Si tu empresa usa IA con clientes, empleados o visitantes, el Art. 5 es una de las partes del Reglamento donde el incumplimiento sería actual, no futuro. Sus ocho letras originales son aplicables desde el 2 de febrero de 2025, no admiten excepción por tamaño ni por sector, y no tienen calendario que esperar; las dos que insertó el Reglamento (UE) 2026/1744 lo serán desde el 2 de diciembre de 2026.
Eso cambia cómo se lee. Todo lo demás que se ha tratado aquí es preparación; esto es una lista de cosas que no se hacen hoy.
Las originales son ocho letras, de la a) a la h). Las dos que añadió el Digital Ómnibus son distintas y tienen su propio artículo; este trata las ocho originales, y con un criterio que suele faltar: cuáles pueden rozar a una empresa privada normal.
La figura recoge las diez letras del artículo 5, apartado 1, del Reglamento (UE) 2024/1689 —las ocho originales, de la a) a la h), y las letras b bis) y b ter) que insertó el Reglamento (UE) 2026/1744—, cada una con su alcance y sus excepciones: técnicas subliminales o manipuladoras que alteran de manera sustancial el comportamiento con perjuicios considerables; explotación de vulnerabilidades por edad, discapacidad o situación social o económica específica; contenido íntimo sin consentimiento; material de abuso sexual de menores; puntuación ciudadana con trato perjudicial en otro contexto o desproporcionado; predicción de delitos solo por perfil, salvo apoyo a una valoración humana ya basada en hechos; bases de datos de reconocimiento facial por extracción no selectiva; inferencia de emociones en el trabajo o en la educación, salvo motivos médicos o de seguridad; categorización biométrica de datos sensibles, e identificación biométrica remota «en tiempo real» con fines de garantía del cumplimiento del Derecho, salvo los objetivos que la letra enumera.
Las que no rozan a nadie que no lo busque
Cuatro se descartan leyéndolas.
d) Predicción de delitos basada únicamente en la elaboración de perfiles o en la evaluación de rasgos y características de la personalidad — y con una excepción expresa para los sistemas que apoyan una valoración humana que «ya se base en hechos objetivos y verificables directamente relacionados con una actividad delictiva». e) Bases de datos de reconocimiento facial por extracción no selectiva de internet o CCTV. h) Identificación biométrica remota en tiempo real en espacios de acceso público con fines de garantía del cumplimiento del Derecho, salvo en la medida en que sea estrictamente necesaria para alguno de los tres objetivos que la propia letra enumera. Y f), la inferencia de emociones en el trabajo y en centros educativos —con excepción por motivos médicos o de seguridad—, que ya aparece tratada en sanidad, educación y selección de personal porque es la que más se cruza con la operativa.
Y una que suele darse por peligrosa y no lo es
Aquí conviene detenerse, porque la intuición falla.
La letra g) se cita a menudo a propósito del control de accesos biométrico. Léase qué prohíbe exactamente:
«sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual».
La letra añade su propia excepción: no incluye el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho.
Lo prohibido es inferir atributos sensibles a partir de la biometría. Un torno que compara una huella o un rostro con un registro para abrir una puerta no infiere nada de esa lista: comprueba quién eres. Es una operación distinta, y la letra g) no la alcanza.
Eso no la deja sin régimen —trata datos biométricos, con todo lo que el RGPD exige, y si en lugar de verificar identificara a distancia podría entrar en el anexo III, punto 1, letra a), que excluye expresamente la verificación— pero no es una práctica prohibida, y tratarla como tal confunde una obligación seria con una infracción absoluta.
Las tres que sí pueden rozar, y dónde está su umbral
a) Técnicas subliminales o deliberadamente manipuladoras
El terreno es la publicidad y el diseño de interfaces con IA. Pero el literal pone condiciones acumuladas: técnicas subliminales o «deliberadamente manipuladoras o engañosas», que —con ese objetivo o con ese efecto— alteren «de manera sustancial» el comportamiento, mermando «de manera apreciable» la capacidad de decidir informadamente y haciendo que se tome una decisión que de otro modo no se habría tomado, y que provoquen —o sea razonablemente probable que provoquen— «perjuicios considerables» a esa persona, a otra o a un colectivo.
La persuasión publicitaria ordinaria no llega ahí, y decir lo contrario sería alarmismo. Lo que sí se acerca es el diseño deliberadamente engañoso optimizado por IA para que alguien contrate lo que no quería contratar, cuando el resultado le causa —o es razonablemente probable que le cause— un perjuicio considerable, a esa persona o a otras.
La palabra que decide es «considerables». Sin un perjuicio de esa entidad, producido o razonablemente probable, no hay letra a).
b) Explotación de vulnerabilidades
La más alcanzable de las tres, y la que menos se mira. Prohíbe explotar vulnerabilidades derivadas de «su edad o discapacidad, o de una situación social o económica específica» con la finalidad o el efecto de alterar sustancialmente el comportamiento, de un modo que provoque —o sea razonablemente probable que provoque— perjuicios considerables a esa persona o a otra.
La segmentación publicitaria por situación económica no cae por sí sola en esta letra. La frontera está en si se explota esa vulnerabilidad para inducir una decisión perjudicial: ofrecer financiación cara precisamente a quien el modelo identifica como financieramente vulnerable está mucho más cerca de esta letra que de cualquier debate sobre alto riesgo.
c) Puntuación social
Se asocia al sector público, y el literal no lo restringe a él. Prohíbe evaluar o clasificar a personas «durante un período determinado de tiempo» por su comportamiento social o por características personales o de su personalidad conocidas, inferidas o predichas, cuando la puntuación resultante provoque una o varias de estas situaciones:
«i) un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas en contextos sociales que no guarden relación con los contextos donde se generaron o recabaron los datos originalmente» — o «ii) un trato perjudicial o desfavorable hacia determinadas personas físicas o colectivos de personas que sea injustificado o desproporcionado con respecto a su comportamiento social o la gravedad de este».
El supuesto (i) es el que puede aparecer sin mala intención: una puntuación construida con datos de un contexto —comportamiento de pago, uso de un servicio, actividad interna— que acaba determinando el trato de esa persona en otro contexto sin relación con el primero. Cuando dos sistemas se cruzan y el resultado de uno condiciona algo ajeno, conviene mirar esta letra.
Qué hacer con esto, que es poco y concreto
No hace falta un proyecto. Hacen falta tres preguntas sobre los sistemas que ya tienes.
¿Alguno segmenta o decide usando edad, discapacidad o situación económica como señal? Si la respuesta es sí, la pregunta siguiente es qué decisión produce y a quién perjudica.
¿Alguna puntuación interna sobre personas se usa fuera del contexto en que se generó? Es el supuesto (i) de la letra c), y aparece al integrar herramientas, no al comprarlas.
¿Algún sistema clasifica a personas a partir de sus datos biométricos para deducir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual? Solo eso es la letra g).
Y una nota final que ordena la lectura: para una empresa privada, el Art. 5 no se documenta ni se gestiona. Fuera de las excepciones que delimita cada letra, no hay medida mitigadora, ni evaluación de impacto, ni margen de proporcionalidad. Lo que cae dentro se deja de usar. Es la única parte del Reglamento donde el trabajo no consiste en poder explicar lo que haces, sino en no hacerlo.
Contenido con arreglo a los artículos 5 y 113 y al anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.