Cuando una empresa se pregunta si tiene sistemas de IA de alto riesgo, mira hacia su operación. El software que optimiza rutas, el que hace previsión de demanda, el asistente que redacta propuestas, el chatbot que atiende consultas. Es donde está la IA que se decidió comprar, así que es donde se busca.
Casi nunca está ahí.
Dónde lo pone el Anexo III
El Anexo III enumera las ocho áreas de alto riesgo. Su punto 4 se titula «Empleo, gestión de los trabajadores y acceso al autoempleo», y dice:
«a) Sistemas de IA destinados a ser utilizados para la contratación o la selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos.»
«b) Sistemas de IA destinados a ser utilizados para tomar decisiones que afecten a las condiciones de las relaciones de índole laboral o a la promoción o rescisión de relaciones contractuales de índole laboral, para la asignación de tareas a partir de comportamientos individuales o rasgos o características personales o para supervisar y evaluar el rendimiento y el comportamiento de las personas en el marco de dichas relaciones.»
Léelo dos veces y aparece la descripción exacta de un ATS con funciones de IA: filtra solicitudes, puntúa candidatos, ordena una lista. Y de buena parte del software de gestión de personas: evalúa desempeño, sugiere promociones, mide comportamiento.
Eso no lo compró el equipo que decide sobre IA. Lo compró Recursos Humanos, probablemente antes de que en la empresa se hablara de AI Act, y como parte de una suite de nóminas y vacaciones.
Por qué se pasa por alto, y no es descuido
Hay tres razones, y las tres son razonables.
No se percibe como «IA». Se percibe como «el software de RRHH». La función de IA es una casilla dentro de un producto que hace veinte cosas más.
No lo gestiona quien lleva el cumplimiento. El inventario lo suele hacer quien conoce las herramientas del negocio. RRHH es un departamento aparte, con sus propios contratos y su propio proveedor.
Y el sesgo de la pregunta. «¿Dónde usamos IA?» se responde pensando en lo que se produce, no en lo que se administra. La IA que se compró para hacer algo mejor está presente en la cabeza de todos; la que vino incluida en una suite, no.
Es la misma dinámica que hace del inventario la condición previa de casi todo lo demás: no se puede clasificar lo que no se ha enumerado, y se enumera lo que se recuerda.
Dos matices que evitan el error contrario
Este artículo señala dónde mirar. No dice que ahí haya, sin más, un sistema de alto riesgo.
Primero: la clasificación depende del uso real, no del producto. Un módulo de RRHH que solo gestiona nóminas, altas y vencimientos no entra en el punto 4. Lo que entra es la función que filtra solicitudes, puntúa candidatos o evalúa desempeño. La misma suite puede quedar dentro o fuera según qué módulos estén activados y cómo se usen.
Segundo: la fecha. El régimen del Anexo III no está en aplicación. Empieza el 2 de diciembre de 2027, no antes — y sobre eso circula una fecha equivocada que conviene tener clara, porque muchas guías siguen diciendo agosto de 2026. Hoy no hay incumplimiento posible por esta vía. Hay tiempo, que es distinto de no tener nada que hacer.
Cuándo el alto riesgo sí está en tu negocio
Hay sectores donde la respuesta cambia, y no por casualidad: son aquellos cuya actividad ya estaba regulada antes del AI Act.
Sanidad, cuando el sistema es parte de un producto sanitario con función de seguridad — ahí la vía es el Anexo I, no el III. Servicios financieros, en la evaluación de solvencia de personas físicas (Anexo III.5). Educación, en admisión, evaluación y seguimiento del alumnado (Anexo III.3). Y selección de personal como servicio: si reclutar es tu negocio, el punto 4 no describe tu departamento de RRHH — describe tu producto.
Fuera de esos casos, la operativa característica —logística, distribución, servicios profesionales, atención al cliente, back-office— no aparece en ningún anexo de alto riesgo. Es riesgo mínimo o limitado, con las obligaciones que correspondan a cada caso, entre ellas las de transparencia del Art. 50 cuando hay interacción o contenido generado.
Lo que esto cambia al hacer el inventario
Una consecuencia práctica y una sola.
Si el inventario se construye preguntando a quien lleva la operación, saldrá completo respecto del negocio e incompleto respecto de la empresa. Faltará la parte que administra personas, que es justamente donde el Anexo III mira.
La pregunta que lo corrige no es técnica: ¿qué software usamos para contratar, evaluar o medir a las personas que trabajan aquí, y cuál de sus funciones decide algo? Se responde en una conversación con RRHH, y suele cambiar el mapa entero.
Y lo que no cambia, aunque no tengas ningún alto riesgo
Conviene cerrar por aquí, porque la conclusión fácil de este artículo sería la equivocada.
Que tu exposición al alto riesgo sea baja no significa que el Reglamento no te alcance. El Art. 4 —alfabetización en materia de IA— está en vigor desde el 2 de febrero de 2025, aplica a cualquier organización que use IA sea cual sea su clasificación, y el Digital Ómnibus lo reescribió sin eliminarlo: sigue obligando a adoptar medidas. Igual que el Art. 5, que prohíbe determinadas prácticas desde la misma fecha y no admite excepción por tamaño ni por sector.
De modo que el resultado realista de mirar bien no es «no tengo que hacer nada». Es saber qué te aplica de verdad y qué no — que es exactamente lo que separa un plan proporcionado de un miedo mal repartido.
Contenido con arreglo al Anexo III y a los artículos 4 y 5 del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.