Usos de IA prohibidos en la empresa: qué dice el artículo 5 del AI Act

Hay una parte del AI Act que no admite matices, ni evaluación de riesgo, ni medidas de mitigación. Son usos directamente prohibidos desde febrero de 2025, y alguno de ellos se sigue vendiendo con normalidad a empresas españolas bajo nombres que suenan inofensivos.

Este artículo repasa qué está prohibido, cuáles de esas prohibiciones pueden alcanzarte de verdad y qué hacer si sospechas que tienes alguna funcionando.

Qué son las prácticas prohibidas

El Reglamento europeo clasifica los sistemas de IA por niveles de riesgo. En el nivel más alto no hay obligaciones que cumplir: hay una prohibición. Son los usos que el legislador consideró incompatibles con los derechos fundamentales, y están recogidos en el artículo 5.

Dos datos que conviene fijar. Primero, rigen desde el 2 de febrero de 2025: fueron el primer bloque en aplicarse y no les afectan los aplazamientos posteriores del calendario. Segundo, la mayoría no se limitan al sector público: alcanzan también a empresas privadas.

Y una advertencia sobre cómo leerlas. Ningún proveedor te va a vender un sistema diciendo que reconoce emociones de tus empleados. Te lo va a vender como medición del clima laboral, análisis de compromiso o evaluación de idoneidad. La prohibición mira a lo que el sistema hace, no a cómo se llama en el folleto.

La lista completa de prácticas prohibidas por el AI Act

Técnicas subliminales o manipuladoras que alteren de forma sustancial el comportamiento de una persona y le causen o puedan causarle un perjuicio significativo.

Explotación de vulnerabilidades derivadas de la edad, la discapacidad o una situación socioeconómica específica, con el mismo resultado de distorsión del comportamiento y perjuicio.

Puntuación social: evaluar o clasificar a personas por su comportamiento social o características personales cuando ello deriva en un trato desfavorable en contextos ajenos al origen del dato o desproporcionado.

Predicción de delitos basada únicamente en la elaboración de perfiles o en rasgos de personalidad.

Extracción masiva e indiscriminada de imágenes faciales de internet o de circuitos cerrados para crear bases de datos de reconocimiento facial.

Reconocimiento de emociones en el trabajo y en la educación, con excepciones tasadas por motivos médicos o de seguridad.

Categorización biométrica para inferir raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual.

Identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, salvo supuestos excepcionales y con autorización.

De las ocho, dos son las que realistamente pueden aparecer en una empresa normal. Vamos con ellas.

Reconocimiento de emociones en el trabajo

Esta es la prohibición que más empresas están incumpliendo sin saberlo, y la razón es que el mercado sigue ofreciendo estas herramientas con normalidad.

El Reglamento prohíbe los sistemas de IA destinados a inferir emociones de personas físicas en el lugar de trabajo y en centros educativos, salvo por motivos médicos o de seguridad. La prohibición no distingue si el empleado ha consentido, porque en una relación laboral el consentimiento no es libre en el sentido que exigiría.

Dónde aparece esto en la práctica: herramientas de análisis de llamadas que puntúan el estado emocional del agente, plataformas de videoentrevista que evalúan la expresión facial o el tono de voz del candidato, sistemas de medición de compromiso que infieren el ánimo del equipo a partir de señales de comportamiento.

Conviene delimitar bien el supuesto, porque hay confusión. Analizar el sentimiento de las reseñas públicas de tu ficha de Google no entra: no son personas en el lugar de trabajo. Analizar la satisfacción de un cliente en una encuesta tampoco. La prohibición mira al empleado y al alumno.

Categorización biométrica

El segundo supuesto realista. Está prohibido el uso de sistemas que, a partir de datos biométricos, deduzcan la raza, las opiniones políticas, la afiliación sindical, las convicciones religiosas o filosóficas, la vida sexual o la orientación sexual de una persona.

Nadie compra esto a propósito. Aparece por la puerta de atrás: sistemas de control de acceso o de análisis de vídeo que incorporan funciones de categorización demográfica «para estadística», y que en el fondo están infiriendo características protegidas a partir de rasgos faciales.

Si tienes un sistema de vídeo con analítica en la oficina, esta es una pregunta concreta que hacerle al proveedor.

Puntuación social: no es solo cosa de gobiernos

La puntuación social se asocia a un sistema estatal de crédito ciudadano, y por eso se descarta rápido. Pero el Reglamento alcanza también a operadores privados, y el supuesto es más amplio de lo que parece.

La clave está en dos elementos: que la evaluación de comportamiento social o características personales produzca un trato desfavorable, y que ese trato se dé en un contexto ajeno a aquel en el que se recogieron los datos, o sea desproporcionado respecto a la conducta valorada.

Traducido: un sistema que penaliza a un cliente en la contratación de un servicio por datos de comportamiento recogidos en un ámbito que nada tiene que ver, empieza a acercarse. No es un supuesto frecuente en un despacho, pero conviene conocer los dos elementos para saber cuándo saltan.

Casos frontera de IA en la empresa que sí te pueden tocar

Videoentrevistas con análisis del candidato. Si el sistema evalúa expresión facial o tono de voz para inferir estados emocionales, cae en la prohibición. Si se limita a transcribir y a analizar el contenido de las respuestas, no. La diferencia está en qué infiere, y hay que preguntarlo expresamente.

Analítica de llamadas de atención al cliente. Igual: medir tiempos, temas y resolución es una cosa; puntuar el estado emocional del agente es otra.

Plataformas de clima laboral con IA. Depende de si infieren emociones individuales o agregan respuestas explícitas de encuestas. Los materiales comerciales no suelen aclararlo.

Control de acceso con reconocimiento facial. Identificar a una persona autorizada no es lo mismo que categorizarla. La identificación en un recinto privado tiene su propio régimen en el RGPD, que es exigente pero distinto.

Qué hacer si sospechas que usas un sistema prohibido

Pregunta por escrito al proveedor qué infiere exactamente el sistema y a partir de qué señales. Formúlalo con esas palabras, porque la respuesta comercial habitual esquiva la cuestión. Si te contestan con vaguedades, esa vaguedad ya es información.

Si la respuesta confirma la sospecha, deja de usarlo y documenta la fecha y la decisión. Ese registro es lo que acredita diligencia.

Revisa qué se ha tratado hasta ahora y si ha habido consecuencias para personas concretas: una contratación descartada, una evaluación de desempeño influida.

Y mira el contrato. Comercializar un sistema que incurre en una práctica prohibida tiene consecuencias para el proveedor, no solo para ti.

Todo esto presupone algo que la mayoría de las organizaciones no tiene: saber qué sistemas están funcionando. Por eso el inventario es siempre el primer paso.

Las prácticas prohibidas son la parte del AI Act que menos se comenta y la única que no admite gestión del riesgo. O no se hace, o se está incumpliendo.

La buena noticia es que seis de las ocho quedan lejos de una empresa normal. La mala es que las otras dos se venden todos los días, con nombres que no suenan a nada de esto, a departamentos de recursos humanos que actúan de buena fe.

Preguntas frecuentes

El artículo 5 del Reglamento (UE) 2024/1689 prohíbe, entre otros, las técnicas subliminales o manipuladoras que causen un perjuicio significativo, la explotación de vulnerabilidades por edad o discapacidad, la puntuación social que derive en trato desfavorable en contextos ajenos, la predicción de delitos basada solo en perfiles de personalidad, la extracción masiva e indiscriminada de imágenes faciales, el reconocimiento de emociones en el trabajo y la educación, y la categorización biométrica para inferir datos sensibles.

Desde el 2 de febrero de 2025. Fueron el primer bloque del Reglamento en aplicarse, seis meses después de su entrada en vigor, precisamente por considerarse los usos de riesgo inaceptable. No se han visto afectadas por los aplazamientos posteriores del calendario.

Con carácter general sí. El Reglamento prohíbe los sistemas de reconocimiento de emociones en el lugar de trabajo y en centros educativos, con excepciones tasadas por motivos médicos o de seguridad. Esto incluye herramientas que infieren estados emocionales a partir de la voz, la expresión facial o el comportamiento, y afecta a algunas soluciones de análisis de llamadas y de videoentrevistas que se siguen comercializando.

No. La prohibición se refiere al reconocimiento de emociones de personas físicas en el ámbito laboral y educativo, no al análisis de texto público sobre satisfacción con un producto o servicio. Analizar el tono de las reseñas de tu ficha de Google no entra en el supuesto prohibido.

Es el uso de sistemas que, a partir de datos biométricos, deducen o infieren la raza, las opiniones políticas, la afiliación sindical, las convicciones religiosas o filosóficas, la vida sexual o la orientación sexual de una persona. Está prohibida con independencia de la finalidad alegada, con excepciones muy limitadas en el ámbito policial.

Sí. La prohibición no se limita a las administraciones públicas: alcanza también a operadores privados. El supuesto se da cuando se evalúa o clasifica a personas por su comportamiento social o características personales y esa puntuación deriva en un trato desfavorable en contextos que nada tienen que ver con el origen del dato, o desproporcionado respecto a la conducta valorada.

Lo primero es dejar de usarlo, documentando la fecha y la decisión. Después conviene analizar qué datos se han tratado, si ha habido consecuencias para personas concretas y si procede alguna comunicación. Y revisar el contrato con el proveedor, porque haber comercializado un sistema que incurre en una práctica prohibida tiene consecuencias también para él.

Rara vez lo dice el material comercial, que suele emplear eufemismos como análisis de compromiso, medición de clima o evaluación de idoneidad. La vía práctica es preguntar por escrito al proveedor qué infiere exactamente el sistema y a partir de qué señales. Si la respuesta es vaga o comercial, esa vaguedad ya es un dato.

Más sobre el servicio: gobernanza de IA y política de uso para despachos.