Riesgo mínimo: la categoría donde cae casi todo (y lo que sigue aplicando igualmente)
La mayoría de los sistemas de IA que usa una empresa caen aquí: no tienen obligaciones específicas en el reglamento. Eso no significa que no tengas nada que hacer — la obligación de alfabetización y el RGPD se aplican igualmente.
Contrastado el 26 de julio de 2026 con la documentación oficial de la Comisión Europea y el texto del Reglamento (UE) 2024/1689.
A quién afecta
- A la inmensa mayoría de sistemas de IA que se usan en una empresa española: filtros antispam, recomendadores de producto, previsión de demanda, optimización de rutas, categorización automática de tickets.
- También a los usos internos de IA generativa que no producen contenido publicado ni deciden sobre personas.
- El reglamento no impone requisitos a esta categoría, aunque anima a adherirse voluntariamente a códigos de conducta.
Casos concretos
| Lo que hace la empresa | ¿Entra en esta categoría? |
|---|---|
| Filtro antispam del correo corporativo | Sí — riesgo mínimo |
| Recomendador de productos relacionados en una tienda online | Sí — riesgo mínimo |
| Previsión de demanda y reposición de stock | Sí — riesgo mínimo |
| Categorizar automáticamente los tickets de soporte por tema | Sí — riesgo mínimo |
| Usar IA generativa para redactar borradores internos que nadie publica | Sí — riesgo mínimo |
| El mismo generador, pero publicando el resultado en la web | No — pasa a transparencia, artículo 50 |
| Un recomendador que decide qué candidatos ve el reclutador | No — es alto riesgo, decide sobre personas |
Qué te exige el reglamento
- Ninguna obligación específica derivada de la clasificación de riesgo del reglamento.
- Sí sigue aplicando el artículo 4: apoyar el desarrollo de la alfabetización en IA del personal que maneja estos sistemas, exigible desde el 2 de febrero de 2025.
- Sí sigue aplicando el RGPD si el sistema trata datos personales: base legal, información a los interesados, registro de actividades y, cuando proceda, evaluación de impacto.
- Sí siguen aplicando la normativa de consumo, la de propiedad intelectual y la laboral, que el reglamento de IA no desplaza.
- El reglamento fomenta la adhesión voluntaria a códigos de conducta, sin obligar a ella.
Qué hacer, en orden
- Documenta por qué has clasificado cada sistema como riesgo mínimo. Es una frase por sistema, y es lo que te permite defender la clasificación si alguien la cuestiona.
- Revisa la clasificación cuando cambie el uso. Un sistema que pasa de sugerir a decidir cambia de categoría aunque la tecnología sea la misma.
- Cubre la alfabetización en IA: formación básica al personal que usa estas herramientas, con registro de quién la ha recibido y cuándo.
- Comprueba el encaje con el RGPD, que es donde una pyme tiene hoy más probabilidades reales de tener un problema.
Lo que se suele pasar por alto
La clasificación no es permanente. El caso típico es el generador de texto que se usaba internamente y un día empieza a alimentar la web: ese día pasa a tener obligaciones de transparencia.
Que un sistema sea de riesgo mínimo en el AI Act no lo exime del RGPD. Son normas distintas con autoridades distintas, y la Agencia Española de Protección de Datos lleva años sancionando.
La alfabetización en IA (artículo 4) no depende del nivel de riesgo: aplica a cualquier empresa que use sistemas de IA, y es exigible desde febrero de 2025. La reforma de 2026 la suavizó —ahora basta con apoyar su desarrollo— pero no la eliminó.
Preguntas frecuentes
Si todos mis sistemas son de riesgo mínimo, ¿no tengo que hacer nada?
No exactamente. No tienes obligaciones derivadas de la clasificación de riesgo, pero sí la de alfabetización en IA del artículo 4, exigible desde febrero de 2025, y todas las que ya tenías por el RGPD si esos sistemas tratan datos personales.
¿Quién decide en qué categoría está mi sistema?
La clasificación la haces tú y debes poder justificarla. El reglamento define las categorías, pero no existe un organismo que te asigne una: si una autoridad te inspecciona, lo que revisará es tu análisis y las razones por las que llegaste a esa conclusión.
¿Merece la pena documentar los sistemas de riesgo mínimo?
Sí, y cuesta poco: una línea por sistema explicando qué hace y por qué no encaja en las categorías superiores. Ese inventario es lo que convierte «creemos que no nos aplica» en algo que se puede enseñar, y además detecta los sistemas que sí encajaban.
¿Qué es la obligación de alfabetización en IA?
El artículo 4 exige que proveedores y responsables del despliegue apoyen el desarrollo de un nivel suficiente de conocimiento sobre IA entre el personal que la maneja, atendiendo a su formación y al contexto de uso. Se aplica desde el 2 de febrero de 2025 con independencia del nivel de riesgo.