Evaluar riesgo AI Act en pymes
Guía para clasificar sistemas de IA sin convertir el AI Act en un proyecto legal interminable ni ignorar obligaciones reales.
David AldomarActualizado: 7 min lectura
📌 En resumen
El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo: inaceptable (prohibido), alto (obligaciones estrictas), limitado (deber de transparencia) y mínimo (sin obligaciones específicas). Evaluar el riesgo de tu pyme consiste en revisar cada sistema de IA que usas y situarlo en uno de esos niveles según su finalidad, porque las obligaciones cambian radicalmente. La mayoría de usos en pymes son de riesgo limitado o mínimo, pero conviene confirmarlo, no asumirlo.
El AI Act no trata igual a todos los sistemas de IA: el nivel de obligaciones depende del riesgo. Por eso, antes de preocuparte por documentación o auditorías, hay que clasificar cada sistema. Para ello necesitas primero el inventario de sistemas de IA; sobre él se evalúa el riesgo.
¿Cuáles son los niveles de riesgo del AI Act?
| Nivel | Qué incluye | Obligación principal |
|---|---|---|
| Inaceptable (prohibido) | Manipulación, social scoring y usos vetados | No se pueden usar |
| Alto riesgo | RRHH/selección, crédito, biometría, infraestructuras críticas | Requisitos estrictos (gestión de riesgo, datos, supervisión) |
| Limitado | Chatbots, contenido generado por IA, deepfakes | Transparencia: informar al usuario |
| Mínimo | La mayoría de usos (filtros, recomendaciones simples) | Sin obligaciones específicas |
¿Cómo evaluar el riesgo de un sistema de IA?
- 1Parte del inventario: toma cada sistema de IA que uses o desarrolles.
- 2Describe su finalidad real (no la teórica): qué decide o influye y sobre quién.
- 3Comprueba si entra en los usos prohibidos o en los casos de alto riesgo del AI Act.
- 4Si no, mira si tiene deber de transparencia (interactúa con personas, genera contenido).
- 5Documenta la clasificación y el porqué: es la prueba de tu diligencia.
¿Qué obligaciones implica cada nivel?
- Inaceptable: prohibido; hay que dejar de usarlo.
- Alto riesgo: gestión de riesgos, calidad de datos, documentación técnica, supervisión humana y registro.
- Limitado: transparencia, es decir, informar de que el usuario interactúa con una IA o de que el contenido es generado por IA.
- Mínimo: sin obligaciones específicas, aunque siguen aplicando el RGPD y las buenas prácticas.
¿Qué nivel suelen tener los usos de IA en una pyme?
La mayoría de usos habituales en pymes (un chatbot de atención, un copilot interno, recomendaciones, automatizaciones) caen en riesgo limitado o mínimo. El alto riesgo aparece sobre todo cuando la IA decide sobre personas en ámbitos sensibles: selección de personal, concesión de crédito o biometría. Conviene confirmarlo caso por caso, porque las obligaciones del AI Act para pymes dependen de esa clasificación.
¿Qué pasa si clasificas mal o no evalúas?
No evaluar no exime: si usas un sistema de alto riesgo como si fuera mínimo, incumples igual. Y el AI Act prevé sanciones relevantes, sobre todo para los usos prohibidos y de alto riesgo. Por eso la evaluación de riesgo, aunque la mayoría de tus sistemas resulten de bajo riesgo, es la forma de demostrar diligencia. Lo detallamos en sanciones del AI Act.
¿Qué errores evitar al evaluar el riesgo?
- Asumir que "es solo un chatbot" sin comprobar el deber de transparencia.
- Clasificar por la finalidad teórica y no por lo que el sistema decide en la práctica.
- Olvidar los sistemas de terceros: también hay que clasificarlos.
- No documentar la clasificación ni el motivo: sin registro no hay diligencia demostrable.
Siguiente paso recomendado
Gobierno del dato y calidad
Catálogo, linaje, responsables y reglas de calidad para datos fiables.
Sin compromiso · Respuesta en < 24h
Autor
David Aldomar
Fundador y Consultor de Datos e IA
David Aldomar es fundador y consultor principal de MERIDIAN Data & IA, consultora especializada en ayudar a pymes y empresas medianas en España a tomar mejores decisiones con sus datos. Su trabajo se centra en cuatro áreas: diseño e implantación de plataformas de datos (data warehouses, pipelines ETL con dbt, integración de ERPs y CRMs), reporting y dashboards ejecutivos en Power BI, automatización de procesos de negocio con herramientas como n8n, y desarrollo de soluciones de inteligencia artificial aplicada — desde modelos de forecasting de demanda hasta copilots internos basados en RAG con LangChain y FastAPI. Ha liderado proyectos en sectores como logística y transporte, retail y distribución, servicios financieros, manufacturing y construcción, siempre con un enfoque pragmático: diagnóstico corto, entregables concretos y transferencia de conocimiento al equipo del cliente para que sea autónomo desde el primer día. Antes de fundar MERIDIAN, acumuló experiencia en consultoría de datos y transformación digital trabajando con stacks variados — desde entornos Microsoft (SQL Server, Power BI, Azure) hasta ecosistemas open source (Python, dbt, BigQuery). Su filosofía es que un buen proyecto de datos no se mide por la tecnología que usa, sino por las decisiones de negocio que permite tomar. Escribe regularmente en el blog de MERIDIAN sobre reporting, gobierno del dato, automatización e IA aplicada, con guías prácticas orientadas a responsables de negocio y equipos técnicos de empresas que quieren sacar partido real a sus datos sin depender de grandes consultoras.
Fuentes
Contenido y servicios relacionados
Seguir leyendo
Artículos relacionados
IAAI Act
Checklist operativo del AI Act 2026 para empresas españolas
8 min lectura
AI Actcompliance
AI Act para pymes: qué te afecta de verdad si quieres usar IA en tu empresa
10 min lectura
IAAI Act
Sanciones del AI Act: qué multas arriesga tu empresa y desde cuándo
7 min lectura
AI Actcompliance
Registro de sistemas de IA: inventario mínimo para cumplir el AI Act
7 min lectura
AI Actcompliance
Compliance de IA en España: todo lo que necesitas saber sobre el calendario del AI Act
13 min lectura
Última revisión: