Si diriges una pyme y te preguntas cómo es, en la práctica, pasar de «usamos IA» a decisiones que se puedan revisar, este artículo recorre un caso entero, sistema a sistema. Es un caso demostrativo con datos ficticios: la cuenta de la demo pública de una clínica dental, que cualquiera puede abrir sin registrarse y que se sirve en modo de solo lectura. La organización, los proveedores y los registros son inventados. Las cifras salen de una consulta agregada a esa cuenta hecha el 12 de septiembre de 2026, y las capturas, de sus pantallas ese mismo día. No es un caso de éxito ni promete un resultado: enseña un método.
La figura resume el recorrido que sigue el caso: inventario, clasificación razonada y una pregunta —si el sistema encaja en un supuesto del Reglamento—, con dos salidas que se tratan igual. Si encaja, hay una obligación con su artículo, su sujeto y su fecha; si no, la decisión se registra con el supuesto descartado y su porqué. Las dos llevan al responsable, a las acciones, a las evidencias y a una revisión que vuelve a la clasificación cuando algo cambia.
Paso 1: el inventario, diez sistemas y ninguno fuera
La clínica del caso tiene diez sistemas de IA inventariados, de cuatro proveedores y repartidos en siete departamentos, de la recepción a la radiología. Los diez tratan datos personales. Lo que hace útil un inventario no es la cifra, sino que no se quede nada fuera, incluidos los sistemas que llegaron solos con una actualización: cada ficha dice qué hace el sistema, quién lo usa, qué datos toca y quién lo provee.
Captura de la demo pública, sección de inventario. Caso demostrativo, datos ficticios.
Paso 2: dos clasificaciones, cada una con su porqué
De los diez, la cuenta clasifica cuatro sin obligaciones específicas del AI Act más allá de las comunes, tres con las obligaciones de transparencia del Art. 50 y tres de alto riesgo por la vía del producto sanitario. Ninguno entra por el anexo III. Dos bastan para ver el método.
El de riesgo mínimo: el agente de facturación. Emite las facturas de tratamientos ya aceptados. No está en ninguna práctica prohibida del Art. 5, no encaja en ningún supuesto del anexo III ni es componente de seguridad de un producto del anexo I, y no conversa con pacientes ni genera contenido que haya que marcar. Le quedan las obligaciones de cualquier sistema: las medidas de alfabetización del Art. 4 para quienes lo usan y el RGPD, porque trata datos personales. El porqué que registra la cuenta cabe en una línea, «automatización administrativa de facturación; afectación limitada», y basta: con su porqué, una clasificación es una evidencia; sin él, una opinión. En la captura aparece como «P2 Limitado», que es un escalón de la taxonomía interna de la herramienta —uso profesional con afectación a personas—, no una categoría del Reglamento.
El que pide criterio: el chatbot de gestión de citas. Atiende a pacientes por WhatsApp y por la web para gestionar sus citas. Conversa con personas, así que le alcanza el Art. 50(1): el proveedor debe diseñarlo «de forma que las personas físicas de que se trate estén informadas de que están interactuando con un sistema de IA», desde el 2 de agosto de 2026, y a la clínica, como responsable del despliegue, le toca comprobar que su proveedor lo tiene resuelto.
Captura de la demo pública, sección de clasificación. Caso demostrativo, datos ficticios.
Paso 3: la decisión que no aplica
El chatbot tiene una segunda pregunta, y es la que interesa aquí: ¿es de alto riesgo por atender a pacientes? En el anexo III, la asistencia sanitaria aparece en el punto 5: en la letra a), para las autoridades públicas que evalúan el derecho a prestaciones, y en la letra d), la única que podría rozar a un chatbot de pacientes, que incluye los sistemas destinados a clasificar llamadas de emergencia o a priorizar el envío de servicios de primera intervención, «y en sistemas de triaje de pacientes en el contexto de la asistencia sanitaria de urgencia». El chatbot de la clínica no hace triaje ni atiende urgencias: gestiona citas. La cuenta lo deja escrito en la clasificación, «sin triaje clínico ni decisión médica», y esa frase es la decisión negativa: este uso no es de alto riesgo, porque no encaja en el anexo III, punto 5, letra d).
Dos precisiones. La primera: no hace falta la excepción del Art. 6(3), según la cual un sistema del anexo III «no se considerará de alto riesgo cuando no plantee un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales de las personas físicas». Esa excepción opera sobre sistemas que sí están en el anexo, y el propio artículo la cierra para la elaboración de perfiles. Descartar un supuesto no es acogerse a una excepción: son dos razonamientos distintos, y conviene no mezclarlos en el registro. La segunda: la decisión es revisable. Si el proveedor añade una función que pregunte síntomas y ordene a los pacientes por urgencia, la letra d) vuelve a la mesa y la clasificación se rehace.
Un tercer sistema cierra el cuadro, porque sí es de alto riesgo, por otra vía. El de valoración radiológica es un producto sanitario del Reglamento (UE) 2017/745, que está en el anexo I, sección A, y reúne las dos condiciones del Art. 6(1): ser el producto o su componente de seguridad, y que el producto «deba someterse a una evaluación de la conformidad de terceros». Es el caso del diagnóstico por imagen, y el Art. 26 le alcanzará con el calendario del anexo I. El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza. La clínica no ha esperado a esa fecha: tiene registrada una decisión que obliga a que un facultativo valide todo hallazgo propuesto por la IA antes de que llegue a la historia clínica, en la línea de lo que el Art. 26(2) pedirá al encomendar la supervisión humana a personas con «la competencia, la formación y la autoridad necesarias».
Paso 4: un responsable con nombre
Cada clasificación tiene quien la hace y quien responde de ella. En la matriz de responsabilidades del caso, clasificar los sistemas corresponde al AI Officer, que también rinde cuentas de ello; el DPO es consultado y la dirección, informada. La herramienta advierte de que responsable y quien rinde cuentas coinciden: no es un error, es un aviso, y en una pyme es frecuente. El AI Officer es un control interno que la clínica adoptó por criterio propio —así lo registra su decisión de designarlo—, no un cargo que exija el AI Act.
Captura de la demo pública, matriz de responsabilidades. Caso demostrativo, datos ficticios.
Paso 5: acciones y evidencias archivadas
Clasificar sin actuar deja la mitad del trabajo. En el recuento, la cuenta tiene diecisiete evidencias archivadas, doce ligadas a un sistema concreto y el resto a la organización —la política de uso, las actas del comité, los registros de formación—, y seis decisiones registradas, las seis cerradas y cuatro ligadas a un sistema. Una decisión cerrada no se reescribe: si hay que cambiarla, se registra otra que la sustituye y remite a ella.
Para el chatbot hay una evidencia: el encargo de tratamiento con su proveedor. La comprobación del aviso de IA del Art. 50(1) todavía no figura, y ese es el tipo de hueco que el recorrido hace visible: una acción con responsable y plazo, cuya evidencia será la declaración del proveedor o una captura del aviso, con su fecha.
Paso 6: la revisión
El recorrido no termina: vuelve. La cuenta tiene una de sus diez clasificaciones marcada para revisión. Tres cosas obligan a revisar: que cambie la finalidad del sistema, que el proveedor cambie el producto o el modelo, y que llegue una fecha del Reglamento. Reclasificar no borra: la clasificación anterior deja de ser la vigente y queda en el historial, y con las decisiones pasa lo mismo. Así, dentro de un año, se podrá responder no solo qué se decidió, sino qué se sabía cuando se decidió.
Lo que el caso no dice
Tres límites, para leerlo bien. Los datos son ficticios y las cifras son de una cuenta demo: no describen a ninguna clínica real ni son una media del sector. La clasificación es de la empresa, no de la herramienta, que ordena las preguntas, guarda el porqué y avisa de lo que falta, pero no toma la decisión ni asume su responsabilidad; dónde está esa frontera lo contamos aparte. Y el recorrido no promete un resultado: deja por escrito qué se decidió y por qué, que es lo que permite revisarlo.
Si quieres verlo con tus propios sistemas, cómo funciona Alethexis describe los mismos pasos, y la hoja de ruta de los primeros 30 días los ordena por semanas.
Contenido con arreglo a los artículos 4, 5, 6, 26 y 50 y a los anexos I y III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744. Caso demostrativo con datos ficticios; las menciones a proveedores corresponden a la cuenta demo y no a empresas reales. Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.