Definiciones clave del Reglamento (UE) 2024/1689 (AI Act): proveedor, usuario, alto riesgo, GPAI, sandbox regulatorio, representante autorizado y más. Referencia rápida con artículos fuente.
Te ayudamos a clasificar tu sistema de IA y cumplir con los requisitos del Reglamento europeo.
Este glosario recoge los términos esenciales del Reglamento (UE) 2024/1689, conocido como AI Act, con definiciones basadas directamente en el texto normativo. Cada entrada incluye la referencia al artículo o considerando correspondiente para facilitar la consulta directa del Reglamento.
Toda persona física o jurídica, entidad pública, organismo u otro organismo que desarrolle un sistema de IA o que lo haya desarrollado y lo comercialice o ponga en servicio bajo su propio nombre o marca, con o sin ánimo de lucro. (Art. 3 Reglamento (UE) 2024/1689)
Toda persona física o jurídica, entidad pública, organismo u otro organismo que utilice un sistema de IA en el ejercicio de su actividad profesional, excepto cuando el sistema se utilice en el curso de una actividad personal no profesional. (Art. 3 Reglamento (UE) 2024/1689)
Sistema de IA que, por su finalidad y modo de funcionamiento, supone un riesgo significativo para la salud, la seguridad o los derechos fundamentales de las personas físicas. Se enumeran en los Anexos I y III del Reglamento e incluyen biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales, aplicación de la ley, migración y justicia. (Art. 6)
Sistema de IA que no pertenece a ninguna de las categorías de riesgo prohibidas, de alto riesgo o de transparencia limitada. No está sujeto a obligaciones específicas, pero se fomenta la adopción voluntaria de códigos de conducta. (Art. 69)
Sistemas de IA que interactúan directamente con personas naturales, generan contenido profundo (deep fakes), o se utilizan para detectar emociones o categorizar personas. Están sujetos a obligaciones de transparencia específicas, como informar al usuario de que interactúa con un sistema de IA. (Art. 50)
Aplicaciones de IA que se consideran inaceptables por vulnerar los valores de la UE, incluyendo manipulación subliminal, explotación de vulnerabilidades, puntuación social (social scoring), inferencia de emociones en entornos laborales/educativos, y ciertos usos de biometría en tiempo real en espacios públicos. Desde diciembre de 2026, incluye también los sistemas de IA que generan, o ayudan a generar, imágenes íntimas no consentidas (NCII) o material de abuso sexual infantil (CSAM). (Art. 5)
Modelo de IA entrenado con un amplio volumen de datos mediante aprendizaje autosupervisado a gran escala, que presenta una generalización significativa y es capaz de desempeñar adecuadamente una amplia gama de tareas distintas. Los modelos GPAI de riesgo sistémico están sujetos a obligaciones adicionales. (Art. 3(63))
Modelo de IA de propósito general que, por su alto impacto, puede afectar negativamente al mercado de la UE de forma significativa. Se presume riesgo sistémico cuando el modelo ha sido entrenado con una capacidad de cálculo acumulada superior a 10^25 FLOPS. Está sujeto a obligaciones de evaluación, mitigación de riesgos y notificación de incidentes graves. (Art. 51)
Proceso mediante el cual el proveedor de un sistema de IA de alto riesgo demuestra que cumple los requisitos establecidos en el Capítulo II del Título III del Reglamento. Puede realizarse mediante procedimiento interno (la mayoría de sistemas) o mediante evaluación por un organismo notificado (solo para biometría y ciertos sistemas críticos). (Art. 43)
Conjunto de documentos que el proveedor de un sistema de IA de alto riesgo debe elaborar antes de su comercialización, incluyendo descripción del sistema, datos de entrenamiento, métricas de rendimiento, diseño de supervisión humana, y medidas de ciberseguridad. (Art. 11 y Anexo IV)
Conjunto de medidas que garantizan que el sistema de IA de alto riesgo puede ser efectivamente supervisado por personas físicas durante el periodo de uso, incluyendo la comprensión de las capacidades y limitaciones del sistema, y la capacidad de decidir no utilizarlo o detenerlo. (Art. 14)
Entorno controlado establecido por una autoridad nacional de supervisión que facilita el desarrollo, ensayo y prueba de sistemas de IA innovadores bajo supervisión regulatoria antes de su comercialización. Las startups y pymes tienen acceso prioritario. (Art. 57)
Base de datos electrónica gestionada por la Comisión Europea donde los proveedores deben registrar sus sistemas de IA de alto riesgo antes de su comercialización o puesta en servicio en la UE. Contiene información sobre el sistema, su categoría de riesgo y la evaluación de conformidad. (Art. 71)
Persona física o jurídica establecida en la UE que, mediante mandato escrito de un proveedor establecido fuera de la UE, actúa en su nombre para cumplir las obligaciones del Reglamento. Es obligatorio cuando el proveedor no está establecido en la UE pero su sistema se comercializa en ella. (Art. 25)
Persona física o jurídica establecida en la UE que comercializa o pone en servicio un sistema de IA de alto riesgo bajo su propio nombre o marca, o que introduce un sistema de IA en la UE procedente de un tercer país. Debe verificar que el proveedor ha cumplido las obligaciones del Reglamento. (Art. 26)
Toda persona física o jurídica de la cadena de suministro, distinta del proveedor o importador, que comercializa o pone en servicio un sistema de IA en la UE. Debe verificar que el sistema lleva la documentación y el marcado CE de conformidad necesarios. (Art. 27)
Marcado mediante el cual el proveedor indica que el sistema de IA de alto riesgo cumple con los requisitos del Reglamento. Debe figurar en el sistema o, si no es posible, en el embalaje y la documentación acompañante. (Art. 48)
Requisito aplicable a los sistemas de IA de alto riesgo que exige que los conjuntos de datos de entrenamiento, validación y prueba cumplan criterios de calidad y gobernanza adecuados, incluyendo pertinencia, representatividad, ausencia de errores y examen de posibles sesgos. (Art. 10)
Obligación de los sistemas de IA de alto riesgo de registrar automáticamente sucesos (logs) a lo largo de su funcionamiento, para facilitar la supervisión humana y la auditoría posterior. Los logs deben conservarse durante un periodo proporcional al fin del sistema. (Art. 12)
Principio que exige que los sistemas de IA sean diseñados y desarrollados de forma que las personas físicas puedan comprenderlos e interpretarlos, incluyendo la trazabilidad de las decisiones del sistema, la explicabilidad de los resultados y la claridad sobre el funcionamiento del sistema. (Art. 13)
Requisito de los sistemas de IA de alto riesgo que deben ser diseñados para resistir errores, fallos y ataques maliciosos, incluyendo intentos de manipulación de los datos de entrenamiento o de las entradas del sistema. (Art. 15)
Evaluación que deben realizar los usuarios (deployers) de sistemas de IA de alto riesgo antes de ponerlos en servicio, analizando el impacto potencial sobre los derechos fundamentales reconocidos por la Carta de los Derechos Fundamentales de la UE. (Art. 27a)
Obligación del proveedor de informar inmediatamente a las autoridades nacionales competentes cuando un sistema de IA de alto riesgo presenta un incidente grave que constituya una infracción del Derecho de la UE y que pueda afectar a los derechos o la seguridad de personas físicas. (Art. 62)
Organismo designado por cada Estado miembro de la UE responsable de la aplicación y supervisión del cumplimiento del Reglamento de IA. En España, la autoridad designada debe ser notificada a la Comisión Europea. (Art. 59-70)
Organismo de la Comisión Europea encargado de coordinar la aplicación del Reglamento de IA entre los Estados miembros, supervisar el cumplimiento de las obligaciones de los modelos GPAI de riesgo sistémico, y gestionar la base de datos de la UE. (Art. 64-68)
Conjunto de normas y compromisos que los proveedores y usuarios de sistemas de IA de riesgo mínimo pueden adoptar voluntariamente para promover la confianza y la responsabilidad en el desarrollo y uso de la IA. Su adopción es incentivada por el Reglamento. (Art. 69)
Sistema de IA utilizado para la identificación, autenticación o categorización de personas físicas basada en datos biométricos (rasgos faciales, huellas dactilares, iris, etc.). Los sistemas de biometría en tiempo real en espacios públicos para fines de aplicación de la ley están sujetos a restricciones específicas. (Art. 5 y Anexo III)
Práctica de IA que evalúa o clasifica a personas físicas mediante la recopilación y análisis de datos sociales o de comportamiento, produciendo resultados perjudiciales o desfavorables. Está expresamente prohibida por el Reglamento de IA cuando se utiliza de forma perjudicial. (Art. 5(1)(c))
Contenido generado o manipulado mediante IA que se asemeja a imágenes, audio o vídeo auténticos, pero que no es real. Los proveedores de sistemas que generan deep fakes deben garantizar que los resultados llevan una marca de identificación como contenido generado por IA. (Art. 50)
Capacidad de un sistema de IA de proporcionar información comprensible sobre cómo se han generado sus resultados o recomendaciones. Es un requisito de los sistemas de alto riesgo y un principio general del Reglamento, estrechamente vinculado al derecho de explicación del RGPD. (Considerando 71)
Sistema basado en machine learning y/o lógica y conocimientos basados en reglas, diseñado para generar resultados (predicciones, recomendaciones, decisiones, contenidos, etc.) que pueden influir en entornos físicos o virtuales. La definición se ajusta a la OCDE para garantizar coherencia internacional. (Art. 3(1))
Componente de un producto o un software que es independiente del producto y que cumple una función de seguridad del producto en cuestión, o un componente de seguridad de un sistema de IA. Los productos con componentes de seguridad que son sistemas de IA se clasifican como de alto riesgo bajo el Anexo I. (Art. 3(14))
Sistema formalizado que el proveedor de un sistema de IA de alto riesgo debe establecer, implementar, documentar y mantener, que incluye una estrategia de cumplimiento, procedimientos para gestión de riesgos, evaluación de conformidad, examen de la documentación técnica, gestión de incidentes y auditoría. (Art. 17)
Proceso continuo e iterativo que el proveedor de un sistema de IA de alto riesgo debe llevar a cabo a lo largo de todo el ciclo de vida del sistema, identificando y evaluando los riesgos conocidos y previsibles, estimando y evaluando los riesgos que pueden materializarse, y aplicando medidas de mitigación adecuadas. (Art. 9)
Documento que el proveedor de un sistema de IA de alto riesgo debe adjuntar al sistema, redactado de forma clara y en un idioma apropiado, que incluye la identidad del proveedor, las características del sistema, sus capacidades y limitaciones, las instrucciones para uso humano y las medidas de supervisión. (Art. 13)
Identificación o autenticación automatizada de personas físicas mediante su biometría. El reconocimiento biométrico se clasifica como de alto riesgo cuando se utiliza para identificar de forma unívoca a personas, salvo en casos específicos del Anexo III. El reconocimiento en tiempo real en espacios públicos para aplicación de la ley está prohibido (con excepciones del Art. 5). (Art. 3(33))
Asignación de personas físicas a categorías específicas, basada en sus datos biométricos, a menos que se utilice como parte de un sistema de identificación. La categorización biométrica que deduce datos sensibles (origen étnico, género, religión) está sujeta a restricciones del Art. 5. (Art. 3(35))
Sistema de IA que identifica o deduce emociones o intenciones de una persona física a partir de su comportamiento, expresiones faciales, voz u otros datos. El reconocimiento de emociones en el lugar de trabajo o en instituciones educativas está prohibido por el Art. 5, salvo para fines de seguridad o monitorización médica. (Art. 3(39))
Competencias, conocimientos y comprensión que permiten a los proveedores, deployers y personas físicas hacer un uso informado de los sistemas de IA, así como conocer los riesgos y beneficios asociados. Los proveedores y deployers deben garantizar la alfabetización en IA de su personal y personas que operan sistemas de IA bajo su responsabilidad. Obligación aplicable desde el 2 de febrero de 2025. (Art. 4)
Actividades sistemáticas que el proveedor de un sistema de IA de alto riesgo debe llevar a cabo para evaluar y documentar el cumplimiento continuo del sistema con el Reglamento a lo largo de su ciclo de vida, garantizando que sigue siendo conforme tras su comercialización. Debe incluir un plan de monitorización post-mercado. (Art. 72)
Sistema de IA diseñado para interactuar directamente con personas naturales (chatbots, asistentes virtuales). Está sujeto a obligaciones de transparencia del Art. 50: el usuario debe ser informado de que interactúa con un sistema de IA, salvo que sea obvio desde el contexto. (Art. 50(1))
Los sistemas de IA de alto riesgo que ya estaban en el mercado o en servicio antes del 2 de agosto de 2026 deben cumplir con las obligaciones del Reglamento antes del 2 de agosto de 2027. Los sistemas de IA de alto riesgo del Anexo I que ya estaban en el mercado antes del 2 de agosto de 2027 deben cumplir antes del 2 de agosto de 2030. (Art. 96)
Multas que las autoridades nacionales competentes pueden imponer por incumplimiento del Reglamento. Niveles: (1) hasta 35M € o 7% de facturación para prácticas prohibidas; (2) hasta 15M € o 3% para incumplimiento de obligaciones de alto riesgo u otras obligaciones; (3) hasta 7,5M € o 1,5% para información incorrecta a autoridades. Para PYMEs y startups, se aplica el importe absoluto inferior. (Art. 99)
Organismo nacional de evaluación de la conformidad designado por un Estado miembro para llevar a cabo procedimientos de evaluación de conformidad de terceros. Solo se requiere evaluación por organismo notificado para sistemas de IA de alto riesgo que utilizan biometría y ciertos sistemas críticos del Anexo III. La mayoría de sistemas de alto riesgo pueden usar el procedimiento interno. (Art. 43, Art. 31-33)
Clasificamos tu sistema de IA, evaluamos los requisitos aplicables y te acompañamos en todo el proceso de cumplimiento normativo.
Evaluar cumplimiento →