Prácticas de IA prohibidas: qué no puedes hacer desde febrero de 2025
El reglamento prohíbe ocho usos concretos de la inteligencia artificial. No hay documentación que presentar ni trámite que hacer: si tu sistema encaja en alguno, hay que dejar de usarlo. Es la única categoría que ya lleva más de un año siendo exigible.
Contrastado el 26 de julio de 2026 con la documentación oficial de la Comisión Europea y el texto del Reglamento (UE) 2024/1689.
A quién afecta
- A quien desarrolla el sistema y también a quien únicamente lo usa: el reglamento distingue entre proveedor y responsable del despliegue, y las prohibiciones alcanzan a los dos.
- A empresas de fuera de la Unión Europea, si el resultado del sistema se utiliza dentro de ella.
- No hay umbral de tamaño: una prohibición no deja de aplicarse porque la empresa sea pequeña.
- Da igual que el sistema lo hayas contratado a un tercero. Si lo despliegas tú, respondes tú.
Casos concretos
| Lo que hace la empresa | ¿Entra en esta categoría? |
|---|---|
| Puntuar a los clientes por su comportamiento social general y negarles el servicio en función de esa puntuación | Sí — puntuación social, prohibida |
| Puntuar la solvencia de un cliente con datos financieros para concederle un pago aplazado | No — es alto riesgo, no está prohibido |
| Un software que infiere el estado de ánimo de los empleados a partir de la cámara o de la voz | Sí — reconocimiento de emociones en el trabajo |
| Una encuesta de clima laboral que los empleados rellenan voluntariamente | No — no hay inferencia biométrica |
| Una cámara en tienda que clasifica a las personas por raza, religión u orientación a partir de su cara | Sí — categorización biométrica por datos sensibles |
| Una cámara que solo cuenta cuántas personas entran en el local | No — ni identifica ni categoriza |
| Ampliar una base de reconocimiento facial descargando caras de internet o de cámaras de seguridad | Sí — raspado indiscriminado de imágenes faciales |
| Una herramienta que genera imágenes íntimas de personas reales sin su consentimiento | Sí — prohibición añadida en 2026, exigible desde el 2 de diciembre de 2026 |
Qué te exige el reglamento
- Manipular el comportamiento de una persona con técnicas subliminales o deliberadamente engañosas, de forma que tome una decisión que no habría tomado y que le cause un perjuicio importante.
- Explotar la vulnerabilidad de una persona por su edad, discapacidad o situación socioeconómica para distorsionar su comportamiento.
- Puntuación social: evaluar o clasificar a personas por su comportamiento social o sus características personales, y usar esa puntuación para tratarlas peor en un contexto que no tiene nada que ver con el origen de los datos.
- Predecir el riesgo de que una persona cometa un delito basándose únicamente en su perfil o en rasgos de personalidad.
- Crear o ampliar bases de datos de reconocimiento facial mediante el raspado indiscriminado de imágenes de internet o de circuitos cerrados de televisión.
- Inferir emociones de una persona en el puesto de trabajo o en centros educativos, salvo por motivos médicos o de seguridad.
- Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, creencias religiosas, vida sexual u orientación sexual.
- Identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo las excepciones tasadas del reglamento.
- Generar o manipular imágenes íntimas sin consentimiento y material de abuso sexual infantil, incluida la generación como resultado razonablemente previsible del sistema. Prohibición añadida por la reforma de 2026, con transición hasta el 2 de diciembre de 2026.
Qué hacer, en orden
- Haz el inventario de los sistemas de IA que hay en la empresa, incluidos los que vienen dentro de herramientas que has contratado y no identificas como «IA».
- Para cada uno, escribe en una frase para qué se usa realmente, no qué tecnología lleva. La prohibición depende del uso.
- Contrasta ese uso con la lista de arriba. Presta atención a los sistemas de recursos humanos, videovigilancia y análisis de clientes: es donde suele aparecer el problema.
- Si algo encaja, deja de usarlo. No existe la opción de documentarlo y seguir.
- Deja constancia escrita de la revisión y de la fecha. Ante una inspección, poder demostrar que lo comprobaste vale más que asegurar que nunca hizo falta.
Lo que se suele pasar por alto
La prohibición no depende de tu intención ni de si el sistema funciona bien. Se mira para qué sirve, no si acierta.
El reconocimiento de emociones en el trabajo es la prohibición que más pymes incumplen sin saberlo. Está incluida en algunas herramientas comerciales de análisis de llamadas y de videoentrevistas, vendidas como «análisis de sentimiento» del candidato o del empleado.
Estas prohibiciones no las aplazó la reforma de junio de 2026. Ese aplazamiento afectó a los sistemas de alto riesgo, no al artículo 5.
Que tu proveedor sea una empresa grande y conocida no te cubre. Si el uso está prohibido, responde también quien lo despliega.
Preguntas frecuentes
¿Estas prohibiciones ya están en vigor?
Sí. Las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025, y son las obligaciones más antiguas del reglamento. La reforma aprobada en junio de 2026 aplazó los plazos de los sistemas de alto riesgo, pero no tocó las prohibiciones, que siguen siendo exigibles.
¿Cuánto puede costarme incumplir una prohibición?
Hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual, aplicándose la cifra mayor. Para pymes y startups el reglamento invierte la regla: se aplica la menor de las dos cifras, que en una empresa pequeña será casi siempre el porcentaje.
Uso una herramienta de otro proveedor. ¿Respondo yo?
Sí, si eres quien la despliega. El reglamento impone obligaciones tanto al proveedor que pone el sistema en el mercado como al responsable del despliegue que lo utiliza en su actividad. Contratar la herramienta a un tercero no traslada la responsabilidad por el uso que haces de ella.
¿El scoring de clientes está prohibido?
Depende de qué puntúes y para qué. Evaluar la solvencia con datos financieros para conceder crédito no está prohibido, aunque sí es alto riesgo. Lo que se prohíbe es la puntuación social: clasificar personas por su comportamiento general y usar esa nota para perjudicarlas en un contexto sin relación con los datos de origen.
¿Quién vigila esto en España?
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad de vigilancia del mercado para la mayoría de sistemas y el punto de contacto único con la Comisión Europea. El proyecto de ley español de gobernanza de la IA, aprobado por el Gobierno en mayo de 2026, concreta el procedimiento sancionador.