Qué entiende el AI Act por IA prohibida

Cuando el AI Act habla de IA prohibida, se refiere a los sistemas de inteligencia artificial cuyo riesgo para los derechos fundamentales se considera inaceptable. No se trata de una prohibición genérica de la IA, sino de un listado cerrado de usos concretos que el legislador europeo ha decidido vetar de forma absoluta.

Estos sistemas no pueden comercializarse, ponerse en servicio ni utilizarse en la Unión Europea. No existe excepción comercial ni sector que quede al margen: la prohibición afecta tanto a empresas privadas como a organismos públicos.

El artículo 5 del AI Act enumera estas prácticas y entró en vigor el 2 de febrero de 2025, siendo el primer bloque del reglamento en aplicarse. Desde esa fecha, emplear cualquiera de estos sistemas expone a la empresa a las sanciones más elevadas del reglamento.

¿Desde cuándo está prohibida la IA de riesgo inaceptable?

El AI Act se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Sin embargo, sus distintas obligaciones se aplican de forma escalonada.

Las prácticas de IA prohibidas (artículo 5) fueron el primer bloque en ser exigible: desde el 2 de febrero de 2025 ningún operador puede desarrollar, comercializar ni utilizar sistemas incluidos en esta categoría.

Las obligaciones para sistemas de alto riesgo, los requisitos de transparencia para IA de uso general y las sanciones plenas del reglamento se aplican en fases posteriores, con fechas que llegan hasta agosto de 2027. Pero la prohibición de los usos inaceptables ya es derecho vigente.

Sanciones por usar IA prohibida en España

El AI Act establece el régimen sancionador más severo para las prácticas prohibidas: multas de hasta 35 millones de euros o el 7 % de la facturación global anual de la empresa, la cifra que resulte mayor.

En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad nacional competente para supervisar el cumplimiento y tramitar los expedientes sancionadores. La AESIA puede actuar de oficio o a partir de denuncias de terceros, incluidos competidores o empleados.

A diferencia de las infracciones del RGPD, que se gradúan en función del daño concreto, una infracción de IA prohibida tiene el límite máximo fijo independientemente de que se haya producido un perjuicio demostrable.

Cómo saber si tu empresa usa IA prohibida

El problema más frecuente no es que las empresas utilicen IA prohibida a sabiendas, sino que incorporan herramientas de terceros (proveedores SaaS, plataformas de RRHH, software de atención al cliente) que pueden incluir funcionalidades vetadas sin que el responsable lo sepa.

Algunos ejemplos reales que deben revisarse:

• Plataformas de videoentrevistas que analizan expresiones faciales para valorar candidatos.
• Herramientas de monitorización de empleados que detectan el estado emocional a partir de la webcam o el teclado.
• Sistemas de scoring crediticio o de acceso a servicios que agregan variables de comportamiento social.
• Plugins de e-commerce que personalizan precios o mensajes basándose en perfiles psicológicos inferidos.

El primer paso es hacer un inventario de todos los sistemas de IA que la empresa utiliza o contrata, identificar su categoría de riesgo según el AI Act y verificar si alguno de los proveedores ofrece funcionalidades incluidas en el artículo 5. Para eso existe el test gratuito del AI Act que permite clasificar el uso de IA de tu empresa en menos de 10 minutos.

IA prohibida y RGPD: la doble infracción

Muchos de los sistemas de IA prohibidos implican también un tratamiento de datos personales. El reconocimiento facial en tiempo real, la inferencia de emociones o el raspado masivo de imágenes son, al mismo tiempo, infracciones del artículo 5 del AI Act e infracciones graves del RGPD.

Esto significa que una empresa que utilice cualquiera de estos sistemas puede enfrentarse a sanciones simultáneas de ambas normativas, tramitadas por la AESIA y la AEPD respectivamente. No se trata de una elección entre una u otra: las dos autoridades pueden actuar de forma paralela.

Si tu empresa tiene dudas sobre si algún sistema que utiliza puede estar en zona prohibida, lo más prudente es hacer una consultoría AI Act antes de que llegue una inspección o una denuncia.

Qué no es IA prohibida: errores frecuentes

No toda IA que usa datos biométricos o que analiza comportamientos está prohibida. El AI Act distingue con precisión entre categorías, y confundir “IA de alto riesgo” con “IA prohibida” lleva a decisiones erróneas en los dos sentidos: descartar herramientas legítimas o, peor, no revisar las que sí son problemáticas.

Por ejemplo, un sistema de control de acceso por huella dactilar en una instalación privada es IA de alto riesgo (con obligaciones de cumplimiento), pero no IA prohibida. La diferencia está en el contexto de uso, el tipo de dato biométrico y si opera en tiempo real en espacios públicos.

Del mismo modo, la personalización de contenidos en plataformas digitales no es per se manipulación subliminal: para estarlo tiene que operar por debajo del umbral de conciencia del usuario o explotar una vulnerabilidad específica. La frontera es técnica y legal, y conviene analizarla caso a caso.