Clasificación de riesgo de IA: proceso completo y errores a evitar

Los 8 dominios de alto riesgo del Anexo III

Si un sistema opera en alguno de estos 8 dominios, es de alto riesgo. La verificación de cada dominio debe documentarse en el inventario, incluso cuando la conclusión sea que el sistema no entra en el dominio:

Dominio 1 — Identificación y categorización biométrica

Sistemas de identificación biométrica remota (reconocimiento facial, de voz, de forma de andar). También incluye sistemas que categorizan a personas según características sensibles (etnia, género, orientación sexual, creencias políticas) a partir de datos biométricos. La mayoría de sistemas de reconocimiento facial son automáticamente de alto riesgo.

Dominio 2 — Infraestructuras críticas

Sistemas que funcionan como componente de seguridad en la gestión de redes eléctricas, sistemas de suministro de agua y gas, infraestructuras de transporte (ferrocarril, aviación, tráfico), infraestructura digital crítica y servicios financieros sistémicos.

Dominio 3 — Educación y formación profesional

Sistemas que determinan el acceso a instituciones educativas o de formación, evalúan el nivel de aprendizaje, asignan tareas educativas o detectan comportamiento prohibido (trampa) en exámenes. Los sistemas de admisión universitaria con IA entran en este dominio.

Dominio 4 — Empleo y gestión de trabajadores

Sistemas de selección y filtrado de candidatos (ATS con IA, CV screening), evaluación del desempeño, asignación de tareas, monitorización de la productividad de trabajadores y sistemas para tomar decisiones que afecten condiciones laborales. Uno de los dominios de mayor impacto para empresas medianas y grandes.

Dominio 5 — Servicios privados y públicos esenciales

Scoring crediticio y evaluación de la solvencia, evaluación de elegibilidad para seguros de salud y vida, evaluación de elegibilidad para prestaciones públicas (desempleo, vivienda, sanidad), y sistemas de emergency services que determinan la prioridad de respuesta a emergencias.

Dominio 6 — Aplicación de la ley

Sistemas de evaluación del riesgo de reincidencia, análisis de pruebas, poligrafía digital, predicción de delitos, identificación de redes criminales. Solo aplicable a fuerzas y cuerpos de seguridad y organismos públicos equivalentes — no aplica a empresas privadas salvo que actúen en delegación.

Dominio 7 — Migración, asilo y control de fronteras

Evaluación del riesgo de migración irregular, verificación de documentos, examen de solicitudes de asilo y visado, sistemas de gestión de fronteras con IA. Ámbito principalmente gubernamental.

Dominio 8 — Administración de justicia y procesos democráticos

Sistemas de asistencia a órganos judiciales en búsqueda e interpretación de la ley, sistemas para la resolución alternativa de disputas, y sistemas que influyen en procesos electorales y participación democrática.

Proceso de clasificación paso a paso

Paso 1 — ¿Es un sistema de IA según la definición del reglamento?

El Art. 3(1) del EU AI Act define sistema de IA como un sistema basado en máquina que opera con grados variables de autonomía, que puede generar resultados como predicciones, recomendaciones, decisiones o contenidos que influyen en entornos reales. No toda herramienta de software es un sistema de IA según esta definición.

Paso 2 — ¿Entra en las prohibiciones del Art. 5?

Verificar las categorías prohibidas: manipulación subliminal, explotación de vulnerabilidades, puntuación social, identificación biométrica en tiempo real en espacios públicos (con excepciones), inferencia de emociones en entornos laborales/educativos, y predicción de delitos basada en perfiles. Si aplica cualquier prohibición, el sistema no puede operarse.

Paso 3 — ¿Entra en algún dominio del Anexo III?

Verificar los 8 dominios uno a uno. La verificación debe documentarse explícitamente para cada dominio, incluyendo la justificación de por qué el sistema no entra en dominios donde la respuesta es negativa. Una verificación no documentada es equivalente a no haberla realizado para una auditoría.

Paso 4 — ¿Tiene obligaciones de transparencia (Art. 50)?

Si el sistema interactúa directamente con personas (chatbot, asistente virtual) o genera contenido sintético (imágenes, audio, vídeo, texto presentado como real), aplican las obligaciones de transparencia del Art. 50.

Paso 5 — Documentar la clasificación

La clasificación final debe quedar documentada en el inventario con: nivel de riesgo asignado, justificación normativa (artículos concretos), fecha de la clasificación, responsable que la realizó, y próxima fecha de revisión.

Errores comunes en la clasificación

• Infraclasificar para evitar obligaciones: asumir que un sistema es de riesgo mínimo sin verificar sistemáticamente el Anexo III. Si el sistema acaba siendo de alto riesgo y no se han cumplido las obligaciones, las sanciones pueden llegar al 3% de la facturación global.
• Ignorar el contexto de uso: un mismo modelo de IA puede ser de riesgo mínimo en un contexto (recomendación de películas) y de alto riesgo en otro (scoring de crédito). La clasificación depende del caso de uso concreto, no del tipo de algoritmo.
• No revisar la clasificación ante cambios: una actualización significativa del sistema o un cambio en su uso puede alterar la categoría de riesgo. Las clasificaciones deben revisarse cuando el sistema cambia.
• Tratar la clasificación como una decisión técnica: la clasificación de riesgo tiene consecuencias legales y debe involucrar al equipo legal o de compliance, no solo al equipo técnico.

Cómo Kaitalog gestiona la clasificación

El módulo de clasificación de Kaitalog guía al responsable de cada sistema a través de un cuestionario estructurado que verifica los 8 dominios del Anexo III y las prohibiciones del Art. 5:

• Cuestionario guiado: preguntas en lenguaje natural adaptadas al contexto del sistema, sin requerir conocimiento jurídico profundo del clasificador.
• Verificación automática del Anexo III: el motor de clasificación verifica cada dominio y genera una propuesta de nivel de riesgo con las referencias normativas exactas.
• Justificación auditable: cada clasificación genera un documento de justificación que cita los artículos y anexos aplicables, listo para ser presentado ante auditores o la autoridad supervisora.
• Validación por el Comité: la propuesta de clasificación pasa por un flujo de validación donde el Comité de IA puede aprobar, rechazar o escalar la decisión con trazabilidad completa.