Artículo 5 del Reglamento (UE) 2024/1689 — Prácticas de IA prohibidas. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El Artículo 5 del Reglamento (UE) 2024/1689 (el Reglamento IA de la UE) constituye la totalidad del Título II y establece una lista absoluta de prácticas de IA que están prohibidas en toda la Unión Europea. Las prohibiciones se dirigen a sistemas de IA cuyo potencial de daño se considera tan grave que ninguna medida de gestión de riesgos ni evaluación de la conformidad puede hacerlos aceptables.
El artículo prohíbe: (1) los sistemas de IA que utilizan técnicas subliminales más allá de la conciencia de una persona o que explotan deliberadamente debilidades o vulnerabilidades psicológicas para distorsionar materialmente el comportamiento de forma que cause o sea probable que cause daños significativos; (2) los sistemas de IA que explotan la edad, la discapacidad o las circunstancias socioeconómicas para distorsionar el comportamiento de forma perjudicial; (3) los sistemas de IA utilizados por autoridades públicas o en su nombre para la puntuación social —evaluar o clasificar a personas físicas en función de su comportamiento social o características personales inferidas— cuando esto conlleve un trato perjudicial o desfavorable; (4) los sistemas de IA que evalúan el riesgo de que una persona cometa un delito basándose únicamente en la elaboración de perfiles o rasgos de personalidad; (5) la identificación biométrica remota en tiempo real de personas físicas en espacios accesibles al público a efectos de aplicación de la ley, con excepciones limitadas y estrictamente controladas; (6) los sistemas biométricos remotos en tiempo real o diferido utilizados para inferir atributos sensibles como la raza, la opinión política, la afiliación sindical, las creencias religiosas o la orientación sexual; (7) los sistemas de IA que crean o amplían bases de datos de reconocimiento facial mediante el rastreo indiscriminado de internet o grabaciones de videovigilancia; y (8) los sistemas de IA que infieren emociones de personas físicas en entornos laborales y educativos, salvo por razones de seguridad.
Qué significa esto en la práctica
El Artículo 5 traza una línea de cumplimiento estricta que afecta a toda organización que desarrolle, despliegue o importe sistemas de IA en el mercado de la UE, independientemente de su tamaño o sector.
Para los proveedores de tecnología y los desarrolladores de IA, las prohibiciones significan que ciertas categorías de productos sencillamente no pueden comercializarse legalmente en el mercado de la UE. Un proveedor que comercialice una herramienta de productividad laboral que incluya reconocimiento de emociones para supervisar el compromiso de los empleados —alertando a los directivos sobre trabajadores estresados o desvinculados— debe eliminar o rediseñar esa función antes del 2 de febrero de 2025. Del mismo modo, una empresa emergente de analítica minorista cuyo sistema infiere el estado de ánimo del cliente a partir de expresiones faciales en la tienda entra dentro de la prohibición de inferencia de emociones en contextos no relacionados con la seguridad.
Para las organizaciones que utilizan herramientas de IA de terceros, la diligencia debida es igualmente obligatoria. Un departamento de recursos humanos que despliega una plataforma de selección de personal que realiza perfiles psicográficos encubiertos para filtrar a los candidatos corre el riesgo de incurrir en responsabilidad conjunta como responsable del despliegue.
Para las autoridades públicas, la prohibición de la puntuación social es particularmente significativa. Cualquier sistema de IA que agregue datos de comportamiento —historial de pagos, patrones de movilidad, actividad en línea— para producir una puntuación ciudadana que restrinja el acceso a servicios o prestaciones públicas es ilegal, independientemente de la sofisticación técnica del sistema.
Para los organismos policiales, la estrecha excepción a la prohibición de la identificación biométrica en tiempo real exige procedimientos robustos de autorización previa, límites geográficos y temporales, registro obligatorio e informes a posteriori a las autoridades de supervisión nacionales. El despliegue ad hoc o continuo sin aprobación judicial o administrativa previa es ilegal incluso dentro del ámbito de la excepción.
Las organizaciones deben llevar a cabo un inventario de todos los sistemas de IA en uso o en desarrollo, mapear cada uno de ellos con respecto a los criterios del Artículo 5 y cesar las operaciones prohibidas sin demora.
Obligaciones clave
- Cesar o no desplegar ningún sistema de IA que utilice técnicas subliminales, manipuladoras o de explotación de vulnerabilidades para distorsionar el comportamiento humano de forma que pueda causar daños significativos, sin que exista excepción ni ponderación de la proporcionalidad disponible.
- Prohibir la puntuación social por parte de las autoridades públicas o entidades que actúen en su nombre: no utilizar la IA para evaluar o clasificar a personas físicas por su comportamiento social o rasgos de personalidad inferidos cuando el resultado conduzca a un trato perjudicial o discriminatorio.
- Desmantelar las herramientas de policía predictiva que evalúen el riesgo delictivo individual basándose únicamente en la elaboración de perfiles, los rasgos de personalidad o las asociaciones pasadas, sin evidencia conductual concreta.
- Abstenerse de rastrear datos biométricos de internet, circuitos cerrados de televisión u otras fuentes para crear o ampliar bases de datos de reconocimiento facial; las bases de datos existentes creadas por tales medios no deben utilizarse.
- No desplegar sistemas de IA que infieran atributos personales sensibles —origen racial o étnico, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, orientación sexual— a partir de datos biométricos o de comportamiento.
- Aplicar controles estrictos de autorización previa y registro si se actúa como fuerza del orden y se recurre a la estrecha excepción de los Artículos 5(2)–(5) para la identificación biométrica remota en tiempo real; cada despliegue debe estar limitado en el tiempo, acotado geográficamente y sujeto a informes ex post.
Relación con otros artículos
El Artículo 5 debe leerse como el vértice de la jerarquía basada en el riesgo del Reglamento IA de la UE. Opera conjuntamente con las definiciones del Artículo 3, que establece qué constituye un «sistema de IA», un «proveedor» y un «responsable del despliegue» —los actores sujetos a las prohibiciones—. La distinción entre las prácticas prohibidas en virtud del Artículo 5 y los sistemas de IA de alto riesgo en virtud del Artículo 6 y del Annex III es fundamental: los sistemas prohibidos no pueden utilizarse legalmente en absoluto, mientras que los sistemas de alto riesgo pueden desplegarse con sujeción a evaluaciones de la conformidad, registros y obligaciones de supervisión continua.
El Artículo 9 (sistemas de gestión de riesgos) y los Artículos 10–15 (gobernanza de datos, transparencia, supervisión humana) se aplican de forma subsiguiente a los sistemas de alto riesgo permitidos, pero no tienen ninguna función correctora para las prohibiciones del Artículo 5. El Artículo 99 establece la estructura de sanciones, incluida la multa del nivel superior aplicable a las infracciones del Artículo 5. El Artículo 85 y las disposiciones sobre vigilancia del mercado (Artículos 74–78) rigen la ejecución. Las autoridades nacionales competentes designadas en virtud del Artículo 70 son responsables de supervisar el cumplimiento de las prohibiciones a nivel de Estado miembro.
Calendario de cumplimiento
- 1 de agosto de 2024 — El Reglamento (UE) 2024/1689 entró en vigor, veinte días después de su publicación en el Diario Oficial de la Unión Europea.
- 2 de febrero de 2025 — Las prohibiciones del Artículo 5 pasaron a ser directamente aplicables en todos los Estados miembros de la UE. Esta fue la primera fecha de aplicación sustantiva en virtud del calendario por fases establecido en el Artículo 113. A partir de esta fecha, cualquier despliegue, comercialización o puesta en servicio de un sistema de IA prohibido constituye una infracción regulatoria sujeta a sanciones en virtud del Artículo 99.
- 2 de agosto de 2025 — Las normas sobre modelos de IA de uso general (Título VIII, Artículos 51–56) pasaron a ser aplicables.
- 2 de agosto de 2026 — Las obligaciones para la mayoría de los sistemas de IA de alto riesgo enumerados en el Annex III se aplican, junto con las disposiciones de gobernanza y vigilancia del mercado.
- 2 de agosto de 2027 — Plazo transitorio ampliado para los sistemas de IA de alto riesgo ya comercializados antes de agosto de 2024 que estén comprendidos en el Annex I (componente de seguridad en productos regulados).
En lo que respecta específicamente al Artículo 5, no existe ningún período de gracia ni disposición transitoria: el plazo fue el 2 de febrero de 2025, y el cumplimiento ya ha vencido para cualquier organización que aún no haya actuado.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 5 prohíbe los sistemas de IA que utilizan técnicas subliminales o manipuladoras para distorsionar el comportamiento, explotan las vulnerabilidades de grupos específicos, permiten la puntuación social por parte de autoridades públicas, llevan a cabo identificación biométrica remota en tiempo real en espacios públicos (con excepciones limitadas para las fuerzas del orden), realizan inferencias sobre atributos sensibles a partir de datos biométricos, y crean o amplían bases de datos de reconocimiento facial no específico mediante rastreo. También se prohíbe el reconocimiento de emociones en entornos laborales y educativos.
Las prohibiciones establecidas en el Artículo 5 pasaron a ser aplicables el 2 de febrero de 2025, seis meses después de que el Reglamento IA de la UE entrara en vigor el 1 de agosto de 2024. Esta fue la primera fecha de aplicación en virtud del calendario de implementación por fases del Reglamento.
La mayoría de las prohibiciones del Artículo 5 se aplican a cualquier proveedor o responsable del despliegue de sistemas de IA, ya sea público o privado. La prohibición de la puntuación social está dirigida específicamente a las autoridades públicas. La excepción que permite la identificación biométrica remota en tiempo real está reservada a las fuerzas del orden bajo condiciones estrictas, pero la prohibición predeterminada de desplegar dichos sistemas abarca a todos los actores.
Sí, pero son estrechas y están sujetas a autorización previa. Las fuerzas del orden pueden utilizar la identificación biométrica remota en tiempo real en espacios accesibles al público únicamente para búsquedas específicas de víctimas de delitos graves, la prevención de amenazas terroristas específicas e inminentes, o la identificación de sospechosos de delitos que conlleven una pena de al menos tres años. Cada uso requiere autorización judicial o administrativa independiente previa, excepto en casos de urgencia debidamente justificados.
Las infracciones de las prohibiciones del Artículo 5 conllevan el nivel de sanción más elevado en virtud del Artículo 99: multas administrativas de hasta 35 000 000 EUR o, si el infractor es una empresa, de hasta el 7 % de su volumen de negocios anual mundial total del ejercicio anterior, si esta cifra fuera superior.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.