El Art. 5 es el único de esta serie donde el incumplimiento sería actual, no futuro. Está en vigor desde el 2 de febrero de 2025, no admite excepción por tamaño ni por sector, y no tiene calendario que esperar.
Eso cambia cómo se lee. Todo lo demás que se ha tratado aquí es preparación; esto es una lista de cosas que no se hacen hoy.
Son ocho letras, de la a) a la h). Las dos que añadió el Digital Ómnibus son distintas y tienen su propio artículo; este trata las ocho originales, y con un criterio que suele faltar: cuáles pueden rozar a una empresa privada normal.
Las que no rozan a nadie que no lo busque
Cuatro se descartan leyéndolas.
d) Predicción de delitos por perfilado de personalidad — y con una excepción expresa para apoyar la valoración humana basada en «hechos objetivos y verificables». e) Bases de datos de reconocimiento facial por extracción no selectiva de internet o CCTV. h) Identificación biométrica remota en tiempo real en espacios públicos con fines policiales. Y f), la inferencia de emociones en el trabajo y en centros educativos —con excepción por motivos médicos o de seguridad—, que ya aparece tratada en sanidad, educación y selección de personal porque es la que más se cruza con la operativa.
Y una que suele darse por peligrosa y no lo es
Aquí conviene detenerse, porque la intuición falla.
La letra g) se cita a menudo a propósito del control de accesos biométrico. Léase qué prohíbe exactamente:
«…sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual.»
Lo prohibido es inferir atributos sensibles a partir de la biometría. Un torno que compara una huella o un rostro con un registro para abrir una puerta no infiere nada de esa lista: comprueba quién eres. Es una operación distinta, y la letra g) no la alcanza.
Eso no la deja sin régimen —trata datos biométricos, con todo lo que el RGPD exige— pero no es una práctica prohibida, y tratarla como tal confunde una obligación seria con una infracción absoluta.
Las tres que sí pueden rozar, y dónde está su umbral
a) Técnicas subliminales o deliberadamente manipuladoras
El terreno es la publicidad y el diseño de interfaces con IA. Pero el literal pone cuatro condiciones acumuladas: técnicas subliminales o «deliberadamente manipuladoras o engañosas», que alteren «de manera sustancial» el comportamiento, mermando «de manera apreciable» la capacidad de decidir informadamente, y que provoquen —o sea razonablemente probable que provoquen— «perjuicios considerables».
La persuasión publicitaria ordinaria no llega ahí, y decir lo contrario sería alarmismo. Lo que sí se acerca es el diseño deliberadamente engañoso optimizado por IA para que alguien contrate lo que no quería contratar, cuando el resultado le causa un daño serio.
La palabra que decide es «considerables». Sin perjuicio de esa entidad, no hay letra a).
b) Explotación de vulnerabilidades
La más alcanzable de las tres, y la que menos se mira. Prohíbe explotar vulnerabilidades derivadas de «su edad o discapacidad, o de una situación social o económica específica» para alterar sustancialmente el comportamiento, de un modo que provoque perjuicios considerables.
La segmentación publicitaria por situación económica existe y es corriente. La frontera está en si se explota esa vulnerabilidad para inducir una decisión perjudicial: ofrecer financiación cara precisamente a quien el modelo identifica como financieramente vulnerable está mucho más cerca de esta letra que de cualquier debate sobre alto riesgo.
c) Puntuación social
Se asocia al sector público, y el literal no lo restringe a él. Prohíbe evaluar o clasificar a personas «durante un período determinado de tiempo» por su comportamiento social o características de personalidad, cuando la puntuación resultante provoque:
«i) un trato perjudicial o desfavorable… en contextos sociales que no guarden relación con los contextos donde se generaron o recabaron los datos originalmente» — o «ii) un trato… injustificado o desproporcionado con respecto a su comportamiento social o la gravedad de este.»
El supuesto (i) es el que puede aparecer sin mala intención: una puntuación construida con datos de un contexto —comportamiento de pago, uso de un servicio, actividad interna— que acaba determinando el trato de esa persona en otro contexto sin relación con el primero. Cuando dos sistemas se cruzan y el resultado de uno condiciona algo ajeno, conviene mirar esta letra.
Qué hacer con esto, que es poco y concreto
No hace falta un proyecto. Hacen falta tres preguntas sobre los sistemas que ya tienes.
¿Alguno segmenta o decide usando edad, discapacidad o situación económica como señal? Si la respuesta es sí, la pregunta siguiente es qué decisión produce y a quién perjudica.
¿Alguna puntuación interna sobre personas se usa fuera del contexto en que se generó? Es el supuesto (i) de la letra c), y aparece al integrar herramientas, no al comprarlas.
¿Algún sistema infiere atributos —no verifica identidad— a partir de datos biométricos? Solo eso es la letra g).
Y una nota final que ordena la lectura: el Art. 5 no se documenta ni se gestiona. No hay medida mitigadora, ni evaluación de impacto, ni margen de proporcionalidad. Lo que cae dentro se deja de usar. Es la única parte del Reglamento donde el trabajo no consiste en poder explicar lo que haces, sino en no hacerlo.
Contenido con arreglo al artículo 5 del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.