Sistemas de IA de alto riesgo: obligaciones y nuevos plazos tras la reforma de 2026
Es la categoría con obligaciones reales de documentación, supervisión y registro. Si usas IA para decidir sobre personas —contratar, dar crédito, evaluar— probablemente estés aquí. La buena noticia es que el plazo ya no es el 2 de agosto de 2026: la reforma aprobada en junio de 2026 lo movió a diciembre de 2027.
Contrastado el 26 de julio de 2026 con la documentación oficial de la Comisión Europea y el texto del Reglamento (UE) 2024/1689.
A quién afecta
- A quien usa IA en la selección de personal: cribado de currículos, ordenación de candidatos, evaluación de pruebas o decisiones de promoción y despido.
- A quien la usa para evaluar la solvencia de personas físicas o fijar precios de seguros de vida y salud.
- A quien la usa en educación y formación: admisión, evaluación de resultados o vigilancia de exámenes.
- A quien la usa en identificación biométrica, categorización o reconocimiento de emociones fuera de los casos prohibidos.
- A quien la usa en el acceso a servicios esenciales, públicos o privados, incluidas prestaciones y servicios de emergencia.
- A los fabricantes que integran IA en productos ya regulados —maquinaria, ascensores, productos sanitarios, juguetes, vehículos— y que deben pasar una evaluación de conformidad por un tercero.
Casos concretos
| Lo que hace la empresa | ¿Entra en esta categoría? |
|---|---|
| Un ATS que ordena y puntúa candidatos automáticamente antes de que los vea una persona | Sí — empleo, anexo III |
| Un ATS que solo almacena currículos y permite buscarlos por palabra clave | No — no evalúa ni decide |
| Un modelo que decide si se concede un pago aplazado a un cliente particular | Sí — evaluación de solvencia |
| Un modelo que predice qué stock reponer en el almacén | No — no decide sobre personas |
| Software antifraude que bloquea pedidos por perfil del comprador | Depende: si condiciona el acceso a un servicio esencial, sí |
| Reconocimiento facial para el control horario de la plantilla | Sí — identificación biométrica |
| Un chatbot de atención al cliente que resuelve dudas sobre pedidos | No — es riesgo limitado, solo transparencia |
| IA de control de calidad integrada en una máquina industrial con marcado CE | Sí — anexo I, plazo de agosto de 2028 |
Qué te exige el reglamento
- Sistema de gestión de riesgos documentado y mantenido durante todo el ciclo de vida del sistema, no solo en el momento de implantarlo.
- Gobernanza de los datos de entrenamiento, validación y prueba: origen, representatividad y examen de posibles sesgos.
- Documentación técnica que permita a una autoridad comprobar que el sistema cumple, disponible antes de la puesta en servicio.
- Registro automático de eventos (logs) que permita reconstruir el funcionamiento del sistema y trazar sus decisiones.
- Instrucciones de uso claras para el responsable del despliegue: capacidades, limitaciones y condiciones de uso previstas.
- Supervisión humana efectiva: una persona con autoridad y conocimiento suficientes para entender la salida del sistema, cuestionarla y anularla.
- Nivel adecuado de precisión, solidez y ciberseguridad, coherente con la finalidad prevista.
- Evaluación de conformidad y marcado CE antes de la puesta en el mercado, además del registro en la base de datos de la UE cuando proceda.
- Para el responsable del despliegue: usar el sistema conforme a las instrucciones, asignar la supervisión humana a personas competentes, conservar los registros e informar de incidentes graves.
Qué hacer, en orden
- Determina primero si eres proveedor o responsable del despliegue. Las obligaciones son distintas y muchas empresas asumen las que no les tocan mientras ignoran las suyas.
- Comprueba si el uso concreto está en el anexo III. La lista es cerrada: si no está, no es alto riesgo por muy sofisticado que sea el sistema.
- Si estás dentro, pide a tu proveedor la documentación técnica y las instrucciones de uso. Es su obligación entregártelas, y sin ellas no puedes cumplir las tuyas.
- Define quién ejerce la supervisión humana, con nombre y apellidos, y asegúrate de que esa persona puede realmente anular una decisión del sistema.
- Monta el registro de eventos y define cuánto tiempo se conservan los logs.
- Prepara la evaluación de impacto sobre derechos fundamentales si eres un organismo público o prestas servicios públicos esenciales.
Lo que se suele pasar por alto
El plazo cambió hace un mes. La reforma del reglamento, aprobada por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio, aplazó los sistemas autónomos del anexo III al 2 de diciembre de 2027 y los integrados en productos del anexo I al 2 de agosto de 2028. Buena parte del contenido publicado en español sigue diciendo que el plazo es el 2 de agosto de 2026.
El aplazamiento no alcanza a las obligaciones de transparencia del artículo 50, que sí entran en vigor el 2 de agosto de 2026. Si tu sistema de alto riesgo además interactúa con personas o genera contenido, esa parte te aplica ya.
La categoría no la determina la tecnología sino el uso. El mismo modelo de lenguaje es riesgo mínimo en un chatbot de logística y alto riesgo si criba candidatos.
Hay una excepción del artículo 6(3): si el sistema solo realiza una tarea preparatoria o una mejora accesoria y no influye materialmente en la decisión, puede quedar fuera. Documenta esa valoración por escrito, porque la carga de justificarla es tuya.
Un aplazamiento no es una exención. Diciembre de 2027 parece lejos, pero montar la gobernanza de datos y la documentación técnica de un sistema que ya está en producción lleva meses.
Preguntas frecuentes
¿Es verdad que el plazo del 2 de agosto de 2026 ya no aplica al alto riesgo?
Sí. La reforma del AI Act aprobada por el Consejo de la UE el 29 de junio de 2026 aplazó las obligaciones de los sistemas de alto riesgo autónomos del anexo III al 2 de diciembre de 2027, y las de la IA integrada en productos regulados del anexo I al 2 de agosto de 2028.
Entonces, ¿qué entra en vigor el 2 de agosto de 2026?
Las obligaciones de transparencia del artículo 50: avisar de que se está interactuando con una inteligencia artificial, marcar en formato legible por máquina el contenido generado y etiquetar los deepfakes. Esas fechas no se movieron y afectan a muchísimas más empresas que el alto riesgo.
Uso un ATS con IA para cribar currículos. ¿Soy alto riesgo?
Si el sistema evalúa, puntúa u ordena candidatos, sí: el empleo está en el anexo III y esa es una de las aplicaciones expresamente citadas. Si el software solo almacena y permite buscar currículos por palabra clave, sin valorarlos, no entra en la categoría.
¿Qué diferencia hay entre proveedor y responsable del despliegue?
El proveedor desarrolla el sistema o lo comercializa bajo su marca, y carga con la documentación técnica, la evaluación de conformidad y el marcado CE. El responsable del despliegue lo usa en su actividad profesional, y debe seguir las instrucciones, garantizar la supervisión humana, conservar los registros y notificar incidentes graves.
¿Y si mi proveedor no me da la documentación?
Es una obligación suya entregarte las instrucciones de uso y la información necesaria para que cumplas las tuyas. Reclámalo por escrito y guarda esa reclamación: si el sistema no puede usarse conforme al reglamento, la alternativa realista es cambiar de proveedor antes de que llegue la fecha.