IA de riesgo mínimo

La mayoría de los sistemas de inteligencia artificial que usamos a diario no evalúan riesgos, no toman decisiones sensibles ni alteran derechos. Operan en segundo plano, ejecutando funciones específicas con un impacto casi nulo sobre la persona. A esta categoría pertenecen los sistemas de riesgo mínimo, tal y como los reconoce el Reglamento de Inteligencia Artificial (RIA).

Motores de búsqueda, filtros antispam o algoritmos que organizan contenidos, sin perfilado personal, son ejemplos habituales de esta categoría.

El RIA no los ignora, pero decide no imponerles obligaciones específicas, precisamente porque su uso no plantea problemas jurídicos relevantes ni afecta a la seguridad o la salud.

En este artículo abordamos qué se considera una IA de riesgo mínimo, por qué se excluye del núcleo regulatorio del RIA, y qué aspectos conviene tener en cuenta, incluso en ausencia de exigencias formales.

1. ¿Qué se considera un sistema de IA de riesgo mínimo?

El Reglamento de Inteligencia Artificial (RIA) reconoce que no todos los sistemas automatizados requieren control normativo. Algunos, por su naturaleza y funcionalidad, no interfieren en la esfera jurídica del usuario, ni afectan a su seguridad, salud o derechos fundamentales. Son sistemas cuyo impacto se considera insignificante o meramente instrumental.

La categoría de riesgo mínimo comprende, por tanto, aquellos sistemas de IA cuyo uso no genera efectos jurídicos ni influye en decisiones relevantes para el individuo o el interés público. No emiten recomendaciones vinculantes, no toman decisiones automatizadas con consecuencias directas y no interactúan de forma sensible con el usuario.

Como ejemplos representativos podemos encontrar:

• Filtros de correo no deseado que clasifican mensajes sin bloquear el acceso.
• Motores de búsqueda que ofrecen resultados sin perfilado individual.
• Sistemas de clasificación simple de contenidos, como ordenación alfabética o por fecha.
• Algoritmos de recomendación básicos que funcionan sin personalización avanzada ni inferencia conductual.

La clave para entender esta categoría reside en su grado de incidencia práctica, no en la complejidad técnica del sistema: si la IA no influye en una decisión que afecte a una persona, ni condiciona el acceso a servicios o derechos, se considera de riesgo mínimo.

2. ¿Por qué se permite sin obligaciones?

El RIA se construye sobre un principio central: la regulación debe ser proporcional al nivel de riesgo que presenta el sistema de inteligencia artificial.

Por lo que si el riesgo es nulo o irrelevante, no hay justificación para imponer requisitos técnicos, evaluaciones ni mecanismos de supervisión.

Los sistemas de riesgo mínimo encajan en esta lógica. No alteran derechos, no toman decisiones sensibles, ni generan un efecto adverso en la esfera jurídica del usuario. Por tanto, intervenir normativamente sobre ellos sería innecesario y desproporcionado.

Este enfoque responde también a una voluntad clara del legislador europeo: evitar una sobrecarga regulatoria que dificulte la innovación, especialmente en entornos donde la IA cumple funciones operativas, técnicas o puramente auxiliares.

Se trata de proteger lo necesario, pero sin condicionar el desarrollo de herramientas que, por sí mismas, no implican un riesgo jurídico real.

El RIA opta así por no intervenir cuando el sistema cumple una función neutral o mecánica, reforzando una lectura flexible del principio de legalidad tecnológica, por el que sólo se regula lo que puede producir un impacto.

3. ¿Hay obligaciones para esta categoría?

Los sistemas de inteligencia artificial de riesgo mínimo no están sujetos a ninguna de las obligaciones materiales previstas en el RIA. No requieren evaluación de conformidad, documentación técnica, transparencia ni supervisión humana. A fortiori, tampoco deben ser registrados ni sometidos a vigilancia específica.

Esta exclusión no es un vacío legal, sino una decisión deliberada del legislador, basada en la idea de que estos sistemas no alteran derechos, ni generan exposición a daños. Su diseño, comercialización y su uso no requieren intervención por parte del marco normativo europeo sobre IA.

Ahora bien, que el RIA no imponga obligaciones directas no significa que estos sistemas estén exentos de responsabilidad jurídica. En su desarrollo y uso pueden seguir siendo aplicables otras normativas horizontales, como por ejemplo:

• El Reglamento General de Protección de Datos (RGPD), si el sistema trata datos personales.
• La normativa sobre consumidores y usuarios, si la IA se emplea en entornos comerciales.
• Las reglas de competencia, publicidad o transparencia sectorial, en función del contexto.

En este sentido, aunque no se requiera una adaptación específica al RIA, la diligencia técnica y jurídica sigue siendo relevante. Especialmente en casos donde el sistema pueda evolucionar, combinarse con otros elementos o integrarse en procesos más complejos que sí entren dentro del ámbito regulado.

4. Ejemplos prácticos de IA de riesgo mínimo

Identificar cuándo un sistema de IA pertenece a esta categoría exige analizar su función y el contexto en el que se utiliza, además, de su impacto sobre el usuario. El RIA no ofrece una lista cerrada, pero sí admite de forma expresa que algunos sistemas, por su diseño y finalidad, pueden considerarse de riesgo mínimo.

Algunos ejemplos habituales que nos ayudarán a comprender mejor esta categoría son:

• Los filtros antispam que clasifican correos sin eliminarlos ni impedir su acceso.
• Los motores de búsqueda generales que ordenan información sin personalización ni inferencias sobre el usuario.
• Los sistemas de ordenación no personalizados, como listas por orden alfabético, cronológico o categórico.
• Las herramientas de ayuda a la navegación, como sugerencias automáticas de búsqueda o autocompletado.
• La IA utilizada para funciones internas de mantenimiento técnico o diagnóstico de sistemas.

En todos estos casos, el elemento común es la ausencia de efecto jurídico o práctico significativo sobre el usuario. No hay una toma de decisión automatizada que afecte derechos, ni una interacción directa que requiera transparencia o supervisión.

En contraste con otras categorías:

• Un sistema de recomendación que personaliza contenidos en función del comportamiento del usuario puede considerarse de riesgo limitado si influye en decisiones de consumo.
• Una herramienta de clasificación automatizada que evalúa a una persona en un proceso educativo, laboral o financiero podría ser calificada como IA de alto riesgo.

Además, es importante tener en cuenta que un sistema inicialmente de riesgo mínimo puede dejar de serlo si:

• Se modifica su finalidad.
• Se combina con otros sistemas que amplifican su efecto.
• Se despliega en un contexto que conocemos como sensible (como en la atención sanitaria, la justicia o la educación).

Por eso, el análisis debe ser continuo, y revisado conforme evoluciona el uso del sistema.

5. Consideraciones finales

La categoría de riesgo mínimo representa el umbral más bajo dentro del enfoque regulatorio del RIA. Su existencia no implica una omisión, sino una decisión deliberada de no intervenir donde el riesgo es insignificante o inexistente. Esta es una expresión directa del principio de proporcionalidad que inspira todo el Reglamento.

Aunque estos sistemas no estén sujetos a obligaciones específicas bajo el RIA, su correcta identificación y delimitación sigue siendo esencial. Clasificar erróneamente un sistema puede generar incumplimientos no previstos, especialmente si con el tiempo adquiere nuevas funcionalidades o se integra en contextos más sensibles.

Por otro lado, la ausencia de requisitos regulatorios no exime de responsabilidad frente a otros marcos normativos aplicables, ni ante los posibles efectos reputacionales que puedan derivarse de un uso negligente o opaco.

Esta categoría funciona como base del ecosistema de la inteligencia artificial en la Unión Europea: permite el despliegue de tecnologías útiles y de bajo impacto sin obstáculos innecesarios, pero sin perder de vista la necesidad de una supervisión mínima, técnica y jurídica, cuando las condiciones de uso así lo requieran.

Incluso cuando un sistema se clasifica como de riesgo mínimo, es recomendable contar con asesoramiento jurídico para anticipar posibles cambios funcionales, asegurar su correcta clasificación y evitar responsabilidades indirectas. Para ello, puedes apoyarte en abogados expertos en regulación de la inteligencia artificial.