Test del ámbito de Inteligencia artificial de EPSO: 10 preguntas al ritmo del examen

Descargar las 10 preguntas en PDF →

Qué cubre el test del ámbito — la guía completa → · Ficha de la oposición y plazos →

Las diez preguntas, con respuestas y fuentes

Las mismas diez preguntas con respuestas y fuentes, para leer y para los buscadores. Preguntas reales del banco de EU-now, escritas a partir de los textos oficiales. Sin cuenta.

1. 1. Una empresa quiere desplegar un sistema de IA que infiere las emociones de sus empleados a partir de la cámara web para medir su implicación durante la jornada. Según el artículo 5 del Reglamento (UE) 2024/1689 (Reglamento de IA), esto es:

   • A Permitido como uso de alto riesgo del anexo III, sujeto a evaluación de la conformidad y supervisión humana.
   • B Permitido si los empleados dan su consentimiento explícito conforme al RGPD y se consulta a los representantes del personal.
   • C Prohibido: inferir emociones en el lugar de trabajo está vetado salvo que se destine a fines médicos o de seguridad.
   • D Prohibido solo si las imágenes se usan además para la identificación biométrica remota de cada empleado.
   Respuesta correcta: C

   El artículo 5, apartado 1, letra f), del Reglamento de IA prohíbe introducir en el mercado, poner en servicio o utilizar sistemas de IA para inferir las emociones de una persona física en los ámbitos del lugar de trabajo y de los centros educativos, salvo que el sistema esté destinado a fines médicos o de seguridad. Medir la implicación no es ninguna de las dos cosas. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025. Fuente: Reglamento (UE) 2024/1689, artículo 5, apartado 1, letra f), y artículo 113.

   • A — El anexo III solo califica de alto riesgo el reconocimiento de emociones cuando su uso está permitido; en el trabajo lo prohíbe el artículo 5, apartado 1, letra f).
   • B — Ni el consentimiento del RGPD ni la consulta a los representantes del personal levantan una prohibición del Reglamento de IA.
   • C — Correcto: prohibido en el lugar de trabajo salvo por motivos médicos o de seguridad.
   • D — La prohibición no depende de la identificación biométrica; se dirige a la inferencia de emociones como tal.

2. 2. Según el artículo 51 del Reglamento de IA, ¿cuándo se presume que un modelo de IA de uso general tiene capacidades de gran impacto y, por tanto, presenta un riesgo sistémico?

   • A Cuando tiene más de mil millones de parámetros y puede realizar con competencia una amplia gama de tareas distintas.
   • B Cuando el cómputo acumulado utilizado para su entrenamiento, medido en operaciones de coma flotante, supera 10^25.
   • C Cuando se ofrece a más de 10 000 usuarios profesionales en la Unión, aunque se haya entrenado con poco cómputo.
   • D Solo cuando el Comité de IA lo designa por mayoría de dos tercios, tras una alerta cualificada del grupo de expertos científicos.
   Respuesta correcta: B

   El artículo 51, apartado 2, del Reglamento de IA presume capacidades de gran impacto cuando el cómputo acumulado de entrenamiento, medido en operaciones de coma flotante, supera 10^25. La Comisión puede ajustar los umbrales mediante actos delegados y también designar un modelo con arreglo a los criterios del anexo XIII. Los proveedores de estos modelos asumen las obligaciones adicionales del artículo 55 (evaluación, pruebas adversarias, notificación de incidentes, ciberseguridad). Fuente: Reglamento (UE) 2024/1689, artículos 51 y 55.

   • A — La generalidad hace que un modelo sea de uso general; la presunción de riesgo sistémico se basa en el cómputo de entrenamiento, no en el número de parámetros.
   • B — Correcto: más de 10^25 FLOP de cómputo acumulado de entrenamiento.
   • C — El alcance es un criterio del anexo XIII que la Comisión pondera al designar un modelo; no activa la presunción del artículo 51, apartado 2.
   • D — La designación es una decisión de la Comisión, de oficio o tras una alerta cualificada del grupo de expertos científicos; el Comité no la vota.

3. 3. El Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA) modificó el calendario del Reglamento de IA. ¿Desde cuándo se aplican los requisitos del capítulo III, secciones 1 a 3, a un sistema de IA de alto riesgo del anexo III, como una herramienta de selección de personal?

   • A Desde el 2 de agosto de 2026, la fecha original, que el Ómnibus dejó sin cambios para los sistemas del anexo III.
   • B Desde el 2 de febrero de 2025, junto con las prácticas prohibidas y la obligación de alfabetización en IA.
   • C Desde el 2 de agosto de 2028 para todos los sistemas de alto riesgo, estén en el anexo III o en el anexo I.
   • D Desde el 2 de diciembre de 2027; los sistemas integrados en productos del anexo I, desde el 2 de agosto de 2028.
   Respuesta correcta: D

   El Ómnibus Digital sobre IA sustituye la fecha de aplicación del capítulo III, secciones 1, 2 y 3 (salvo el artículo 6, apartado 5), por el 2 de diciembre de 2027 para los sistemas de IA clasificados de alto riesgo según el artículo 6, apartado 2, y el anexo III, y por el 2 de agosto de 2028 para los clasificados según el artículo 6, apartado 1, y el anexo I. Las prácticas prohibidas y la obligación de alfabetización en IA se aplican desde el 2 de febrero de 2025. Fuente: Reglamento (UE) 2026/1744, que modifica el artículo 113 del Reglamento (UE) 2024/1689.

   • A — El 2 de agosto de 2026 era la fecha original; el Ómnibus la desplazó.
   • B — Febrero de 2025 es la fecha de los capítulos I y II (prohibiciones, alfabetización en IA), no de los requisitos de alto riesgo.
   • C — 2028 solo se aplica a los sistemas integrados en productos del anexo I.
   • D — Correcto: 2 de diciembre de 2027 (anexo III) y 2 de agosto de 2028 (anexo I).

4. 4. Un ministerio usa un sistema de IA generativa para producir un vídeo realista de un portavoz leyendo un comunicado, y un chatbot para atender a los ciudadanos. ¿Qué obligaciones del artículo 50 del Reglamento de IA se aplican, y a quién?

   • A El proveedor debe marcar las salidas como generadas por IA, el ministerio debe revelar la ultrafalsificación y el chatbot debe avisar de que es una IA.
   • B El ministerio debe registrar ambos sistemas en la base de datos de la UE de alto riesgo y realizar una evaluación de impacto en los derechos fundamentales.
   • C No se aplica ninguna obligación, porque las autoridades públicas que se comunican con los ciudadanos están exentas de los deberes de transparencia del artículo 50.
   • D El ministerio debe obtener el consentimiento del portavoz según el RGPD y avisar del chatbot; el proveedor del sistema generativo no tiene ningún deber propio.
   Respuesta correcta: A

   El artículo 50 reparte las obligaciones por función: los proveedores de sistemas que generan audio, imagen, vídeo o texto sintéticos deben garantizar que las salidas se marquen en un formato legible por máquina y sean detectables como generadas artificialmente; los responsables del despliegue de ultrafalsificaciones deben revelar que el contenido se ha generado o manipulado artificialmente; y los proveedores deben garantizar que las personas que interactúan con un sistema de IA sean informadas de ello, salvo que resulte evidente. Las directrices de la Comisión y el Código de buenas prácticas sobre transparencia de los contenidos generados por IA (2026) detallan estas obligaciones, aplicables desde el 2 de agosto de 2026. Fuente: Reglamento (UE) 2024/1689, artículo 50.

   • A — Correcto: marcado (proveedor), revelación de la ultrafalsificación (responsable del despliegue), aviso del chatbot.
   • B — El registro en la base de datos de la UE y la evaluación de impacto en los derechos fundamentales son obligaciones de alto riesgo, no deberes de transparencia del artículo 50.
   • C — El artículo 50 no tiene exención para las autoridades públicas.
   • D — El consentimiento es una cuestión de protección de datos, y el artículo 50, apartado 2, impone al proveedor del sistema generativo un deber de marcado.

5. 5. Desde el Ómnibus Digital sobre IA (Reglamento (UE) 2026/1744), ¿qué exige el artículo 4 del Reglamento de IA a una organización que despliega sistemas de IA?

   • A Certificar a todos los empleados que usan IA mediante un programa de formación acreditado a más tardar el 2 de agosto de 2026.
   • B Adoptar medidas que apoyen la alfabetización en IA del personal que trata con IA, sin garantizar un nivel para cada persona.
   • C Garantizar que cada miembro del personal que trata con sistemas de IA alcance, y mantenga, un nivel suficiente de alfabetización en IA.
   • D Nada todavía: el artículo 4 solo se aplica junto con los requisitos de alto riesgo, a partir del 2 de diciembre de 2027.
   Respuesta correcta: B

   El Ómnibus Digital sobre IA sustituyó el artículo 4: los proveedores y los responsables del despliegue deben adoptar medidas para apoyar el desarrollo de la alfabetización en IA de su personal y de las demás personas que se ocupen del funcionamiento y la utilización de sistemas de IA en su nombre, teniendo en cuenta sus conocimientos, experiencia, educación y formación y el contexto de uso. La obligación no les exige garantizar un nivel específico de alfabetización en IA de ninguna persona, y la Comisión y los Estados miembros deben apoyar esos esfuerzos, en particular los de las pymes. El artículo 4 está en el capítulo I, aplicable desde el 2 de febrero de 2025. Fuente: Reglamento (UE) 2024/1689, artículos 4 y 113, modificado por el Reglamento (UE) 2026/1744.

   • A — No se exige certificación ni programa acreditado; las medidas dependen del personal y del contexto de uso.
   • B — Correcto: medidas de apoyo, sin garantizar un nivel concreto de alfabetización en IA a ninguna persona.
   • C — Esa era la redacción original de 2024 (un nivel suficiente); el Ómnibus la sustituyó por un deber de apoyar la alfabetización en IA.
   • D — El artículo 4 está en el capítulo I, aplicable desde febrero de 2025, al margen del calendario de alto riesgo.

6. 6. Las Directrices éticas para una IA fiable del Grupo de expertos de alto nivel (2019) enumeran siete requisitos clave. ¿Cuál es el conjunto correcto?

   • A Acción y supervisión humanas; solidez técnica y seguridad; gestión de la privacidad y de los datos; transparencia; diversidad, no discriminación y equidad; bienestar social y ambiental; rendición de cuentas.
   • B Respeto de la autonomía humana; prevención del daño; equidad; explicabilidad; licitud; adhesión a principios y valores éticos; solidez técnica y social.
   • C Válida y fiable; segura; protegida y resiliente; responsable y transparente; explicable e interpretable; que refuerza la privacidad; equitativa, con los sesgos perjudiciales gestionados.
   • D Sistema de gestión de riesgos; datos y gobernanza de datos; documentación técnica; conservación de registros; transparencia y comunicación de información a los responsables del despliegue; supervisión humana; precisión, solidez y ciberseguridad.
   Respuesta correcta: A

   Las Directrices derivan siete requisitos de los principios de respeto de la autonomía humana, prevención del daño, equidad y explicabilidad: acción y supervisión humanas; solidez técnica y seguridad; gestión de la privacidad y de los datos; transparencia; diversidad, no discriminación y equidad; bienestar social y ambiental; y rendición de cuentas. ALTAI (2020) los convierte en una lista de autoevaluación. Fuente: Grupo de expertos de alto nivel, Directrices éticas para una IA fiable, capítulo II.

   • A — Correcto: los siete requisitos del Grupo de expertos.
   • B — Son los cuatro principios éticos y los tres componentes de la IA fiable (lícita, ética y sólida), de los que se derivan los siete requisitos.
   • C — Son las siete características de una IA fiable del Marco de gestión de riesgos de IA 1.0 del NIST, otro marco.
   • D — Son los títulos de los requisitos de alto riesgo del Reglamento de IA, artículos 9 a 15 (capítulo III, sección 2).

7. 7. En el Marco de gestión de riesgos de IA 1.0 del NIST, ¿cómo se relacionan entre sí las funciones básicas?

   • A Siete requisitos heredados de las Directrices éticas de la UE, aplicados uno tras otro en un orden fijo.
   • B Seis funciones — Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar — aplicadas a los sistemas de IA.
   • C Tres fases secuenciales — diseño, despliegue y retirada — cada una con una auditoría obligatoria.
   • D Cuatro funciones — Gobernar, Mapear, Medir y Gestionar — con Gobernar como función transversal a las otras tres.
   Respuesta correcta: D

   El núcleo del marco organiza las actividades de gestión de riesgos en cuatro funciones: Gobernar, Mapear, Medir y Gestionar. La gobernanza se concibe como función transversal que informa e impregna a las otras tres; las funciones no son una secuencia fija. El perfil de IA generativa (NIST AI 600-1) añade riesgos y acciones específicos sobre la misma estructura. Fuente: NIST AI 100-1, sección 5.

   • A — Los siete requisitos son del Grupo de expertos de la UE, otro marco.
   • B — Esas seis son las funciones del Marco de Ciberseguridad 2.0.
   • C — El marco se organiza por funciones, no por fases auditadas obligatorias.
   • D — Correcto: cuatro funciones, con Gobernar transversal.

8. 8. Según el Dictamen 28/2024 del CEPD, ¿cuándo puede considerarse anónimo un modelo de IA entrenado con datos personales, y cómo debe justificar un responsable el interés legítimo como base jurídica del entrenamiento?

   • A Cualquier modelo es anónimo al terminar el entrenamiento, porque los pesos no son datos personales; el interés legítimo se aplica entonces automáticamente a la investigación científica.
   • B Un modelo es anónimo si los datos de entrenamiento se seudonimizaron antes de usarlos, y el consentimiento de cada interesado es la única base jurídica válida para entrenar.
   • C La anonimidad se evalúa caso por caso, según la probabilidad de extraer datos personales u obtenerlos mediante consultas; el interés legítimo exige la prueba en tres pasos.
   • D La anonimidad la certifica la Oficina de IA conforme al Reglamento de IA, y una vez certificado el modelo su entrenamiento queda fuera del RGPD por completo.
   Respuesta correcta: C

   El Dictamen afirma que los modelos de IA entrenados con datos personales no pueden considerarse anónimos en todos los casos: las alegaciones de anonimidad se evalúan caso por caso, atendiendo a la probabilidad de extracción directa de datos personales del modelo y de obtenerlos mediante consultas. Para el interés legítimo recuerda la prueba en tres pasos: identificar el interés legítimo, analizar la necesidad del tratamiento y ponderarlo frente a los intereses y derechos de los interesados. Fuente: Dictamen 28/2024 del CEPD, de 17 de diciembre de 2024.

   • A — El Dictamen no admite ni la anonimidad automática ni el interés legítimo automático.
   • B — La seudonimización no es anonimización, y el consentimiento no es la única base.
   • C — Correcto: anonimidad caso por caso y prueba en tres pasos.
   • D — La Oficina de IA no certifica la anonimidad; el RGPD se aplica al entrenamiento con datos personales.

9. 9. Un asistente de generación aumentada por recuperación (RAG) lee documentos de una unidad compartida para responder a preguntas del personal. Un atacante introduce un documento con instrucciones ocultas que el asistente sigue después. En el OWASP Top 10 para aplicaciones LLM 2025, ¿qué categorías de riesgo ilustra este escenario?

   • A Inyección indirecta de instrucciones a través del contenido recuperado, y debilidades de vectores y embeddings en la cadena RAG.
   • B Robo del modelo y denegación de servicio, porque el documento introducido permite al atacante copiar y saturar el modelo.
   • C Solo una brecha de datos del RGPD, que debe gestionar el delegado de protección de datos, fuera del ámbito de la seguridad de aplicaciones.
   • D Envenenamiento de datos y del modelo, porque el documento introducido se incorpora a los pesos del modelo al ser recuperado.
   Respuesta correcta: A

   OWASP recoge la inyección de instrucciones como LLM01:2025, incluida la inyección indirecta cuando las instrucciones llegan en contenido que el modelo procesa, y las debilidades de vectores y embeddings como LLM08:2025 para los riesgos de las cadenas de generación aumentada por recuperación. El contenido recuperado no cambia los pesos del modelo, así que no es envenenamiento de datos de entrenamiento. NIST AI 100-2 (2025) usa la misma distinción entre ataques en inferencia y en entrenamiento. Fuente: OWASP Top 10 for LLM Applications 2025; NIST AI 100-2e2025.

   • A — Correcto: inyección indirecta más debilidades de vectores y embeddings del RAG.
   • B — En el escenario no se roba ni se satura nada.
   • C — Puede ser también un problema de protección de datos, pero las categorías de seguridad siguen aplicándose.
   • D — El envenenamiento afecta a los datos de entrenamiento o de ajuste fino; un documento recuperado actúa en la inferencia y no cambia los pesos.

10. 10. ¿Qué pareja de medidas se corresponde correctamente con los documentos de política de IA de la Comisión de 2025?

    • A Ambos son recomendaciones del Consejo de 2024, sobre competencias en IA en las escuelas y sobre IA en la administración pública.
    • B Plan de acción del Continente de la IA: la prohibición del reconocimiento de emociones; Estrategia Apply AI: el umbral de 10^25 FLOP para los modelos de riesgo sistémico.
    • C Plan de acción del Continente de la IA: creación de la Oficina de IA; Estrategia Apply AI: el Código de buenas prácticas para modelos de IA de uso general.
    • D Plan de acción del Continente de la IA: fábricas y gigafábricas de IA; Estrategia Apply AI: una política «AI first» basada en soluciones europeas.
    Respuesta correcta: D

    El Plan de acción del Continente de la IA, de 9 de abril de 2025, se propone ampliar la infraestructura pública de IA, reforzando la red de fábricas de IA y creando gigafábricas de IA inspiradas en el modelo del CERN, junto con medidas de datos, competencias y adopción. La Estrategia Apply AI, de 8 de octubre de 2025, promueve una política «AI first» para que empresas y organizaciones del sector público integren IA construida sobre soluciones europeas. Las prohibiciones, el umbral de FLOP, la Oficina de IA y el Código de buenas prácticas pertenecen al marco del Reglamento de IA. Fuente: COM(2025) 165 final; COM(2025) 723 final.

    • A — Ambos son comunicaciones de la Comisión de 2025, no recomendaciones del Consejo.
    • B — Esas son disposiciones del Reglamento de IA, no comunicaciones de política.
    • C — La Oficina de IA se creó por decisión de la Comisión en 2024 y el Código de buenas prácticas es un instrumento del Reglamento de IA.
    • D — Correcto: fábricas y gigafábricas de IA; «AI first».

Cada explicación cita el texto oficial del que sale: la convocatoria C/2026/4668 y los reglamentos y publicaciones del NIST y de ENISA que enumera la guía del ámbito.