Los niveles de riesgo de la Ley de IA de la UE son el marco de clasificación basado en el riesgo establecido por la Ley de Inteligencia Artificial de la Unión Europea (Ley de IA), un reglamento que entró en vigor el 1 de agosto de 2024. La Ley crea un marco regulatorio y legal común para la inteligencia artificial en toda la UE, que cubre la mayoría de los sistemas de IA en una amplia gama de sectores. Clasifica las aplicaciones de IA no exentas en cuatro niveles - riesgo inaceptable, alto, limitado y mínimo - con una categoría adicional para la IA de propósito general. Los niveles de riesgo determinan las obligaciones impuestas a los proveedores y usuarios de IA, siguiendo un modelo de seguridad de productos donde los deberes se vuelven más exigentes a medida que aumenta el impacto potencial en la salud, la seguridad o los derechos fundamentales.
La Ley de IA fue propuesta por la Comisión Europea el 21 de abril de 2021, aprobada por el Parlamento Europeo el 13 de marzo de 2024 y aprobada por unanimidad por el Consejo de la UE el 21 de mayo de 2024. El borrador fue revisado para abordar el auge de los sistemas de IA generativa, como los grandes modelos de lenguaje, cuyas capacidades de propósito general no encajaban en el marco principal. El reglamento no crea derechos individuales, sino que impone deberes a los proveedores y usuarios profesionales de IA, y puede aplicarse extraterritorialmente a proveedores fuera de la UE si tienen usuarios dentro de la UE.
Riesgo inaceptable
Las aplicaciones con riesgo inaceptable están prohibidas por completo, con exenciones específicas. Cuando no se aplica ninguna exención, esta categoría incluye sistemas de IA que manipulan el comportamiento humano, aquellos que utilizan identificación biométrica remota en tiempo real (como el reconocimiento facial) en espacios públicos y los utilizados para la puntuación social - clasificar a individuos según características personales, estatus socioeconómico o comportamiento. La prohibición es absoluta, lo que significa que ninguna evaluación de conformidad o medida de mitigación puede permitir que tales sistemas se comercialicen en la UE.
Riesgo alto
Las aplicaciones de IA de alto riesgo son aquellas que se espera que representen amenazas significativas para la salud, la seguridad o los derechos fundamentales de las personas. En particular, los sistemas de IA utilizados en salud, educación, contratación, gestión de infraestructuras críticas, aplicación de la ley o justicia caen en esta categoría. Deben cumplir con obligaciones de seguridad, transparencia y calidad, y someterse a evaluaciones de conformidad antes de su despliegue. En algunos casos, se requiere una Evaluación de Impacto sobre Derechos Fundamentales (FRIA, por sus siglas en inglés) - una revisión ex ante para identificar y mitigar posibles impactos en los derechos fundamentales. Los sistemas de alto riesgo deben evaluarse tanto antes de su comercialización como a lo largo de su ciclo de vida. La lista de aplicaciones de alto riesgo puede ampliarse con el tiempo sin modificar la propia Ley de IA. Los ciudadanos tienen derecho a presentar quejas sobre los sistemas de IA y a recibir explicaciones de las decisiones tomadas por IA de alto riesgo que afecten a sus derechos.
Riesgo limitado
Los sistemas de IA de riesgo limitado tienen obligaciones de transparencia, asegurando que los usuarios estén informados de que están interactuando con un sistema de IA y permitiéndoles tomar decisiones informadas. Esta categoría incluye aplicaciones que generan o manipulan imágenes, sonido o videos - como los deepfakes basados en aprendizaje profundo. El deber de transparencia es más ligero que para los sistemas de alto riesgo, pero aún requiere una divulgación clara a los usuarios.
Riesgo mínimo
Los sistemas de IA de riesgo mínimo no están regulados por la Ley de IA. Esta categoría incluye, por ejemplo, IA utilizada en videojuegos o filtros de spam. Se espera que la mayoría de las aplicaciones de IA caigan en esta categoría. Debido a las reglas de armonización máxima, los estados miembros de la UE no pueden imponer regulaciones adicionales sobre estos sistemas, y las leyes nacionales existentes sobre su diseño o uso quedan anuladas. Sin embargo, se sugiere un código de conducta voluntario para los proveedores.
IA de propósito general
Añadida en 2023, la categoría de IA de propósito general incluye modelos fundacionales que pueden realizar una amplia gama de tareas, como ChatGPT de OpenAI o modelos de Anthropic y Google DeepMind. Si los pesos y el diseño de un modelo se hacen de código abierto, los desarrolladores deben publicar un resumen de los datos de entrenamiento y una política de derechos de autor; los modelos de código cerrado deben cumplir requisitos de transparencia más amplios. Los modelos de alto impacto que plantean riesgos sistémicos - que requieren más de 10^25 operaciones de coma flotante para entrenarse - deben someterse a una evaluación adicional, incluyendo evaluaciones de modelos, pruebas adversariales, mitigación de riesgos por sesgo y fallos de seguridad, notificación de incidentes graves y ciberseguridad adecuada. Un Código de Prácticas de IA de Propósito General, publicado el 10 de julio de 2025, describe tres capítulos principales sobre transparencia, derechos de autor y seguridad y protección para ayudar a los proveedores a demostrar cumplimiento. La participación en el código es voluntaria.
Exenciones
Los artículos 2.3 y 2.6 de la Ley de IA eximen a los sistemas de IA utilizados exclusivamente para fines militares, de defensa o de seguridad nacional, así como aquellos para investigación y desarrollo científico puro. El reglamento tampoco se aplica a la IA utilizada para fines no profesionales. Estas exenciones son estrechas y no cubren sistemas de doble uso que tengan aplicaciones civiles.
Implementación y aplicación
Las disposiciones de la Ley de IA entran en funcionamiento gradualmente entre 6 y 36 meses después de su entrada en vigor. La Ley crea una Junta Europea de Inteligencia Artificial para promover la cooperación nacional y garantizar el cumplimiento. Al igual que el Reglamento General de Protección de Datos de la UE, la Ley de IA puede aplicarse extraterritorialmente a proveedores de fuera de la UE si tienen usuarios dentro de la UE. El esquema basado en el riesgo está diseñado para centrar la supervisión en sistemas que probablemente creen riesgos significativos, mientras permite enfoques más ligeros para usos menos sensibles. Según una evaluación inicial del Servicio de Investigación del Parlamento Europeo, la evaluación de impacto de la Comisión se basó en consultas a las partes interesadas y una amplia gama de investigaciones existentes al comparar opciones de política para este marco.