MA03 · Clasificar usos: prohibiciones, alto riesgo y transparencia
La evaluación jurídica necesita una justificación que pueda reconstruirse.
- Aplicar una secuencia de clasificación.
- Diferenciar riesgo organizativo y clasificación regulatoria.
- Documentar condiciones, excepciones y revisiones.
Dos análisis complementarios
El SGIA evalúa riesgos e impactos según el contexto y los criterios adoptados. El AI Act utiliza supuestos jurídicos para determinar sus regímenes. Una valoración interna baja no modifica por sí sola un supuesto del Reglamento, y un sistema fuera de alto riesgo puede necesitar controles internos importantes.
En el caso del clasificador, la pérdida de detección de tickets críticos orienta el tratamiento interno. Para clasificarlo jurídicamente necesitamos conocer la finalidad y su eventual función en un contexto regulado. El nombre «crítico» de un ticket no demuestra que el sistema sea un componente de seguridad de infraestructura crítica.
Examinar prácticas prohibidas
El artículo 5 recoge prácticas prohibidas con condiciones y excepciones específicas. Entre ellas figuran determinados usos manipulativos, explotaciones de vulnerabilidades, puntuación social y usos biométricos. La inferencia de emociones en el trabajo está prohibida salvo los supuestos médicos o de seguridad previstos. Debe analizarse el mecanismo y finalidad concretos.
En un ejercicio hipotético, Recursos Humanos propone inferir emociones mediante voz o vídeo para evaluar desempeño. Se propone rechazar ese uso por su encaje en la prohibición, sin convertir el consentimiento en una dispensa. La actualización de 2026 añade prohibiciones de generación de contenido íntimo no consentido y material de abuso sexual infantil con aplicación desde el 2 de diciembre de 2026. Consulta su redacción y condiciones al evaluar un caso.
Las vías de alto riesgo
El artículo 6 distingue la vía de productos y componentes de seguridad vinculados al anexo I y la de usos del anexo III. La primera exige comprobar las condiciones aplicables al producto y su evaluación de conformidad. La segunda requiere encajar la finalidad en los usos descritos y examinar, cuando proceda, la excepción del apartado 3; la elaboración de perfiles tiene un tratamiento específico.
Entre los ámbitos del anexo III se encuentran biometría, determinados componentes de seguridad de infraestructuras críticas, educación, empleo, servicios esenciales y otros usos públicos. El análisis conserva el punto concreto y la descripción que justifica el encaje, en lugar de utilizar una lista de palabras clave como clasificador automático.
Ejemplo de selección de personal
El anexo III contempla analizar y filtrar solicitudes y evaluar candidaturas. Un sistema que ordena personas por adecuación al puesto requiere esa evaluación aunque exista decisión humana final. La frase «solo recomienda» no resuelve las condiciones del artículo 6.
Para el ejercicio prepararemos un informe con finalidad, influencia sobre la selección, existencia de perfiles, documentación y conclusión razonada. Si se plantea una excepción, pedimos explicar por qué se cumplirían sus condiciones y qué documentación la respalda. Una excepción se justifica; no se obtiene marcando una casilla sin evidencia.
Transparencia como análisis adicional
Después de las prohibiciones y del alto riesgo se examinan los supuestos del artículo 50. Las obligaciones de transparencia pueden coexistir con otros requisitos. En el SGIA proponemos una columna independiente para mantener visible ese análisis.
Una conclusión útil indica objeto, hechos, referencia, razonamiento, información pendiente, fecha de revisión y desencadenantes de reevaluación. También distingue «no se identifica este supuesto con la información disponible» de una garantía de ausencia de obligaciones. El autor de la evaluación y la autoridad que acepta la decisión deben quedar identificados.
Tech Server IIT Spain
El clasificador SYS-003 / USO-004 conserva sus métricas didácticas: v1, 90/100 global y 9/10 críticos; v2, 94/100 y 7/10. v2 está probada y no autorizada para despliegue. Esas cifras no determinan su categoría jurídica. La contratación y las emociones son hipótesis nuevas separadas.
Orientaciones para revisar tu respuesta
Un responsable afirma que SYS-003 es de alto riesgo porque clasifica tickets críticos. Revisa su afirmación.
Qué: Una clasificación pendiente de completar y una solicitud de información sobre finalidad y contexto.
Por qué: La criticidad operativa interna no acredita por sí sola el supuesto jurídico.
Cómo: Describe qué decide, sobre qué servicio y si realiza una función de seguridad. Contrasta artículo 6 y anexo III. Mantén R-001 e IMP-001 para el análisis interno.
Cuándo: Antes de aprobar una clasificación y al cambiar su función.
Dónde: En el informe regulatorio vinculado a SYS-003 / USO-004.
Con qué: Inventario, documentación del proceso, arquitectura, instrucciones y fuente normativa.
La herramienta hipotética ordena candidatos y un empleado confirma el resultado. ¿Basta para excluir alto riesgo?
Qué: Un examen motivado de artículo 6 y anexo III, punto de empleo.
Por qué: La confirmación humana no excluye automáticamente la clasificación.
Cómo: Analiza filtrado, evaluación, influencia real y perfiles; documenta las condiciones de cualquier excepción invocada.
Cuándo: Antes de utilizarla para seleccionar personas.
Dónde: En el expediente separado de la propuesta hipotética de Recursos Humanos.
Con qué: Descripción funcional, criterios de ordenación, flujo de decisión y documentación del proveedor.
Comprueba lo aprendido
¿Riesgo interno bajo equivale a exclusión jurídica?
No. Son análisis relacionados con criterios diferentes.
¿La transparencia es una categoría incompatible con alto riesgo?
No. Sus obligaciones pueden coexistir.
Trabaja con los recursos
Cuaderno de estudio y práctica (PDF rellenable)Ficha y matriz de aplicación (herramienta en línea)Clase de apoyo · Audio A
039. AI Act y gobernanza de IA: usos, roles y decisiones
Escuchar episodio 039 en iVoox
Precisiones docentes del audio A · Leer junto con la clase
1. Asumir el papel de proveedor no implica por sí mismo una infracción. La definición incluye desarrollar o encargar desarrollar y comercializar o poner en servicio bajo nombre propio. Los supuestos del artículo 25 se examinan con todas sus condiciones; el de marca propia conserva el matiz contractual del apartado 1.a.
2. El artículo 26 se refiere a responsables del despliegue de sistemas de alto riesgo, con sus condiciones y calendario. Las obligaciones sobre datos de entrada y registros atienden al control que exista sobre ellos. Para otros usos se determinan las obligaciones concretas y los controles del SGIA.
3. En el clasificador, el acierto global pasa del 90 % al 94 %: cuatro puntos porcentuales. La sensibilidad crítica baja del 90 % al 70 %: veinte puntos porcentuales. No son medidas de «inteligencia» o «torpeza». El umbral del 90 % es didáctico e interno; v2 permanece como prueba sin autorización de despliegue. Las cifras no establecen por sí solas infracción ni clasificación jurídica.
4. Para T10-014 siguen pendientes la categoría jurídica de incidente grave, la causa, el daño y la obligación concreta de notificación. No se atribuye la incidencia a v2 ni a otros sistemas por intuición. Una situación real se analiza atendiendo a hechos y plazos aplicables.
5. La excepción del artículo 5.1.f se formula por razones médicas o de seguridad. El supuesto docente de inferir emociones para puntuar desempeño laboral no queda dispensado por el consentimiento.
6. El artículo 50.2 contempla marcado legible por máquina y detectabilidad, con sus condiciones. Los metadatos pueden formar parte de una solución, pero no son el único mecanismo. Aviso visible y marcado técnico son obligaciones diferentes, examinadas según supuesto y rol.
Fuentes de la lección
Consulta 21/10/2026. Distingue Reglamento, normas, orientaciones y propuestas del curso.