La Fecha de Alto Riesgo de la Ley de IA de la UE marca el día a partir del cual las obligaciones de cumplimiento más sustanciales de la Ley de Inteligencia Artificial de la Unión Europea (Ley de IA) se vuelven exigibles. Cayendo el 2 de agosto de 2026, exactamente 24 meses después de que el reglamento entrara en vigor, esta fecha activa obligaciones para proveedores y desplegadores de sistemas de IA clasificados como de alto riesgo bajo el marco basado en riesgo de la Ley. La Ley de IA, propuesta por la Comisión Europea el 21 de abril de 2021 y aprobada por el Parlamento Europeo el 13 de marzo de 2024 y el Consejo de la UE el 21 de mayo de 2024, establece un marco regulatorio común para inteligencia artificial en toda la UE, aplicándose extraterritorialmente a proveedores fuera del bloque si tienen usuarios dentro de él.
La categoría de alto riesgo abarca sistemas de IA que plantean amenazas significativas para la salud, la seguridad o los derechos fundamentales, incluidos aquellos utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley y justicia. Desde la fecha de alto riesgo, estos sistemas deben cumplir con obligaciones de seguridad, transparencia y calidad, someterse a evaluaciones de conformidad y, en algunos casos, requerir una Evaluación de Impacto sobre Derechos Fundamentales antes de su despliegue. La fecha forma parte de un cronograma escalonado en el que las disposiciones de la Ley se vuelven operativas gradualmente a lo largo de 6 a 36 meses, con las obligaciones de alto riesgo llegando en el hito de los 24 meses.
Cronograma Regulatorio y Fases
La Ley de IA entró en vigor el 1 de agosto de 2024, pero sus disposiciones fueron diseñadas para implementarse gradualmente con el fin de permitir que las partes interesadas se adaptaran. Las primeras prohibiciones sobre aplicaciones de riesgo inaceptable, como la puntuación social y la identificación biométrica remota en tiempo real en espacios públicos, entraron en vigor el 2 de febrero de 2025, seis meses después de la entrada en vigor. Las obligaciones para la IA de propósito general, incluidos los requisitos de transparencia para modelos fundacionales, se volvieron aplicables el 2 de agosto de 2025. La fecha de alto riesgo del 2 de agosto de 2026 representa el tercer hito importante, aplicando el conjunto más extenso de deberes a una amplia gama de sistemas de IA.
Una cuarta fase, que cubre sistemas de IA de alto riesgo integrados en productos ya regulados por otra legislación de la UE, como dispositivos médicos y maquinaria, está programada para el 2 de agosto de 2027. Este enfoque escalonado refleja el modelo de seguridad de productos de la Ley, donde los deberes regulatorios se asignan a proveedores y desplegadores, y estos deberes se vuelven más exigentes a medida que aumentan los impactos potenciales en la salud, la seguridad o los derechos fundamentales. La Comisión Europea diseñó este cronograma para dar a los desarrolladores, particularmente a las pequeñas y medianas empresas, tiempo para construir mecanismos de cumplimiento en sus ciclos de vida de productos.
Alcance de la Clasificación de Alto Riesgo
Los sistemas de IA de alto riesgo se definen en el Anexo III de la Ley y cubren ocho áreas específicas: identificación y categorización biométrica de personas físicas; gestión y operación de infraestructuras críticas; educación y formación profesional; empleo, gestión de trabajadores y acceso al trabajo autónomo; acceso y disfrute de servicios privados esenciales y servicios públicos y beneficios; aplicación de la ley; gestión de migración, asilo y control fronterizo; y administración de justicia y procesos democráticos. Se presume que los sistemas en estas áreas son de alto riesgo a menos que realicen tareas procedimentales estrechas, mejoren el resultado de una actividad humana previamente completada o no afecten los derechos de los individuos.
La clasificación es dinámica. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA, mediante actos delegados de la Comisión Europea. Esta flexibilidad permite que el reglamento responda a usos emergentes de tecnologías de aprendizaje automático y aprendizaje profundo. Los proveedores deben evaluar sus sistemas tanto antes de colocarlos en el mercado como a lo largo de su ciclo de vida, con obligaciones de mantener documentación técnica, implementar sistemas de gestión de riesgos, garantizar la gobernanza de datos y permitir la supervisión humana.
Evaluaciones de Conformidad y Evaluaciones de Impacto sobre Derechos Fundamentales
Un requisito central desde la fecha de alto riesgo es la evaluación de conformidad, un procedimiento que verifica si un sistema de IA cumple con los requisitos de la Ley antes de que pueda colocarse en el mercado de la UE. Para la mayoría de los sistemas de alto riesgo, los proveedores realizan una autoevaluación contra estándares armonizados, mientras que los sistemas en ciertas categorías, como la identificación biométrica, requieren la participación de un organismo notificado. La evaluación cubre prácticas de entrenamiento de datos, rendimiento del modelo, medidas de ciberseguridad y la precisión y robustez del sistema.
Para sistemas de alto riesgo utilizados en administración pública, aplicación de la ley o servicios esenciales, los desplegadores también deben realizar una Evaluación de Impacto sobre Derechos Fundamentales (FRIA) antes del despliegue. Esta revisión ex ante identifica y mitiga impactos potenciales en derechos fundamentales, describiendo qué individuos y comunidades se ven afectados, posibles daños y proporcionando una base para el escrutinio público e institucional. El requisito de FRIA se basa en trabajos anteriores sobre evaluaciones de impacto algorítmico y está destinado a garantizar que el despliegue de IA no infrinja desproporcionadamente los derechos protegidos bajo la ley de la UE.
Los ciudadanos ganan nuevos derechos procesales desde la fecha de alto riesgo. Pueden presentar quejas sobre sistemas de IA ante autoridades supervisoras nacionales y recibir explicaciones de decisiones tomadas por IA de alto riesgo que afecten sus derechos. Estos derechos no crean causas de acción individuales bajo la propia Ley, ya que es una forma de regulación de productos, pero complementan los remedios existentes bajo el Reglamento General de Protección de Datos y las leyes nacionales.
Obligaciones para Proveedores y Desplegadores
Los proveedores de sistemas de IA de alto riesgo deben establecer un sistema de gestión de calidad, mantener documentación técnica, implementar monitoreo posterior a la comercialización y tomar medidas correctivas cuando los sistemas presenten riesgos. También deben garantizar que los datos de entrenamiento, validación y prueba sean relevantes, representativos y libres de sesgo cuando sea factible. Las obligaciones de transparencia requieren que los usuarios sean informados cuando interactúan con un sistema de IA, y que los sistemas estén diseñados para permitir la supervisión humana, incluida la capacidad de interpretar resultados e intervenir o detener la operación.
Los desplegadores, las organizaciones que usan IA de alto riesgo en un contexto profesional, tienen deberes separados. Deben usar los sistemas según las instrucciones, asignar supervisión humana a personal adecuadamente capacitado, monitorear signos de riesgo e informar incidentes graves a las autoridades. Los desplegadores en el sector público deben registrar sus sistemas en una base de datos de la UE antes del despliegue. Estos deberes se aplican independientemente de si el desplegador tiene su sede en la UE, ya que la Ley puede aplicarse extraterritorialmente a proveedores y desplegadores con usuarios dentro de la UE.
Relación con la IA de Propósito General y Modelos Generativos
La fecha de alto riesgo opera junto con una categoría separada para la IA de propósito general, añadida durante el proceso legislativo en 2023 para abordar el auge de sistemas de IA generativa como ChatGPT. Los modelos de propósito general, incluidos los modelos de lenguaje grandes construidos sobre arquitecturas de transformadores, no son automáticamente de alto riesgo pero enfrentan sus propios requisitos de transparencia. Los modelos de código abierto deben publicar resúmenes de datos de entrenamiento y políticas de derechos de autor, mientras que los modelos de código cerrado enfrentan deberes de transparencia más amplios. Los modelos de alto impacto que requieren más de 10^25 operaciones de punto flotante para entrenarse deben someterse a evaluaciones adicionales para riesgos sistémicos.
La distinción importa para la fecha de alto riesgo porque algunos sistemas de IA de propósito general pueden desplegarse en contextos de alto riesgo. Un modelo fundacional utilizado en contratación o atención médica, por ejemplo, podría activar obligaciones de alto riesgo para el desplegador, incluso si el modelo en sí está regulado bajo la categoría de propósito general. El marco de la Ley asigna deberes tanto al proveedor del modelo como al desplegador, creando responsabilidades de cumplimiento superpuestas. El Código de Práctica de IA de Propósito General, publicado el 10 de julio de 2025, proporciona orientación voluntaria sobre transparencia, derechos de autor y seguridad, pero no reemplaza los requisitos obligatorios de alto riesgo.
Cumplimiento y Gobernanza
La fecha de alto riesgo activa mecanismos de cumplimiento supervisados por autoridades supervisoras nacionales y la Junta Europea de Inteligencia Artificial, que promueve la cooperación nacional y garantiza un cumplimiento consistente. Cada estado miembro de la UE debe designar una autoridad de vigilancia del mercado responsable de monitorear sistemas de alto riesgo, realizar controles e imponer sanciones por incumplimiento. Las multas pueden alcanzar hasta 35 millones de euros o el 7 por ciento de la facturación anual global por violaciones que involucren prácticas prohibidas, con multas más bajas pero aún sustanciales para otras infracciones.
La Comisión Europea mantiene una base de datos pública de sistemas de IA de alto riesgo, que los desplegadores en el sector público deben usar para el registro. La Ley también fomenta el desarrollo de estándares armonizados por organizaciones europeas de estandarización, que proporcionarán especificaciones técnicas para el cumplimiento. Donde los estándares aún no estén disponibles, los proveedores pueden confiar en especificaciones comunes adoptadas por la Comisión. Esta estructura de gobernanza está diseñada para garantizar que la fecha de alto riesgo conduzca a una supervisión significativa en lugar de un mero cumplimiento formal.
Impacto en la Industria y la Innovación
La fecha de alto riesgo tiene implicaciones significativas para desarrolladores y usuarios de IA en todos los sectores. Las empresas que desarrollan IA para diagnóstico médico, evaluación educativa, contratación o aplicación de la ley deben rediseñar sus flujos de trabajo para cumplir con los requisitos de la Ley. Esto incluye documentar la procedencia de los datos, implementar procesos de gestión de riesgos y garantizar pistas de auditoría. La carga de cumplimiento es sustancial, pero la Ley permite enfoques más ligeros para sistemas considerados menos sensibles, y la mayoría de las aplicaciones de IA, como videojuegos y filtros de spam, caen en la categoría de riesgo mínimo y no están reguladas.
Para proveedores no pertenecientes a la UE, el alcance extraterritorial de la Ley significa que las empresas en los Estados Unidos, China y otros lugares deben cumplir si ofrecen sistemas de IA de alto riesgo a usuarios de la UE. Esto ha llevado a una convergencia global en las prácticas de gobernanza de IA, ya que muchas empresas multinacionales aplican los estándares de la Ley en todas sus operaciones. La fecha de alto riesgo también interactúa con otras regulaciones digitales de la UE, incluido el Reglamento General de Protección de Datos y la propuesta de Directiva de Responsabilidad de IA, creando un panorama regulatorio complejo pero coherente para la inteligencia artificial en Europa.