IA de riesgo limitado

En muchas ocasiones, la inteligencia artificial opera sin que el usuario lo perciba.  Un mensaje automático, una sugerencia de contenido o una respuesta conversacional pueden parecer neutras, pero están generadas por sistemas complejos que influyen, aunque sea de forma indirecta, en nuestras decisiones, nuestras preferencias o nuestras percepciones.

El Reglamento de Inteligencia Artificial (RIA) se ocupa de los escenarios de mayor impacto o riesgo extremo, pero también dedica una atención específica a los sistemas de IA de riesgo limitado que, sin llegar a comprometer directamente la seguridad o los derechos fundamentales, interactúan con las personas y pueden inducir a error o confusión si no son identificables como IA.

Estos son los denominados sistemas de riesgo limitado, y su regulación gira en torno a una idea central: transparencia funcional. Es decir, el usuario debe saber que está interactuando con una inteligencia artificial.

Este artículo analiza qué implica esta categoría, qué usos incluye y qué obligaciones comporta para quienes diseñan, integran o despliegan este tipo de sistemas.

1. ¿Qué se entiende por sistema de IA de riesgo limitado?

El RIA no define esta categoría de IA de riesgo limitado mediante una lista cerrada de aplicaciones, sino más bien, los define por el tipo de interacción que el sistema mantiene con el usuario. Se trata de sistemas que no afectan de forma directa la seguridad ni el ejercicio de derechos fundamentales, pero que pueden inducir a error si no se informa adecuadamente de su naturaleza automatizada.

Son sistemas que actúan en entornos accesibles al público, generan contenidos, o mantienen una comunicación que puede confundirse con una persona física. Su riesgo no reside tanto en la decisión que toman, sino en la falta de percepción de que se trata de una inteligencia artificial.

Esta categoría incluye, por ejemplo:

• Chatbots que simulan conversaciones humanas.
• Asistentes virtuales integrados en servicios públicos o privados.
• Sistemas que generan textos, imágenes, vídeos o audios sintéticos.
• Plataformas que recomiendan productos o contenidos en función del perfil del usuario.

Lo que todos ellos tienen en común es que, sin medidas adecuadas de transparencia, pueden provocar una falsa impresión de neutralidad, imparcialidad o intervención humana.

Por eso, el RIA impone en estos casos obligaciones informativas específicas, cuyo objetivo es sencillo: que el usuario sepa que está interactuando con una máquina, y pueda decidir con conocimiento si continuar o no con esa interacción.

2. ¿Por qué el RIA regula la IA de riesgo limitado?

La inteligencia artificial no siempre interviene en procesos críticos ni sustituye decisiones humanas complejas. Pero incluso en los contextos más cotidianos, su uso puede condicionar el comportamiento del usuario si éste no es consciente de estar interactuando con un sistema automatizado.

El legislador europeo ha entendido que esta asimetría de información genera un riesgo, aunque sea limitado: el de actuar, responder o confiar en la interacción creyendo que está mediada por una persona o que el contenido tiene origen humano. Ese riesgo, por pequeño que sea, se agrava si la IA genera imágenes, textos o sonidos indistinguibles de los reales, o si responde en tiempo real como si fuera un operador humano.

La respuesta normativa no es la restricción, ni la evaluación previa, como sucede en otras categorías de riesgo, sino la transparencia mínima necesaria. El RIA opta por exigir que el usuario esté informado de forma clara, oportuna y comprensible de que está interactuando con un sistema de inteligencia artificial.

Este enfoque busca preservar la autonomía del usuario, garantizar la libertad de elección y evitar efectos engañosos. Es una forma de regulación aparentemente ligera, pero jurídica y técnicamente vinculante, que responde al principio de proporcionalidad que estructura todo el Reglamento.

3. Obligaciones específicas en IA de riesgo limitado: transparencia e información

Los sistemas de IA clasificados como de riesgo limitado no están sujetos a evaluación de conformidad ni a requisitos técnicos complejos, pero sí deben cumplir la obligación fundamental de informar al usuario de que está interactuando con una inteligencia artificial.

Esta exigencia aparece en el artículo 50 del RIA, que establece una serie de deberes de transparencia activa para determinados usos. El objetivo es evitar que el usuario confunda la IA con un ser humano o atribuya a su intervención un valor erróneo.

Los supuestos que activan esta obligación informativa son, entre otros:

• Interacciones conversacionales automatizadas, como chatbots o asistentes virtuales.
• Generación de contenidos audiovisuales sintéticos, como textos, imágenes, vídeos o voces creadas por IA.
• Recomendaciones personalizadas de productos, contenidos o servicios, especialmente cuando influyen en la toma de decisiones del usuario.

En todos estos casos, el proveedor o el responsable del despliegue del sistema debe garantizar que el usuario:

• Sea informado de forma clara, comprensible y antes de iniciar la interacción.
• Pueda identificar fácilmente que se trata de una IA, sin necesidad de conocimientos técnicos.
• Disponga de elementos suficientes para decidir si desea continuar con la interacción.

Para cumplir con esta obligación no basta con un aviso genérico, sino que ésta debe ser integrada en el diseño del sistema, de forma accesible y coherente al canal o entorno en el que se produce la interacción.

Este tipo de transparencia fomenta el uso de la IA, sin dejar de garantizar la autonomía del usuario y evitar efectos engañosos o manipulativos derivados de una apariencia humana artificial.

4. ¿Qué información debe comunicarse al usuario?

El RIA lejos de imponer una fórmula única o una plantilla cerrada para cumplir con el deber de transparencia en los sistemas de riesgo limitado, establece un estándar mínimo: el usuario debe conocer, ser informado y entender, antes de interactuar o tomar una decisión concreta, que está tratando con una inteligencia artificial.

La información debe cumplir tres condiciones esenciales:

• Claridad: Entendiendo que el mensaje debe ser comprensible por cualquier persona, sin tecnicismos que aumenten su complejidad.
• Visibilidad: El mensaje ha de ser presentado de forma destacada, en el momento oportuno y sin requerir de acciones adicionales para acceder a él.
• Pertinencia: Además, el mensaje debe también estar adaptado al tipo de sistema, al canal en el que se utiliza y al público al que va dirigido.

No resulta suficiente la inclusión de una mención en los términos y condiciones, ni situar la advertencia en apartados poco accesibles, en este caso la transparencia debe estar integrada en la experiencia del usuario, como parte del diseño funcional del sistema.

Como ejemplos de cumplimiento del deber informativo encontramos:

• Un chatbot que inicia la conversación con un mensaje como: “Estás hablando con un asistente virtual, no con una persona.”
• Una herramienta de generación de texto o imagen que informa al usuario: “Este contenido ha sido creado por un sistema de inteligencia artificial.”
• Una plataforma de contenidos que señala: “Estas recomendaciones se generan mediante un sistema automatizado basado en tu actividad.”

La finalidad es además de informativa, habilitadora, ya que permite que el usuario identifique la naturaleza del sistema y tome decisiones con autonomía. Ésta es la lógica que sustenta toda la categoría de riesgo limitado.

5. ¿Quién es responsable de cumplir estas obligaciones?

El deber de transparencia en los sistemas de inteligencia artificial de riesgo limitado no recae exclusivamente en el desarrollador. El RIA, en este caso, distribuye la responsabilidad entre distintos operadores, dependiendo de su papel en el ciclo de vida del sistema.

La norma distingue principalmente entre:

• Proveedores: Serán quienes desarrollan o comercializan el sistema de IA.
• Desplegadores (deployers): Aquellos que utilizan el sistema en su actividad profesional o lo integran en servicios dirigidos a terceros.
• Importadores y distribuidores: Comprendiendo a los agentes que introducen el sistema en el mercado europeo o lo ponen a disposición de usuarios.

En la mayoría de los casos, la obligación de garantizar la transparencia recae en quien controla la interacción con el usuario.
Es decir, si el sistema en cuestión se implementa en un canal accesible al público (como una web, aplicación o servicio digital), será el desplegador quien deberá asegurarse de que se informa adecuadamente de que se trata de una IA.

Sin embargo, el proveedor también tiene un rol activo: deberá facilitar los medios técnicos, instrucciones o herramientas que permitan cumplir con esta obligación, incluso si no es él quien opera el sistema directamente.

Un ejemplo práctico que nos ayudará a comprender mejor esta casuística:

• Un desarrollador crea un motor de recomendación para tiendas online.
• Una empresa lo integra en su plataforma de comercio electrónico.
• En esta ocasión el deber de mostrar al usuario que las recomendaciones son generadas por IA corresponderá al comerciante (desplegador), pero el proveedor debe haber documentado cómo hacerlo correctamente.

Este reparto de funciones responde a la lógica general del Reglamento: cada operador debe asumir responsabilidades proporcionales a su capacidad de influencia sobre el sistema y su uso real.

6. ¿Hay sanciones por incumplimiento en sistemas IA de riesgo limitado?

Aunque los sistemas de riesgo limitado están sujetos a un régimen menos exigente que los de alto riesgo, el incumplimiento de sus obligaciones de transparencia no queda exento de consecuencias jurídicas. El RIA incorpora esta categoría dentro de su marco sancionador general, regulado en el Título VII.

El artículo 99 establece las infracciones y sanciones aplicables, distinguiendo según la gravedad del incumplimiento. En el caso de los sistemas de riesgo limitado, el foco está en la falta de información clara y previa al usuario sobre la naturaleza del sistema.

Las multas pueden alcanzar hasta diez millones de euros o el 2 % del volumen de negocio anual global del infractor, si éste es una empresa.

El importe se determinará atendiendo a criterios como:

• La duración y alcance del incumplimiento.
• El número de las personas afectadas.
• El carácter reiterado o negligente de la infracción.
• Las medidas adoptadas para corregir o mitigar los efectos.

Para ejemplificar los podemos pensad en un chatbot implementado por una empresa en su servicio de atención al cliente que no informa al usuario de que se trata de una IA. Si se detectase que esta omisión es sistemática y está afectando a miles de usuarios, la empresa puede ser objeto de investigación y sanción por parte de la autoridad competente.

El régimen sancionador tiene una función disuasoria y correctiva, pero también educativa: busca que los operadores integren desde el diseño medidas adecuadas de transparencia, evitando el riesgo de engaño, confusión o pérdida de confianza por parte del usuario.

7. Consideraciones finales

La inteligencia artificial de riesgo limitado no plantea retos técnicos complejos, ni exige certificaciones ni controles reforzados. Sin embargo, esto no la convierte en una categoría menor. Su impacto se mide en términos de percepción, de confianza y de autonomía del usuario, especialmente cuando la IA opera de forma invisible o imita las capacidades humanas.

En esta materia, el enfoque adoptado por el RIA es más informativo que restrictivo.
La exigencia de transparencia no limita en ningún caso el uso de estos sistemas de riesgo limitado, pero si les obliga a comunicar su presencia de forma clara, comprensible y contextualizada. Esto es especialmente relevante en sectores como el comercio electrónico, la atención al cliente, los contenidos digitales o la comunicación institucional automatizada.

Aplicar correctamente estas obligaciones evita riesgos legales y contribuye a generar entornos más confiables, donde el usuario puede interactuar con herramientas de IA con conocimiento, control y verdadera autonomía.

Si quieres asegurarte de cumplir con las obligaciones que impone el Reglamento de Inteligencia Artificial, o necesitas apoyo en el diseño e implementación de soluciones jurídicas adaptadas a tus sistemas de IA, no dudes en contactar con los abogados expertos en inteligencia artificial fiable.