Clasifica tu sistema bajo el EU AI Act en 3 minutos.

El EU AI Act, Reglamento (UE) 2024/1689, es la primera norma europea que regula los sistemas de inteligencia artificial. Aplica a quien introduce un sistema de IA en el mercado de la Unión o cuyas salidas se usan en la Unión, sin importar dónde esté establecida la empresa: proveedores que desarrollan y comercializan el sistema, importadores que lo traen a la UE desde un tercer país, distribuidores que lo revenden y «responsables del despliegue» (deployers) que lo utilizan en el marco de una actividad profesional. Si tu empresa cae en cualquiera de esos cuatro roles, te aplica.

El Reglamento entró en vigor el 1 de agosto de 2024 con un calendario escalonado (Art. 113). Las prácticas prohibidas del Art. 5 son exigibles desde el 2 de febrero de 2025 y las obligaciones para modelos de IA de uso general (GPAI, Capítulo V) desde el 2 de agosto de 2025. Desde el 2 de agosto de 2026 aplican las obligaciones de transparencia del Art. 50, la vigilancia del mercado del Capítulo IX y las multas del Art. 101. El Reglamento (UE) 2026/1744 (Digital Omnibus on AI, en vigor desde el 27 de julio de 2026) aplazó el régimen de alto riesgo: las secciones 1, 2 y 3 del Capítulo III se aplican desde el 2 de diciembre de 2027 para los sistemas del Art. 6(2) y el Anexo III, y desde el 2 de agosto de 2028 para los del Art. 6(1) y el Anexo I. El aplazamiento no modifica el contenido de las obligaciones.

Probablemente sí, en el rol de «responsable del despliegue» (deployer, Art. 26). Si usas un sistema de IA de tercero en el marco de una actividad profesional, te aplican las obligaciones del Art. 26 según el uso concreto: supervisión humana, formación del personal que lo opera, registro de incidentes graves y, si el sistema se usa en un caso de alto riesgo del Anexo III (RRHH, scoring crediticio, educación, etc.), el resto de deberes del responsable del despliegue de alto riesgo. La evaluación de impacto sobre los derechos fundamentales (Art. 27) es más exigente y solo alcanza a organismos públicos, a quien presta un servicio público y a quien usa el sistema para crédito o para seguros de vida y salud: un cribado privado de CV no la necesita. Las obligaciones del modelo (Art. 53/55) son del proveedor del LLM, no tuyas como integrador.

Tres puntos mínimos. Uno, transparencia (Art. 50): tienes que informar al usuario de que está interactuando con una IA, salvo que sea evidente. Dos, si el chatbot toma decisiones que afectan a derechos del usuario (acceso a un servicio, tarificación, contratación), puede caer en alto riesgo del Anexo III y disparar todo el régimen del Cap. III (gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana). Tres, si integras un GPAI de tercero (OpenAI, Anthropic, Google), tienes que recibir y conservar la documentación técnica del proveedor (Art. 53(1)(b)) y aplicar las obligaciones del responsable del despliegue (Art. 26).

El proveedor (Art. 3(3)) es quien desarrolla un sistema de IA o lo encarga y lo comercializa bajo su nombre o marca: lleva el peso de las obligaciones de diseño, documentación, evaluación de la conformidad y registro UE. El responsable del despliegue (Art. 3(4), antiguo «usuario») es quien usa el sistema bajo su autoridad en una actividad profesional, no doméstica: tiene obligaciones más ligeras de supervisión, formación y registro de incidentes; y, solo si es un organismo público, presta un servicio público o usa el sistema para crédito o seguros de vida y salud, la evaluación de impacto sobre los derechos fundamentales del Anexo III (Art. 27). Una misma empresa puede ser proveedor de un sistema y responsable del despliegue de otro.

Es de alto riesgo si encaja en alguno de dos supuestos. Uno, Anexo I: componente de seguridad de un producto regulado por la legislación de armonización de la UE (máquinas, juguetes, ascensores, productos sanitarios, etc.). Dos, Anexo III: alguno de los ocho ámbitos del Anexo III (biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales, aplicación de la ley, migración, justicia). Si lo es, tienes que cumplir el Capítulo III: sistema de gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, evaluación de la conformidad, registro en la base de datos de la UE, marcado CE y vigilancia post-comercialización.

El Art. 99 fija tres tramos, y en cada uno se aplica lo que resulte mayor entre el importe fijo y el porcentaje del volumen de negocios mundial del ejercicio anterior. Hasta 35 M€ o el 7 % por usar las prácticas prohibidas del Art. 5. Hasta 15 M€ o el 3 % por incumplir el resto de obligaciones del Reglamento (proveedor, importador, distribuidor, responsable del despliegue, transparencia y sistemas de alto riesgo). Hasta 7,5 M€ o el 1 % por dar información incorrecta a las autoridades. Si entrenas o desarrollas un modelo de IA de uso general (GPAI), el régimen es aparte: quien te multa es la Comisión Europea, no tu autoridad nacional, con un tope propio de hasta 15 M€ o el 3 % de tu facturación mundial (lo que sea mayor), y se aplica desde el 2 de agosto de 2026 (Art. 101). Para pymes y startups se aplica la más baja de las dos cifras, no la más alta (Ej.: si el 3 % de tu facturación supera los 15 M€, el tope es 15 M€); el Reglamento (UE) 2026/1744 extendió ese trato a las small mid-caps. Y solo pueden multarte por una obligación que ya sea exigible: el régimen de alto riesgo no lo es hasta diciembre de 2027 (Anexo III) o agosto de 2028 (Anexo I).

Un poco, pero no os exime. Varias de sus medidas de apoyo apuntan justo al público de esta calculadora. Cada país tiene que ofrecer al menos un espacio controlado de pruebas (sandbox): un entorno supervisado por la autoridad donde validar un sistema innovador antes de sacarlo al mercado, con acceso gratuito y prioritario para pymes y startups (Art. 57 y 58). Las tasas de la evaluación de la conformidad se reducen de forma proporcional a vuestro tamaño (Art. 62). La documentación técnica del Anexo IV podéis presentarla con el formulario simplificado que publica la Comisión, y los organismos de evaluación tienen que aceptarlo (Art. 11). El sistema de gestión de la calidad puede ajustarse al tamaño de vuestra organización (Art. 17), y una microempresa sin empresas asociadas ni vinculadas puede llevar ese papeleo de forma aún más ligera (Art. 63). Ej.: una startup que lanza un sistema de alto riesgo pide plaza prioritaria en el sandbox de su autoridad y documenta con plantillas reducidas. Lo que cambia es el apoyo y el coste del trámite, no las obligaciones de fondo.

No. La Comisión revisa cada año si añade o retira usos de alto riesgo del Anexo III y prácticas prohibidas, y puede hacerlo por acto delegado (Art. 7 y 112). Un «no estás en el Anexo III» de hoy puede quedar desfasado mañana. Ej.: tu sistema queda ahora fuera del alto riesgo, pero un nuevo acto delegado podría incluir su ámbito. Conviene volver a clasificar cuando cambie tu caso de uso o se actualice el Reglamento.

Porque todavía faltan las normas técnicas contra las que demostrar que cumples. El Reglamento (UE) 2026/1744 aplazó el calendario hasta que se publiquen esas normas armonizadas y especificaciones comunes (Art. 40 y 41): diciembre de 2027 para el Anexo III y agosto de 2028 para el Anexo I. Ej.: hoy no puedes «marcar el CE» de tu sistema de RRHH porque aún no existe el estándar armonizado contra el que auditarlo. La obligación sigue en pie; solo se ha movido la fecha, no el contenido.

Dos cosas que conviene saber antes. Una, la base de datos es pública: cualquiera podrá consultar que tu sistema existe y quién lo ofrece (Art. 49 y 71). Ej.: un sistema de cribado de CV aparecerá en el registro a nombre de su proveedor. Dos, registrar no es solo darse de alta: te pedirá identificar el sistema, describir para qué sirve y qué datos usa, y adjuntar la declaración UE de conformidad y el certificado si intervino un organismo notificado (Anexo VIII). Ej.: ten listo el resumen de finalidad antes de abrir el expediente.

No hace falta una inspección para que esto importe. Desde el 2 de agosto de 2026, cualquier persona que crea que un sistema de IA incumple el Reglamento puede presentar una reclamación ante la autoridad de vigilancia del mercado (Art. 85): un cliente, un competidor o un extrabajador. Y si tomas decisiones sobre personas con un sistema de alto riesgo, esas personas pueden pedirte una explicación clara del papel de la IA (Art. 86). Tener la documentación en regla es tu mejor defensa.

Es una herramienta de cribado. Respondes unas preguntas sobre tu sistema y te devuelve el nivel de riesgo del Reglamento (UE) 2024/1689, los artículos que te aplican y la fecha desde la que son exigibles, ya con el calendario del Digital Omnibus. Eso cubre el primer paso, la clasificación, que es donde se atasca casi todo el mundo. No es un software de cumplimiento: no monta el sistema de gestión de riesgos del Art. 9, ni la documentación técnica del Anexo IV, ni el registro en la base de datos de la UE. Para eso hace falta un proyecto, no un formulario. Si el resultado sale alto riesgo, la herramienta te dice qué obligaciones se abren y desde cuándo.

No. La calculadora aplica el árbol de decisión del Reglamento (UE) 2024/1689 sobre las respuestas que das y devuelve el nivel de riesgo y los planos que corresponden según ese árbol. La clasificación final requiere análisis específico del sistema y un revisor jurídico. Trátala como punto de partida, no como sustituto del asesoramiento.

El árbol de decisión está construido sobre el texto consolidado del Reglamento (UE) 2024/1689 publicado en EUR-Lex. Cada artículo citado en el resultado enlaza directamente a EUR-Lex en el idioma de la página. Para la interpretación práctica, la referencia oficial son las directrices que publica la Comisión Europea sobre la aplicación del Reglamento (Art. 96).

El Reglamento ordena los sistemas de IA en cuatro niveles de riesgo: prohibido (Art. 5), alto riesgo (Art. 6 con los Anexos I y III), transparencia (Art. 50) y mínimo. A eso se suman dos planos que no son niveles de riesgo pero cambian tus obligaciones: si desarrollas un modelo de uso general (GPAI, Cap. V), que además puede tener riesgo sistémico (Art. 51 y 55); y tu rol (proveedor, responsable del despliegue, distribuidor o importador). Por eso el resultado te da los tres a la vez: nivel de riesgo, si hay un modelo GPAI de por medio y en qué rol quedas.

Sí, una ligera y transversal: la alfabetización en IA (Art. 4). Si eres proveedor o usas IA en tu actividad profesional (responsable del despliegue), tienes que tomar medidas para que tu equipo y quien opere el sistema en tu nombre entiendan la IA que manejan, adaptadas a su formación y al contexto de uso. No exige un título ni un nivel concreto: es una obligación de medios, aplicable desde el 2 de febrero de 2025. Ej.: una formación interna breve sobre qué hace la herramienta, sus límites y cuándo desconfiar de su respuesta suele bastar para un uso de bajo riesgo.

Sí. Tras clasificar hay un botón Descargar como PDF que genera un documento A4 con la clasificación, los artículos citados, el deadline aplicable, las obligaciones a mapear y las próximas acciones.