¿Qué es un enfoque basado en riesgos para la regulación de la IA?
Regulación de la IA: conceptos, instituciones y normas
Un enfoque basado en riesgos para la regulación de la IA significa que la ley no trata todos los sistemas de IA de la misma manera. Agrupa los usos de la IA según la gravedad y la probabilidad de los daños que pueden generar, y establece obligaciones más estrictas a medida que el riesgo aumenta. En la práctica, esto puede implicar prohibiciones para usos claramente inaceptables, obligaciones rigurosas de diseño, prueba y supervisión para usos de mayor riesgo, normas de transparencia para algunos sistemas, y requisitos específicos de IA más ligeros para usos de menor riesgo.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
La regulación de la IA basada en riesgos es una forma de ajustar las obligaciones legales al peligro que puede suponer un uso concreto de la IA. En lugar de asumir que todo modelo, producto o flujo de trabajo necesita los mismos controles, los reguladores plantean una pregunta previa: ¿qué podría hacerle este sistema a las personas, los mercados, las instituciones públicas o la seguridad si falla, discrimina, induce a error, se usa de forma indebida o se despliega en un contexto inadecuado?
Eso no es lo mismo que la gestión general de riesgos de IA dentro de una empresa. La regulación basada en riesgos es el reglamento público. Determina cuándo un uso de la IA está prohibido, cuándo requiere controles sólidos, cuándo basta con una simple divulgación y cuándo las obligaciones específicas de IA son ligeras. Los marcos de gobernanza interna ayudan después a las organizaciones a trasladar esas obligaciones a la contratación, la revisión de productos, las pruebas, la aprobación y el seguimiento.
También significa que la clasificación suele depender del contexto, no solo de la tecnología. El mismo modelo subyacente puede situarse en un uso de baja supervisión en un entorno y en un uso estrictamente controlado en otro, según su finalidad, las personas afectadas, el sector, el grado de autonomía implicado y la gravedad o reversibilidad del daño.
Por qué importa
Para las organizaciones, la pregunta práctica rara vez es si la IA es arriesgada en abstracto. La cuestión es si un uso concreto cruzará un umbral que cambie quién debe aprobarlo, qué evidencia debe existir antes del lanzamiento, qué debe comunicarse a los usuarios, qué proveedores son aceptables y si el uso debe llevarse a cabo en absoluto.
Un modelo basado en riesgos importa porque convierte la gobernanza de la IA en un ejercicio de priorización. Ayuda a los consejos de administración, los equipos de producto, los responsables de cumplimiento y los compradores a concentrar los recursos escasos en los sistemas con mayor probabilidad de afectar a la salud, la seguridad, los derechos, el acceso al empleo, el crédito, la educación, los servicios públicos o la información de confianza. También ofrece a los reguladores y a los clientes una base más clara para preguntar si la organización puede explicar su clasificación, justificar sus controles, supervisar el sistema tras su lanzamiento y responder cuando cambia el panorama de riesgos.
Cómo funciona
Comienza con los daños que el régimen considera relevantes
Un régimen basado en riesgos empieza por determinar qué tipos de daño cuentan a efectos regulatorios. En la gobernanza de la IA actual, eso suele ir más allá del fallo técnico. Los marcos oficiales y las leyes vigentes tratan la seguridad, la discriminación, la privacidad, la protección de datos, la ciberseguridad, la integridad de la información y otros daños relacionados con derechos como parte del panorama de riesgos. Algunos instrumentos internacionales enmarcan el problema de forma aún más amplia, vinculando la gobernanza de la IA a los derechos humanos y a la conducta empresarial responsable.
Esto importa porque los intereses protegidos condicionan el resto de la arquitectura. Un régimen centrado principalmente en la seguridad de los productos tendrá un aspecto diferente al de uno que también atiende a los derechos laborales, el acceso a la educación, la integridad democrática o el trato a los grupos vulnerables. En otras palabras, la clasificación nunca es un ejercicio meramente técnico. Refleja una decisión jurídica sobre qué daños merecen una respuesta más intensa.
La clasificación suele depender del uso y el contexto
El elemento central de un sistema basado en riesgos es la clasificación. Sin embargo, los marcos maduros no suelen preguntar únicamente qué tipo de modelo está implicado. También preguntan para qué se usa el sistema, a quién afecta, qué tipo de decisión apoya, si puede afectar materialmente a derechos o al acceso a servicios esenciales, si hay grupos vulnerables implicados, cuán reversible sería un error y si el sistema puede supervisarse, explicarse o auditarse de forma significativa.
Por eso el mismo modelo fundacional o componente de IA puede encuadrarse en bandas de gobernanza distintas según el despliegue. Una herramienta que ayuda a redactar textos internos de bajo impacto no suele tratarse igual que una que filtra candidatos a un empleo, apoya decisiones diagnósticas o condiciona el acceso a prestaciones. La regulación basada en riesgos se entiende mejor, por tanto, como una regulación orientada al uso y sensible al contexto, incluso cuando también incluye normas específicas para modelos de uso general especialmente capaces.
Las obligaciones aumentan con el riesgo evaluado
Una vez que el régimen clasifica los usos por riesgo, establece una escala de obligaciones. En el extremo más ligero, la ley puede exigir principalmente transparencia, como informar a las personas de que están interactuando con una IA o indicar que un contenido ha sido generado por IA. En el nivel intermedio, la ley puede dejar la mayoría de los usos específicos de IA fuera de controles ex ante estrictos, pero aun así esperar que las organizaciones respeten el resto del derecho aplicable y una disciplina básica de gobernanza.
A medida que el riesgo aumenta, el conjunto de obligaciones de cumplimiento suele volverse mucho más exigente. Los usos de mayor riesgo suelen activar requisitos en torno a la gestión documentada de riesgos, la gobernanza de datos, las pruebas, la trazabilidad, la documentación técnica, la supervisión humana, los controles de precisión y seguridad, la gestión de incidentes y alguna forma de evaluación previa al lanzamiento. En lo más alto de la escala, el régimen puede concluir que la cuestión no es si el sistema puede controlarse mejor, sino si el uso es aceptable en absoluto. Ese es el punto en que un modelo basado en riesgos pasa de la regulación a la prohibición.
El mecanismo real es la evidencia, no las etiquetas
En la práctica, una banda de riesgo solo tiene sentido si la organización puede demostrar por qué situó un sistema en ella y qué hizo a continuación. Por eso la regulación de la IA basada en riesgos es también un modelo de evidencia. Impulsa a las organizaciones a crear un registro de finalidad, contexto, lógica de clasificación, pruebas, controles de datos, mecanismos de supervisión humana, incidentes, acciones correctoras y revisiones.
Esa evidencia es lo que permite conectar una obligación legal con la garantía y la auditoría. Un regulador, un investigador, un equipo de contratación o un comité del consejo de administración normalmente querrá algo más que una declaración de que un sistema se consideró de bajo o alto riesgo. Querrá ver el expediente: qué factores se evaluaron, qué supuestos se hicieron, qué se probó, qué quedó sin resolver, qué controles se eligieron y qué ocurre si el sistema se desvía, se ajusta, se integra en otro proceso o empieza a producir errores dañinos en el mundo real.
Las normas y los marcos convierten la ley en práctica operativa
La regulación de la IA basada en riesgos rara vez funciona solo con la ley. Las organizaciones necesitan un método operativo para trasladar las expectativas legales al trabajo diario. Ahí es donde importan las normas y los marcos de gobernanza. El AI RMF de NIST ofrece una estructura ampliamente utilizada articulada en torno a Gobernar, Mapear, Medir y Gestionar. Es voluntario y no prescriptivo, pero proporciona un vocabulario sólido para identificar el contexto relevante, medir los daños, priorizar la corrección y asignar responsabilidades.
NIST resulta especialmente útil porque señala dos aspectos que los equipos jurídicos y de producto suelen olvidar. Primero, el riesgo de la IA es contextual y puede cambiar a lo largo del ciclo de vida. Segundo, un marco puede ayudar a priorizar el riesgo sin fijar por sí mismo el nivel de riesgo que una sociedad u organización debe aceptar. Esa distinción importa porque la ley establece límites estrictos en algunos ámbitos, mientras que la gobernanza interna sigue teniendo que tomar decisiones de juicio en muchos otros.
La misma lógica se aplica a la IA generativa. El Perfil de IA Generativa de NIST destaca preocupaciones recurrentes como la confabulación, la integridad de la información, la privacidad, la propiedad intelectual y el riesgo de componentes de terceros. La guía de diligencia debida de OECD añade otra dimensión importante al tratar la gobernanza de la IA como un proceso empresarial: integrar la gobernanza, identificar y evaluar los daños, prevenirlos o mitigarlos, hacerles seguimiento, comunicarlos y ofrecer reparación cuando proceda. Esto ayuda a explicar por qué la regulación basada en riesgos ha pasado a ser algo más que un ejercicio de clasificación. Ahora está vinculada a cómo las empresas documentan y gobiernan toda la cadena de valor de la IA.
Las responsabilidades se distribuyen a lo largo de la cadena de valor
Un régimen basado en riesgos normalmente distingue entre distintos actores. El desarrollador de un modelo, el proveedor de una herramienta, el distribuidor, el integrador, el comprador y el desplegador no ven los mismos riesgos y no deben asumir las mismas obligaciones. La organización que introduce un sistema en un flujo de trabajo real puede generar nuevos riesgos mediante el fine-tuning, una supervisión deficiente, una formación inadecuada de los usuarios, malas decisiones de contratación o el despliegue en un contexto que el proveedor original nunca anticipó.
Por eso los marcos modernos asignan cada vez más las obligaciones por función. Los proveedores pueden necesitar elaborar documentación técnica y realizar comprobaciones previas al lanzamiento. Los desplegadores pueden necesitar garantizar una supervisión humana real, supervisar el uso y notificar los problemas. Los compradores pueden necesitar acceso contractual a evidencias, registros de pruebas y soporte ante incidentes. La contratación se convierte así en parte del cumplimiento normativo, no solo en un paso comercial.
La clasificación es iterativa, no un trámite único
Una de las lecciones más duraderas de los marcos oficiales de IA es que el riesgo no es estático. Un sistema puede parecer manejable durante el desarrollo y volverse mucho más problemático en operación. El riesgo puede aumentar cuando un modelo se adapta a un nuevo dominio, se reentrena con nuevos datos, se conecta a otro producto, se inserta en un flujo de trabajo de mayor impacto o se despliega a una escala que cambia su efecto social.
Por eso el seguimiento posterior al lanzamiento se sitúa junto a las comprobaciones previas en los regímenes serios basados en riesgos. La pregunta pertinente no es solo qué categoría de riesgo se aplicó el día del lanzamiento. Es si la organización dispone de un mecanismo para reevaluar la clasificación cuando cambian los hechos. Un enfoque basado en riesgos funciona correctamente solo cuando la clasificación, las pruebas, la supervisión y la revisión continúan a lo largo de todo el ciclo de vida.
Ejemplos
Una herramienta de selección de candidatos es un ejemplo claro de por qué la regulación basada en riesgos se centra en el uso, no en la novedad tecnológica. La Comisión Europea incluye las herramientas de IA utilizadas en el empleo y la gestión de trabajadores, incluido el software de clasificación de currículums para la selección de personal, entre los casos de uso de alto riesgo en el modelo de la UE. En ese tipo de flujo de trabajo, el énfasis no recae en una afirmación genérica de que la herramienta es innovadora. El énfasis está en si el proveedor y el desplegador pueden demostrar controles de riesgo, gobernanza de conjuntos de datos, trazabilidad, documentación, supervisión humana y solidez técnica antes y después del uso.
Un chatbot orientado al cliente o una herramienta de contenido sintético ilustra el extremo más ligero de la escala. En el marco actual de la UE, las personas deben ser informadas cuando interactúan con una máquina, y determinados contenidos generados por IA deben ser identificables o estar etiquetados. Eso sigue siendo regulación, pero es una regulación proporcionada. El régimen responde a un riesgo de transparencia en lugar de incluir automáticamente cada uno de esos usos en la banda de cumplimiento más exigente.
Un tercer ejemplo es la contratación de un componente de IA generativa. El Perfil de IA Generativa de NIST indica a las organizaciones que vayan más allá del rendimiento declarado del modelo y evalúen la confabulación, la integridad de la información, la privacidad, la propiedad intelectual y el riesgo de integración con terceros. También recomienda documentar la dependencia excesiva de datos o sistemas de terceros, preparar planes de respuesta a incidentes para componentes externos, verificar los métodos de procedencia y reevaluar el riesgo cuando un modelo se adapta a un nuevo dominio. Eso es un enfoque basado en riesgos en forma operativa: la clasificación determina los controles, y los controles generan evidencia.
Malentendidos frecuentes
Mito: La regulación basada en riesgos siempre implica la misma pirámide de cuatro niveles. Corrección: No necesariamente. Algunos regímenes utilizan bandas de riesgo fijas, mientras que otros se apoyan más en la evaluación iterativa de impacto, la diligencia debida y la supervisión sectorial.
Mito: Una IA de menor riesgo es una IA sin regular. Corrección: Unas obligaciones específicas de IA más ligeras no desactivan la normativa de privacidad, consumo, empleo, igualdad, seguridad de productos, propiedad intelectual o la legislación sectorial.
Mito: Solo el desarrollador necesita preocuparse. Corrección: El riesgo suele desplazarse en el momento del despliegue, por lo que compradores, desplegadores, integradores y autoridades públicas pueden asumir cada uno sus propias responsabilidades.
Mito: La clasificación es un memorando jurídico puntual. Corrección: Los marcos maduros esperan una revisión cuando un sistema se ajusta, se traslada a un nuevo dominio, se conecta a otros sistemas o queda expuesto a nuevos daños en el mundo real.
Mito: La regulación basada en riesgos es solo un ejercicio de puntuación numérica. Corrección: Muchos regímenes combinan probabilidad y gravedad con juicios basados en derechos y en el contexto que no pueden reducirse a un único número.
Riesgos y límites
Un enfoque basado en riesgos es un método de gobernanza útil, pero no garantiza que la IA sea segura, justa o legal. Es una forma de asignar atención y obligaciones. Si la clasificación inicial es superficial, si los daños se definen de forma demasiado estrecha o si la organización trata el ejercicio como papeleo en lugar de como diseño de controles, el modelo puede generar una falsa sensación de seguridad.
También es fácil hacer un uso indebido de la idea pretendiendo que solo los sistemas etiquetados como de alto riesgo merecen una gobernanza seria. NIST subraya que el riesgo es contextual, puede surgir a lo largo del ciclo de vida y puede ser difícil de medir, especialmente cuando los daños recaen de forma desigual sobre distintos grupos o solo se hacen visibles en el despliegue real. Por tanto, una banda inferior no debe significar ausencia de escrutinio. Debe significar un escrutinio proporcionado.
Tampoco existe una prueba global única para determinar qué cuenta como alto riesgo o riesgo inaceptable. Distintas jurisdicciones protegen intereses diferentes, utilizan categorías de actores distintas y atribuyen efectos jurídicos diferentes. Un enfoque basado en riesgos es, por tanto, un concepto de parecido de familia, no una plantilla universal.
La situación jurídica actual también importa. En la UE, el AI Act adoptado y los materiales de implementación posteriores de la Comisión deben leerse conjuntamente con atención. El texto original fijó las principales obligaciones de alto riesgo para el 2 de agosto de 2026, pero un acuerdo político provisional alcanzado en mayo de 2026 en el marco del Ómnibus Digital las aplazaría, trasladando las obligaciones basadas en el uso del Anexo III al 2 de diciembre de 2027 y las obligaciones para la IA integrada en productos regulados al 2 de agosto de 2028. A mediados de 2026, ese acuerdo es provisional y solo tiene efecto jurídico tras su adopción formal y publicación, por lo que hasta entonces la fecha original del 2 de agosto de 2026 sigue siendo técnicamente la vigente. Las organizaciones deben considerar las fechas posteriores como la dirección probable, pero verificar la posición jurídica definitiva antes de basarse en una fecha concreta. Brasil es otro ejemplo de incertidumbre activa: está debatiendo un modelo basado en riesgos en el Congreso, pero el proyecto de ley aún no es derecho vigente y puede cambiar.
Qué hacer a continuación
Elaborar un inventario claro de usos de la IA, no solo de herramientas de IA. Registrar la finalidad, el responsable, las personas afectadas, el grado de autonomía, los puntos de decisión, las fuentes de datos y los proveedores vinculados.
Adoptar un método de clasificación que combine gravedad, probabilidad, derechos afectados, vulnerabilidad, reversibilidad y contexto sectorial. No basarse en etiquetas de producto ni en términos de marketing de proveedores.
Definir los criterios de escalada con antelación. Determinar qué usos son inviables, cuáles requieren aprobación de alta dirección, cuáles requieren divulgación y cuáles pueden seguir un proceso de revisión más ligero.
Construir un expediente de evidencia reutilizable para los usos de mayor escrutinio. Normalmente incluye la descripción del caso de uso, la justificación de la clasificación, el registro de pruebas, los controles de datos y procedencia, el diseño de la supervisión humana, el plan de registro, el proceso de incidentes y la revisión de cambios.
Tratar la IA de terceros como parte del propio perfil de riesgo. La contratación debe garantizar documentación, soporte ante incidentes, notificación de cambios materiales y acceso suficiente para evaluar el sistema en el contexto propio.
Reevaluar tras cambios materiales. El ajuste del modelo, la sustitución del modelo, nuevos datos, nuevos grupos de usuarios, nuevas jurisdicciones y nuevas integraciones pueden situar un sistema en un perfil de riesgo diferente.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿La regulación basada en riesgos significa que el mismo modelo puede tratarse de forma diferente según el uso?
Sí. El mismo modelo puede estar sujeto a obligaciones específicas de IA ligeras en un flujo de trabajo y a obligaciones mucho más estrictas en otro si cambia el contexto, las personas afectadas o el efecto jurídico.
¿Un enfoque basado en riesgos se ocupa solo de la seguridad?
No. Los regímenes modernos de IA y los marcos de gobernanza también atienden a la discriminación, la privacidad, la seguridad, la integridad de la información y otros daños relacionados con derechos.
¿Los usos de menor riesgo quedan fuera de toda regulación?
No. Pueden estar sujetos a obligaciones específicas de IA más ligeras, pero otra normativa puede seguir siendo aplicable, incluida la protección de datos, el derecho del consumidor, la competencia, el empleo, la igualdad y las normas sectoriales.
¿Son jurídicamente vinculantes los marcos voluntarios como NIST?
Por lo general, no por sí solos. Su valor radica en que ayudan a las organizaciones a operacionalizar las expectativas legales y de gobernanza de forma repetible y a generar evidencia que reguladores, clientes y consejos de administración puedan comprender.
¿Un modelo de uso general es automáticamente de alto riesgo?
No siempre. Muchos regímenes siguen centrándose en el contexto de despliegue, aunque algunos añaden ahora normas específicas para modelos de uso general especialmente capaces o ampliamente utilizados.
¿Qué evidencia debe conservar una organización?
Conservar la suficiente para explicar la finalidad, la decisión de clasificación, las pruebas realizadas, los controles de datos, el diseño de la supervisión humana, los cambios efectuados, los incidentes observados y la base de las decisiones de lanzamiento o rechazo.
¿Puede un sistema pasar a una banda de mayor riesgo tras su lanzamiento?
Sí. Nuevos datos, ajustes del modelo, integración en un flujo de trabajo diferente, efectos de escala o daños no observados anteriormente pueden cambiar la clasificación y los controles requeridos.
Fuentes
Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (European Union, EUR-Lex). The legal basis for the EU's risk-based model, including the recital explaining that rules are tailored to the intensity and scope of risk, plus the baseline duties tied to high-risk AI such as human oversight, provider obligations, conformity assessment and documentation.
AI Act (European Commission). The Commission's official explanation of the risk ladder, practical examples of prohibited, high-risk and transparency-driven uses, the current implementation timetable, and the note that most AI falls into a minimal or no-risk category.
Standardisation of the AI Act (European Commission). How harmonised standards are being developed for high-risk AI, the main control areas they cover, and the point that standards remain voluntary even though they can provide legal certainty and a route to presumed compliance.
Artificial Intelligence Risk Management Framework (AI RMF 1.0) (National Institute of Standards and Technology). Definitions of AI risk and harm, the point that risk tolerance is contextual and not prescribed by the framework, the Govern-Map-Measure-Manage structure, and the need for lifecycle-based reassessment.
Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (National Institute of Standards and Technology). Additional generative AI risk areas such as confabulation, information integrity, privacy, intellectual property and third-party value chain risk, together with suggested governance, procurement and monitoring actions.
AI principles (Organisation for Economic Co-operation and Development). International policy framing for interoperable risk-based AI governance, flexible policy design and co-operation across jurisdictions.
OECD Due Diligence Guidance for Responsible AI (Organisation for Economic Co-operation and Development). A six-step enterprise due diligence method for responsible AI, including impact identification, mitigation, tracking, communication and remediation, and the importance of stakeholder engagement.
Projeto regulamenta uso da inteligencia artificial no Brasil (Portal da Camara dos Deputados). A current non-EU legislative example showing that Brazil is considering a risk-based model, including risk classification and preliminary risk assessment for certain systems, while the bill remains under legislative debate.