Qué entiende el AI Act por IA prohibida
Cuando el AI Act habla de IA prohibida, se refiere a los sistemas de inteligencia artificial cuyo riesgo para los derechos fundamentales se considera inaceptable. No se trata de una prohibición genérica de la IA, sino de un listado cerrado de usos concretos que el legislador europeo ha decidido vetar de forma absoluta.
Estos sistemas no pueden comercializarse, ponerse en servicio ni utilizarse en la Unión Europea. No existe excepción comercial ni sector que quede al margen: la prohibición afecta tanto a empresas privadas como a organismos públicos.
El artículo 5 del AI Act enumera estas prácticas y entró en vigor el 2 de febrero de 2025, siendo el primer bloque del reglamento en aplicarse. Desde esa fecha, emplear cualquiera de estos sistemas expone a la empresa a las sanciones más elevadas del reglamento.
Usos de IA que están prohibidos desde febrero de 2025
El artículo 5 establece ocho categorías de prácticas prohibidas. Estas son las más relevantes para empresas españolas:
1. Manipulación subliminal o engañosa
Sistemas que influyen en el comportamiento de una persona mediante técnicas que operan por debajo de su umbral de conciencia o que explotan deliberadamente sus vulnerabilidades (edad, discapacidad, situación socioeconómica). Incluye la publicidad hiperpersonalizada diseñada para eludir la capacidad de decisión racional del usuario.
2. Puntuación social generalizada
La calificación de personas físicas basada en su comportamiento social o en características personales inferidas, cuando da lugar a un trato perjudicial en contextos no relacionados con el contexto en que se generaron los datos. Un sistema que puntúa a un ciudadano para decidir si puede acceder a servicios públicos o privados en función de su historial de conducta social es IA prohibida.
3. Reconocimiento biométrico en tiempo real en espacios públicos
El uso de sistemas de identificación biométrica en tiempo real en espacios de acceso público con fines policiales está prohibido con carácter general. Las excepciones son muy limitadas (búsqueda de víctimas de trata, prevención de atentados inminentes, identificación de sospechosos de delitos graves) y solo pueden aplicarlas las autoridades competentes, nunca una empresa privada.
4. Predicción de delitos basada en perfiles
Sistemas que evalúan el riesgo de que una persona cometa un delito basándose exclusivamente en su perfil o rasgos de personalidad, sin que exista una actividad criminal objetiva y verificable que lo justifique.
5. Raspado masivo de imágenes faciales de Internet o CCTV
La creación o ampliación de bases de datos de reconocimiento facial mediante la recopilación masiva y no selectiva de imágenes de caras en Internet o a través de circuitos cerrados de televisión.
6. Inferencia de emociones en el trabajo y en centros educativos
Sistemas que infieren las emociones de trabajadores o estudiantes en el entorno laboral y académico, salvo que esté justificado por razones médicas o de seguridad. Esto incluye herramientas de supervisión remota que analizan expresiones faciales o tono de voz para evaluar el estado emocional de los empleados.
7. Categorización biométrica por datos sensibles
Sistemas que clasifican a personas físicas basándose en datos biométricos para inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas u orientación sexual.
8. Manipulación de menores y personas vulnerables
Sistemas que explotan las vulnerabilidades específicas de grupos especialmente susceptibles, en particular menores, para distorsionar su comportamiento de forma que pueda causarles daño.
¿Desde cuándo está prohibida la IA de riesgo inaceptable?
El AI Act se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Sin embargo, sus distintas obligaciones se aplican de forma escalonada.
Las prácticas de IA prohibidas (artículo 5) fueron el primer bloque en ser exigible: desde el 2 de febrero de 2025 ningún operador puede desarrollar, comercializar ni utilizar sistemas incluidos en esta categoría.
Las obligaciones para sistemas de alto riesgo, los requisitos de transparencia para IA de uso general y las sanciones plenas del reglamento se aplican en fases posteriores, con fechas que llegan hasta agosto de 2027. Pero la prohibición de los usos inaceptables ya es derecho vigente.
Sanciones por usar IA prohibida en España
El AI Act establece el régimen sancionador más severo para las prácticas prohibidas: multas de hasta 35 millones de euros o el 7 % de la facturación global anual de la empresa, la cifra que resulte mayor.
En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad nacional competente para supervisar el cumplimiento y tramitar los expedientes sancionadores. La AESIA puede actuar de oficio o a partir de denuncias de terceros, incluidos competidores o empleados.
A diferencia de las infracciones del RGPD, que se gradúan en función del daño concreto, una infracción de IA prohibida tiene el límite máximo fijo independientemente de que se haya producido un perjuicio demostrable.
Cómo saber si tu empresa usa IA prohibida
El problema más frecuente no es que las empresas utilicen IA prohibida a sabiendas, sino que incorporan herramientas de terceros (proveedores SaaS, plataformas de RRHH, software de atención al cliente) que pueden incluir funcionalidades vetadas sin que el responsable lo sepa.
Algunos ejemplos reales que deben revisarse:
- Plataformas de videoentrevistas que analizan expresiones faciales para valorar candidatos.
- Herramientas de monitorización de empleados que detectan el estado emocional a partir de la webcam o el teclado.
- Sistemas de scoring crediticio o de acceso a servicios que agregan variables de comportamiento social.
- Plugins de e-commerce que personalizan precios o mensajes basándose en perfiles psicológicos inferidos.
El primer paso es hacer un inventario de todos los sistemas de IA que la empresa utiliza o contrata, identificar su categoría de riesgo según el AI Act y verificar si alguno de los proveedores ofrece funcionalidades incluidas en el artículo 5. Para eso existe el test gratuito del AI Act que permite clasificar el uso de IA de tu empresa en menos de 10 minutos.
IA prohibida y RGPD: la doble infracción
Muchos de los sistemas de IA prohibidos implican también un tratamiento de datos personales. El reconocimiento facial en tiempo real, la inferencia de emociones o el raspado masivo de imágenes son, al mismo tiempo, infracciones del artículo 5 del AI Act e infracciones graves del RGPD.
Esto significa que una empresa que utilice cualquiera de estos sistemas puede enfrentarse a sanciones simultáneas de ambas normativas, tramitadas por la AESIA y la AEPD respectivamente. No se trata de una elección entre una u otra: las dos autoridades pueden actuar de forma paralela.
Si tu empresa tiene dudas sobre si algún sistema que utiliza puede estar en zona prohibida, lo más prudente es hacer una consultoría AI Act antes de que llegue una inspección o una denuncia.
Qué no es IA prohibida: errores frecuentes
No toda IA que usa datos biométricos o que analiza comportamientos está prohibida. El AI Act distingue con precisión entre categorías, y confundir “IA de alto riesgo” con “IA prohibida” lleva a decisiones erróneas en los dos sentidos: descartar herramientas legítimas o, peor, no revisar las que sí son problemáticas.
Por ejemplo, un sistema de control de acceso por huella dactilar en una instalación privada es IA de alto riesgo (con obligaciones de cumplimiento), pero no IA prohibida. La diferencia está en el contexto de uso, el tipo de dato biométrico y si opera en tiempo real en espacios públicos.
Del mismo modo, la personalización de contenidos en plataformas digitales no es per se manipulación subliminal: para estarlo tiene que operar por debajo del umbral de conciencia del usuario o explotar una vulnerabilidad específica. La frontera es técnica y legal, y conviene analizarla caso a caso.
Artículos relacionados sobre el AI Act
- Prácticas de IA prohibidas en España: guía completa del artículo 5
- Sistemas de alto riesgo del AI Act: qué son y qué obligaciones generan
- Sanciones del AI Act en España: multas y régimen sancionador
- RGPD y AI Act: cumplimiento conjunto para empresas
- Plazos del AI Act en España: calendario 2025-2028
- Consultoría AI Act para empresas españolas
