega una nueva prohibición el 2 de diciembre de 2026: la IA usada para generar o manipular material de abuso sexual infantil (CSAM) y las aplicaciones de tipo "nudifier" (que desnudan imágenes). Trátala como una incorporación próxima a la lista del artículo 5, no como algo lejano.
Sobre el calendario general: el plazo del alto riesgo del anexo III pasa al 2 de diciembre de 2027 en virtud del Ómnibus Digital, ya adoptado —voto final del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026—, que entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Nada de esto afecta al artículo 5, que ya está en vigor.
¿Quién supervisa esto en España?
En España, la autoridad de referencia es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), creada por el Real Decreto 729/2023 y con sede en A Coruña. La supervisión es compartida según el ámbito: la AEPD asume la biometría y la migración/fronteras, el CGPJ la administración de justicia y la Junta Electoral Central los procesos democráticos. Las cuantías de las sanciones se rigen por el artículo 99 del Reglamento; no existen importes específicos de España. El proyecto de ley de IA aprobado por el Consejo de Ministros y remitido al Congreso el 26 de mayo de 2026 está en tramitación parlamentaria a junio de 2026.
Ejemplo práctico
Nordkran Logística, una empresa de unas 140 personas en Bilbao (~31 M€ de facturación), valora tres ideas de IA. (1) Un sistema de cámaras que lee las expresiones faciales del personal de almacén para señalar la "desafección" a los mandos. (2) Un escaneo facial 1:1 para abrir puertas seguras a empleados acreditados. (3) Un modelo que puntúa el riesgo de las rutas de reparto a partir de datos de tráfico y meteorología.
Veredictos: la idea (1) está prohibida —reconocimiento de emociones en el lugar de trabajo, artículo 5(1)(f)—; no puede lanzarse, punto. La idea (2) es verificación biométrica lícita, no el veto de identificación remota del 5(1)(h): adelante con el cuidado habitual en protección de datos. La idea (3) no es biométrica ni prohibida; el riesgo de ruta a partir de datos operativos es, con estos datos, IA de riesgo mínimo. Una idea muere en la línea de la prohibición; las otras dos avanzan. En eso consiste clasificar cada uso antes de construirlo.
Cómo ayuda Confir
Confir contrasta cada uso registrado con las ocho categorías del artículo 5 antes de cualquier análisis de alto riesgo, y marca un uso prohibido con el subapartado exacto y el motivo por el que se activó la regla —de modo que una idea vetada se detecta en la fase de diseño, no tras el lanzamiento—. El motor es determinista y basado en reglas: el mismo dato de entrada devuelve siempre el mismo veredicto, y se ve qué regla se aplicó.
Guías relacionadas
- El artículo 5 del Reglamento de IA, explicado
- La prohibición de la identificación biométrica en tiempo real
- IA de riesgo inaceptable
- La puntuación social como IA prohibida
- El Reglamento de IA en España
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →