La clasificación de riesgo es la primera decisión que debes tomar para cumplir con el AI Act. Te explicamos el árbol de decisión paso a paso, con ejemplos reales por sector y una ficha descargable para documentar tu análisis
Si has leído nuestro artículo sobre qué es el AI Act, ya sabes que la normativa europea de inteligencia artificial funciona con un enfoque basado en el riesgo: a mayor riesgo, mayores obligaciones. Pero hay una pregunta que todo el mundo se hace después de entender la teoría: ¿cómo sé en qué nivel de riesgo está cada sistema de IA que uso en mi empresa?
La respuesta es la clasificación de riesgo: un análisis sistemático que determina qué obligaciones activa cada uso de IA. No es un ejercicio opcional ni un trámite burocrático. Es la decisión que condiciona todo lo demás: qué documentación necesitas, si requieres supervisión humana designada, si debes realizar una evaluación de impacto en derechos fundamentales (FRIA) o si basta con un aviso de transparencia.
En este artículo te damos el árbol de decisión paso a paso, ejemplos clasificados por sector (ecommerce, RRHH, atención al cliente, finanzas), las consecuencias de clasificar mal y una ficha de clasificación que puedes aplicar desde hoy.
Por qué clasificar es el primer paso y el más importante
El AI Act no impone las mismas obligaciones a todos los sistemas de IA. La intensidad regulatoria es proporcional al riesgo que genera cada uso concreto. Esto significa que clasificar correctamente es lo que separa a las empresas que cumplen con eficiencia de las que acumulan burocracia innecesaria o, peor, de las que no cumplen creyendo que no les afecta.
Una clasificación correcta te permite:
- Evitar sobre-regularte: Si tu motor de recomendaciones es riesgo mínimo, no necesitas un expediente técnico de 50 páginas. Saber esto te ahorra tiempo y dinero.
- Evitar infra-regularte: Si tu sistema de selección de personal es alto riesgo y lo tratas como limitado, te expones a sanciones de hasta 15 millones de euros o el 3% de tu facturación.
- Activar solo las obligaciones que corresponden: Supervisión humana, FRIA, expediente técnico, logs de trazabilidad… cada una se activa o no según el nivel.
- Documentar decisiones auditables: Si una autoridad te pregunta por qué clasificaste un sistema como riesgo limitado en vez de alto, necesitas poder justificarlo con evidencias.
Principio clave: El compliance no se proclama, se demuestra con procesos verificables. La ficha de clasificación es la primera evidencia de que tu empresa toma en serio la gobernanza de IA.
Árbol de decisión paso a paso: las cuatro preguntas
Para clasificar cualquier sistema de IA, responde estas cuatro preguntas en orden. Cada respuesta te dirige al siguiente nodo del árbol:
Pregunta 1: ¿El sistema afecta a personas?
Es la primera bifurcación. Si el sistema de IA no interactúa con personas ni produce resultados que les afecten directa o indirectamente, es riesgo mínimo. Fin del análisis.
Ejemplos de riesgo mínimo: filtros de spam, optimización de inventario, predicción de demanda agregada, IA en videojuegos, automatizaciones internas de procesos sin impacto individual.
Si la respuesta es sí, el sistema interactúa con usuarios, procesa sus datos o produce resultados que les afectan, avanza a la siguiente pregunta.
Pregunta 2: ¿Produce efectos legales o significativos?
Aquí es donde se separa lo limitado de lo alto. Un efecto legal o significativo es aquel que afecta al acceso a un derecho, un servicio esencial o una oportunidad relevante para la persona: un empleo, un crédito, una ayuda pública, un seguro, la admisión a un centro educativo.
Si el sistema interactúa con personas pero no produce efectos legales o significativos (un chatbot que resuelve dudas, un generador de descripciones de producto, un asistente de contenido), es riesgo limitado. Tu obligación principal: transparencia. Avisar al usuario de que habla con una IA y etiquetar el contenido generado.
Si produce efectos legales o significativos, continúa.
Pregunta 3: ¿En qué entorno se usa? ¿Coincide con el Anexo III?
El Anexo III del AI Act lista los ámbitos de uso que activan automáticamente la clasificación de alto riesgo. Si tu sistema opera en alguno de estos ámbitos, es alto riesgo por uso:
- Empleo y gestión de personas: Contratación, despido, evaluación de rendimiento, promoción.
- Educación: Admisión, evaluación, acreditación.
- Servicios esenciales: Ayudas públicas, seguros, vivienda, sanidad, energía.
- Servicios financieros: Evaluación de solvencia, prevención de fraude, aprobación de créditos.
- Justicia y aplicación de la ley: Migración, control de fronteras, apoyo a decisiones judiciales.
- Procesos democráticos: Sistemas que influyan en elecciones o procesos de participación.
También es alto riesgo si el sistema es un componente de seguridad embebido en un producto regulado (Anexo I): dispositivos médicos, maquinaria industrial, vehículos autónomos.
Si el sistema tiene efectos significativos pero no encaja en ningún ámbito del Anexo III ni es componente de seguridad, queda en riesgo limitado con obligaciones reforzadas de transparencia.
Pregunta 4: ¿Qué rol tiene tu empresa?
La última pregunta no cambia el nivel de riesgo, pero sí cambia quién asume qué obligaciones:
- Proveedor: Desarrollas el sistema o lo comercializas con tu marca. Responsable de gestión de riesgos, documentación técnica completa, evaluación de conformidad y vigilancia post-comercialización.
- Responsable del despliegue: Integras y operas un sistema desarrollado por un tercero. Responsable de clasificación, DPIA/FRIA, supervisión humana, logs y validación local de umbrales. Este es el rol más común en pymes.
- Importador/Distribuidor: Introduces o revendes sistemas de fuera de la UE. Responsable de verificar conformidad, documentación y trazabilidad.
Atención: Si modificas sustancialmente un sistema de IA de un proveedor (cambias el modelo, añades datos de entrenamiento propios, alteras la finalidad), puedes pasar de responsable del despliegue a proveedor. Esto activa obligaciones significativamente mayores.
Ejemplos reales de clasificación por sector
La teoría se entiende mejor con casos concretos. Estas son clasificaciones típicas por sector:
Ecommerce
- Motor de recomendaciones de productos: Riesgo mínimo. No afecta a derechos. No requiere obligaciones especiales.
- Chatbot de atención al cliente: Riesgo limitado. Interactúa con personas. Obligación: aviso de que es una IA.
- Generador de descripciones de producto: Riesgo limitado. Obligación: etiquetar como contenido generado por IA.
- Sistema anti-fraude que rechaza pedidos automáticamente: Alto riesgo si la decisión es automática sin revisión humana (afecta al acceso a un servicio).
Recursos humanos
- Filtrado automático de CVs: Alto riesgo (Anexo III). Afecta al acceso al empleo. Requiere expediente técnico, FRIA, supervisión humana, logs.
- Ranking de candidatos por puntuación IA: Alto riesgo. Misma lógica: decisión que impacta derechos fundamentales.
- Chatbot interno para preguntas de RRHH: Riesgo limitado si solo informa. Si toma decisiones (aprobación de vacaciones, evaluación), puede subir a alto riesgo.
Atención al cliente
- Asistente RAG con aprobación humana: Riesgo limitado. La IA sugiere, el humano decide y envía.
- Clasificador automático de tickets: Riesgo mínimo si solo enruta. No toma decisiones sobre personas.
- Respuesta automática directa al cliente: Riesgo limitado. Si decide reembolsos o compensaciones sin humano, puede ser alto riesgo.
Finanzas y seguros
- Modelo de scoring crediticio: Alto riesgo (Anexo III). Decide acceso a financiación.
- Detección de blanqueo de dinero: Alto riesgo. Bloqueo automático de transacciones afecta derechos.
- Análisis predictivo de tendencias de mercado: Riesgo mínimo. No afecta a personas individuales.
Mismo modelo, diferente riesgo. Lo que clasifica no es la tecnología, sino el uso.
Qué pasa si clasificas mal: consecuencias reales
Clasificar por debajo del riesgo real no es un error menor. Las consecuencias son concretas:
Consecuencias directas
- Sanciones económicas: Si clasificas como limitado lo que es alto riesgo, puedes enfrentar multas de hasta 15 millones de euros o el 3% de facturación. Para pymes se aplica el importe menor, pero sigue siendo significativo.
- Retirada del sistema: La autoridad competente puede ordenar la retirada del mercado o la suspensión del servicio hasta que se corrija.
- Responsabilidad civil: Si el sistema causa daño a una persona y estaba infra-clasificado, la responsabilidad legal se agrava.
Consecuencias operativas
- Bloqueo en los Gates: En un modelo de gobernanza con Gates (ideación → piloto → producción), una clasificación errónea se detecta cuando las evidencias no cuadran con las obligaciones reales. El sistema no pasa de Gate 1 a Gate 2.
- Daño reputacional: Una investigación abierta por la autoridad de IA genera desconfianza en clientes y socios.
- Deuda técnica regulatoria: Reclasificar un sistema en producción es mucho más costoso que clasificarlo bien desde el inicio. Necesitas rehacer documentación, añadir controles, implementar logs retroactivamente.
La clasificación no es un one-shot. Los sistemas deben reclasificarse cuando cambian su finalidad, la población afectada, los datos que utilizan o se integran en nuevos productos regulados. Documenta estos causantes de recategorización en tu ficha.
Herramienta práctica: la Ficha de Clasificación y Ámbito
La Ficha de Clasificación y Ámbito es el documento operativo donde registras el resultado de tu análisis. Es la primera evidencia de cumplimiento y el punto de partida para cualquier obligación posterior.
Una ficha completa debe incluir:
- Identificación del sistema: Nombre, versión, fecha, responsable, revisor y aprobador.
- Caso de uso y contexto: Qué hace el sistema, en qué canal opera, a qué población afecta, en qué entorno operativo funciona.
- Personas afectadas y efectos: Quién recibe el impacto de las decisiones del sistema y qué tipo de impacto es (legal, económico, emocional, de acceso a servicios).
- Clasificación y rol: Categoría AI Act (prohibido, alto riesgo, limitado, mínimo), rol de la empresa (proveedor, responsable del despliegue, importador, distribuidor).
- Normativas aplicables: Marca cuáles aplican: AI Act, GDPR, DSA, DMA, NIS2.
- Justificación de la clasificación: Referencia a los artículos y anexos del AI Act que fundamentan tu decisión.
- Causantes de recategorización: Qué cambios obligarían a reclasificar: cambio de finalidad, nueva población, nuevos datos, integración en producto regulado.
- Controles clave: Supervisión humana requerida, condiciones de abstención (cuándo el sistema no debe actuar), límites de uso.
Consejo práctico: Completa una ficha por cada sistema de IA activo en tu empresa. No tiene que ser un documento de 20 páginas: una ficha bien hecha cabe en 1-2 páginas. Lo importante es que exista, esté firmada por un responsable y sea auditable.
El proceso completo: de la clasificación a la acción
Una vez clasificado cada sistema, las acciones siguientes dependen del nivel:
Riesgo mínimo
Documenta la clasificación en la ficha y archívala. No se requieren acciones adicionales más allá del cumplimiento legal general.
Riesgo limitado
- Implementa los avisos de transparencia (el usuario debe saber que habla con una IA).
- Etiqueta el contenido generado por IA.
- Documenta en la ficha y revisa periódicamente.
Alto riesgo
- Inicia el expediente técnico: finalidad, datos, arquitectura, métricas, umbrales, riesgos, salvaguardas.
- Completa la FRIA (evaluación de impacto en derechos fundamentales).
- Completa el DPIA si el sistema procesa datos personales.
- Designa la persona responsable de la supervisión humana: con competencia, autoridad y criterio.
- Habilita los logs de trazabilidad para reconstruir cualquier decisión.
- Configura umbrales semáforo: verde (GO), ámbar (FIX), rojo (KILL).
- No despliegues sin pasar los Gates de validación.
Para riesgo prohibido, la acción es una sola: retirada inmediata. No hay controles ni mitigaciones posibles.
Los cinco errores más comunes al clasificar
Después de acompañar a decenas de empresas en este proceso, estos son los patrones de error que vemos con más frecuencia:
- Confundir tecnología con riesgo. Pensar que porque usas ChatGPT el riesgo es alto, o que porque es «solo un chatbot» es mínimo. El riesgo no lo define el modelo, sino el uso y el impacto en personas.
- Operar con los umbrales por defecto del proveedor. Uno de los errores más graves en sistemas de alto riesgo: aceptar la configuración estándar sin validarla en tu contexto específico. Los umbrales del proveedor son genéricos; tu población y tu entorno no lo son.
- No documentar la justificación. Clasificar mentalmente como «limitado» sin dejar constancia escrita. Cuando una autoridad pregunte, «nos pareció que era limitado» no es una evidencia. Necesitas la ficha firmada con referencia a artículos y anexos.
- Olvidar la recategorización. Clasificar una vez y no revisar nunca más. Los sistemas evolucionan: cambian los datos, se amplía la población, se modifica la finalidad. Cada cambio relevante obliga a reevaluar.
- Ignorar el rol de la empresa. Muchas empresas asumen que son «simples usuarios» de IA sin obligaciones. Si integras, configuras y operas el sistema, eres responsable del despliegue y tienes obligaciones concretas: DPIA, supervisión humana, logs, validación de umbrales.
Regla de oro: Ante la duda, clasifica hacia arriba. Es más fácil relajar controles cuando demuestras que no son necesarios que añadirlos retroactivamente cuando una autoridad determina que sí lo eran.
Tu siguiente paso
La clasificación de riesgo no es un ejercicio académico. Es la decisión operativa que determina qué te exige la ley, cuántos recursos necesitas invertir en compliance y cómo proteges a tu empresa frente a sanciones.
Empieza hoy: haz un listado de todos los sistemas de IA activos en tu empresa, pasa cada uno por las cuatro preguntas del árbol de decisión y documenta el resultado en una ficha. Si descubres que tienes sistemas de alto riesgo sin las evidencias necesarias, ese es tu siguiente proyecto prioritario.
Si necesitas ayuda para realizar la auditoría de clasificación, preparar las fichas o montar el expediente técnico para sistemas de alto riesgo, en Impulsa3 te acompañamos en todo el proceso con un enfoque práctico y sin jerga legal innecesaria.
