IA prohibida: las prácticas que el AI Act no permite

Antes de preguntarse si un sistema es de alto riesgo, hay que descartar que esté prohibido. Estas prohibiciones están entre las primeras obligaciones del AI Act que se aplicaron y entre las que más cuestan si se incumplen.

Qué significa que una práctica esté prohibida

Desde el 2 de febrero de 2025, las prácticas del art. 5 no pueden introducirse en el mercado, ponerse en servicio ni utilizarse en la Unión. La prohibición alcanza tanto a quien comercializa el sistema como a quien lo usa: que el proveedor sea otro no cambia nada para quien lo utiliza.

En general, lo que cuenta no es el sector, sino lo que hace el sistema y el efecto que puede tener sobre las personas.

Las prácticas prohibidas

El art. 5.1 prohíbe, en lenguaje llano:

• a) Manipular el comportamiento mediante técnicas subliminales, manipuladoras o engañosas, de modo que una persona, o un grupo, tome una decisión que no habría tomado y que le cause, o pueda causarle, un perjuicio considerable.
• b) Explotar vulnerabilidades derivadas de la edad, la discapacidad o una situación social o económica concreta para alterar el comportamiento, con ese mismo perjuicio.
• c) Puntuar a las personas por su comportamiento social o sus características personales cuando esa puntuación conduce a un trato perjudicial en contextos ajenos a aquellos en que se obtuvieron los datos, o a un trato perjudicial injustificado o desproporcionado.
• d) Predecir que alguien cometerá un delito basándose únicamente en su perfil o en los rasgos de su personalidad.
• e) Crear o ampliar bases de datos de reconocimiento facial con imágenes extraídas de forma no selectiva de internet o de cámaras de videovigilancia.
• f) Inferir las emociones de las personas en el lugar de trabajo y en los centros educativos.
• g) Categorizar a las personas por sus datos biométricos para deducir su raza, sus opiniones políticas, su afiliación sindical, sus convicciones religiosas o filosóficas, su vida sexual o su orientación sexual.
• h) Identificar biométricamente a distancia y en tiempo real en espacios de acceso público con fines policiales.

Cada letra tiene sus propias condiciones: que un sistema esté prohibido depende de que se cumplan los requisitos que fija el artículo.

Las nuevas prohibiciones del Ómnibus

Desde el 2 de diciembre de 2026, el Ómnibus (Reglamento (UE) 2026/1744) añade dos letras al art. 5.1:

• b bis) los sistemas que generan o manipulan imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable, o de esa persona en actividades sexualmente explícitas, sin su consentimiento;
• b ter) los sistemas que generan material de abusos sexuales de menores.

Para quien comercializa el sistema, la prohibición se aplica cuando esa generación es su finalidad o un resultado previsible que no evita con salvaguardias razonables. Para quien lo usa, se aplica cuando lo emplea con ese fin (art. 5.1 bis).

Excepciones y matices

El propio art. 5 recoge matices.

La inferencia de emociones en el trabajo o en la educación no está prohibida cuando el sistema se instala por motivos médicos o de seguridad (letra f).

La categorización biométrica no incluye el etiquetado o el filtrado de conjuntos de datos biométricos obtenidos lícitamente, ni la categorización en el ámbito de la garantía del cumplimiento del Derecho (letra g).

La identificación biométrica en tiempo real con fines policiales tiene excepciones tasadas, como la búsqueda de víctimas o la prevención de una amenaza terrorista, sujetas a autorización y garantías (letra h y apartados 2 a 7).

Para interpretar estos límites, la Comisión publicó en febrero de 2025 unas directrices sobre prácticas prohibidas. Orientan, pero no son vinculantes.

Las sanciones

Es el nivel más alto del régimen sancionador, aplicable desde el 2 de agosto de 2025: multas de hasta 35 M€ o el 7 % de la facturación mundial, la cifra mayor (art. 99.3). Para las pymes se aplica la menor de las dos cifras (art. 99.6). La rebaja que el Ómnibus añadió para las pequeñas empresas de mediana capitalización no alcanza a las prácticas prohibidas (art. 99.6 bis).

Qué hacer si hay dudas

Si un sistema podría encajar en alguna de estas categorías, conviene revisarlo antes de seguir usándolo o de lanzarlo, sistema a sistema y con el equipo. Medir la exposición sirve de orientación, pero no determina si una práctica está prohibida: eso exige analizar el sistema, su finalidad y su efecto.

Fuentes: Reglamento (UE) 2024/1689, arts. 5 (incluidos los apartados 1 bis y 1 ter), 99 y 113; Reglamento (UE) 2026/1744 (Ómnibus), art. 1, puntos 7, 38 y 40, y considerandos 10 a 16; Comisión Europea: directrices sobre prácticas de IA prohibidas. Orientación general, no una determinación jurídica.