Un proveedor te enseña una demo: «medimos el ánimo del equipo por la voz en las reuniones». Suena a cuidar a la gente, y es una de las prácticas prohibidas del AI Act desde el 2 de febrero de 2025; el Ómnibus de julio de 2026 no la aplazó. Aquí tienes las ocho traducidas a lo que te pueden vender, las dos que te rozan, lo que no es ninguna, las dos nuevas y cinco preguntas para la próxima demo.
Las prácticas prohibidas del AI Act, para situarse: qué son y desde cuándo
Son ocho usos que el artículo 5 del Reglamento europeo de IA (el Reglamento (UE) 2024/1689) prohíbe a cualquiera: a quien fabrica la IA y a quien la usa. Fueron lo primero en aplicarse, antes que la formación o los avisos. Las tres fechas que te importan:
- 2 de febrero de 2025: las ocho prohibiciones se aplican.
- 2 de agosto de 2025: se aplican las sanciones, y la AESIA, la autoridad española, puede imponerlas.
- 2 de diciembre de 2026: entran dos prohibiciones nuevas, añadidas por el Ómnibus (más abajo).
La palabra que importa es «inaceptable», no «alto». Se mezclan a menudo. Alto riesgo (filtrar currículos, por ejemplo) se puede hacer con requisitos, y esos requisitos no llegan hasta diciembre de 2027. Prohibido no se puede, con requisitos ni sin ellos. El calendario completo está en el AI Act desde agosto de 2026; lo que sí tienes que hacer, en obligaciones de IA para pymes.
Primero, qué eres tú: quien usa también responde
Si usas IA en tu actividad, el Reglamento te llama responsable del despliegue. No la fabricas, la usas, y eso no te saca de la lista: las directrices de la Comisión Europea sobre el artículo 5 dicen que se espera que los responsables del despliegue no utilicen ningún sistema de IA de una manera prohibida. Fíjate en el verbo: utilizar.
Dos matices que casi nadie cuenta. Si compras un software que hace una de las ocho, la práctica prohibida es tuya, no solo del proveedor. Y da igual que sea un sistema hecho para eso o un chatbot de uso general al que se lo pides: lo prohibido es el uso, no la herramienta.
Las ocho, traducidas a lo que tu empresa podría estar comprando sin saberlo
La columna que te interesa es la tercera. Los ejemplos salen del artículo 5 y de las directrices de la Comisión, adoptadas el 29 de julio de 2025 con versión en español (ya no son un borrador, aunque muchos lo sigan diciendo).
| Práctica | Lo que prohíbe, en una frase | Cómo se cuela en tu empresa | Lo que sí se puede |
|---|---|---|---|
| a) Manipulación | Técnicas subliminales o engañosas con perjuicio considerable | Un chatbot de ventas que oculta lo que es o presiona sin que se note | Persuadir con argumentos a la vista |
| b) Explotar vulnerabilidades | Aprovechar la edad, una discapacidad o la situación económica | Créditos «urgentes» anunciados por código postal a barrios de renta baja | Segmentar por intereses declarados |
| c) Puntuación social | Puntuar a personas con un trato perjudicial ajeno a los datos usados | Un seguro que puntúa con los gastos del banco; puntuar a la plantilla por su vida fuera | Crédito con datos pertinentes; evaluar a un empleado para un fin concreto |
| d) Predecir delitos por perfil | Decir que alguien delinquirá solo por su personalidad | Casi imposible en una pyme: el «detector de empleados de riesgo» por test de personalidad | Apoyar una valoración humana con hechos |
| e) Bases de caras de internet | Bases de reconocimiento facial con extracción no selectiva de internet o cámaras | El control de acceso que «ya trae millones de caras de internet» | Fotos de tu plantilla recogidas con base legal (y el RGPD aparte) |
| f) Emociones en el trabajo | Inferir emociones en el trabajo o la educación, salvo motivos médicos o de seguridad | La demo de «bienestar del equipo» por webcam o voz; el «entusiasmo» en entrevistas | Detectar fatiga o dolor (estados físicos); las emociones de los clientes |
| g) Categorización biométrica | Deducir de la cara o la voz raza, religión, orientación sexual o sindicato | Anuncios segmentados por «supuesta orientación sexual» a partir de fotos | Una pantalla que cambia el anuncio por edad o sexo (no es dato sensible) |
| h) Identificación biométrica remota | Reconocer a personas en tiempo real en espacios públicos con fines policiales | No es cosa de tu empresa; completa la lista | La cámara de la nave con tarjeta de acceso: no es espacio público |
Fuentes: el texto del Reglamento en el BOE (artículo 5) y las directrices de la Comisión en español, que no son vinculantes (quien decide al final es el Tribunal de Justicia de la UE). La regla general: seis de las ocho no te van a pasar nunca. Las que sí vienen de fuera, en una demo o en un contrato, y son las dos siguientes.
Reconocimiento de emociones en el trabajo: la que de verdad te roza
Desde el 2 de febrero de 2025 no puedes usar IA para deducir las emociones de tu plantilla (ni de los candidatos) por la cara, la voz o la postura, salvo motivos médicos o de seguridad. Y «lugar de trabajo» es amplio: la oficina, la tienda, el teletrabajo, los becarios y, fíjate, el proceso de selección.
El ejemplo literal de las directrices: un centro de llamadas que usa cámaras web y reconocimiento de voz para controlar el enfado de su empleado. Prohibido. Medir el estrés, el burnout o el aburrimiento también, aunque te lo vendan como salud. La excepción médica es un dispositivo con marcado CE; la de seguridad, solo la vida y la salud (máquinas, químicos), nunca proteger los bienes contra el robo.
¿Y qué sí se puede? Seguir las emociones de los clientes en ese mismo centro para ayudar al agente (es alto riesgo y hay que avisar; cómo se hace, en atención al cliente con IA). Analizar el sentimiento de un texto: no hay datos biométricos. Y filtrar currículos no es esto, es alto riesgo: está en IA para recursos humanos.
Puntuación y manipulación: las otras dos que se compran sin querer
Puntuar personas no está prohibido; puntuarlas con datos que no vienen a cuento, sí. La línea: datos sin relación con la decisión y trato desproporcionado. Los ejemplos de las directrices: la aseguradora que fija la prima con los movimientos del banco; la agencia que decide la hipoteca por rasgos personales ajenos. Tu pregunta, con el CRM delante: ¿con qué datos puntúa y para qué decisión?
En marketing, persuadir sí; manipular, no. Recomendaciones personalizadas con reglas a la vista son persuasión lícita. Señales que la persona no percibe, o deducir a escondidas su estado de ánimo para subir el precio justo cuando es más probable que compre, es manipulación. Lo que sí se hace cada día está en IA para el equipo comercial.
Lo que no es una práctica prohibida (y alguien te dirá que sí)
Usar Claude o ChatGPT para redactar correos, actas, resúmenes o propuestas no está en la lista, ni cerca. Conviene decirlo, porque casi todo lo que vas a leer sobre las prácticas prohibidas está escrito para asustar o para vender una auditoría. Lo que no es ninguna de las ocho:
- Un asistente de texto no es un sistema biométrico. No mira caras ni escucha voces.
- Analizar el tono de un correo de reclamación no es inferir emociones. Sin datos biométricos, las directrices lo dejan fuera.
- Segmentar una campaña por intereses declarados no es explotar vulnerabilidades.
- Un chatbot que dice que es un chatbot no manipula. Lo que le toca es avisar (artículo 50, desde agosto de 2026).
- Una cámara con tarjeta de acceso en la nave no es identificación en un espacio público.
Lo que sigue pesando es el RGPD: una cara o una voz son datos de terceros aunque no haya práctica prohibida (RGPD e inteligencia artificial; qué no se pega nunca, en datos confidenciales e IA en la empresa). Y que quien usa la herramienta sepa usarla: la alfabetización en IA del artículo 4.
Una nota sobre Claude. Es un asistente de texto, no un sistema biométrico ni de puntuación. Y la política de uso de Anthropic, la que entra en vigor el 12 de noviembre, excluye reconocer emociones, categorizar por biometría, puntuar a personas sin su consentimiento y manipular. Es una condición de uso, no una promesa para siempre; pero con Claude no se comete ninguna de las ocho sin saltársela.
¿Te avisamos del próximo artículo?
Publicamos uno nuevo cada día, de lunes a sábado. Te mandamos el título, dos líneas y el enlace: en cuanto sale o en un resumen los lunes. Te das de baja con un clic.
Lo que cambió en 2026: dos prohibiciones nuevas desde el 2 de diciembre
El Ómnibus de julio de 2026 (Reglamento 2026/1744) no aplazó las ocho: las amplió. Añade dos letras al artículo 5, aplicables desde el 2 de diciembre de 2026: generar o manipular imágenes, vídeos o audios realistas de partes íntimas o actos sexuales de una persona identificable sin su consentimiento, y material de abuso sexual infantil. Texto en el BOE.
Para ti, como quien usa la IA, solo cuentan si usas el sistema para generar o manipular ese material. Las ocho de 2025 no se movieron. Marcar lo que generas con IA es otra obligación (artículo 50) y va aparte.
Las cinco preguntas al proveedor antes de firmar
Lo que puedes hacer hoy, en la próxima demo. La sexta se escribe en el contrato.
Las cinco preguntas al proveedor antes de firmar
Marca la casilla cuando tengas la respuesta por escrito. Si la respuesta es la de la etiqueta en coral, se para.
La cláusula para tu política de uso de IA en la empresa cabe en una línea: «no se contrata ningún sistema que infiera emociones de la plantilla, puntúe a personas con datos ajenos a la decisión o use datos biométricos para deducir categorías sensibles». Las demás preguntas (precio, datos, salida) están en cómo elegir una herramienta de IA para la empresa.
Quién vigila y qué pasa si te lo encuentras
En España vigila la AESIA (la Agencia Española de Supervisión de la Inteligencia Artificial, en A Coruña), que aplica el Reglamento directamente y puede sancionar desde el 2 de agosto de 2025. Una práctica prohibida es el tramo más alto: hasta 35 millones de euros o el 7 % de la facturación mundial, lo que sea mayor (para una pyme, el menor de los dos).
La ley española de IA caducó el 6 de octubre de 2026 al disolverse las Cortes (su recorrido, en la ley de inteligencia artificial en España). Si detectas una de las ocho en un proveedor o en tu sector, se comunica por escrito o con el formulario de contacto de la AESIA; su página de sistemas prohibidos es la lista oficial.
Los tramos de multa y cómo llega una inspección van en el artículo sobre las sanciones del AI Act.
Seis de las ocho no te van a pasar nunca. Las dos que sí pueden pasarte llegan en una demo con la palabra «bienestar» o en un contrato con la palabra «puntuación», y se paran con una pregunta antes de firmar.
Por dónde empezar
Esta semana: repasa qué software con «emociones», «ánimo», «scoring» o «reconocimiento» tenéis o os han ofrecido (si no lo sabes, es la encuesta del inventario de IA de la empresa). Añade la cláusula de arriba a la política de uso. Y que quien evalúa demos sepa qué preguntar: eso es formación del artículo 4, con registro, y la hacemos por puesto desde la página de empresas.
Si quieres empezar por tu cuenta, con correos y actas, Claude para principiantes cuesta 20 €, una vez, y ninguna de sus 22 lecciones roza el artículo 5. Esto es orientación práctica, no asesoramiento legal; para vuestro caso, el criterio es vuestro.
Preguntas frecuentes
¿Cuáles son las prácticas prohibidas del AI Act?
Ocho usos del artículo 5 del Reglamento (UE) 2024/1689: manipulación subliminal o engañosa, explotar vulnerabilidades, puntuación social, predecir delitos por perfil, crear bases de reconocimiento facial con extracción no selectiva, inferir emociones en el trabajo o la educación, categorización biométrica de datos sensibles e identificación biométrica remota en tiempo real con fines policiales. Desde el 2 de diciembre de 2026 se añaden dos: imágenes íntimas generadas sin consentimiento y material de abuso sexual infantil.
¿Desde cuándo se aplican y se han aplazado con el Ómnibus?
Desde el 2 de febrero de 2025, y no: el Ómnibus de julio de 2026 aplazó el alto riesgo a diciembre de 2027, pero las prohibiciones siguen igual y se amplían con dos nuevas desde el 2 de diciembre de 2026.
¿Puede mi empresa medir el estrés o el ánimo de la plantilla con IA?
No, si lo deduce de la cara, la voz o la postura: es reconocimiento de emociones en el trabajo, prohibido desde febrero de 2025, también con candidatos y aunque se venda como «bienestar». Solo se admite por motivos médicos (dispositivo con marcado CE) o de seguridad de la vida y la salud, con garantías. Analizar el tono de un texto no entra: no usa datos biométricos.
¿Usar ChatGPT o Claude para trabajar es una práctica prohibida?
No. Redactar, resumir, traducir o analizar documentos no está en la lista. Lo prohibido es el uso (deducir emociones de la plantilla, puntuar personas con datos ajenos, manipular a escondidas), con cualquier herramienta; lo que te toca por usar un asistente es formar a quien lo usa, avisar cuando es IA y cuidar los datos.
¿Qué multa tiene una práctica prohibida y quién la pone?
Es el tramo más alto del Reglamento: hasta 35 millones de euros o el 7 % de la facturación mundial anual, lo que sea mayor (para pymes, el menor de los dos). En España la vigila la AESIA, con potestad sancionadora desde el 2 de agosto de 2025.