Todo el mundo cita el anexo III. Casi nadie lee el artículo 6(3), que está justo debajo y puede sacar un sistema de la categoría de alto riesgo por completo.
Es el párrafo con más consecuencias del Reglamento de IA para las empresas pequeñas, y se pasa por alto de forma rutinaria: por los fundadores, por los consultores y por la mayoría de las herramientas gratuitas de clasificación que hay ahora mismo en internet. El resultado son equipos que presupuestan evaluaciones de la conformidad, organismos notificados y marcado CE que puede que nunca les correspondan.
Qué dice
Un sistema que entra en un ámbito del anexo III no es de alto riesgo si no plantea un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales, tampoco influyendo materialmente en el resultado de la toma de decisiones. Eso vale cuando se cumple cualquiera de estas cuatro condiciones:
| # | Condición | En la práctica |
|---|---|---|
| a | El sistema realiza una tarea procedimental estrecha | Ordenar documentos por tipo, comprobar que un formulario está completo, enviar un ticket a la cola correcta |
| b | Mejora el resultado de una actividad humana previamente realizada | Pulir la redacción de una valoración que una persona ya escribió y ya decidió |
| c | Detecta patrones de toma de decisiones o desviaciones respecto de patrones anteriores, sin sustituir ni influir en la valoración humana sin una revisión adecuada | Señalar que las decisiones de este mes no se parecen a las del mes pasado, para que una persona lo investigue |
| d | Realiza una tarea preparatoria de una valoración pertinente a los casos de uso enumerados | Reunir y estructurar información que después evaluará una persona |
Y luego está la condición que se impone a las cuatro. La exención no se aplica - el sistema siempre es de alto riesgo - si elabora perfiles de personas físicas. Esto no se pondera frente a los demás factores. Es absoluto. Si elaboras perfiles de individuos, eres de alto riesgo por estrecha que sea la tarea.
La condición de la elaboración de perfiles es donde se decide casi todo
Como es absoluta, esta es la pregunta que hay que responder primero. La elaboración de perfiles del artículo 4(4) del RGPD, en el que se apoya el Reglamento de IA, es el tratamiento automatizado de datos personales para evaluar aspectos personales de una persona física, en particular para analizar o predecir su rendimiento en el trabajo, su situación económica, su salud, sus preferencias, sus intereses, su fiabilidad, su comportamiento, su ubicación o sus movimientos.
La trampa: los equipos leen «elaborar perfiles» como «montar un expediente». Es mucho más amplio. Evaluar o predecir cualquier cosa sobre una persona a partir de sus datos es elaborar perfiles, aunque sea una sola vez, aunque sea de forma transitoria, aunque nunca guardes el resultado.
| Sistema | ¿Elabora perfiles? | Por qué |
|---|---|---|
| Comprueba si un currículum incluye un certificado obligatorio | No | Verifica un hecho sobre un documento, no evalúa nada de la persona |
| Clasifica currículums por rendimiento laboral previsto | Sí | Predice el rendimiento en el trabajo - el ejemplo de manual |
| Transcribe una entrevista | No | Convierte voz en texto; ninguna evaluación |
| Puntúa una entrevista por «capacidad de comunicación» | Sí | Evalúa un aspecto personal |
| Señala que un lote de decisiones de crédito se desvía de la norma | No | Analiza las decisiones, no a los solicitantes |
| Asigna a cada solicitante una puntuación de riesgo | Sí | Evalúa la fiabilidad económica de cada persona |
El patrón: ¿el objeto de la evaluación es la persona, o es otra cosa? Los documentos, las decisiones, las transcripciones y los procesos se pueden analizar libremente. En el momento en que la salida es un juicio sobre un ser humano, estás elaborando perfiles.
La otra trampa: «influir materialmente en el resultado»
Incluso sin elaboración de perfiles, la exención exige que el sistema no influya materialmente en la toma de decisiones. Dos formas en que los equipos se convencen de lo contrario, y no deberían:
«La decisión final la toma una persona.» Formalmente cierto, a menudo irrelevante. Si tu sistema presenta una lista corta ordenada y la persona elige entre los tres primeros el noventa y cinco por ciento de las veces, el sistema está influyendo materialmente en el resultado. Los reguladores miran lo que pasa de verdad, no dónde está el botón. Si tienes los datos de cuántas veces se anula la propuesta, míralos antes de apoyarte en este argumento.
«Es solo una sugerencia.» Una sugerencia que se sigue por defecto es una decisión con pasos de más. La prueba del supuesto (c) es explícita: el sistema no puede influir en la valoración humana sin una revisión adecuada. Revisión adecuada significa que quien revisa tiene la información, el tiempo y la autoridad para discrepar, y que a veces discrepa.
La exención no es gratis
Esta es la parte que se salta, y convierte una buena posición en una mala.
El proveedor que concluye que su sistema está exento conforme al 6(3) debe documentar esa evaluación antes de introducir el sistema en el mercado y debe además registrar el sistema en la base de datos de la UE. La autoridad competente puede pedir la documentación. Así que la exención quita las obligaciones pesadas del capítulo III - gestión de riesgos, expediente técnico, evaluación de la conformidad, marcado CE -, pero no es silencio. Es una posición más ligera y documentada.
«Dimos por hecho que estábamos exentos» no es una evaluación. Una evaluación es un documento fechado que nombra el sistema, dice en cuál de los cuatro supuestos te apoyas, explica por qué y deja constancia expresa de que el sistema no elabora perfiles de personas físicas. Con una página basta. Escrita después de que pregunte un regulador vale muy poco; escrita antes de lanzar, es toda la defensa.
Un ejemplo resuelto
Una empresa de once personas vende a hospitales un software que lee las cartas de derivación que llegan y las envía al servicio correcto.
¿Anexo III? Sí - el acceso a la asistencia sanitaria puede tocar los servicios esenciales, y esto afecta a los itinerarios de los pacientes.
¿Qué supuesto? El (a), una tarea procedimental estrecha. Clasifica un documento por su materia y lo remite.
¿Elabora perfiles? No. Lee el contenido clínico de la carta y lo hace corresponder con un servicio. No se forma ninguna opinión sobre el paciente: ni urgencia, ni riesgo, ni probabilidad de que acuda.
¿Influye materialmente? No. Un clínico revisa cada derivación al llegar, con independencia del destino asignado, y las cartas mal dirigidas se reasignan a diario.
Conclusión: probablemente exento. Documéntalo, regístralo y sigue.
Ahora cambia una cosa. La empresa añade una función que marca derivaciones como «probablemente urgentes» a partir del historial del paciente. Eso es una predicción sobre la salud de una persona: elaboración de perfiles. La exención se cierra al instante y el sistema es de alto riesgo, con todo el conjunto del capítulo III para el 2 de diciembre de 2027.
Una función. Mismo producto, mismos clientes, mismo equipo. Así de rápido se mueve esto, y por eso hay que revisar la evaluación cada vez que cambia el producto.
Cómo hacer la comprobación
- Confirma que de verdad estás en un ámbito del anexo III. Si no, el 6(3) es irrelevante: nunca fuiste de alto riesgo.
- Haz primero la pregunta de la elaboración de perfiles. Es absoluta, así que un sí termina el análisis y te ahorra el resto.
- Identifica en qué supuesto te apoyas. Basta con uno, pero ponle nombre. «Es bastante estrecho» no es un supuesto.
- Somete a prueba la influencia material. Mira las tasas reales de anulación si las tienes.
- Ponlo por escrito, féchalo y registra el sistema.
- Vuelve a hacerlo cuando cambie el producto. Ponlo en la revisión de la hoja de ruta, no en una carpeta.
Por qué esto importa más de lo que parece. La diferencia entre exento y de alto riesgo, para un equipo pequeño, es aproximadamente de doce a dieciocho meses de trabajo y la factura de un organismo notificado frente a un documento de una página y una entrada en una base de datos. Es la mayor oscilación que hay en todo el ejercicio de clasificación, y depende de un párrafo que casi nadie lee.
Pasa la prueba del 6(3) a tu sistema
La comprobación de la exención está integrada en la evaluación completa, incluida la pregunta sobre la elaboración de perfiles que decide la mayoría de los casos.
Empieza la comprobación gratuitaSin tarjeta, sin cuenta. Informe completo de brechas desde 59 €. Ver un informe real (en inglés).
Autoevaluación, no asesoramiento jurídico. Esta página y el informe de Reglynn son una autoevaluación estructurada basada en el Reglamento de IA (Reglamento 2024/1689, en su versión modificada por el ómnibus de junio de 2026). Indican dónde te sitúas probablemente y qué conviene verificar con un asesor cualificado. Reglynn no es un organismo notificado y no emite certificaciones.
Cómo se ha hecho. Los informes de Reglynn los genera un sistema de IA construido sobre Claude de Anthropic y se entregan automáticamente. Reglynn es un sistema de IA de riesgo limitado conforme al artículo 50; divulgamos la intervención de la IA allí donde se produce, incluido nuestro asistente de chat. Nuestra propia autoevaluación.