Saltar al contenido
GS · LAB · 04

Cuándo se activa el gobierno del dato

Segunda de tres piezas sobre el Reglamento (UE) 2024/1689.
Leído sobre el texto consolidado a 27 de julio de 2026, que incorpora el Ómnibus digital.

Nota

Lo que dice la ley va citado, con su artículo; los artículos al margen dicen de dónde sale cada apartado. Lo demás es nuestro. El rojo es lo que señalamos.

La ley no obliga al gobierno del dato. Obliga a la pregunta.

La pieza anterior decía qué exige el Reglamento a los datos. Esta dice cuándo: qué IA lo activa, en qué momento, y qué excepciones tiene. Diez preguntas y un calendario.

El Reglamento no regula la IA: regula usos Una misma técnica puede estar prohibida, ser de alto riesgo, deber solo transparencia o no deber nada, según para qué se use y sobre quién. Las obligaciones sobre datos van casi todas en el segundo nivel. Saber en qué nivel estás es la primera decisión de gobierno del dato que toma una organización, y suele tomarla sin saberlo.

02 · Niveles

Cuatro niveles y uno aparte

Arts. 4, 5, 6, 50, 95 · Anexos I y III · arts. 51–55

Cuatro niveles de riesgo

Art. 5ProhibidoDiez prácticas. Manipular, explotar vulnerabilidades, puntuar socialmente, predecir delitos por perfil, inferir emociones en el trabajo o en la escuela, identificar a personas por biometría en tiempo real en espacios públicos con fines policiales, imágenes íntimas sin consentimiento, material de abuso infantil. Y dos sobre el origen del dato: crear bases faciales por extracción masiva, y deducir raza, religión u orientación de la biometría.sin datos que gobernar
Art. 6Alto riesgoDos vías. Componente de seguridad de un producto regulado (Anexo I). O uno de ocho ámbitos por uso (Anexo III): biometría, infraestructuras críticas, educación, empleo, crédito y servicios esenciales, policía, migración, justicia y elecciones.todo el gobierno del dato
Art. 50TransparenciaSistemas que hablan con personas, generan contenido sintético, reconocen emociones o producen ultrafalsificaciones. Obligan sobre las salidas: marcar, avisar, informar.solo salidas
Art. 95MínimoTodo lo demás. Sin requisitos propios: solo códigos de conducta voluntarios. La alfabetización del personal no está aquí sino en el artículo 4, y obliga a todos, en cualquier nivel.solo alfabetización
51–55Modelos de uso generalUn nivel aparte, por capa y no por uso. Documentan la procedencia de sus datos y publican un resumen del entrenamiento. Con riesgo sistémico a partir de 10²⁵ operaciones de entrenamiento, o si la Comisión lo decide mirando, entre otras cosas, la calidad y el tamaño de sus datos.procedencia pública

Solo el segundo nivel activa el gobierno del dato entero. El primero lo prohíbe, el tercero mira las salidas y el cuarto no mira nada. Fuera del alto riesgo, la ley confía en que la organización se gobierne sola.

03 · El árbol

Diez preguntas, en orden

Cada una remite a su artículo. Se contestan antes de comprar, construir o desplegar.

Para saber en qué nivel estás

  1. ¿Infiere de lo que recibe cómo producir lo que devuelve? Si no, no es IA y la ley no aplica (art. 3.1).
  2. ¿Es uso personal, militar, o investigación que no sale al mercado? Fuera (art. 2). La prueba en condiciones reales no está fuera.
  3. ¿Hace alguna de las diez prácticas prohibidas? No se puede (art. 5).
  4. ¿Es componente de seguridad de un producto con evaluación de terceros? Alto riesgo por el Anexo I, desde agosto de 2028. Asistencia, rendimiento, comodidad y control de calidad no cuentan como seguridad (art. 6.1 bis).
  5. ¿Está en uno de los ocho ámbitos del Anexo III? Si no, salta a la 7.
  6. ¿Cabe en una de las cuatro excepciones y no perfila personas? Entonces no es alto riesgo, pero hay que documentar por qué y registrarse (arts. 6.3, 6.4, 49.2). Si no cabe: alto riesgo, desde diciembre de 2027, y se activa todo.
  7. ¿Habla con personas, genera contenido, reconoce emociones o falsifica? Transparencia sobre las salidas, desde agosto de 2026 (art. 50).
  8. ¿Integras un modelo de uso general? Tienes derecho a la información sobre sus datos, y la necesitas para tu propia ficha (art. 53.1.b, Anexo XII).
  9. ¿Lo haces tú, o lo usas? Hacerlo, encargarlo con tu marca, modificarlo sustancialmente, cambiarle la finalidad o usarlo para ti te convierte en proveedor (arts. 3.11, 25). Usarlo, en responsable del despliegue (art. 26).
  10. ¿Desde cuándo? Un sistema nuevo, en la fecha de su nivel. Uno que ya estaba en uso, solo si cambia de diseño; en la administración, antes de agosto de 2030 (art. 111).
FIG. 01 Dónde se activa 1 · ¿Infiere? Art. 3.1 2 · ¿Prohibida? Art. 5 3 · ¿Producto regulado o ámbito del Anexo III? Art. 6, Anexos I y III 4 · ¿Cabe en una excepción y no perfila personas? Art. 6.3 5 · ¿La haces o la usas? Arts. 3.11, 25, 26 No → fuera No es IA. Reglas fijas, estadística clásica, automatización sin inferencia. Sí → no se puede Dos de las diez prohibiciones son sobre cómo se consiguen los datos. No → transparencia o mínimo Marcar salidas si genera o habla con personas (art. 50). Si no, nada obligatorio. Sí → no es alto riesgo, con condición Documentar por qué antes de salir al mercado, y registrarse (arts. 6.4, 49.2). Alto riesgo → se activa todo Haces: art. 10 entero. Usas: datos de entrada, vigilancia, registros (art. 26). Desde dic 2027 (Anexo III) o ago 2028 (Anexo I).
Figura 1 · El recorrido se lee de arriba abajo y cada pregunta tiene un resultado a la derecha. Solo la última activa el gobierno del dato entero; la cuarta no lo activa, pero obliga a explicar por qué.
04 · Excepciones

Donde la IA va primero

Arts. 6.3, 6.4, 49.2, 6.1 bis

Las cuatro excepciones del alto riesgo

El proveedor que considere que un sistema de IA contemplado en el anexo III no es de alto riesgo documentará su evaluación antes de que dicho sistema sea introducido en el mercado o puesto en servicio. […] A petición de las autoridades nacionales competentes, el proveedor facilitará la documentación de la evaluación.

Art. 6.4

El Anexo III tiene excepciones Un sistema de uno de los ocho ámbitos no es de alto riesgo si no influye de forma sustancial en la decisión, y la ley da cuatro casos: hace una tarea de procedimiento limitada; mejora el resultado de algo que ya hizo una persona; detecta patrones o desviaciones sin sustituir la valoración humana; o prepara una evaluación que hará otro. Con un cierre: si elabora perfiles de personas, siempre es alto riesgo.

Las cuatro excepciones describen exactamente los pilotos, los asistentes y los detectores con los que la mayoría de las organizaciones empiezan. Y las cuatro exigen lo mismo: documentar antes de salir al mercado por qué el sistema no es de alto riesgo, y registrarlo. No se puede explicar por qué un sistema solo prepara o solo señala sin decir qué datos consume y para qué. La ley no activa el gobierno del dato, pero sí su primera pregunta.

El Ómnibus añadió una quinta excepción, para el Anexo I: asistencia al usuario, optimización del rendimiento, eficiencia, automatización, comodidad y control de calidad no son componentes de seguridad, salvo que su fallo ponga en peligro la salud. Saca del alto riesgo mucha IA industrial.

05 · Momentos

Lo que activa, reinicia o traslada

Arts. 3.11, 3.23, 25, 111

Los momentos que cambian quién responde

3.11Usarlo para tiPoner en servicio para uso propio es poner en servicio. Quien construye IA para sí mismo es proveedor.activa
3.23Cambiarlo de forma sustancialUn cambio no previsto en la evaluación inicial que afecte al cumplimiento o a la finalidad reinicia todo. Quien lo hace pasa a ser proveedor.reinicia
25.1Cambiarle la finalidad, o ponerle tu marcaUn sistema de uso general llevado a un uso de alto riesgo convierte en proveedor a quien lo lleva. La marca propia también, salvo pacto escrito.traslada
25.2El proveedor inicial se apartaDeja de serlo, pero entrega documentación, límites conocidos, modos de fallo y acceso técnico para probar. Salvo que hubiera prohibido por escrito ese uso.traslada
111Ya estaba en usoSolo entra si cambia de diseño de forma significativa. La administración pública, en cualquier caso antes de agosto de 2030.aplaza

La responsabilidad sobre los datos no va con el fichero ni con el código: va con el nombre, la finalidad y el uso. Cambiar cualquiera de los tres la mueve.

06 · Espacios

Donde se experimenta antes de cumplir

Arts. 2.6, 2.8, 2.12, 57–61

Ojo

Cada Estado tendrá al menos un espacio controlado de pruebas antes del 2 de agosto de 2027, gratuito para pymes.

Cuatro lugares donde la IA va antes que el dato, por diseño

2.6 · 2.8Investigación y desarrolloFuera de la ley mientras no salga al mercado. La prueba en condiciones reales sí está dentro.sin condiciones
2.12Código abiertoFuera, salvo alto riesgo, prohibido o transparencia. Los modelos abiertos siguen publicando el resumen de sus datos de entrenamiento.casi sin condiciones
57–59Espacio controlado de pruebasDesarrollar, entrenar y probar bajo supervisión, con plan y tiempo limitado. A cambio: entorno aislado, acceso restringido, registros, borrado al terminar. El informe de salida sirve después para demostrar conformidad.con condiciones de datos
60 · 61Prueba en condiciones realesHasta seis meses, prorrogables, con plan aprobado, registro y consentimiento informado. Los datos no salen a terceros países sin garantías; el participante puede retirarse y pedir el borrado.con condiciones de datos

Es la versión legal de «primero el piloto, luego el gobierno», con las condiciones escritas: aislar, restringir, registrar, borrar. Son las mismas que el gobierno del dato pedirá después; aquí llegan antes y a cambio de algo.

07 · Cuándo

Seis fechas y una que se movió

Art. 113 · Reg. (UE) 2026/1744

El calendario

El texto de 2024 decía agosto de 2026 El Ómnibus de julio lo movió. El artículo 10, el que activa el gobierno del dato, no obliga hasta el 2 de diciembre de 2027; y hasta agosto de 2028 para los productos regulados. Lo que sí está en vigor es todo lo demás: prohibiciones, alfabetización, modelos de uso general, transparencia, espacios de prueba y la base de datos pública.

FIG. 02 El calendario Lo que ya obliga, en negro. Lo que se movió, en rojo. ÓMNIBUS · JUL 2026 feb 25ago 25ago 26dic 27ago 28ago 30 ProhibidoAlfabetización Modelos deuso general TransparenciaEspacios de pruebaBase de datos UE Alto riesgoAnexo IIIart. 10 Alto riesgoAnexo I Ya en usopúblicos
Figura 2 · El artículo 113 tras el Ómnibus. Las fechas son del día 2 de cada mes. Las prohibiciones nuevas sobre imágenes íntimas aplican desde el 2 de diciembre de 2026.
08

Al cerrar

Anterior: Lo que la ley de la IA le pide a tus datos.
Sigue: Lo que la ley de la IA no dice.

Qué decidimosLeer del Reglamento solo lo que decide si, cuándo y para quién se exige algo a los datos, y dejar fuera la maquinaria de conformidad, sanciones y organismos. Dibujar el árbol como recorrido vertical con un resultado por pregunta.

Dónde no estamos segurosLas directrices de la Comisión sobre el artículo 6, con ejemplos de qué es y qué no es alto riesgo, cambiarían las excepciones y no las hemos incorporado. Que la IA que clasifica, limpia o etiqueta datos quede fuera del alto riesgo por «control de calidad» o «tarea preparatoria» es lectura nuestra, no letra de la ley.

Qué lo tumbaríaQue en un caso real haya que abrir un artículo que este recorrido dejó fuera para saber en qué nivel está el sistema. O una consolidación posterior al 27 de julio de 2026 que mueva una fecha.