Los casos de uso de la IA y la Ley de IA de la UE: la clasificación por finalidad

La Ley de IA de la UE no regula la tecnología. Regula la finalidad. El Reglamento (UE) 2024/1689 asocia las obligaciones a aquello para lo que se utiliza un sistema de IA — su finalidad prevista y su contexto de despliegue — y no a la arquitectura, al tamaño del modelo ni a la sofisticación de la técnica que hay detrás. El mismo modelo puede ser de riesgo mínimo en un despliegue y de alto riesgo en otro. Esta sección recorre los casos de uso más habituales de la IA y muestra dónde se sitúa cada uno — para los responsables de producto, los responsables de cumplimiento y los fundadores que tienen que responder a esa pregunta en la práctica.

---

Por qué el mismo modelo cae en niveles distintos

El artículo 3, apartado 12, define la «finalidad prevista» como el uso al que el proveedor destina un sistema de IA, según se indique en las instrucciones de uso, el material promocional y la documentación técnica. Esa definición es la que hace el trabajo pesado de la clasificación.

Un modelo de clasificación de texto que enruta los tickets de soporte a la cola correcta es de riesgo mínimo. Aplica ese mismo modelo a las candidaturas de empleo para cribar aspirantes y pasa al punto 4 del anexo III (empleo y gestión de los trabajadores): alto riesgo, con todo el conjunto de obligaciones de los artículos 9 a 15, la evaluación de la conformidad del artículo 43 y el registro del artículo 49. Nada cambió en el modelo. Cambió el caso de uso.

Por eso «solo utilizamos modelos comerciales listos para usar» no es un argumento de clasificación, y por eso un inventario de IA organizado por modelos en lugar de por casos de uso clasificará mal. Registra el caso de uso, clasifícalo y reevalúalo cuando cambie.

---

Cómo razonar del caso de uso a las obligaciones

Recorre la secuencia en orden y detente en la primera regla que se active.

1. Artículo 5 — ¿está prohibido? Ocho prácticas están prohibidas desde el 2 de febrero de 2025, y dos más desde el 2 de diciembre de 2026; entre ellas, la manipulación subliminal, la puntuación social y el reconocimiento de emociones en el lugar de trabajo y en centros educativos (salvo por motivos médicos o de seguridad). La puntuación social del artículo 5, apartado 1, letra c), no se limita a las autoridades públicas: también vincula a los actores privados. Ningún aviso de consentimiento ni ningún paso de revisión humana sana un sistema prohibido.

2. Artículo 6 — ¿el caso de uso está en el anexo I o en el anexo III? El artículo 6, apartado 1, atrapa la IA que es componente de seguridad de un producto cubierto por la legislación de armonización del anexo I. El artículo 6, apartado 2, atrapa la IA cuya finalidad prevista entra en uno de los ocho ámbitos del anexo III: biometría, infraestructuras críticas, educación, empleo y gestión de los trabajadores, acceso a servicios esenciales, garantía del cumplimiento del Derecho, migración y control fronterizo, y administración de justicia y procesos democráticos.

3. Artículo 6, apartado 3 — ¿se aplica el filtro de exención? Un sistema del anexo III no es de alto riesgo si no plantea un riesgo significativo de perjuicio para la salud, la seguridad o los derechos fundamentales — una tarea procedimental limitada, la mejora de una actividad humana ya realizada, la detección de patrones de decisión sin influir en la evaluación humana o únicamente trabajo preparatorio. El filtro tiene un límite infranqueable: un sistema que elabore perfiles de personas físicas es siempre de alto riesgo. Documenta la evaluación y regístrala con arreglo al artículo 49.

4. Artículo 50 — ¿el caso de uso activa la transparencia? Los chatbots y demás IA conversacional, la generación o manipulación de contenido sintético, el reconocimiento de emociones donde no esté prohibido y la categorización biométrica que no identifica a la persona.

5. En caso contrario, riesgo mínimo con arreglo al Reglamento. El RGPD, la legislación sobre seguridad de los productos y las normas sectoriales siguen aplicándose.

---

La mayoría de los casos de uso cotidianos son de riesgo limitado, no de alto riesgo

El régimen de alto riesgo acapara la atención, pero la mayor parte de los casos de uso comerciales de la IA nunca llega a él. Los motores de recomendación, los resumidores, los filtros de spam, la previsión de la demanda y la optimización de rutas son por lo general de riesgo mínimo. Los chatbots de atención al cliente son por lo general de riesgo limitado: soportan el deber del artículo 50 de dejar claro que la persona está interactuando con una máquina, y poco más.

Los plazos son distintos entre sí, y se confunden con frecuencia:

Para una empresa cuya cartera de IA se compone de chatbots y resumidores, la fecha operativa es el 2 de agosto de 2026, no el 2 de diciembre de 2027. Leer el calendario del anexo III como si fuera el tuyo propio aplaza un trabajo que en realidad vence antes. Repare además en que la transición de marcado del artículo 50, apartado 2 (2 de diciembre de 2026), y la fecha de alto riesgo del anexo III son fechas distintas de años distintos; tratarlas como una sola es un error frecuente. Las fechas aplazadas del alto riesgo proceden del Ómnibus Digital, adoptado en junio de 2026 (Parlamento Europeo, 16 de junio; Consejo, 29 de junio), que está en vigor desde el 27 de julio de 2026.

---

Lee con atención las excepciones y los casos límite

Los ámbitos del anexo III contienen exclusiones escritas en el propio texto, y son quirúrgicas, no generales. El punto 5, letra b), cubre la evaluación de la solvencia y la calificación crediticia, pero excluye expresamente la IA utilizada para detectar el fraude financiero. La línea es funcional: «¿devolverá esta persona el préstamo?» es solvencia y es de alto riesgo; «¿es genuina esta transacción?» es detección de fraude y queda excluida de ese punto. Un sistema que hace detección de fraude y además alimenta una puntuación de solvencia no hereda la exclusión para la mitad que puntúa.

Hay dos casos límite que atrapan a las empresas una y otra vez. Sistemas compuestos: clasifica cada función, no el producto como un todo comercializado — un mismo despliegue puede albergar a la vez componentes de riesgo mínimo, limitado y alto, y cada uno arrastra sus propias obligaciones. Cambios de rol del artículo 25: si pones tu propio nombre en un sistema de alto riesgo, lo modificas sustancialmente o cambias su finalidad prevista, te conviertes en proveedor con todo el conjunto de obligaciones del artículo 16.

Las sanciones siguen al nivel, y son techos y no suelos: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial total por las prohibiciones del artículo 5, y hasta 15 millones de euros o el 3 % por los incumplimientos de alto riesgo y del artículo 50 (artículo 99).

---

Cómo ayuda Confir

Confir clasifica por caso de uso, que es como está escrito el Reglamento. Una entrada guiada establece la finalidad prevista, el contexto de despliegue y tu rol; a partir de ahí, un motor determinista y basado en reglas deriva el nivel frente al artículo 6 y el anexo III, muestra en lenguaje sencillo la regla que se activó y acota las obligaciones que se derivan: desde la transparencia del artículo 50 para un chatbot hasta el paquete del anexo IV para un sistema del anexo III.