EU AI Act: guía completa para empresas europeas

Las cuatro categorías de riesgo

El EU AI Act clasifica los sistemas de IA en cuatro niveles de riesgo. Esta clasificación determina qué obligaciones aplican a cada sistema:

Sistemas de alto riesgo: los 8 dominios del Anexo III

El Anexo III del EU AI Act lista de forma exhaustiva los dominios en los que un sistema de IA se considera de alto riesgo. Antes de asumir que un sistema es de riesgo mínimo o limitado, toda organización debe verificar si entra en alguno de estos dominios:

• 1. Identificación biométrica y categorización: sistemas de identificación biométrica remota (excl. verificación), categorización de personas por características sensibles.
• 2. Infraestructuras críticas: IA utilizada como componente de seguridad en redes eléctricas, agua, gas, transporte y infraestructura digital crítica.
• 3. Educación y formación profesional: sistemas que determinan el acceso a instituciones educativas, evalúan el aprendizaje o detectan comportamiento en exámenes.
• 4. Empleo y gestión de trabajadores: selección de personal (ATS/CV screening), evaluación del desempeño, asignación de tareas, monitorización de trabajadores.
• 5. Servicios privados y públicos esenciales: scoring crediticio, evaluación de seguros, evaluación de elegibilidad para prestaciones públicas.
• 6. Aplicación de la ley: evaluación de riesgo de delincuencia, análisis de pruebas, poligrafía digital, predicción de comportamiento.
• 7. Migración, asilo y control de fronteras: evaluación de riesgo de migrantes, detección de documentos falsos, examen de solicitudes de asilo.
• 8. Administración de justicia: asistencia a órganos judiciales en la búsqueda e interpretación de la ley, resolución de disputas.

Obligaciones para sistemas de alto riesgo

Los proveedores y desplegadores de sistemas de alto riesgo deben cumplir con un conjunto de obligaciones antes de poner el sistema en servicio (y mantenerlas durante toda su vida útil):

• Sistema de gestión de riesgos (Art. 9): proceso continuo de identificación, análisis y mitigación de riesgos a lo largo del ciclo de vida del sistema.
• Gobernanza de datos (Art. 10): los datos de entrenamiento, validación y prueba deben cumplir criterios de calidad, representatividad y ausencia de sesgos.
• Documentación técnica (Art. 11 + Anexo IV): documentación exhaustiva antes de la puesta en servicio, que debe conservarse durante 10 años.
• Registro de actividades / logging (Art. 12): capacidad de registro automático suficiente para verificar el funcionamiento del sistema en caso de incidente.
• Transparencia (Art. 13): instrucciones de uso comprensibles para los desplegadores, incluyendo limitaciones y condiciones de funcionamiento.
• Supervisión humana (Art. 14): medidas técnicas y organizativas para que personas físicas puedan supervisar, comprender, intervenir y detener el sistema.
• Exactitud, robustez y ciberseguridad (Art. 15): niveles apropiados de exactitud durante todo el ciclo de vida.
• Registro en base de datos EU (Art. 49): obligación de inscribirse en la base de datos europea de sistemas de alto riesgo antes del lanzamiento.

Multas y sanciones

El EU AI Act establece un régimen sancionador proporcional a la gravedad de la infracción:

• Hasta el 7% de la facturación global anual (o 35 M€ el mayor) por comercializar o utilizar sistemas de IA prohibidos (Art. 5).
• Hasta el 3% de la facturación global anual (o 15 M€ el mayor) por incumplimiento de cualquier otra obligación del reglamento.
• Hasta el 1% de la facturación global anual (o 7,5 M€ el mayor) por proporcionar información incorrecta, incompleta o engañosa a las autoridades.

Para PYMES y startups, los límites de las multas se reducen al importe inferior entre el porcentaje indicado y la cantidad fija. Las autoridades nacionales de supervisión (en España, la AESIA) tienen competencia para investigar e imponer sanciones.

Cómo Kaitalog te ayuda a cumplir el EU AI Act

Kaitalog es la plataforma diseñada específicamente para que los equipos de compliance y los Comités de IA puedan gestionar todas las obligaciones del EU AI Act desde un único sistema auditable:

• Inventario estructurado: registra todos tus sistemas de IA con los metadatos requeridos por el Anexo IV (descripción del propósito, lógica, datos utilizados, responsable).
• Clasificación automática: el motor de clasificación verifica si cada sistema entra en los 8 dominios del Anexo III y propone el nivel de riesgo con justificación normativa citable.
• Gestión de obligaciones: para cada sistema de alto riesgo, Kaitalog despliega las obligaciones de los artículos 9-15 y permite asignar responsables, estados y evidencias.
• Seguimiento de plazos: el dashboard del Comité muestra los plazos regulatorios clave y el estado de preparación de tu organización frente a cada uno.
• Exportación de evidencias: genera paquetes de documentación listos para presentar ante la autoridad supervisora o en una auditoría de certificación.