Legal
Reglamento Europeo de IA (AI Act): qué tiene que hacer una pyme
Qué exige el Reglamento Europeo de IA a una pyme: roles, niveles de riesgo, fechas tras el Ómnibus Digital, relación con el RGPD y lista de comprobación.
Por Carlos, GalactiaPublicada el 13 min de lectura
En resumen
- El Reglamento Europeo de IA (Reglamento (UE) 2024/1689, conocido como AI Act) se aplica a cualquier empresa que use IA en la Unión Europea, también a las pymes, aunque solo compren una herramienta y no la desarrollen.
- Desde el 2 de febrero de 2025 están prohibidas ciertas prácticas (como el reconocimiento de emociones en el trabajo) y es obligatorio garantizar la alfabetización en IA del personal (art. 4). Las obligaciones de los modelos de uso general se aplican desde el 2 de agosto de 2025.
- El Ómnibus Digital sobre IA, en vigor desde el verano de 2026, aplaza las obligaciones de alto riesgo al 2 de diciembre de 2027 (anexo III: selección de personal, crédito, educación) y al 2 de agosto de 2028 (anexo I: IA integrada en productos). Las obligaciones de transparencia del artículo 50, como avisar de que se habla con una IA, se aplican desde el 2 de agosto de 2026.
- La mayoría de las pymes son «responsables del despliegue», no proveedores: usan sistemas de terceros. Sus obligaciones son menores: formar al equipo, evitar las prácticas prohibidas, cumplir la transparencia cuando corresponda y, solo si el uso es de alto riesgo, supervisión humana, uso conforme a las instrucciones e información a los afectados.
- En España, la autoridad de supervisión es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial). Esta guía es orientativa y no sustituye el asesoramiento jurídico.
En esta guía
- ¿Qué es el Reglamento Europeo de IA y a quién afecta?
- ¿Eres proveedor o responsable del despliegue? Los dos roles que importan a una pyme
- ¿Cuáles son los niveles de riesgo y qué implican?
- ¿Qué obligaciones ya se aplican en 2026?
- ¿Qué cambia con el Ómnibus Digital y cuáles son las fechas definitivas?
- ¿Cómo encaja el AI Act con el RGPD?
- ¿Quién vigila el cumplimiento en España? AESIA y sanciones
- Lista de comprobación práctica para una pyme
- Fuentes oficiales
- Siguiente paso
El Reglamento Europeo de IA (AI Act) ya se aplica a tu pyme si usas cualquier herramienta de inteligencia artificial, aunque sea solo ChatGPT o Copilot. Hoy tus obligaciones son pocas y asumibles: no usar la IA para prácticas prohibidas, formar a tu equipo y, desde el 2 de agosto de 2026, ser transparente cuando un chatbot hable con personas o publiques contenido generado. Las obligaciones pesadas, las de alto riesgo, llegan en 2027 y 2028 y solo afectan a usos concretos. Aquí tienes lo que hay que hacer, en qué fecha y en qué orden. No es asesoramiento jurídico: es una guía práctica para que sepas qué preguntar a tu asesor.
¿Qué es el Reglamento Europeo de IA y a quién afecta?
El Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento Europeo de IA, es la primera norma general sobre inteligencia artificial del mundo. Es un reglamento, no una directiva: se aplica directamente en España sin necesidad de ley nacional que lo traslade.
Afecta a cualquier organización que desarrolle, comercialice o use sistemas de IA dentro de la Unión Europea, con independencia de su tamaño. No hay exención por ser pyme, aunque sí hay medidas de apoyo (acceso prioritario a entornos de prueba regulados y tasas de evaluación proporcionales) y sanciones ajustadas al tamaño.
El enfoque del Reglamento es por riesgo: cuanto más puede afectar un sistema a la seguridad o a los derechos de las personas, más obligaciones tiene. Para una pyme típica, la mayoría de usos (redactar, resumir, clasificar documentos, automatizar administración, prever demanda) son de riesgo mínimo o limitado.
¿Eres proveedor o responsable del despliegue? Los dos roles que importan a una pyme
El Reglamento asigna obligaciones según el papel que juegas con cada sistema. Dos roles concentran casi todo:
| Rol | Quién es | Ejemplo en una pyme | Nivel de obligaciones |
|---|---|---|---|
| Proveedor | Quien desarrolla un sistema de IA (o lo manda desarrollar) y lo pone en el mercado o en servicio bajo su nombre o marca | Una empresa de software que vende una herramienta de IA. Una pyme que crea su propio sistema y lo comercializa | Alto: documentación técnica, gestión de riesgos, evaluación de conformidad en alto riesgo |
| Responsable del despliegue | Quien usa un sistema de IA bajo su autoridad en su actividad profesional | Una asesoría que usa un asistente para resumir contratos. Una distribuidora con un sistema de lectura de pedidos | Medio–bajo: formación, evitar prácticas prohibidas y transparencia; en alto riesgo, además, uso conforme a instrucciones, supervisión humana e información a afectados |
La mayoría de las pymes son responsables del despliegue. Hay un matiz importante: si modificas sustancialmente un sistema de alto riesgo, le cambias la finalidad o lo comercializas con tu marca, pasas a ser proveedor. Si encargas un desarrollo a medida, conviene dejar por escrito en el contrato quién asume qué rol.
¿Cuáles son los niveles de riesgo y qué implican?
| Nivel | Qué incluye | Qué implica | Ejemplos |
|---|---|---|---|
| Riesgo inaceptable (prohibido) | Prácticas que el Reglamento prohíbe directamente | No se pueden usar. Prohibidas desde el 2 de febrero de 2025 | Reconocimiento de emociones en el trabajo o en centros educativos; puntuación social; manipulación subliminal; explotación de vulnerabilidades; recopilación masiva de imágenes faciales de internet |
| Alto riesgo | Sistemas del anexo III (usos sensibles) y del anexo I (integrados en productos regulados) | Obligaciones estrictas para proveedores y obligaciones específicas para responsables del despliegue | Selección de personal, evaluación de empleados, acceso a crédito o seguros, educación, infraestructuras críticas; IA en maquinaria, dispositivos médicos, ascensores |
| Riesgo limitado (transparencia) | Sistemas que interactúan con personas o generan contenido | Informar de que se habla con una IA; marcar el contenido generado o manipulado | Chatbots de atención al cliente, generación de imágenes, audio o vídeo, textos publicados sin revisión humana |
| Riesgo mínimo | Todo lo demás | Sin obligaciones específicas, más allá de la alfabetización en IA y de las normas generales (RGPD, laboral, consumo) | Automatización de facturas, resumen de documentos, previsión de demanda, asistentes internos |
Aparte están los modelos de IA de uso general (los grandes modelos de lenguaje como los de OpenAI, Anthropic, Google o Meta). Sus obligaciones recaen en quien los desarrolla, no en la pyme que los usa, y se aplican desde el 2 de agosto de 2025.
¿Qué hace que un uso sea de alto riesgo?
No es la tecnología, sino la finalidad. El mismo modelo de lenguaje es de riesgo mínimo si resume un contrato y de alto riesgo si filtra currículos. Por eso la pregunta en una pyme no es «¿usamos IA?», sino «¿para qué decisiones la usamos y a quién afectan?».
¿Qué obligaciones ya se aplican en 2026?
Aunque buena parte del Reglamento todavía no es exigible, hay tres bloques en vigor:
1. Prácticas prohibidas (desde el 2 de febrero de 2025)
Para una pyme, las más relevantes son:
- Reconocimiento de emociones en el entorno laboral, salvo motivos médicos o de seguridad. Un sistema que analice el tono o la expresión de los empleados para evaluarlos está prohibido.
- Puntuación social de personas por su comportamiento o características con efectos desproporcionados.
- Técnicas manipuladoras o que exploten vulnerabilidades (edad, discapacidad, situación económica) para alterar el comportamiento de forma perjudicial.
- Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, religión u orientación sexual.
2. Alfabetización en IA (art. 4, desde el 2 de febrero de 2025)
Proveedores y responsables del despliegue deben garantizar un nivel suficiente de alfabetización en IA de su personal y de quien use sistemas de IA en su nombre, teniendo en cuenta su formación, el contexto y las personas afectadas.
En la práctica, para una pyme significa: formación proporcional al uso (un taller práctico para usuarios de asistentes; algo más profundo para quien diseña o supervisa sistemas), documentar quién la ha recibido y repetirla cuando cambien las herramientas. Puede impartirla alguien de tu equipo que sepa del tema o un formador externo.
3. Modelos de uso general (desde el 2 de agosto de 2025)
Obligaciones para los desarrolladores de los grandes modelos: documentación técnica, información a quienes integran el modelo, política de derechos de autor y resumen del contenido de entrenamiento. Como usuario no tienes que hacer nada, pero sí puedes exigir a tu proveedor esa documentación.
¿Qué cambia con el Ómnibus Digital y cuáles son las fechas definitivas?
El llamado Ómnibus Digital sobre IA (en vigor desde el verano de 2026) retrasó las fechas de aplicación de las obligaciones de alto riesgo, que inicialmente estaban previstas para agosto de 2026 y agosto de 2027, para dar tiempo a que estén listas las normas técnicas armonizadas. Este es el calendario vigente a octubre de 2026:
| Obligación | Fecha de aplicación |
|---|---|
| Prácticas prohibidas | 2 de febrero de 2025 |
| Alfabetización en IA (art. 4) | 2 de febrero de 2025 |
| Modelos de IA de uso general | 2 de agosto de 2025 |
| Transparencia (art. 50): avisar de que se habla con una IA, etiquetar deepfakes | 2 de agosto de 2026 (no se aplazó) |
| Marcado técnico del contenido generado por sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 | 2 de diciembre de 2026 (periodo de gracia) |
| Sistemas de alto riesgo del anexo III (selección de personal, crédito, educación, etc.) | 2 de diciembre de 2027 |
| Sistemas de alto riesgo del anexo I (integrados en productos regulados) | 2 de agosto de 2028 |
Dos consecuencias prácticas para una pyme:
- La transparencia ya es exigible desde el 2 de agosto de 2026. Si tienes un chatbot de cara al cliente, debe dejar claro que es una IA; si publicas imágenes, vídeo o audio generados que parezcan reales, tienes que indicarlo. El 2 de diciembre de 2026 vence además el periodo de gracia para el marcado técnico del contenido de los sistemas que ya estaban en el mercado.
- Si usas o planeas usar IA en selección de personal, evaluación de empleados o decisiones de crédito, tienes hasta el 2 de diciembre de 2027 para prepararte, pero el trabajo (inventario, elección de proveedor con documentación, supervisión humana, información a la plantilla) lleva meses. No es un plazo para dejarlo para el final.
¿Qué obligaciones tiene el responsable del despliegue de un sistema de alto riesgo?
Si tu pyme usa un sistema de alto riesgo (por ejemplo, una herramienta de preselección de candidatos), a partir de las fechas anteriores tendrás que:
- Usarlo según las instrucciones del proveedor y no para finalidades distintas.
- Asignar la supervisión humana a personas con competencia, formación y autoridad para intervenir o anular el sistema.
- Asegurar que los datos de entrada son pertinentes y representativos para la finalidad.
- Conservar los registros (logs) que genere el sistema, al menos seis meses, si están bajo tu control.
- Informar a los trabajadores y a sus representantes antes de poner en servicio un sistema de alto riesgo en el puesto de trabajo.
- Informar a las personas afectadas por decisiones que tome o ayude a tomar el sistema.
- Vigilar el funcionamiento y comunicar al proveedor y a la autoridad cualquier incidente grave.
- Realizar una evaluación de impacto sobre derechos fundamentales en los casos que el Reglamento exige (sobre todo organismos públicos y entidades que prestan servicios públicos, además de crédito y seguros).
Ante esta lista, una opción razonable —y a menudo la más rentable— es que la IA no tome esas decisiones, sino que prepare la información para que las tome una persona.
¿Cómo encaja el AI Act con el RGPD?
El Reglamento de IA no sustituye al RGPD: se suma. Si un sistema de IA trata datos personales (y casi todos lo hacen en una empresa), tienes que cumplir los dos. Las intersecciones más habituales:
| Cuestión | Qué exige el RGPD | Qué añade el AI Act |
|---|---|---|
| Base jurídica | Necesitas una base legal para tratar los datos (contrato, interés legítimo, consentimiento…) | Nada nuevo, pero la finalidad del sistema determina su nivel de riesgo |
| Proveedor del modelo | Contrato de encargo del tratamiento si procesa datos por tu cuenta; garantías para transferencias fuera de la UE | Documentación técnica e instrucciones de uso del proveedor |
| Decisiones automatizadas | El artículo 22 limita las decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o significativos | Supervisión humana obligatoria en alto riesgo; información a los afectados |
| Evaluación de impacto | Evaluación de impacto en protección de datos (EIPD) cuando hay alto riesgo para derechos | Evaluación de impacto sobre derechos fundamentales en los supuestos del art. 27; puede apoyarse en la EIPD |
| Información | Deber de informar a las personas de qué datos tratas y para qué | Deber de informar de que interactúan con una IA y de las decisiones de alto riesgo |
| Minimización | Trata solo los datos necesarios | Datos de entrada pertinentes y representativos |
Un consejo práctico: si ya tienes el RGPD bien resuelto (registro de actividades, contratos con proveedores, información a empleados y clientes), buena parte del trabajo del AI Act consiste en ampliar esos documentos con la IA, no en empezar de cero. La Agencia Española de Protección de Datos (AEPD) sigue siendo competente en todo lo que tenga que ver con datos personales.
¿Quién vigila el cumplimiento en España? AESIA y sanciones
En España, la autoridad nacional de supervisión es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña. Es el organismo que vigila la aplicación del Reglamento, atiende denuncias e impone sanciones, en coordinación con la AEPD en materia de datos personales y con otras autoridades sectoriales.
Las sanciones máximas del Reglamento son:
| Infracción | Multa máxima |
|---|---|
| Prácticas prohibidas | 35 millones de euros o el 7 % de la facturación mundial anual, la cifra que sea mayor |
| Incumplimiento de otras obligaciones (alto riesgo, transparencia, etc.) | 15 millones de euros o el 3 % |
| Facilitar información incorrecta a las autoridades | 7,5 millones de euros o el 1 % |
Para las pymes y empresas emergentes, el propio Reglamento establece que se aplica la menor de las dos cuantías (el importe fijo o el porcentaje), no la mayor. Aun así, el riesgo real para una pyme no suele ser la multa, sino el conflicto laboral o con clientes por un uso de IA que nadie supervisaba.
Lista de comprobación práctica para una pyme
Esto es lo que recomendamos tener hecho, en orden. Una pyme lo puede completar internamente en pocas semanas si hay alguien con tiempo, con el apoyo de su asesor jurídico o de protección de datos.
Ahora (ya exigible)
- Inventario de sistemas de IA. Qué herramientas usa la empresa, quién, para qué y con qué datos. Incluye las que el equipo usa por su cuenta.
- Clasificación por riesgo. Para cada uso, anota si es prohibido, alto riesgo, transparencia o mínimo. Marca los usos que afectan a personas (empleados, candidatos, clientes).
- Elimina usos prohibidos. Sobre todo cualquier análisis de emociones o comportamiento de empleados.
- Formación del personal (art. 4). Un taller práctico para quien use asistentes de IA, con registro de asistencia. Repite cuando cambien las herramientas.
- Política de uso de IA. Un documento de dos o tres páginas: qué herramientas están aprobadas, qué datos no se pueden introducir nunca, cuándo hay que revisar el resultado, a quién preguntar.
- Revisión RGPD. Contratos de encargo del tratamiento con los proveedores de IA, actualización del registro de actividades y de la información a empleados y clientes.
Ya exigible (desde el 2 de agosto de 2026)
- Transparencia. Si tienes un chatbot con clientes, que diga que es una IA. Si publicas imágenes, vídeo o audio generados, márcalos. Si publicas textos generados sobre asuntos de interés público sin revisión humana, indícalo.
Antes del 2 de diciembre de 2027 (solo si usas alto riesgo)
- Elige proveedores con documentación. Pide la documentación técnica e instrucciones de uso; si no las tienen, cambia de proveedor.
- Diseña la supervisión humana. Quién revisa, con qué criterios, cómo puede anular la decisión.
- Informa a la plantilla y a sus representantes antes de usar IA en decisiones laborales.
- Registros e incidentes. Dónde se guardan los registros y quién comunica un incidente grave.
Si tu empresa trabaja con datos de terceros y secreto profesional (asesorías, despachos, clínicas), los puntos 5 y 6 son los más urgentes. Si fabricas o integras maquinaria, vigila el anexo I: la IA integrada en maquinaria con marcado CE tiene su propio calendario.
Fuentes oficiales
- Reglamento (UE) 2024/1689 de Inteligencia Artificial (EUR-Lex)
- Agencia Española de Supervisión de la Inteligencia Artificial (AESIA)
- Agencia Española de Protección de Datos (AEPD)
Las fechas se han comprobado a 28 de octubre de 2026. Esta guía no es asesoramiento jurídico.
Siguiente paso
Las automatizaciones de la operativa diaria (clasificar el correo, archivar facturas, responder y seguir a clientes potenciales) son casi siempre de riesgo mínimo o limitado. Si quieres saber qué automatizar en tu empresa sin entrar en usos de alto riesgo, el diagnóstico de automatización lo revisa con tus procesos reales y te señala lo que conviene tener en cuenta en cada caso, como avisar de que respondes con IA. O reserva una llamada de 30 minutos y lo vemos. Recuerda que esta guía es orientativa y no sustituye el asesoramiento jurídico de tu abogado o asesor.