Índice6
El 27 de julio de 2026, la entrada en vigor del reglamento (UE) 2026/1744 aplazó al 2 de diciembre de 2027 las reglas del AI Act sobre la IA de alto riesgo utilizada para seleccionar personal, gestionarlo o conceder un crédito. A 20 de octubre de 2026, quedan algo más de trece meses. Es poco, cuando la herramienta afectada es un software que se elige, se configura y se despliega antes de usarlo.
Este artículo de nuestra sección IA empresarial se basa en el texto consolidado del reglamento y en el proyecto de directrices de la Comisión. No es asesoramiento jurídico: para clasificar un uso concreto, su delegado de protección de datos o un abogado tienen la última palabra. El panorama completo de las obligaciones está en nuestra guía del AI Act y el RGPD para pymes.
En resumen
- Dos fechas: el 2 de diciembre de 2027 para los usos del anexo III (selección de personal, personal, crédito, seguros), el 2 de agosto de 2028 para la IA integrada en productos regulados.
- Las directrices que dirán con precisión qué es de alto riesgo siguen siendo un proyecto, publicado el 19 de mayo de 2026.
- Una empresa que use una herramienta así deberá garantizar una supervisión humana, conservar los registros e informar a sus empleados.
- El RGPD ya se aplica, y una herramienta elegida en 2027 estará en servicio cuando lleguen las nuevas reglas: es ahora cuando se negocian las garantías.
¿Cuándo se aplican las reglas del alto riesgo?
El artículo 113 consolidado fija dos fechas, que sustituyen a las del texto original (2 de agosto de 2026 y 2 de agosto de 2027):
- 19 de mayo de 2026
La Comisión publica su proyecto de directrices sobre la clasificación de los sistemas de alto riesgo.
- 23 de julio de 2026
Fin de la consulta sobre ese proyecto.
- 27 de julio de 2026
El reglamento (UE) 2026/1744 entra en vigor y aplaza las fechas del alto riesgo.
- 2 de diciembre de 2027
Las reglas se aplican a los usos del anexo III (selección de personal, personal, crédito, seguros, educación, biometría).
- 2 de agosto de 2028
Se aplican a la IA que es un componente de seguridad de un producto regulado (producto sanitario, juguete, ascensor).
La fecha de la consulta es la indicada por el despacho Osborne Clarke. El aplazamiento en sí se detalla en lo que el Ómnibus digital ha cambiado en el AI Act.
¿Qué usos de una empresa son de alto riesgo?
El anexo III enumera ocho ámbitos. Para una empresa privada, cinco usos aparecen con más frecuencia:
- Seleccionar personal: publicar ofertas de empleo dirigidas, analizar y filtrar candidaturas, evaluar a los candidatos.
- Gestionar el personal: decidir un ascenso o un despido, asignar tareas según el comportamiento o la personalidad, supervisar y evaluar el rendimiento.
- Conceder un crédito: evaluar la solvencia de una persona o establecer su calificación crediticia, salvo la detección de fraude financiero.
- Asegurar: evaluar el riesgo y fijar el precio de un seguro de vida o de salud para una persona.
- Formar: decidir el acceso a una formación profesional o evaluar lo que una persona ha aprendido en ella.
La biometría (categorización de personas, reconocimiento de emociones) también figura en la lista. En todos los casos, se trata de decisiones que afectan a personas físicas: una herramienta que califica a empresas clientes o clasifica tickets de soporte no entra por ese motivo.
¿Es mi uso realmente de alto riesgo?
Figurar en un ámbito del anexo III no siempre basta. El artículo 6 prevé una excepción para los sistemas que no influyen de forma significativa en la decisión. El razonamiento se hace en cuatro pasos:
- El ámbito.
¿Figura el uso en el anexo III? Si no, las reglas del alto riesgo no se aplican.
- La elaboración de perfiles.
¿Evalúa el sistema a personas a partir de sus datos (elaboración de perfiles)? Si es así, sigue siendo de alto riesgo, sin excepción posible.
- El papel en la decisión.
Si se limita a una tarea procedimental concreta, mejora un trabajo humano ya realizado, detecta desviaciones sin sustituir la evaluación humana o prepara una evaluación, puede salir del alto riesgo.
- La prueba.
El proveedor que considere que su sistema no es de alto riesgo debe documentar su evaluación antes de la introducción en el mercado, y entregarla a las autoridades si la solicitan.
El paso 2 pesa mucho: según el análisis de Osborne Clarke, las herramientas de selección de personal o de evaluación crediticia suelen elaborar perfiles, lo que a menudo cierra la puerta a la excepción. El proyecto de directrices, que la Comisión debía publicar a más tardar el 2 de febrero de 2026 según el artículo 6, sigue presentándose como un proyecto en su página, actualizada el 23 de julio de 2026.
Lo que deberá hacer una empresa usuaria
El AI Act llama «responsable del despliegue» a la empresa que utiliza el sistema bajo su propia autoridad. El artículo 26 le exige en particular:
- Utilizar el sistema según sus instrucciones de uso y vigilar su funcionamiento.
- Encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias.
- Conservar los registros generados por el sistema, al menos seis meses.
- Informar a los representantes de los trabajadores y a los empleados afectados antes de usar el sistema en el lugar de trabajo; en Francia, esto pasa por el comité social y económico (CSE).
- Notificar un riesgo o un incidente grave al proveedor y a la autoridad, y suspender el uso si es necesario.
Las empresas que califican el crédito o tarifican seguros de vida y de salud deben además realizar una evaluación de impacto sobre los derechos fundamentales (artículo 27). Y la autoridad que controlará todo esto en Francia aún no está designada: el proyecto de ley francés confía el empleo a la CNIL, como explica quién controla el AI Act en Francia.
Por qué no esperar a diciembre de 2027
Trece meses dan tiempo para hacerlo bien, no para hacerlo todo en el último trimestre. Cuatro razones para empezar ya:
- El RGPD ya se aplica. Su artículo 22 regula las decisiones totalmente automatizadas que producen efectos jurídicos o significativos, como el rechazo de una candidatura o de un crédito. Lo que está en juego se explica en la IA que decide un despido o un crédito.
- Las herramientas se eligen antes de usarse. Un software de selección de personal elegido a lo largo de 2027 estará en servicio cuando lleguen las reglas. Es al firmar el contrato cuando se obtienen del proveedor sus instrucciones, sus registros y su plan de cumplimiento, no después.
- El inventario sirve para todo. Saber qué herramientas afectan a personas, y cuáles deciden solas, sirve para el RGPD, el AI Act y la seguridad. Es el primer paso de nuestra guía de la gobernanza de la IA, como de nuestra guía para integrar la IA en la empresa.
- La supervisión humana se organiza. Designar quién valida, con qué formación y qué autoridad, lleva tiempo en un equipo de 20 a 500 personas; es también lo que hace defendible la decisión, como muestra el papel del ser humano frente al juicio de la IA.
Atención
El artículo 111 prevé que un sistema de alto riesgo puesto en servicio antes del 2 de diciembre de 2027 solo queda sujeto a las nuevas reglas si después sufre modificaciones importantes de diseño. No es una razón para esperar: lo que vale esa excepción para un software en línea actualizado de forma continua debe precisarlo su asesor, y no cubre ni el RGPD ni las obligaciones ya vigentes.
Sobre el terreno
La supervisión humana no es una formalidad, lo hemos visto en un sitio que operamos. Palmora Property, un portal inmobiliario, lo aprendió a su costa: un modelo de IA publicó allí artículos que presentaban tres proyectos inmobiliarios inexistentes, despublicados desde entonces (constatación interna, de nuestro propio trabajo para este cliente, registrada en nuestro catálogo de servicios). Desde entonces, nada de lo que produce un modelo sale sin una persona que lo lee y lo valida. Una criba de candidaturas merece al menos el mismo cuidado que un artículo de blog.
Fecha que recordar: el 2 de diciembre de 2027. Los demás plazos, del marcado de los contenidos generados el 2 de diciembre de 2026 hasta el anexo I en 2028, están en nuestro calendario de la regulación de la IA. Para inventariar sus usos y detectar los que se acercan al alto riesgo, nuestra oferta IA a su justo coste parte de sus herramientas reales.
Preguntas frecuentes
¿Cuándo se aplican las reglas del AI Act sobre la IA de alto riesgo?
El 2 de diciembre de 2027 para los usos del anexo III, entre ellos la selección de personal, la gestión del personal, la calificación crediticia y los seguros de vida y de salud, y el 2 de agosto de 2028 para la IA que sirve de componente de seguridad a un producto regulado. Estas fechas resultan del reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026.
¿Es un software de cribado de currículos una IA de alto riesgo?
En principio sí: analizar y filtrar candidaturas figura en el anexo III. La excepción del artículo 6 no se aplica si el software elabora perfiles, algo frecuente en este tipo de herramienta. Las directrices definitivas de la Comisión, aún en proyecto, precisarán los casos límite.
¿Qué debe hacer una empresa que usa una IA de alto riesgo?
A partir del 2 de diciembre de 2027: utilizarla según sus instrucciones, encomendar la supervisión humana a personas formadas, conservar los registros al menos seis meses, informar a los representantes de los trabajadores y a los empleados afectados, y notificar los incidentes graves. El RGPD, por su parte, ya se aplica.
¿Hay que esperar a las directrices de la Comisión para prepararse?
No. El proyecto del 19 de mayo de 2026 ya da el método, y el inventario de las herramientas que afectan a personas sirve sea cual sea el texto final. Las directrices precisarán los casos límite; no cambiarán la lista del anexo III, fijada por el reglamento.
Fuentes
- Artículo 113 consolidado (nueva pestaña)ai-act-service-desk.ec.europa.eu
- El despacho Osborne Clarke (nueva pestaña)osborneclarke.com
- Anexo III (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Artículo 6 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Sigue presentándose como un proyecto (nueva pestaña)digital-strategy.ec.europa.eu
- Artículo 26 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Artículo 27 (nueva pestaña)ai-act-service-desk.ec.europa.eu
- Artículo 111 (nueva pestaña)ai-act-service-desk.ec.europa.eu
Jim · fundador de Brain Plus AI
Más artículos sobre ia empresarial
Guía práctica11 min
AI Act y RGPD: lo que debe hacer una pyme que usa IA
Una pyme que usa ChatGPT o un CRM con IA ya tiene obligaciones. Esta guía hace balance en octubre de 2026: su papel según el AI Act, el calendario revisado en julio de 2026, lo que exige el RGPD y los pasos para ponerse en regla.
Entender11 min
Calendario del AI Act y del ámbito digital: plazos de 2026 a 2028
AI Act, Data Act, Cyber Resilience Act, NIS2, facturación electrónica y primeras leyes estadounidenses: todas las fechas que cuentan para una empresa, del otoño de 2026 a agosto de 2028, en una sola página actualizada. Para cada plazo, a quién afecta y qué hay que preparar.
Tomar perspectiva8 min
Decisión automatizada: ¿puede la IA decidir sola?
El algoritmo sería más coherente que un directivo con prisas, pero una decisión que afecta a una vida debe poder explicarse e impugnarse. El derecho se inclina claramente hacia un lado: las dos posiciones, nuestra opinión y la regla que conviene adoptar sin esperar a 2027.