Glosario EU AI Act — Términos del Reglamento (UE) 2024/1689

Referencia técnica y educativa con más de 147 términos del EU AI Act: GPAI, deployer, proveedor, alto riesgo, AI Literacy, transparencia, supervisión humana y más.

Sistema de IA

Sistema basado en máquinas que, para objetivos explícitos o implícitos, infiere, a partir de la información que recibe, cómo generar resultados como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales.

Proveedor

Persona física o jurídica, autoridad pública, agencia u otro organismo que desarrolla un sistema de IA o un modelo de IA de uso general, o para el que se desarrolla, y lo introduce en el mercado o pone en servicio con su propio nombre o marca, previo pago o gratuitamente.

Deployer (responsable del despliegue)

Persona física o jurídica, autoridad pública, agencia u otro organismo que utiliza un sistema de IA bajo su autoridad, excepto cuando el sistema se usa en el curso de una actividad personal no profesional. Es el actor que despliega la IA en un contexto operativo real.

Distribuidor

Persona física o jurídica en la cadena de suministro, distinta del proveedor o importador, que comercializa un sistema de IA sin alterar sus propiedades.

Importador

Persona física o jurídica establecida en la Unión que introduce en el mercado un sistema de IA que lleva el nombre o marca de una persona física o jurídica establecida fuera de la Unión.

Representante autorizado

Persona física o jurídica establecida en la Unión que ha recibido un mandato escrito de un proveedor de un sistema de IA para actuar en su nombre respecto a las obligaciones del Reglamento.

Riesgo inaceptable

Sistemas de IA que contravienen los valores de la Unión por vulnerar derechos fundamentales. Están completamente prohibidos por el Art. 5 del Reglamento.

Alto riesgo

Sistemas de IA que presentan un riesgo significativo para la salud, seguridad o derechos fundamentales de las personas. Están sujetos a obligaciones estrictas de conformidad, documentación técnica, supervisión humana y registro.

Riesgo limitado

Sistemas de IA con obligaciones específicas de transparencia, como chatbots, sistemas que generan contenido sintético o deepfakes. Deben informar al usuario de que interactúa con IA.

Riesgo mínimo

La mayoría de sistemas de IA que no presentan riesgos significativos. Sin requisitos específicos más allá de la alfabetización en IA (Art. 4), aunque se fomenta la autorregulación mediante códigos de conducta voluntarios.

Prácticas prohibidas

Sistemas de IA con riesgo inaceptable que están completamente prohibidos en la UE. Incluyen manipulación subliminal, explotación de vulnerabilidades, social scoring, policía predictiva individual, reconocimiento de emociones en el trabajo y categorización biométrica sensible.

Manipulación subliminal

Técnicas subliminales más allá de la conciencia de una persona para distorsionar materialmente su comportamiento de manera que cause o pueda causar un daño significativo.

Explotación de vulnerabilidades

Sistemas de IA que explotan vulnerabilidades de grupos específicos (edad, discapacidad, situación social o económica) para distorsionar materialmente su comportamiento de un modo perjudicial.

Social scoring (puntuación social)

Evaluación o clasificación de personas físicas o colectivos de personas, por entidades públicas o privadas, basada en su comportamiento social o características personales conocidas, inferidas o predichas, que resulte en un trato perjudicial o desfavorable en contextos no relacionados con aquellos en que se recabaron los datos, o injustificado o desproporcionado.

Policía predictiva individual

Sistemas de IA que evalúan el riesgo de que una persona física cometa una infracción penal basándose únicamente en su perfil o características personales, sin indicios objetivos.

Reconocimiento de emociones en el trabajo

Sistemas de IA que reconocen o infieren emociones de personas físicas en el lugar de trabajo o en instituciones educativas, salvo excepciones por razones médicas o de seguridad debidamente justificadas.

Categorización biométrica sensible

Sistemas de IA que categorizan personas basándose en datos biométricos para inferir o deducir raza, opiniones políticas, afiliación sindical, creencias religiosas, vida sexual u orientación sexual.

Identificación biométrica

Reconocimiento automatizado de características físicas, fisiológicas o conductuales humanas con el fin de establecer la identidad de una persona. La identificación biométrica remota es alto riesgo según el Anexo III, punto 1.a (excluida la verificación de identidad).

Infraestructura crítica

Sistemas de IA utilizados como componentes de seguridad en la gestión y operación de infraestructuras digitales críticas, tráfico rodado, suministro de agua, gas, calefacción y electricidad.

Educación y formación profesional

Sistemas de IA para determinar el acceso o asignación a instituciones educativas, evaluar resultados de aprendizaje, detectar comportamiento prohibido de estudiantes o evaluar el nivel apropiado de educación.

Empleo y recursos humanos

Sistemas de IA para publicar anuncios de empleo dirigidos, analizar y filtrar solicitudes, evaluar candidatos, tomar decisiones de contratación, promoción, terminación o asignación de tareas basadas en perfiles.

Servicios esenciales

Sistemas de IA para evaluar la elegibilidad de personas para servicios esenciales públicos y privados, incluyendo credit scoring, seguros de vida y salud, asistencia sanitaria y prestaciones sociales.

Aplicación de la ley

Sistemas de IA utilizados por autoridades de aplicación de la ley para evaluación del riesgo de ser víctima de delitos o de cometer un delito o reincidir, polígrafos, evaluación de la fiabilidad de las pruebas y elaboración de perfiles.

Migración y asilo

Sistemas de IA para evaluar solicitudes de asilo, visados, permisos de residencia, detectar, reconocer o identificar a personas (salvo la verificación de documentos de viaje), evaluar riesgos de seguridad o determinar situación de irregularidad migratoria.

Administración de justicia y democracia

Sistemas de IA para asistir a autoridades judiciales en investigación e interpretación de hechos y la ley, y en la aplicación de la ley a hechos concretos. También incluye sistemas que influyen en resultados electorales o de referéndum.

GPAI (IA de propósito general)

Modelo de IA entrenado con grandes cantidades de datos a gran escala, diseñado para la generalidad de resultados y capaz de realizar competentemente una amplia gama de tareas distintas, independientemente de la forma en que se comercialice.

IA generativa

Sistema de IA capaz de generar contenido nuevo como texto, imágenes, audio o vídeo en respuesta a prompts o instrucciones. Los proveedores de sistemas de IA que generan contenido sintético deben marcarlo de forma legible por máquina (Art. 50.2); quien los despliega solo debe divulgar ultrafalsificaciones y textos de interés público sin control editorial (Art. 50.4).

Modelo fundacional

Modelo de IA entrenado en datos amplios y diversos que puede ser adaptado (fine-tuned) a una amplia gama de tareas posteriores. Concepto precursor del término GPAI en la legislación europea.

Riesgo sistémico

Riesgo específico de los modelos GPAI más potentes que pueden tener un impacto negativo a gran escala en la salud, seguridad, seguridad pública, derechos fundamentales o la sociedad en su conjunto. Se presumen capacidades de gran impacto cuando el cálculo acumulado de entrenamiento supera 10²⁵ operaciones de coma flotante (FLOP).

Capacidades de alto impacto

Capacidades que igualan o superan las capacidades registradas en los modelos GPAI más avanzados. El umbral de referencia es 10²⁵ FLOP (operaciones de coma flotante) para el cómputo acumulado de entrenamiento.

Transparencia

Obligación de informar claramente a los usuarios cuando están interactuando con un sistema de IA o cuando el contenido ha sido generado por IA. El art. 50 la exige a determinados sistemas (interacción con personas, contenido sintético, reconocimiento de emociones o categorización biométrica y ultrafalsificaciones).

Divulgación de IA

Obligación de informar a las personas físicas, a más tardar en el momento de la primera interacción, de que están interactuando con un sistema de IA, salvo que sea obvio por las circunstancias y el contexto de uso.

Deepfake

Contenido de imagen, audio o vídeo generado o manipulado por IA que se asemeja apreciablemente a personas, objetos, lugares o entidades o acontecimientos existentes, y que parecería falsamente auténtico o veraz a una persona. Debe etiquetarse obligatoriamente.

Marcado de agua (watermarking)

Técnica para incrustar información imperceptible en contenido generado por IA de manera que sea detectable por máquinas pero no altere significativamente el contenido percibido por humanos.

Evaluación de conformidad

Proceso mediante el cual se demuestra que un sistema de IA de alto riesgo cumple con los requisitos establecidos en el Reglamento. Puede ser autoevaluación interna o evaluación por un organismo notificado, según el tipo de sistema.

Marcado CE

Marcado mediante el cual un proveedor indica que un sistema de IA de alto riesgo cumple con los requisitos del Reglamento y otras legislaciones de armonización de la Unión aplicables. Solo se aplica a sistemas de alto riesgo.

Documentación técnica

Conjunto de información detallada sobre el diseño, desarrollo y funcionamiento del sistema de IA que debe elaborarse antes de su comercialización y mantenerse actualizada. Su estructura se define en el Anexo IV.

Instrucciones de uso

Información proporcionada por el proveedor para informar al responsable del despliegue sobre el uso previsto del sistema de IA, sus capacidades, limitaciones y funcionamiento correcto.

Supervisión humana

Medidas que permiten a las personas supervisar eficazmente el funcionamiento del sistema de IA de alto riesgo durante su uso, incluyendo la capacidad de intervenir, corregir o interrumpir el sistema cuando sea necesario.

Precisión

Capacidad del sistema de IA para producir resultados correctos y fiables. Los sistemas de alto riesgo deben alcanzar niveles apropiados de precisión declarados en su documentación técnica e instrucciones de uso.

Robustez

Capacidad del sistema de IA para funcionar de manera fiable y segura incluso en condiciones adversas, ante errores, fallos, inconsistencias o intentos de manipulación por terceros.

Ciberseguridad

Medidas técnicas y organizativas apropiadas para proteger el sistema de IA contra intentos no autorizados de alterar su uso, resultados o rendimiento, incluyendo ataques adversarios, envenenamiento de datos y exfiltración de modelos.

Gobernanza de datos

Prácticas de gestión de datos aplicadas a la recopilación, el análisis, el almacenamiento y el uso de datos de entrenamiento, validación y prueba. Los sistemas de alto riesgo deben implementar gobernanza de datos conforme al Art. 10.

Calidad de datos

Características de los conjuntos de datos de entrenamiento, validación y prueba que garantizan que el sistema de IA funcione según su uso previsto. Incluye representatividad, ausencia de errores, completitud y adecuación estadística.

Sesgo

Resultado sistemático que favorece o desfavorece injustamente a ciertos grupos o individuos. Puede originarse en datos de entrenamiento, diseño del algoritmo o contexto de aplicación.

DPIA (evaluación de impacto de protección de datos)

Evaluación previa del impacto de las operaciones de tratamiento previstas en la protección de datos personales. Obligatoria bajo el RGPD cuando el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.

Oficina Europea de IA

Órgano de la Comisión Europea responsable de la supervisión de la aplicación del Reglamento de IA, con competencias especiales sobre modelos GPAI con riesgo sistémico.

Organismo notificado

Organismo de evaluación de la conformidad designado y notificado por un Estado miembro para llevar a cabo evaluaciones de conformidad de terceros sobre sistemas de IA de alto riesgo.

Vigilancia del mercado

Actividades llevadas a cabo por autoridades públicas nacionales para verificar que los sistemas de IA comercializados en su territorio cumplen con los requisitos del Reglamento.

Sandbox regulatorio

Entorno controlado facilitado por autoridades competentes para el desarrollo, prueba y validación de sistemas de IA innovadores bajo supervisión regulatoria directa, durante un tiempo limitado.

Multas administrativas

Sanciones pecuniarias impuestas por incumplimiento del Reglamento. Hasta 35 millones de euros o el 7 % de la facturación global anual (lo que sea mayor) para prácticas prohibidas; hasta 15 millones o 3 % para otras infracciones; hasta 7,5 millones de euros o el 1 % por información incorrecta a autoridades.

Incidente grave

Incidente o mal funcionamiento de un sistema de IA que directa o indirectamente conduce a la muerte o daño grave a la salud de una persona, a una alteración grave e irreversible de infraestructuras críticas, al incumplimiento de obligaciones del Derecho de la Unión que protegen derechos fundamentales, o a daños graves a la propiedad o al medio ambiente.

Derecho a explicación

Derecho de las personas afectadas por decisiones basadas en sistemas de IA de alto riesgo a obtener una explicación clara y significativa del papel del sistema en la toma de decisiones y los principales elementos de la decisión adoptada.

Derecho a presentar quejas

Derecho de cualquier persona física o jurídica a presentar una queja ante una autoridad de supervisión del mercado si considera que un sistema de IA infringe el Reglamento.

Datos de entrenamiento

Datos utilizados para entrenar un sistema de IA mediante el ajuste de sus parámetros aprendibles. La calidad, representatividad y ausencia de sesgos en estos datos es determinante para el rendimiento y equidad del sistema.

Datos de validación

Datos utilizados para proporcionar una evaluación del sistema de IA entrenado y para ajustar sus hiperparámetros no aprendibles y procedimientos de aprendizaje. Deben ser distintos de los datos de entrenamiento.

Datos de prueba

Datos utilizados para proporcionar una evaluación independiente del sistema de IA con el fin de confirmar el rendimiento esperado antes de su comercialización. Deben ser completamente independientes de los datos de entrenamiento y validación.

Datos de entrada

Datos proporcionados al sistema de IA o adquiridos directamente por él, en base a los cuales el sistema produce un resultado (output).

Datos biométricos

Datos personales resultantes de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física, como imágenes faciales o datos dactiloscópicos.

Reconocimiento de emociones

Sistema de IA que identifica o infiere las emociones o intenciones de personas físicas basándose en sus datos biométricos (expresiones faciales, voz, postura corporal).

Categorización biométrica

Asignación de personas físicas a categorías específicas basándose en sus datos biométricos, salvo que sea auxiliar de otro servicio comercial objetivamente necesario.

Identificación biométrica remota

Identificación de personas físicas sin su participación activa, típicamente a distancia, mediante la comparación de datos biométricos con los contenidos en una base de datos de referencia.

Identificación biométrica remota posterior

Identificación biométrica remota que se produce después de un retraso significativo, con exclusión de la identificación en tiempo real. Es de alto riesgo (Anexo III, punto 1, letra a)); en una investigación penal, el responsable del despliegue debe solicitar autorización a una autoridad judicial o administrativa vinculante (Art. 26.10).

Identificación biométrica remota en tiempo real

Identificación biométrica remota donde la captura de datos biométricos, la comparación y la identificación se producen sin un retraso significativo. Su uso en espacios de acceso público con fines de garantía del cumplimiento del Derecho está prohibido salvo excepciones tasadas en el Art. 5.1.h.

Finalidad prevista

Uso para el cual un sistema de IA está destinado por el proveedor, incluyendo el contexto específico y las condiciones de uso, tal como se especifica en las instrucciones de uso y la documentación técnica.

Uso indebido razonablemente previsible

Uso del sistema de IA de una manera no conforme con su finalidad prevista, pero que puede resultar de un comportamiento humano razonablemente previsible o de la interacción con otros sistemas.

Componente de seguridad

Componente de un producto o sistema que cumple una función de seguridad para ese producto o sistema, o cuyo fallo o mal funcionamiento pone en peligro la salud y seguridad de las personas o los bienes.

Modificación sustancial

Cambio en un sistema de IA tras su comercialización que afecta al cumplimiento del Reglamento o que resulta en una modificación de la finalidad prevista para la que se evaluó la conformidad.

Puesta a disposición en el mercado

Suministro de un sistema de IA para su distribución o uso en el mercado de la Unión en el curso de una actividad comercial, ya sea a cambio de pago o gratuitamente.

Puesta en servicio

Suministro de un sistema de IA para su primer uso directamente al responsable del despliegue o para uso propio en la Unión para su finalidad prevista.

Recuperación de un sistema de IA (recall)

Medida destinada a lograr la devolución de un sistema de IA que ya se ha puesto a disposición de los responsables del despliegue.

Retirada (withdrawal)

Medida destinada a impedir que un sistema de IA en la cadena de suministro se ponga a disposición en el mercado.

Alfabetización en IA (AI Literacy)

Habilidades, conocimientos y comprensión que permiten a los proveedores, responsables del despliegue y demás personas afectadas, teniendo en cuenta sus derechos y obligaciones respectivos, tomar decisiones informadas sobre sistemas de IA. El Art. 4 obliga a los proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal, sin exigir que garanticen un nivel específico.

Códigos de conducta

Acuerdos voluntarios destinados a fomentar la aplicación de los requisitos del Reglamento, incluidos los relativos a la sostenibilidad medioambiental, a sistemas de IA no clasificados como de alto riesgo.

Normas armonizadas

Normas europeas adoptadas por organismos europeos de normalización (CEN, CENELEC, ETSI) a solicitud de la Comisión, cuyo cumplimiento otorga presunción de conformidad con los requisitos del Reglamento.

Especificaciones comunes

Especificaciones técnicas adoptadas por la Comisión mediante actos de ejecución cuando no existen normas armonizadas o cuando son insuficientes para cubrir los requisitos del Reglamento.

Vigilancia poscomercialización

Actividades realizadas por proveedores para recopilar y revisar de forma proactiva experiencias con sistemas de IA que han comercializado, con el fin de identificar posibles riesgos o no conformidades.

Cadena de valor de la IA

Secuencia completa de actividades relacionadas con el diseño, desarrollo, entrenamiento, validación, comercialización, distribución, despliegue, mantenimiento y retirada de sistemas de IA. El Reglamento asigna responsabilidades específicas a cada actor en la cadena.

Sesgo algorítmico

Desviación sistemática en los resultados de un sistema de IA que favorece o desfavorece injustamente a ciertos grupos o individuos. Puede originarse en datos de entrenamiento sesgados, diseño del algoritmo o contexto de aplicación. La Ley de IA exige medidas para detectar y mitigar sesgos en sistemas de alto riesgo.

Gobernanza de datos de entrenamiento

Conjunto de prácticas de gestión aplicadas a la recopilación, análisis, almacenamiento y uso de datos de entrenamiento, validación y prueba. Obligatoria para sistemas de alto riesgo según Art. 10, abarca la calidad y representatividad de los datos y el examen y la mitigación de posibles sesgos.

Datos de validación

Conjunto de datos distinto del de entrenamiento, utilizado para proporcionar una evaluación del sistema de IA entrenado y para ajustar sus hiperparámetros no aprendibles y procedimientos de aprendizaje. Esencial para evitar sobreajuste (overfitting).

Datos de prueba

Datos utilizados para proporcionar una evaluación independiente del sistema de IA con el fin de confirmar el funcionamiento previsto antes de su introducción en el mercado o su puesta en servicio. Deben ser completamente independientes de los datos de entrenamiento y validación.

Logs (registros automáticos)

Capacidad de los sistemas de IA de alto riesgo para registrar automáticamente eventos durante su operación. Obligatorio según Art. 12 para permitir trazabilidad, auditorías forenses y detección de incidentes. Deben conservarse durante un período apropiado.

Ciclo de vida de la IA

Todas las fases de existencia de un sistema de IA: desde la concepción inicial, diseño, desarrollo, entrenamiento, validación, comercialización, uso, actualización, mantenimiento hasta su retirada del mercado. El Reglamento exige gestión de calidad en todo el ciclo.

Componente de seguridad

Parte de un producto o sistema que desempeña una función de seguridad, o cuyo fallo o mal funcionamiento pone en peligro la salud y la seguridad de las personas. Los sistemas de IA utilizados como componentes de seguridad son de alto riesgo cuando el producto está cubierto por el Anexo I y requiere evaluación de la conformidad de terceros (Art. 6.1), o en infraestructuras críticas (Anexo III, punto 2).

Falsos positivos y falsos negativos

Métricas críticas de precisión de un sistema de IA. Falso positivo: el sistema identifica incorrectamente una condición como presente. Falso negativo: el sistema no detecta una condición que sí está presente. Deben documentarse en la documentación técnica.

Interoperabilidad

Capacidad de un sistema de IA para funcionar y compartir información con otros sistemas, productos o servicios de forma efectiva. Clave para evitar la dependencia de un solo proveedor (vendor lock-in) en ecosistemas industriales complejos.

Marca de agua digital (watermarking)

Método técnico para incrustar información imperceptible en contenido generado por IA (imágenes, audio, vídeo) con el fin de identificar su origen artificial. El Art. 50.2 obliga a los proveedores de sistemas de IA (incluidos los de uso general) que generen contenido sintético a marcarlo en un formato legible por máquina; la marca de agua es una de las técnicas posibles.

Ataque adversario

Manipulación deliberada de los inputs de un sistema de IA para engañar al sistema y producir resultados incorrectos o malintencionados. El Reglamento exige que los sistemas de alto riesgo sean robustos frente a este tipo de ataques.

Envenenamiento de datos (data poisoning)

Corrupción intencional de los conjuntos de datos de entrenamiento para degradar el rendimiento de la IA o introducir vulnerabilidades específicas. Los proveedores deben implementar medidas de gobernanza de datos para prevenirlo.

Exención de I+D

El Reglamento de IA no se aplica a sistemas desarrollados y utilizados específicamente con la investigación y el desarrollo científicos como única finalidad (art. 2.6); tampoco a la investigación, prueba o desarrollo previos a la introducción en el mercado, salvo las pruebas en condiciones reales (art. 2.8). Sin embargo, si el sistema se comercializa o se pone en servicio, debe cumplir todos los requisitos aplicables.

Software de código abierto (open source IA)

Los modelos de IA de código abierto tienen un régimen especial bajo el Reglamento. Los modelos GPAI con parámetros, pesos y arquitectura públicos están exentos de las obligaciones del Art. 53(1)(a) y (b) (documentación técnica e información para proveedores posteriores), salvo que presenten riesgo sistémico.

Autoridad notificante

Autoridad nacional responsable de establecer y llevar a cabo los procedimientos necesarios para la evaluación, designación y notificación de organismos de evaluación de la conformidad.

Sanciones administrativas

Régimen sancionador del Reglamento de IA. Tres niveles: hasta 35M€ o 7 % por prácticas prohibidas (Art. 5); hasta 15M€ o 3 % por incumplir otras obligaciones de los operadores (p. ej., arts. 16, 26 y 50); hasta 7,5M€ o 1 % por información incorrecta a las autoridades. Las PYME tienen límites reducidos.

Conformidad por diseño

Principio según el cual los requisitos del Reglamento deben integrarse desde las fases iniciales de diseño y desarrollo del sistema de IA, no añadirse como capas posteriores. Análogo al concepto de "privacidad por diseño" del RGPD.

Derecho a explicación

Derecho de las personas afectadas por decisiones tomadas por un deployer basándose en los resultados de un sistema de IA de alto riesgo del Anexo III (salvo su punto 2), que produzcan efectos jurídicos o les afecten considerablemente de modo similar, a obtener explicaciones claras y significativas sobre el papel del sistema de IA en el procedimiento de toma de decisiones.

Accesibilidad

Requisito de que los sistemas de IA de alto riesgo sean accesibles para personas con discapacidad, conforme a las Directivas (UE) 2016/2102 y (UE) 2019/882.

Sostenibilidad medioambiental

Los proveedores de modelos de IA de uso general deben documentar el consumo energético conocido o estimado de su modelo (Anexo XI). Los códigos de conducta voluntarios pueden incluir medidas de sostenibilidad medioambiental.

FRIA (evaluación de impacto sobre derechos fundamentales)

Evaluación que deben realizar los deployers de sistemas de IA de alto riesgo que sean organismos de Derecho público o entidades privadas que prestan servicios públicos, y los de sistemas del Anexo III, punto 5, letras b) y c) (solvencia crediticia y seguros de vida y salud), antes de desplegar un sistema de alto riesgo del art. 6.2 (salvo el Anexo III, punto 2). Incluye identificar riesgos para derechos fundamentales y medidas de mitigación.

Sistema de gestión de la calidad (SGC)

Sistema documentado de políticas, procedimientos y procesos que garantiza el cumplimiento continuo del Reglamento durante todo el ciclo de vida del sistema de IA. Obligatorio para proveedores de sistemas de alto riesgo. Incluye estrategia de cumplimiento, técnicas de diseño, examen y validación, gestión de datos y gestión de riesgos.

Plan de vigilancia poscomercialización

Documento formal que establece cómo el proveedor recopilará y analizará datos relevantes tras la comercialización del sistema de IA. Obligatorio para sistemas de alto riesgo. Debe incluir métricas de rendimiento, feedback de deployers y protocolo de respuesta ante incidentes.

Instrucciones de uso

Información concisa, completa, correcta y clara que el proveedor debe facilitar al deployer. Incluye identidad del proveedor, características del sistema, niveles de precisión y robustez, recursos informáticos y de hardware necesarios, medidas de supervisión humana, vida útil esperada y especificaciones de mantenimiento.

Transparencia y explicabilidad

Los sistemas de IA de alto riesgo deben diseñarse para ser suficientemente transparentes y permitir que los deployers interpreten y utilicen correctamente sus resultados. Incluye la capacidad de comprender qué datos influyen en las decisiones del sistema.

Robustez, precisión y ciberseguridad

Triada de requisitos técnicos obligatorios para sistemas de IA de alto riesgo (Art. 15). Los sistemas deben alcanzar niveles apropiados de precisión, ser resilientes ante errores y ataques, y protegerse contra vulnerabilidades de ciberseguridad.

Documentación técnica (Anexo IV)

Estructura formal que debe seguir la documentación técnica de sistemas de IA de alto riesgo. Incluye: descripción general del sistema, elementos de diseño, proceso de desarrollo, información sobre monitorización, métricas de rendimiento y descripción detallada de medidas de supervisión humana.

Espacio controlado de pruebas (sandbox regulatorio)

Marco establecido por autoridades competentes que ofrece a proveedores y potenciales proveedores de sistemas de IA la posibilidad de desarrollar, entrenar, validar y probar sistemas de IA bajo supervisión regulatoria directa, antes de su comercialización.

Reconocimiento de emociones (detallado)

Sistema de IA para identificar o inferir emociones o intenciones de personas basándose en datos biométricos. Prohibido en el trabajo y la educación (Art. 5). En otros contextos es alto riesgo (Anexo III, punto 1.c) y el responsable del despliegue debe informar a las personas expuestas (Art. 50.3).

Categorización biométrica (detallado)

Uso de datos biométricos para clasificar personas en categorías como sexo, edad, color de cabello, color de ojos, tatuajes, origen étnico o estado de salud. La que infiere raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual está prohibida (Art. 5.1.g); la basada en otros atributos sensibles o protegidos es alto riesgo (Anexo III, punto 1.b).

Identificación biométrica remota (detallado)

Siempre clasificada como alto riesgo. En tiempo real, en espacios de acceso público y con fines de garantía del cumplimiento del Derecho: prohibida salvo tres excepciones tasadas (búsqueda de víctimas, amenaza para la vida o atentado terrorista, localización de sospechosos de delitos graves), con autorización previa judicial o administrativa independiente y FRIA previa (Art. 5.2 y 5.3). En diferido, en investigaciones penales, requiere autorización judicial o administrativa, ex ante o en un plazo máximo de 48 horas (Art. 26.10).

Modificación sustancial

Cambio en el sistema de IA que no estaba previsto por el proveedor original y que afecta al cumplimiento del Reglamento. El deployer que realiza una modificación sustancial puede pasar a ser considerado nuevo proveedor del sistema.

Comercialización (puesta a disposición en el mercado)

Todo suministro de un sistema de IA para su distribución o utilización en el mercado de la Unión en el curso de una actividad comercial, con independencia de que sea a cambio de un pago o de manera gratuita.

Puesta en servicio

Suministro de un sistema de IA para su primer uso directamente al deployer o para uso propio en la Unión para su finalidad prevista.

Recuperación de un sistema de IA (recall)

Toda medida destinada a lograr la devolución al proveedor de un sistema de IA puesto a disposición de los responsables del despliegue, a inutilizarlo o a desactivar su uso.

Retirada (withdrawal)

Toda medida destinada a impedir que un sistema de IA que se encuentra en la cadena de suministro sea puesto a disposición en el mercado. Se aplica antes de que llegue al deployer final.

Alfabetización en IA (AI Literacy)

Habilidades, conocimientos y comprensión que permiten a proveedores, deployers y personas afectadas tomar decisiones informadas sobre sistemas de IA. El Art. 4 obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal y demás personas que utilicen sistemas de IA en su nombre, sin exigir que garanticen un nivel específico.

Códigos de conducta

Acuerdos voluntarios elaborados por actores individuales, organizaciones representativas o ambos, destinados a fomentar la aplicación de los requisitos del Reglamento. Especialmente relevantes para sistemas de riesgo mínimo. Pueden incluir compromisos de sostenibilidad medioambiental.

Normas armonizadas

Normas europeas adoptadas por CEN, CENELEC o ETSI a solicitud de la Comisión Europea. Su cumplimiento otorga presunción de conformidad con los requisitos del Reglamento. Si no existen o son insuficientes, la Comisión puede adoptar especificaciones comunes.

Especificaciones comunes

Requisitos técnicos adoptados por la Comisión mediante actos de ejecución que proporcionan medios de cumplimiento cuando no existen normas armonizadas o son insuficientes.

Sistema de vigilancia poscomercialización

Actividades sistemáticas realizadas por proveedores para recopilar y revisar experiencias obtenidas del uso de sistemas de IA que han comercializado. Incluye análisis de quejas, fallos, incidentes y feedback de deployers. Obligatorio para sistemas de alto riesgo.

LLM (modelo de lenguaje grande)

Tipo de modelo de IA entrenado con grandes volúmenes de texto para comprender y generar lenguaje natural. Son la base de los asistentes conversacionales y herramientas de IA generativa de texto. En el contexto del EU AI Act, los LLM suelen ser modelos de IA de uso general (Art. 3.63) cuando presentan un grado considerable de generalidad.

Aprendizaje automático (machine learning)

Enfoque de IA basado en algoritmos que mejoran automáticamente su rendimiento a través de la exposición a datos, sin ser programados explícitamente para cada tarea. Incluye aprendizaje supervisado, no supervisado y por refuerzo.

Aprendizaje profundo (deep learning)

Subcampo del aprendizaje automático basado en redes neuronales artificiales con múltiples capas de procesamiento. Es la técnica subyacente a los modelos GPAI más potentes, incluidos los LLM y los modelos de generación de imágenes.

Red neuronal artificial

Modelo computacional inspirado en la estructura del cerebro humano, compuesto por nodos (neuronas) interconectados organizados en capas. Es la arquitectura base del aprendizaje profundo y de la mayoría de sistemas de IA modernos.

Ajuste fino (fine-tuning)

Proceso de adaptar un modelo de IA preentrenado a una tarea específica mediante entrenamiento adicional con un conjunto de datos más pequeño y especializado. En el contexto del EU AI Act, el proveedor que realiza un ajuste fino significativo puede asumir obligaciones de proveedor del modelo resultante.

RAG (generación aumentada por recuperación)

Técnica que combina un modelo de lenguaje con un sistema de búsqueda sobre una base de conocimiento externa. Permite a la IA consultar documentos verificados antes de generar respuestas, reduciendo alucinaciones y mejorando la precisión en dominios específicos.

Alucinación (IA)

Fenómeno en el que un sistema de IA generativa produce información que parece plausible pero es incorrecta, inventada o no tiene base en los datos de entrenamiento ni en la realidad.

Prompt injection (inyección de prompts)

Técnica de ataque contra sistemas de IA conversacional que consiste en insertar instrucciones maliciosas dentro del input del usuario para manipular el comportamiento del modelo, extraer información del sistema o eludir sus restricciones de seguridad.

Shadow AI (IA no autorizada)

Término de mercado, no definido en el Reglamento. Uso de herramientas de IA por parte de empleados de una organización sin autorización, conocimiento ni supervisión de la dirección. La organización puede ser considerada responsable del despliegue si el uso se produce bajo su autoridad (Art. 3.4). El primer paso práctico es inventariar y documentar ese uso (por ejemplo, con un AI Context Brief); eso no equivale a cumplimiento ni a una validación legal.

AI Context Brief (AICONTEXT)

Documento de autoevaluación de AICONTEXT (13 secciones, o 8 en el AI Context Brief · Uso de herramientas de IA) que describe el uso de IA de una empresa: rol estimado, riesgo estimado y medidas orientativas. Es un borrador educativo. No es la documentación técnica del Anexo IV ni un dictamen legal.

Evidencias / Brief (AICONTEXT)

Capa de trazabilidad de AICONTEXT (plan de pago): estado por sección, notas, email del revisor, enlaces HTTPS a documentos externos (Drive, SharePoint, Dropbox) y huella SHA-256. El fichero no se almacena en AICONTEXT. El Brief PDF exporta ese registro. Documenta el proceso; no certifica ni sustituye a un profesional.

Obligaciones del deployer (Art. 26)

Los deployers de sistemas de alto riesgo deben: usar el sistema conforme a las instrucciones, asignar supervisión humana a personas competentes, garantizar que los datos de entrada sean representativos, monitorizar el funcionamiento, informar al proveedor de riesgos, realizar la FRIA cuando les aplique el Art. 27, conservar los logs automáticos bajo su control (al menos seis meses) e informar a los trabajadores afectados.

RAT (registro de actividades de tratamiento)

Documento obligatorio bajo el RGPD Art. 30 que describe todas las actividades de tratamiento de datos personales realizadas por una organización. Debe incluir finalidades, categorías de datos, destinatarios, transferencias internacionales, plazos de conservación y medidas de seguridad.

DPO (delegado de protección de datos)

Profesional designado por una organización para supervisar la estrategia y el cumplimiento de la normativa de protección de datos. Obligatorio cuando se realizan tratamientos a gran escala de datos personales o datos sensibles. Actúa como punto de contacto con las autoridades de control.

Privacidad por diseño (privacy by design)

Principio del RGPD que exige que la protección de datos se integre desde las fases más tempranas del diseño de sistemas y procesos, no como una adición posterior. Incluye minimización de datos, pseudonimización y medidas técnicas apropiadas.

Principio de minimización de datos

Principio del RGPD según el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Especialmente relevante cuando se envían datos a APIs de IA de terceros.

Decisiones automatizadas (Art. 22 RGPD)

El interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar. Se conecta directamente con las obligaciones de supervisión humana del EU AI Act.

Sistema de gestión de riesgos

Proceso iterativo continuo planificado y ejecutado durante todo el ciclo de vida de un sistema de IA de alto riesgo. Incluye identificación, análisis, evaluación y mitigación de riesgos. Debe documentarse formalmente y revisarse periódicamente conforme al Art. 9.

Trazabilidad

Capacidad de rastrear y reconstruir las acciones y decisiones de un sistema de IA a lo largo de todo su ciclo de vida. Incluye registro de datos de entrenamiento, logs de operación, versiones del modelo y decisiones de diseño. Fundamental para auditorías y rendición de cuentas.

Explicabilidad

Grado en que las decisiones o resultados de un sistema de IA pueden ser comprendidos por seres humanos. Va más allá de la transparencia: no solo informa de que hay IA, sino que permite entender por qué y cómo se llegó a un resultado específico.

Sesgo de automatización

Tendencia de las personas a confiar excesivamente en los resultados de sistemas automatizados o de IA, incluso cuando estos son incorrectos o cuando la propia experiencia y criterio del usuario debería prevalecer. El Art. 14(4)(b) exige medidas específicas para mitigar este sesgo.

Autoridad nacional competente

Autoridad designada por cada Estado miembro de la UE para supervisar la aplicación y el cumplimiento del Reglamento de IA en su territorio. Cada Estado miembro debe designar al menos una autoridad notificante y una autoridad de vigilancia del mercado (Art. 70).

Base de datos de la UE para sistemas de IA de alto riesgo

Base de datos gestionada por la Comisión Europea, pública salvo secciones restringidas, donde deben registrarse, antes de su introducción en el mercado o puesta en servicio, los sistemas de IA de alto riesgo del Anexo III (los del punto 2 se registran a nivel nacional). Contiene información sobre el proveedor, el sistema, su clasificación de riesgo y la evaluación de conformidad realizada.

Responsabilidad proactiva (accountability)

Principio según el cual las organizaciones deben poder demostrar activamente que cumplen con las normas aplicables, no solo cumplirlas de forma pasiva. Aplica tanto bajo el RGPD como bajo el EU AI Act, y requiere documentación, registros y procedimientos formalizados.

Transfer learning (aprendizaje por transferencia)

Técnica de aprendizaje automático donde un modelo preentrenado en una tarea amplia se reutiliza como punto de partida para una tarea diferente pero relacionada. Es la base del fine-tuning y de la adaptación de modelos fundacionales a casos de uso específicos.

Tokenización

Proceso de dividir texto en unidades más pequeñas llamadas tokens (palabras, subpalabras o caracteres) que un modelo de IA puede procesar. Determina cómo el modelo interpreta y genera lenguaje, y afecta directamente a los costes de computación y los límites de contexto del sistema.

Pruebas en condiciones reales

Pruebas temporales de un sistema de IA en condiciones reales fuera de un laboratorio o entorno simulado. El Reglamento establece condiciones específicas para estas pruebas, incluyendo consentimiento informado de los participantes, supervisión humana y un plan de pruebas aprobado por la autoridad competente.

Transferencias internacionales de datos

Envío de datos personales a países fuera del Espacio Económico Europeo. Cuando se usan APIs de IA de proveedores como OpenAI o Anthropic con servidores en EE.UU., los datos se transfieren internacionalmente. Se requiere base legal adecuada (DPF, SCCs) y documentación en la política de privacidad.