Si tu empresa usa o evalúa herramientas de IA —generativas en particular—, conviene tener clara una lista: el Art. 5 del Reglamento (UE) 2024/1689 es la de las prácticas de IA prohibidas: las que no se pueden introducir en el mercado, poner en servicio ni utilizar, sin excepción de tamaño ni de sector.
El Digital Ómnibus le añadió dos. Y como suele pasar cuando una lista cerrada crece, lo primero que apareció fue una forma cómoda de referirse a ellas que no es la del Reglamento.
La figura reúne las diez prácticas del Art. 5(1): las ocho letras originales, de la a) a la h), y las dos que inserta el Reglamento (UE) 2026/1744, b bis) y b ter), marcadas aparte. Cada letra lleva su alcance y, cuando la tiene, su excepción. En las dos letras nuevas, a quien despliega solo le alcanza la prohibición si usa el sistema con el fin de generar o manipular ese material; a quien lo introduce en el mercado, si esa generación es su finalidad prevista o un resultado previsible sin salvaguardias.
Cuántas letras tiene el Art. 5(1)
Ocho: de la a) a la h). Manipulación subliminal, explotación de vulnerabilidades, puntuación social, predicción del riesgo de delito basada únicamente en perfiles o en rasgos de personalidad (salvo el apoyo a una valoración humana ya basada en hechos objetivos y verificables), extracción no selectiva de imágenes faciales, inferencia de emociones en los lugares de trabajo y en los centros educativos (salvo por motivos médicos o de seguridad), categorización biométrica para deducir o inferir atributos sensibles (salvo el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente y la categorización en el ámbito de la garantía del cumplimiento del Derecho), e identificación biométrica remota en tiempo real en espacios de acceso público con fines de garantía del cumplimiento del Derecho.
Merece un aviso, porque es fácil contar mal: dentro de la h) hay una lista propia con sus i), ii) y iii) —las finalidades que excepcionalmente permiten esa identificación—, y el apartado 2 tiene su propia enumeración con letras. Quien cuente las letras que aparecen en la página del artículo sacará bastantes más de ocho. De primer nivel, en el apartado 1, son ocho.
Cómo se llaman las dos nuevas
El Reglamento (UE) 2026/1744 no las añade al final. Su punto 7, letra a), dice, literalmente, que «en el apartado 1, párrafo primero, se insertan las letras siguientes»:
b bis)— sistemas de IA que generen o manipulen «imágenes, vídeos o audios realistas o material similar de las partes íntimas de una persona física identificable, o de una persona física identificable que participe en actividades sexualmente explícitas, sin el consentimiento libre, específico, informado e inequívoco y explícito de dicha persona».b ter)— sistemas que generen o manipulen material o espectáculos en el sentido del artículo 2, letras c) y e), de la Directiva 2011/93/UE, salvo cuando se aplique una defensa de «forma ilícita» conforme al Derecho nacional.
Se insertan, no se anexan. Van entre la b) y la c), sin renumerar las demás letras. El artículo añade además dos apartados nuevos: el 1 bis acota, a efectos de las dos letras, cuándo están prohibidas la introducción en el mercado, la puesta en servicio y la utilización, y el 1 ter precisa qué no constituye manipulación a efectos de la b bis).
Por qué esto importa más de lo que parece
Al trabajar con el Art. 5 aparece pronto una numeración de andar por casa: «la categoría 9» (taxonomía interna de Alethexis, no la nomenclatura del AI Act), «la novena prohibición», «la nueva». Es cómoda porque la lista original tenía ocho y estas llegaron después.
No existe una letra i) de prácticas prohibidas ni una «categoría 9» en el Reglamento. Es una etiqueta interna — útil para hablar entre quienes comparten el contexto, y equivocada en cuanto sale de ahí.
Cuando esa numeración cruza de una conversación a un documento, y de ahí a un correo con un cliente o a una respuesta a una autoridad, se convierte en una cita de algo que no existe. Y a diferencia de un dato caducado, este no se corrige releyendo: el Reglamento no contiene la referencia con la que se le pregunta, así que quien lo comprueba no encuentra un error — encuentra nada.
Es la misma familia de problemas que una obligación atribuida a quien no le toca: nace de un atajo razonable y sobrevive porque su contenido es correcto. Lo que falla es la referencia.
Desde cuándo se aplican
No desde la entrada en vigor del Ómnibus. El Art. 113 reformado excepciona expresamente estas letras y los dos apartados nuevos: se aplican a partir del 2 de diciembre de 2026, mientras el resto de los capítulos I y II sigue aplicándose desde el 2 de febrero de 2025.
Otra fecha propia dentro de un calendario que ya tiene varias — y otra razón para no fiarse de un resumen que hable de «las prohibiciones» en bloque. El calendario completo las distingue hito a hito.
Qué significa para una empresa que usa IA
Para la inmensa mayoría, nada operativo: son prácticas que ninguna organización legítima realiza. El Art. 5 no es una lista de cosas que hacer bien, es una lista de cosas que no se hacen.
Donde sí importa es en dos sitios concretos.
En la evaluación de herramientas generativas. Si tu empresa incorpora un sistema de generación o manipulación de imagen, vídeo o audio, la pregunta de si puede producir esos contenidos —y con qué salvaguardas— deja de ser teórica. No porque su uso quede prohibido sin más: para quien despliega, la utilización solo está prohibida «cuando el responsable del despliegue utilice el sistema con el fin de generar o manipular dicho material o espectáculos» (Art. 5(1 bis), letra b)). Sino porque la introducción en el mercado de un sistema así está prohibida también cuando esa generación sea un resultado razonablemente previsible y reproducible y el sistema no disponga de salvaguardias razonables y adecuadas para evitarla (Art. 5(1 bis), letra a)): saber si tu proveedor las tiene es diligencia sobre la herramienta que incorporas.
Y en la precisión de lo que se documenta. Si en algún registro interno consta que se comprobó «la categoría 9», dentro de dos años nadie sabrá qué se comprobó. Si consta que se revisaron las letras b bis) y b ter) del Art. 5(1) en la redacción dada por el Reglamento (UE) 2026/1744, se sabrá exactamente — y se podrá verificar.
Esa diferencia no cuesta nada el día que se escribe. Cuesta mucho el día que hay que reconstruirla.
Contenido con arreglo al artículo 5 del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.