Clasificación y Expediente de Conformidad IA (RIA) para fabricantes de software

¿Se reconoce su producto en alguno de estos casos?

• Control horario y registro de jornada. El fichaje con huella o reconocimiento facial es tratamiento biométrico. Si además el sistema detecta patrones anómalos, puntúa la puntualidad o alimenta decisiones disciplinarias, entra en el Anexo III como seguimiento y evaluación de la conducta del trabajador. Si incorpora análisis del estado de ánimo o del nivel de atención, se sitúa directamente en las prácticas prohibidas del art. 5.
• ATS y software de reclutamiento. Cribado automático de currículos, ranking de candidatos, entrevistas asistidas o puntuación de encaje. Es el supuesto más claro de alto riesgo del Anexo III.
• Gestión del desempeño y planificación de turnos. Evaluaciones asistidas por IA, asignación algorítmica de tareas o turnos, cálculo de variables retributivas.
• Software educativo, LMS y academias. Admisión, corrección o calificación automática, supervisión remota de exámenes, detección de conductas irregulares durante la prueba.
• Fintech, financieras y aseguradoras. Scoring de solvencia de personas físicas, tarificación o clasificación de riesgo en seguros de vida y salud.
• PropTech y gestión de alquileres. Selección o filtrado automático de inquilinos por criterios de solvencia.
• Control de accesos y videovigilancia inteligente. Identificación biométrica, categorización de personas por imagen.
• Software sanitario y de gestión clínica. Si el producto ya es producto sanitario, la IA embarcada arrastra el régimen de alto riesgo por la vía de la legislación sectorial.
• Software para administraciones públicas. Tramitación o priorización de prestaciones y servicios públicos esenciales.
• ERP, CRM y verticales con copiloto o chatbot. Aunque no sean de alto riesgo, quedan sujetos a los deberes de transparencia: identificar la interacción con IA y marcar el contenido generado.

Ninguno de estos casos se resuelve por la etiqueta del sector: depende de la funcionalidad concreta y de la finalidad prevista que el fabricante declare. Eso es exactamente lo que determina este servicio.

El problema que resuelve

El Reglamento no obliga a la mayoría de los ISV a certificarse, pero sí a documentar por qué no están en el Anexo III (art. 6.3), a verificar que ninguna funcionalidad incurre en las prácticas prohibidas del art. 5 —ya aplicables—, a cumplir la transparencia del art. 50 y a acreditar la alfabetización en IA del personal (art. 4). Y hay una trampa habitual: quien comercializa bajo su marca un sistema de alto riesgo ajeno, lo modifica sustancialmente o le cambia la finalidad, pasa a ser proveedor con todas las obligaciones (art. 25). Usar la API de un tercero no exime.

Sin ese expediente, el fabricante se queda sin respuesta ante el cuestionario de compras de cualquier cliente corporativo, que a su vez tiene que cubrirse como responsable del despliegue.

Alcance del trabajo

• Inventario de componentes y funcionalidades de IA del producto, propios y de terceros.
• Determinación del rol jurídico —proveedor, responsable del despliegue, importador, distribuidor— con análisis específico del art. 25 en marca blanca y OEM.
• Contraste frente a las prácticas prohibidas del art. 5 y frente a los supuestos del Anexo III, funcionalidad por funcionalidad.
• Aplicación razonada del filtro del art. 6.3 y de la obligación de registro asociada.
• Revisión de los deberes de transparencia del art. 50 en interfaz y en contenido generado.
• Verificación de los contratos con proveedores de modelos de propósito general y de la cadena de responsabilidad hacia el cliente final.
• Análisis de solape con ISO/IEC 42001, ISO/IEC 27001 y RGPD para no duplicar controles ya implantados.

Entregables

1. Informe de clasificación de riesgo, firmado por auditor CISA y AAIA (Advanced in AI Audit, ISACA), auditor jefe ISO/IEC 42001 y perito judicial colegiado nº 498 del COIICV, oponible frente a terceros.
2. Expediente documental de la evaluación del art. 6.3, listo para requerimiento de autoridad.
3. Matriz de obligaciones aplicables, con responsable y evidencia exigida para cada una.
4. Plan de acción priorizado, separando lo exigible hoy de lo exigible en ejercicios posteriores.
5. Ficha comercial de dos páginas para responder cuestionarios de clientes y licitaciones.

El trabajo lo ejecuta un auditor acreditado en auditoría de IA por ISACA (AAIA) y auditor jefe de ISO/IEC 42001, no un consultor jurídico generalista. La clasificación se sustenta en un programa de auditoría trazable —pipeline de datos, trazabilidad del modelo, registros de actividad— y el dictamen es sostenible ante un tribunal.