Paso 3
Clasifica el riesgo de cada uso, con el criterio por escrito
Al acabar este paso tendrás un registro de clasificación: cada sistema con su nivel, el criterio que lo sostiene, la fecha y quién lo decidió.
Qué es este paso
Clasificar es situar cada sistema del inventario en el lugar que el Reglamento le reserva, y dejar escrito por qué. Se clasifica el uso, no el producto: el mismo modelo de lenguaje puede redactar correos comerciales o filtrar candidaturas, y son dos clasificaciones distintas.
El Reglamento no ordena los sistemas en una escala única. Tiene prácticas prohibidas (artículo 5), sistemas de alto riesgo (artículo 6 y anexos I y III) y obligaciones de transparencia (artículo 50), que no son un nivel de riesgo sino obligaciones que se activan por la naturaleza del sistema. El resto de sistemas de IA no tiene obligaciones propias de su nivel de riesgo, aunque siguen sujetos a las que alcanzan a todo sistema, como las medidas de alfabetización del artículo 4.
Para ordenar ese mapa, Alethexis usa una escala de siete niveles, de P0 (fuera de ámbito) a P6 (práctica prohibida). Es taxonomía interna de Alethexis, no la nomenclatura del AI Act: sirve para ordenar el trabajo, y cuando un nivel deriva de un artículo del Reglamento, la justificación lo cita.
Por qué
El orden va de lo más grave a lo más leve. Primero, las prácticas prohibidas del artículo 5, en aplicación desde el 2 de febrero de 2025: entre ellas, las técnicas subliminales o deliberadamente manipuladoras o engañosas que provoquen perjuicios considerables, la puntuación social con trato perjudicial y la inferencia de emociones en el lugar de trabajo y en centros educativos, salvo por motivos médicos o de seguridad. El Reglamento (UE) 2026/1744 añade dos más, sobre contenido íntimo no consentido y material de abuso sexual de menores, aplicables desde el 2 de diciembre de 2026. Un uso que encaja aquí queda en P6 y se deja de usar.
Después, el alto riesgo, que llega por dos vías. Una, el artículo 6, apartado 1: el sistema es componente de seguridad de un producto regulado por la legislación del anexo I, o es el propio producto, y ese producto debe someterse a una evaluación de la conformidad de terceros para su introducción en el mercado o puesta en servicio. Otra, el anexo III: usos en biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, o la evaluación de la solvencia de personas físicas, entre otros. Las obligaciones de las secciones 1 a 3 del capítulo III —entre ellas, el artículo 26— aplican desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no les alcanzan. Un sistema del anexo III puede no considerarse de alto riesgo si no plantea un riesgo importante —por ejemplo, porque realiza una tarea de procedimiento limitada—, salvo que elabore perfiles de personas físicas; esa evaluación la documenta el proveedor antes de introducirlo en el mercado (artículo 6, apartados 3 y 4).
Por último, la transparencia del artículo 50, en aplicación desde el 2 de agosto de 2026 (para el marcado del apartado 2, el artículo 111, apartado 4, fija el 2 de diciembre de 2026 como fecha límite de los sistemas introducidos en el mercado antes de esa fecha), y aquí vuelve el rol del paso 2. Los apartados 1 y 2 obligan al proveedor: diseñar el sistema para que las personas sepan que interactúan con una IA y marcar el contenido sintético. Los apartados 3 y 4 obligan al responsable del despliegue: informar a las personas expuestas a un sistema de reconocimiento de emociones o de categorización biométrica, y hacer público que una ultrafalsificación ha sido generada o manipulada de manera artificial, entre otros supuestos. Si despliegas el chatbot de un tercero, el aviso del apartado 1 es obligación del proveedor; comprobar que lo trae es una diligencia de verificación tuya, un control interno metodológico.
La escala de Alethexis traslada ese orden: P6 para lo prohibido, P5 para el alto riesgo, P3 para la transparencia y P0 para lo que queda fuera del ámbito. Los niveles P1, P2 y P4 son reglas propias de Alethexis, un control interno metodológico. Y un disparador que es control interno no eleva el nivel: solo lo eleva una obligación que recae sobre lo que tu organización es respecto de ese sistema.
Cómo, en tres acciones
Recorre el orden, sistema a sistema
Para cada fila del inventario, responde en este orden: ¿encaja en una práctica prohibida del artículo 5? ¿Es componente de seguridad de un producto regulado, o figura su uso en el anexo III? ¿Activa alguna obligación del artículo 50 que recaiga sobre tu papel en ese sistema? El primer nivel que aplica es el resultado; no sigas bajando en busca de uno más cómodo.
Escribe el criterio, no solo la etiqueta
Junto al nivel, anota en dos o tres líneas qué preguntas respondiste y con qué dato: «uso: priorizar candidaturas para entrevista; anexo III, punto 4, letra a)». Si el caso es dudoso, escríbelo como dudoso, con lo que falta por saber y a quién se lo has preguntado. Si el proveedor sostiene que su sistema del anexo III no es de alto riesgo, pídele la evaluación que documentó y archívala con la clasificación.
Fecha, autor y qué la reabre
Cada clasificación lleva la fecha, quién la decidió y la versión del inventario sobre la que se hizo. Decide qué la reabre: un cambio de uso, una función nueva del sistema, un cambio de rol. Una clasificación no caduca, pero queda en revisión cuando cambia algo relevante, y la versión nueva no borra la anterior: las dos quedan, con su fecha.
El error típico
Clasificar la herramienta en vez del uso.
«Usamos un asistente de IA generativa, riesgo mínimo» es una frase que se lee a menudo y que no clasifica nada. El mismo asistente redactando un boletín y puntuando candidaturas son dos usos con destinos distintos: el segundo entra en el anexo III. La variante del mismo error es elegir el nivel más bajo cuando hay duda. Se evita describiendo el uso concreto en el inventario y dejando que decida el orden del Reglamento, de lo más grave a lo más leve, y no la intuición.
Tiempo estimado
Dos o tres días, entre los días 10 y 15 de la Ruta: la mayoría de los sistemas se resuelven en minutos, y el tiempo se va en los dos o tres casos dudosos.
Qué te llevas
El registro de clasificación: cada sistema con su nivel, el criterio escrito, la fecha y el autor de la decisión.
Así se hace en Alethexis
En Alethexis, un asistente recorre seis pasos por sistema —uso, prácticas prohibidas, datos, contexto, autonomía, y transparencia y modelos de uso general— y el validador aplica después el orden de lo más grave a lo más leve; si tus respuestas sugieren un nivel pero una regla del Reglamento lo reconduce, el asistente explica el motivo y prevalece el validador.
La justificación se construye a partir de tus respuestas y se puede editar antes de cerrar; al confirmar se guarda una versión nueva y la anterior queda archivada, y al cerrar la sección la declaración queda registrada con nombre, rol, fecha y la huella del contenido.