Según la ley de IA, es inaceptable el riesgo de los usos que el artículo 5 prohíbe por chocar con los derechos fundamentales: como la manipulación dañina, la puntuación social o el reconocimiento de emociones en el trabajo. Rigen desde el 2 de febrero de 2025, y dos prohibiciones nuevas, desde el 2 de diciembre de 2026.
Lo esencial en breve
- El riesgo inaceptable es el nivel más alto de la pirámide del Reglamento. No se gestiona con documentación: el uso está prohibido.
- El artículo 5 recoge ocho prácticas prohibidas desde el 2 de febrero de 2025. El Ómnibus Digital añadió dos más, aplicables desde el 2 de diciembre de 2026.
- La prohibición alcanza a quien introduce el sistema en el mercado, a quien lo pone en servicio y a quien lo utiliza. Una empresa usuaria también responde.
- Las multas llegan a 35 millones de euros o el 7 % del volumen de negocios mundial, el tramo más alto del Reglamento.
- En una empresa normal, el riesgo real suele estar en funciones concretas de herramientas compradas: análisis de emociones de empleados, perfiles de clientes vulnerables o categorización biométrica.
Qué riesgo se considera inaceptable según la ley de IA
El Reglamento (UE) 2024/1689 clasifica los sistemas en cuatro niveles: riesgo inaceptable, alto riesgo, riesgo limitado (transparencia) y riesgo mínimo. El riesgo inaceptable no se define con una fórmula general. El legislador eligió una lista cerrada de prácticas, en el artículo 5, que considera contrarias a la dignidad humana, la libertad, la igualdad, la democracia o el Estado de Derecho. Si un sistema encaja en una de ellas, da igual lo bien documentado que esté: no puede usarse en la UE.
La Comisión publicó en febrero de 2025 unas directrices sobre prácticas de IA prohibidas con ejemplos y criterios de interpretación. No son vinculantes, pero son la referencia que usan los supervisores. Para el resto de niveles de riesgo y los roles de cada empresa, consulte nuestra guía del Reglamento de IA. Y si quiere comprobar de forma ordenada que ninguno de sus usos cae en esta lista, el diagnóstico gratuito de gobernanza de la IA de Opsio incluye preguntas sobre usos prohibidos.
¿Necesitas ayuda con cloud?
Reserva una reunión gratuita de 30 minutos con uno de nuestros especialistas en cloud. Analizamos tu necesidad y damos recomendaciones concretas — sin compromiso.
Las diez prácticas de IA prohibidas
| Art. 5.1 | Práctica prohibida | Ejemplo |
|---|---|---|
| a) | Técnicas subliminales, manipuladoras o engañosas que alteran de forma sustancial el comportamiento y causan o pueden causar un perjuicio considerable | Un chatbot que detecta a usuarios con adicción al juego y los empuja con técnicas subliminales a una plataforma de apuestas |
| b) | Explotar vulnerabilidades por edad, discapacidad o situación social o económica | Un juguete con IA que anima a niños a retos peligrosos |
| c) | Puntuación social: evaluar o clasificar a personas por su comportamiento social o rasgos personales con un trato perjudicial injustificado o desproporcionado | Negar ayudas o préstamos según una «nota» de comportamiento en redes sociales |
| d) | Predecir el riesgo de que una persona cometa un delito basándose únicamente en perfiles o rasgos de personalidad | Un sistema que señala «futuros delincuentes» por barrio y origen |
| e) | Crear o ampliar bases de datos de reconocimiento facial mediante extracción no selectiva de imágenes de internet o de cámaras | Rastrear redes sociales para montar una base de rostros |
| f) | Inferir emociones en el lugar de trabajo o en centros educativos, salvo por motivos médicos o de seguridad | Medir el «estado de ánimo» de los agentes de un centro de llamadas por su voz |
| g) | Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, convicciones religiosas, vida u orientación sexual | Deducir la orientación política de una persona a partir de sus fotos |
| h) | Identificación biométrica remota «en tiempo real» en espacios de acceso público con fines policiales, salvo excepciones tasadas | Reconocimiento facial masivo en una estación sin autorización judicial ni supuesto previsto |
| Nueva (Ómnibus) | Generar imágenes íntimas de personas identificables sin su consentimiento | Aplicaciones que «desnudan» fotos de personas reales |
| Nueva (Ómnibus) | Generar material de abuso sexual infantil | Cualquier generador que lo permita |
Varios de estos ejemplos los usó el propio Gobierno español al presentar en mayo de 2026 su proyecto de ley de IA. Las dos prohibiciones nuevas llegaron con el Ómnibus Digital y, según el Gobierno, se acordaron en la UE a iniciativa de España.
Matices que conviene conocer
La prohibición se aplica también a quien usa
El artículo 5 prohíbe introducir en el mercado, poner en servicio y utilizar. Una cadena de supermercados que compra un software de análisis de vídeo con un módulo de categorización biométrica prohibida no se libra porque el fabricante sea otro. Por eso hay que revisar las funciones de las herramientas compradas, no solo las desarrolladas en casa.
Emociones: en el trabajo, prohibido; con clientes, transparencia
Inferir emociones de empleados o estudiantes está prohibido salvo por razones médicas o de seguridad, como detectar fatiga en un conductor profesional. Analizar las emociones de clientes no está prohibido, pero exige informar a las personas (artículo 50.3) y, según el caso, puede ser alto riesgo. Un centro de atención telefónica que mide el tono de los clientes debe avisar; uno que puntúa la «motivación» de sus agentes por la voz incumple el artículo 5.
Puntuación social no es scoring de crédito
Evaluar la solvencia de un cliente con datos financieros pertinentes no es puntuación social; es un uso de alto riesgo regulado (anexo III). Pasa a estar prohibido cuando se usan datos de contextos sin relación con el fin (por ejemplo, la actividad en redes sociales para decidir un préstamo) o cuando el trato es desproporcionado respecto del comportamiento.
La verificación biométrica individual no está prohibida
Confirmar que una persona es quien dice ser, como al desbloquear un móvil o acceder a una sede con la cara, no es identificación biométrica remota ni categorización. Sigue sujeta al RGPD, porque los datos biométricos son categoría especial.
Sanciones y quién vigila en España
Las prácticas prohibidas tienen el tope de multa más alto del Reglamento: 35 millones de euros o el 7 % del volumen de negocios mundial del ejercicio anterior, la cifra mayor. Para pymes y empresas emergentes se aplica la menor. Las prohibiciones se aplican desde el 2 de febrero de 2025, y el capítulo de sanciones desde el 2 de agosto de 2025; el detalle de fechas está en el calendario de la ley de IA.
En España, el proyecto de Ley Orgánica de mayo de 2026 repartía la vigilancia así: la AESIA, para las prácticas a), b), c) y f); la AEPD y las autoridades autonómicas de protección de datos, para las e) y g); y el CGPJ, para las d) y h). Las calificaba como infracciones muy graves. Ese proyecto caducó el 6 de octubre de 2026 con la disolución de las Cortes, así que el reparto definitivo y el procedimiento sancionador nacional siguen pendientes. Lo explicamos en AESIA y ley de IA en España. La prohibición, en cualquier caso, ya es exigible, y la AEPD puede actuar por la vía del RGPD cuando hay datos personales de por medio.
Cómo comprobar que su empresa no usa IA prohibida
- Inventaríe toda la IA, incluidas las funciones de IA dentro de software ya contratado y las herramientas que los empleados usan por su cuenta. La guía de shadow AI e inventario de IA explica cómo.
- Pase cada uso por las diez preguntas de la tabla. Preste atención especial a RR. HH. (monitorización de empleados), marketing (segmentación por vulnerabilidad) y seguridad (videovigilancia con análisis biométrico).
- Pida garantías por escrito a los proveedores de que sus productos no incluyen funciones prohibidas, y de que puede desactivar las que estén en zona gris.
- Prohíbalos en su política interna. Una política de uso de la IA debe enumerar los usos vetados en lenguaje claro.
- Documente la revisión y repítala cuando se incorpore una herramienta nueva o un proveedor active funciones.
Preguntas frecuentes sobre la IA prohibida
¿Qué riesgo se considera inaceptable según la ley de IA?
El de las prácticas que el artículo 5 del Reglamento enumera como contrarias a los derechos fundamentales: manipulación dañina, explotación de vulnerabilidades, puntuación social, predicción delictiva basada solo en perfiles, bases de reconocimiento facial por extracción masiva, emociones en el trabajo y la escuela, categorización biométrica sensible e identificación biométrica remota en tiempo real con fines policiales, más dos prohibiciones nuevas.
¿Desde cuándo está prohibida esta IA?
Las ocho prácticas originales están prohibidas desde el 2 de febrero de 2025. Las dos nuevas, la generación de imágenes íntimas sin consentimiento y de material de abuso sexual infantil, desde el 2 de diciembre de 2026, tras la reforma del Ómnibus Digital. Las sanciones europeas son aplicables desde el 2 de agosto de 2025.
¿Puede mi empresa usar IA para analizar las emociones de los empleados?
No, salvo por motivos médicos o de seguridad, como detectar somnolencia en conductores. Medir el estado de ánimo, la motivación o el estrés de la plantilla con IA para gestionar el rendimiento está prohibido desde febrero de 2025, también si la herramienta la ha desarrollado un tercero y usted solo la usa.
¿El reconocimiento facial está prohibido?
No en general. Está prohibida la identificación biométrica remota en tiempo real en espacios públicos con fines policiales, salvo excepciones, y crear bases faciales por extracción masiva. Otros usos biométricos pueden ser de alto riesgo y siempre están sujetos al RGPD. Verificar la identidad de una persona que lo solicita no está prohibido.
¿Qué multa tiene usar una práctica prohibida?
Hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual, la cifra mayor; para pymes, la menor. En España, la ley que debía fijar el procedimiento sancionador caducó en octubre de 2026, pero eso no autoriza a usar prácticas prohibidas, y el RGPD sigue permitiendo sanciones por el tratamiento de datos.
Revise sus usos de IA hoy
Lo más eficaz es dejar por escrito qué usos están vetados y quién aprueba los demás. El diagnóstico de gobernanza de la IA de Opsio recorre en catorce pasos, unos 40 minutos y en español, cómo usa la IA su organización, y al enviarlo redacta cuatro documentos a partir de sus respuestas: una política de uso aceptable con usos prohibidos, un marco de gobernanza de la IA, un checklist de proveedores de IA y una plantilla de evaluación de riesgos, además de una foto de madurez en diez áreas. Se entregan en inglés como Word editable. Es gratis y los documentos son suyos.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Fechas y autoridades, a octubre de 2026.
Escrito por
Country Manager, Suecia
Johan lidera las operaciones de Opsio en Suecia, impulsando la adopción de IA, la transformación DevOps, la estrategia de seguridad y las soluciones cloud para empresas nórdicas. Con más de 12 años de experiencia en infraestructura cloud, ha entregado más de 200 proyectos en AWS, Azure y GCP, especializándose en revisiones Well-Architected, diseño de landing zones y estrategia multi-cloud.
Normas editoriales: Este artículo lo han escrito profesionales cloud y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de esta página indican la última actualización. Opsio mantiene su independencia editorial.