Tras meses de retraso, la Comisión Europea publicó el 19 de mayo de 2026 su tan esperado borrador de directrices sobre la clasificación de los sistemas de IA de alto riesgo. La publicación abre una consulta específica a las partes interesadas, que estará abierta hasta el 23 de junio de 2026.
Para muchas organizaciones, esto es más que una publicación regulatoria más. Una de las mayores preguntas sin resolver del AI Act ha sido si un sistema de IA concreto cae dentro o fuera del régimen de alto riesgo, ya que la respuesta determina si se aplica un conjunto de obligaciones del AI Act mucho más exigente. El borrador de directrices ofrece la indicación más clara hasta la fecha de cómo se realizará probablemente esa evaluación en la práctica.
Y lo que es más importante, revela algo más amplio: el cumplimiento bajo el AI Act dependerá no solo de lo que hace un sistema de IA, sino también de cómo las organizaciones lo describen, lo comercializan, lo documentan y gobiernan su uso. En este sentido, el ejercicio de clasificación se está convirtiendo tanto en una cuestión de evidencia y rendición de cuentas como de tecnología.
Aunque las directrices siguen en fase de borrador, ofrecen hasta la fecha la hoja de ruta más detallada para las organizaciones que buscan comprender sus futuras obligaciones bajo el AI Act.
Esto es lo que necesita saber.
Nuevos plazos, más tiempo para prepararse
Las directrices se esperaban originalmente para el 2 de febrero de 2026, antes de los primeros hitos de cumplimiento del AI Act para los sistemas de alto riesgo. Su ausencia se había convertido en una auténtica fuente de frustración tanto para las empresas como para las autoridades públicas, a quienes se pedía prepararse para obligaciones sin una guía clara sobre a quién se aplicarían realmente.
La publicación del borrador de directrices llega junto con el AI Omnibus, que ha pospuesto las fechas de aplicación para los sistemas de IA de alto riesgo. Según el calendario revisado, las obligaciones para los sistemas de IA de alto riesgo independientes se aplicarán a partir del 2 de diciembre de 2027, mientras que las obligaciones para los sistemas de IA de alto riesgo integrados en productos se aplicarán a partir del 2 de agosto de 2028.
Los plazos revisados ofrecen a las organizaciones tiempo adicional para prepararse, pero no deben confundirse con una pausa en la planificación del cumplimiento. Las obligaciones de IA de alto riesgo pueden ahora aplicarse más tarde de lo previsto inicialmente, pero las organizaciones siguen necesitando evaluar sus sistemas de IA, determinar si caen dentro del régimen de alto riesgo, entender su papel en la cadena de valor de la IA y empezar a construir las estructuras de gobernanza que exigirá el cumplimiento.
Con la publicación del borrador de directrices, el panorama empieza a perfilarse, aunque todavía no está completo.
¿Qué cubren realmente las directrices?
Las directrices se estructuran en tres documentos.
- El primero aborda los principios generales: cómo interpretar las normas de clasificación, qué significan conceptos como «componente de seguridad» y «finalidad prevista», y cómo interactúan las dos vías.
- El segundo aborda en detalle el artículo 6, apartado 1, y el anexo I: cuándo un sistema de IA es un producto o un componente de seguridad, y cuándo se aplica la legislación de seguridad de productos de la UE correspondiente.
- El tercero aborda en detalle el artículo 6, apartado 2, y el anexo III: qué casos de uso entran dentro de las ocho áreas enumeradas y cómo deben evaluarse las situaciones límite.
En conjunto, ofrecen por primera vez, con este nivel de detalle, un marco práctico para resolver la cuestión de la clasificación paso a paso.
¿Aporta esto seguridad jurídica?
Las directrices no son jurídicamente vinculantes. Solo el Tribunal de Justicia de la Unión Europea puede ofrecer una interpretación autorizada del AI Act. Como ha indicado expresamente la Comisión, las directrices están concebidas para evolucionar con el tiempo y se actualizarán cuando sea necesario, teniendo en cuenta la experiencia práctica y las nuevas cuestiones que puedan surgir.
Dicho esto, son la indicación más clara hasta ahora de cómo la Comisión y los organismos de aplicación abordarán la cuestión de la clasificación en la práctica. Para la mayoría de las organizaciones, comprender cómo es probable que se apliquen las normas es la mayor parte de lo que necesitan para tomar decisiones de cumplimiento razonables.
Las directrices siguen abiertas a comentarios hasta el 23 de junio de 2026. La Comisión no ha anunciado un calendario formal de adopción para la versión final.
Dos puntos importantes a los que las organizaciones deben prestar especial atención
Aunque el borrador de directrices abarca una amplia gama de cuestiones, dos temas tendrán probablemente un impacto práctico significativo para las organizaciones.
La finalidad prevista importa más de lo que muchas organizaciones creen
La Comisión otorga una importancia significativa a la finalidad prevista de un sistema de IA. Es importante señalar que esta evaluación no se limita a la documentación técnica. Los materiales de marketing, las presentaciones comerciales, las descripciones de producto y las instrucciones de uso contribuyen todos a determinar para qué está previsto usarse un sistema.
Para los proveedores de sistemas de IA diseñados para funcionar en múltiples contextos o casos de uso, una cláusula contractual que excluya las aplicaciones de alto riesgo no será suficiente si el marketing o la documentación del sistema cuentan una historia diferente. Según el borrador de directrices, la finalidad prevista se evalúa a partir de todos los materiales, no solo de la letra pequeña.
La supervisión humana no excluye automáticamente a un sistema de la categoría de alto riesgo
Muchas organizaciones asumen que añadir un paso de revisión humana impide automáticamente que un sistema de IA sea clasificado como de alto riesgo. El borrador de directrices rechaza expresamente esta suposición.
La supervisión humana es una obligación de cumplimiento importante conforme al artículo 14, pero por lo general no modifica el análisis de clasificación conforme al artículo 6. La razón es sencilla: la clasificación conforme al artículo 6, apartado 2, depende únicamente de la finalidad prevista del sistema. Dado que la intervención humana no puede cambiar el propósito para el que un sistema fue diseñado, no tiene ningún efecto sobre si ese sistema entra dentro de uno de los casos de uso del anexo III.
¿Qué hace que un sistema de IA sea de «alto riesgo»?
Las directrices siguen la estructura del artículo 6 del AI Act, que establece dos vías hacia la clasificación de alto riesgo.
Vía 1: la IA como producto o componente de seguridad de un producto regulado. Si un sistema de IA es en sí mismo un producto, o un componente de seguridad dentro de un producto, que está sujeto a la legislación de seguridad de productos de la UE y requiere una evaluación de la conformidad por un tercero, se clasifica como de alto riesgo. Piense en dispositivos médicos, maquinaria, ascensores, juguetes y equipos regulados similares en los que la IA desempeña una función que podría afectar a la seguridad del producto.
Vía 2: la IA utilizada en los casos de uso de alto riesgo enumerados en el anexo III. El AI Act ha identificado un conjunto de ocho ámbitos que presentan un riesgo significativo para los derechos, la seguridad o el acceso de las personas a servicios esenciales. Son los siguientes:
- Biometría: incluidos los sistemas de identificación biométrica remota
- Infraestructuras críticas: IA utilizada en la gestión de redes de agua, gas, calefacción o electricidad
- Educación y formación profesional: sistemas que determinan el acceso, evalúan a los estudiantes o supervisan a quienes aprenden
- Empleo y gestión de personal: herramientas de contratación, software de cribado de currículums, supervisión del rendimiento y asignación de tareas
- Acceso a servicios esenciales: puntuación crediticia, evaluación del riesgo en seguros y determinación del derecho a prestaciones sociales
- Aplicación de la ley: herramientas utilizadas para evaluar el riesgo de que una persona sea víctima o autora de un delito, sistemas de polígrafo y aplicaciones similares
- Migración, asilo y control fronterizo: evaluación de riesgos, autenticación de documentos y examen de solicitudes
- Administración de justicia y procesos democráticos: IA que asiste a los tribunales o se utiliza en contextos electorales
El borrador de directrices ofrece ejemplos prácticos de sistemas que entrarían y que no entrarían en cada categoría. Estos ejemplos son explícitamente no exhaustivos, la lista se actualizará con el tiempo, y la inclusión de un caso de uso en las directrices no significa que dicho caso de uso sea automáticamente lícito conforme a otra normativa aplicable.
Una nota sobre la exención del artículo 6, apartado 3
Es importante señalar que estar dentro de un caso de uso del anexo III no significa automáticamente que un sistema de IA se vaya a clasificar como de alto riesgo. El artículo 6, apartado 3, prevé una exención limitada para los sistemas que realizan tareas procedimentales, preparatorias o de apoyo definidas de forma restringida y que no influyen materialmente en el resultado de la toma de decisiones. Sin embargo, la Comisión deja claro que esta exención debe interpretarse de forma restrictiva y aplicarse con cautela, ya que el artículo 6, apartado 3, constituye una excepción a normas destinadas, entre otras cosas, a proteger los derechos fundamentales.
En particular, los sistemas de IA que realizan elaboración de perfiles en el sentido del derecho de protección de datos de la UE no pueden beneficiarse de la exención, incluso cuando en principio se cumpliera alguna de las condiciones del artículo 6, apartado 3.
Para muchas organizaciones, el artículo 6, apartado 3, será una parte clave del ejercicio de clasificación. Cualquier decisión de acogerse a la exención debe documentarse cuidadosamente y sustentarse en una evaluación clara del papel y el impacto del sistema.
¿Qué debe hacer si su organización cae dentro de la clasificación de alto riesgo?
- Evalúe sus sistemas de IA ahora. No espere a que las directrices se finalicen. El borrador representa la base interpretativa actual, y comenzar la evaluación ahora significa que estará bien posicionado cuando llegue la versión final. Recorra la estructura del artículo 6: ¿está su sistema de IA integrado en un producto regulado? ¿Entra en alguna de las ocho áreas del anexo III?
- Documente su razonamiento. Sea cual sea la conclusión a la que llegue, registre cómo llegó a ella. Si su sistema se encuentra en un caso límite, documente por qué considera que queda fuera (o dentro) de la categoría de alto riesgo. Es probable que los reguladores se fijen no solo en el resultado del ejercicio de clasificación, sino también en el razonamiento que hay detrás. Esto es especialmente importante cuando una organización se acoge a la exención del artículo 6, apartado 3, o concluye que un sistema queda fuera del anexo III pese a operar en un ámbito sensible.
- Considere enviar comentarios. La consulta está abierta hasta el 23 de junio de 2026. Si el borrador de directrices genera incertidumbre para su sector, o si los ejemplos no reflejan cómo funciona realmente su tecnología, este es el momento de decirlo. La Comisión todavía está dando forma al texto definitivo.
- Prepárese para las obligaciones. Si su sistema es, o es probable que sea, clasificado como de alto riesgo, las obligaciones del AI Act son considerables. Incluyen: un sistema de gestión de riesgos (artículo 9), requisitos de datos y gobernanza de datos (artículo 10), documentación técnica (artículo 11), obligaciones de transparencia frente a los responsables del despliegue (artículo 13), mecanismos de supervisión humana (artículo 14), pruebas de exactitud y robustez (artículo 15) y registro en la base de datos de la UE (artículo 49). Los plazos ampliados de 2027 y 2028 le dan tiempo, pero no un tiempo ilimitado. Empiece ya a delimitar el alcance del trabajo.
Una reflexión final
La publicación del borrador de directrices es una buena noticia para las organizaciones que llevaban tiempo esperando claridad. La Comisión ha expuesto ahora, en términos concretos, cómo interpreta una de las cuestiones de clasificación más trascendentales del AI Act de la UE. Esto no resuelve toda la incertidumbre, y las directrices todavía no son definitivas. Pero, por primera vez, las organizaciones cuentan con un documento detallado y práctico con el que trabajar.
La ventana para dar forma al texto definitivo está abierta hasta el 23 de junio de 2026. Después, el foco se desplazará firmemente hacia la preparación, teniendo en cuenta que el documento seguirá abierto a actualizaciones a medida que avance la implementación y surjan nuevas cuestiones prácticas.
Fuentes
Fuentes primarias — Comisión Europea
- Comisión Europea, borrador de directrices sobre la clasificación de los sistemas de IA de alto riesgo conforme al artículo 6 del Reglamento (UE) 2024/1689, 19 de mayo de 2026.
- Comisión Europea, consulta específica sobre el borrador de directrices para la clasificación de los sistemas de IA de alto riesgo (abierta del 19 de mayo al 23 de junio de 2026).
- Comisión Europea, directrices sobre la definición de sistema de IA (directrices anteriores y separadas sobre la definición de un sistema de IA conforme al AI Act).
Fuente primaria — legislación
- Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (AI Act de la UE), en particular: artículo 6 (normas de clasificación), artículos 9 a 15 (obligaciones para los sistemas de IA de alto riesgo), artículo 49 (registro), artículo 111 (disposiciones transitorias) y anexos I y III.
Fuentes secundarias
- IAPP, «European Commission Delivers Draft High-Risk AI Guidelines After Delays», 19 de mayo de 2026.