Ley de IA de la UE y herramientas de IA autistas

Bruselas está precisando en estas semanas qué sistemas de IA se consideran de alto riesgo. Para la IA en los ámbitos de salud y educación, la cuestión es decisiva. Autistic Mirror se sitúa deliberadamente fuera de esta categoría. Lo que esto significa en la práctica.

De qué se trata, en dos frases

La Ley de IA de la UE es el primer reglamento que clasifica los sistemas de IA según su riesgo. Allí donde se trata de diagnósticos, plazas escolares, acceso a rehabilitación o decisiones de personal, se aplican los requisitos más estrictos. Es precisamente ahí donde se decide qué herramientas de IA pueden utilizar las personas autistas de forma segura y cuáles no son viables legal ni éticamente.

Qué regula la Ley de IA de la UE

El Reglamento de IA (Reglamento UE 2024/1689)^[1] está en vigor desde agosto de 2024 y se aplicará de forma escalonada. Las prohibiciones de ciertas prácticas y la obligación de alfabetización en IA (Artículo 4) rigen desde el 2 de febrero de 2025. Las obligaciones para modelos de IA de uso general se aplican desde el 2. de agosto de 2025. La fecha clave para la mayoría de los proveedores es el 2 de agosto de 2026: a partir de esa fecha entrarán en vigor todos los requisitos para los sistemas de IA de alto riesgo según el Anexo III.^[1]

El reglamento establece cuatro niveles de riesgo: prácticas prohibidas, sistemas de alto riesgo, sistemas de riesgo limitado y sistemas de riesgo mínimo. El nivel determina el catálogo de obligaciones.

Dónde está el límite para la IA de salud y educación

El Anexo III enumera las áreas en las que los sistemas de IA se consideran automáticamente de alto riesgo.^[1] Tres de ellas afectan especialmente al discurso en los entornos de recursos humanos: educación y formación profesional, empleo y gestión de personal, acceso a servicios esenciales incluyendo prestaciones sanitarias y sociales. Quien prepare o tome decisiones en estas áreas entra en el corredor de alto riesgo.

El Anexo I vincula además con la legislación sobre productos sanitarios. En cuanto una IA funciona como componente de seguridad de un producto sanitario o como diagnóstico in vitro, se considera de alto riesgo independientemente del caso de uso.^[3][5]

El Artículo 6, apartado 3, ofrece una excepción limitada: si un sistema solo realiza una tarea preparatoria o puramente técnica y no crea un riesgo significativo para los derechos fundamentales, puede quedar fuera de la categoría de alto riesgo a pesar de pertenecer a un área del Anexo III. Sin embargo, en cuanto se produce elaboración de perfiles, es decir, la evaluación automatizada de aspectos personales, la excepción deja de aplicarse.

Por qué Autistic Mirror no es una IA de alto riesgo

Autistic Mirror no es, expresamente, un producto sanitario. Esta posición figura en el apartado 2.4 de la Política de Privacidad y en las Condiciones de Uso. No hay diagnóstico, ni terapia, ni triaje, ni recomendación de medidas médicas. La tarea está definida de forma estricta: explicar los mecanismos neurológicos de la vivencia autista y apoyar la autorreflexión.

Cuatro puntos sustentan la clasificación fuera del corredor de alto riesgo:

1. No es un producto sanitario según MDR/IVDR.^[3][5] Por lo tanto, el Anexo I no es aplicable.
2. No tiene una función preparatoria de decisiones en educación, empleo o acceso a servicios esenciales. La aplicación no evalúa personas, no clasifica candidaturas, ni asigna plazas escolares o de rehabilitación. Por lo tanto, los tres pilares críticos del Anexo III no son aplicables.
3. No hay elaboración de perfiles en el sentido del Artículo 4, nº 4 del RGPD. Los datos del registro (rol, condiciones co-currentes, grupo de edad) configuran exclusivamente el ajuste del system-prompt. No se realiza una evaluación automatizada de aspectos personales, ni una predicción sobre el comportamiento, el rendimiento o la salud. Por lo tanto, el Artículo 6, apartado 3 sigue siendo aplicable.
4. No hay decisiones automatizadas en el sentido del Artículo 22 del RGPD.^[2][7] No se producen efectos jurídicos ni afectaciones significativas similares por el uso. Las respuestas son explicativas, no decisorias.

La aplicación no proporciona asesoramiento en sentido clínico. Si los usuarios preguntan explícitamente por una vía de diagnóstico o tratamiento, se activa un filtro de salida que rechaza la solicitud y remite a profesionales especializados. Esto no es una autolimitación, sino la línea clara entre la explicación y la recomendación.

Sin reconocimiento de emociones, sin categorización biométrica

El Artículo 5, apartado 1, letra f de la Ley de IA de la UE prohíbe los sistemas de reconocimiento de emociones en el lugar de trabajo y en instituciones educativas.^[1][4] Autistic Mirror no realiza reconocimiento de emociones. No hay procesamiento de audio, ni análisis de cámara, ni análisis de voz o facial, ni categorización biométrica. Las entradas son texto libre. Con ello, la aplicación excluye también una práctica que sería especialmente arriesgada para las personas autistas, ya que su expresión emocional suele ser malinterpretada sistemáticamente.

Obligaciones de transparencia según el Artículo 50

Incluso fuera del corredor de alto riesgo, a partir del 2 de agosto de 2026 se aplican las obligaciones de transparencia del Artículo 50. Los usuarios deben poder reconocer que están interactuando con un sistema de IA. Autistic Mirror cumple esto en todo momento: el nombre del producto, el registro, la política de privacidad y cada respuesta están identificados como generados por IA. No hay imitación de asesoramiento humano ni se finge una relación terapéutica.

Proveedor, implementador y clasificación de GPAI

Autistic Mirror es el proveedor (provider) en el sentido de la Ley de IA de la UE. Las organizaciones que entregan la aplicación a su personal en el marco de una licencia B2B son implementadores (deployers) y asumen las obligaciones del Artículo 26 en la medida en que sean aplicables. Dado que Autistic Mirror no es de alto riesgo, estas obligaciones se limitan fundamentalmente a las normas de uso internas y a la información a los empleados. El modelo de lenguaje subyacente es un modelo de IA de uso general (GPAI) de un tercero; las obligaciones de GPAI del Capítulo V corresponden al proveedor del modelo, no a Autistic Mirror.

Por qué esto es importante para las personas autistas

Cuando una IA genérica en un contexto de asesoramiento, escolar o laboral emite una recomendación de comportamiento, como "practique el contacto visual" o "reduzca el stimming", interviene profundamente en la vivencia autista. Sin un profesional de por medio. Sin una explicación del mecanismo. Tales recomendaciones suelen seguir una lógica que pretende suprimir las reacciones autistas en lugar de comprenderlas.

La Ley de IA de la UE aborda precisamente este riesgo. Obliga a los proveedores a declararse: proporciono diagnósticos o recomendaciones con impacto en la educación, la profesión o la salud, o me quedo en la explicación. La línea divisoria no solo protege a los proveedores frente a auditorías, protege a las personas autistas frente a herramientas que quieren corregir su neurología en lugar de explicarla.

Qué costarían concretamente las obligaciones de alto riesgo

Quien se encuentre en el corredor de alto riesgo debe establecer un régimen de conformidad completo: gestión de riesgos documentada, gobernanza de datos con prueba de datos de entrenamiento, documentación técnica, obligaciones de registro (logging), supervisión humana, mediciones de precisión y robustez, y evaluación de la conformidad. En los casos del Anexo I, se añade un organismo notificado.

Un estudio muy citado del Centre for European Policy Studies estima el coste inicial de conformidad para un único sistema de IA de alto riesgo en unos 29.277 euros, complementado con unos costes anuales de unos 71.400 euros para un sistema de gestión de calidad certificado, en ambos casos sin incluir costes de personal interno ni auditorías posteriores.^[6] Para un equipo pequeño, esto solo es asumible si el caso de uso es realmente de alto riesgo. La respuesta a esto no es eludir las obligaciones, sino delimitar limpiamente el caso de uso.

Lo que cumplimos de forma voluntaria a pesar de todo

Incluso fuera del corredor de alto riesgo, se aplican el RGPD, ePrivacy y las normativas nacionales. Autistic Mirror cumple cinco familias de cumplimiento en paralelo: ISO/IEC 27001 Anexo A para seguridad de la información, OWASP Top 10 para seguridad de aplicaciones, RGPD Artículos 5, 9, 22, 25, 32, 35, EN ISO 9241 partes 110 a 210 para ergonomía de software y WCAG 2.1 Nivel A y AA para accesibilidad. A esto se añade una arquitectura de seguridad de 5 capas con filtro anti-ABA, detección de crisis, filtro de seguridad de salida, detección de inyección y buffer-then-send.

La evaluación de impacto relativa a la protección de datos según el Artículo 35 del RGPD está documentada, así como el registro de actividades de tratamiento según el Artículo 30, y se han elaborado las medidas técnico-organizativas según el Artículo 32. No se realiza seguimiento (tracking), ni venta de datos, ni entrenamiento de modelos con el contenido de los usuarios.

En qué se diferencia de la IA genérica

Un chatbot genérico sin especialización puede caer en cualquier momento de forma involuntaria en un lenguaje de diagnóstico, dar recomendaciones terapéuticas o sugerir estrategias cercanas al ABA. Con ello, se mueve en un espacio legalmente incierto en cuanto se utiliza para cuestiones de salud o educación, y en un espacio éticamente crítico en cuanto se encuentra con personas autistas.

Autistic Mirror tiene un prompt fijo de "mecanismo primero" y un filtro de salida que bloquea las recomendaciones de diagnóstico y los contenidos ABA. De este modo, la herramienta se mantiene en el ámbito permitido sin restar profundidad técnica a los usuarios. Explicación en lugar de recomendación. Mecanismo en lugar de diagnóstico.

IA genérica

Espacio temático abierto. Sin bloqueo de diagnósticos. Sin filtros ABA. Sin detección de crisis. Respuestas optimizadas para la plausibilidad, no para la fidelidad neurológica.

Autistic Mirror

Caso de uso estricto: explicar el mecanismo. Filtro de salida contra recomendaciones de diagnóstico y tratamiento. Filtro anti-ABA. Detección redundante de crisis en frontend y backend. Buffer-then-send, para que cada respuesta sea revisada antes de mostrarse.

Un rayo de esperanza

La regulación a menudo se experimenta como un obstáculo. En el caso de la Ley de IA de la UE, es una oferta de claridad: obliga a los proveedores a decidir si quieren asumir la responsabilidad diagnóstica o no. Las herramientas que explican mecanismos en lugar de establecer diagnósticos pueden escalar seriamente sin caer en el corredor de alto riesgo. Este es, al mismo tiempo, el camino legalmente limpio y éticamente sólido. Para las personas autistas, esto significa que la herramienta sigue siendo utilizable sin que nadie se interponga entre ellas y su propia neurología.

Autistic Mirror explica la neurología autista de forma individual, referida a tu situación. Ya sea para ti mismo, como padre o madre, o como profesional.

Fuentes

1. Parlamento Europeo y Consejo: Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial), 13 de junio de 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj
2. Parlamento Europeo y Consejo: Reglamento (UE) 2016/679 (RGPD), 27 de abril de 2016. eur-lex.europa.eu/eli/reg/2016/679/oj
3. Parlamento Europeo y Consejo: Reglamento (UE) 2017/745 sobre los productos sanitarios (MDR), 5 de abril de 2017. eur-lex.europa.eu/eli/reg/2017/745/oj
4. Comisión Europea: Directrices sobre las prácticas prohibidas en virtud de la Ley de IA (C(2025) 884 final), febrero de 2025. digital-strategy.ec.europa.eu
5. Medical Device Coordination Group: MDCG 2019-11 Rev.1, Qualification and Classification of Software in Regulation (EU) 2017/745 and Regulation (EU) 2017/746, 2024. health.ec.europa.eu
6. Renda, A. et al., Centre for European Policy Studies: Clarifying the costs for the EU's AI Act, 2021. ceps.eu
7. Comité Europeo de Protección de Datos (EDPB): Directrices y dictámenes sobre el Artículo 22 del RGPD. edpb.europa.eu
8. Comisión Europea, Oficina de IA: Aplicación y fechas clave de la Ley de IA. digital-strategy.ec.europa.eu/en/policies/ai-office