El Reglamento europeo de Inteligencia Artificial, conocido como AI Act, es la primera ley general sobre IA del mundo. Desde que entró en vigor en agosto de 2024 se aplica por fases, y en 2026 ha vivido dos momentos importantes: el 2 de agosto empezaron a aplicarse las obligaciones de transparencia y, en julio, se publicó una reforma que retrasa los plazos de los sistemas de alto riesgo.
Para una pyme que usa la IA para redactar, resumir o atender a clientes, la buena noticia es que la mayor parte del Reglamento no le afecta directamente. Pero hay obligaciones que sí, y algunas ya están en vigor. Esta guía resume lo esencial.
Qué es el AI Act y a quién se aplica
El Reglamento (UE) 2024/1689 regula los sistemas de inteligencia artificial que se comercializan o se usan en la Unión Europea. No regula la tecnología en abstracto, sino sus usos, y distribuye las obligaciones según dos criterios: el papel de cada empresa y el nivel de riesgo del uso.
En cuanto al papel, las dos figuras principales son:
- Proveedor: quien desarrolla un sistema de IA y lo pone en el mercado con su nombre. Por ejemplo, la empresa que crea un modelo o una aplicación de IA.
- Responsable del despliegue: quien usa un sistema de IA bajo su autoridad en una actividad profesional. Es el caso de la inmensa mayoría de pymes que usan ChatGPT, Copilot, Gemini u otras herramientas.
Si tu empresa usa herramientas de IA de terceros, eres responsable del despliegue. Tus obligaciones son mucho más ligeras que las de un proveedor, pero existen.
El enfoque por niveles de riesgo
El Reglamento clasifica los usos de la IA en cuatro grandes niveles:
| Nivel | Qué incluye | Ejemplos para una pyme |
|---|---|---|
| Prohibido | Prácticas inaceptables | Reconocer emociones de los empleados en el trabajo; puntuación social; manipulación que cause perjuicios |
| Alto riesgo | Usos con impacto en derechos | Filtrar currículos o evaluar candidatos; decidir ascensos o despidos; evaluar la solvencia de personas |
| Transparencia | Usos en los que hay que avisar | Chatbots de atención al cliente; imágenes, audio o vídeo generados que parecen reales |
| Riesgo mínimo | El resto | Redactar correos, resumir documentos, traducir, preparar presentaciones |
La mayor parte del uso cotidiano de una pyme cae en el último nivel. Pero basta con usar la IA para seleccionar personal o con poner un chatbot en la web para que aparezcan obligaciones concretas.
El calendario, actualizado con el Ómnibus digital
En julio de 2026 se publicó el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, que modifica el AI Act para dar más tiempo a las empresas con los sistemas de alto riesgo. El calendario resultante queda así:
| Fecha | Qué empieza a aplicarse |
|---|---|
| 1 de agosto de 2024 | Entrada en vigor del Reglamento |
| 2 de febrero de 2025 | Prácticas prohibidas y alfabetización en IA |
| 2 de agosto de 2025 | Normas para los modelos de IA de uso general, gobernanza y régimen sancionador |
| 2 de agosto de 2026 | Obligaciones de transparencia (artículo 50) y la mayor parte del resto del Reglamento |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (por ejemplo, empleo o solvencia) |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados (anexo I) |
El Ómnibus también añade nuevas prohibiciones, como los sistemas que generan imágenes sexuales de personas reales sin su consentimiento, y extiende a las pequeñas empresas de mediana capitalización algunas facilidades que antes eran solo para pymes.
Lo que ya te obliga hoy
Alfabetización en IA
El artículo 4 obliga a proveedores y responsables del despliegue a adoptar medidas para que su personal tenga conocimientos suficientes sobre los sistemas de IA que usa, teniendo en cuenta su formación y el contexto de uso. Tras el Ómnibus, la norma aclara que no exige un nivel concreto a ninguna persona, pero la obligación de actuar sigue ahí.
En la práctica, para una pyme significa: saber qué herramientas se usan, explicar al equipo qué hacen bien y en qué fallan, qué datos no deben introducirse y cómo revisar los resultados. Una sesión de formación documentada y una política de uso son una buena base. La Comisión Europea mantiene unas preguntas y respuestas sobre esta obligación.
Prácticas prohibidas
Desde febrero de 2025 están prohibidas, entre otras, la manipulación que explota vulnerabilidades, la puntuación social y el reconocimiento de emociones en el lugar de trabajo y en centros educativos (salvo por motivos médicos o de seguridad). Si usas alguna herramienta que analiza el estado de ánimo de tus empleados en llamadas o videollamadas, revísala.
Transparencia
Desde el 2 de agosto de 2026, el artículo 50 exige, entre otras cosas, que:
- Las personas sepan que están hablando con una IA cuando interactúan con un chatbot, salvo que sea evidente.
- Quien publique imágenes, audio o vídeo generados o manipulados que parezcan reales (las llamadas ultrafalsificaciones) indique que son artificiales.
- Quien publique textos generados con IA para informar al público sobre asuntos de interés público lo indique, salvo que haya revisión humana y alguien asuma la responsabilidad editorial.
Lo que llegará en 2027 si usas la IA en recursos humanos
Si tu empresa usa la IA para cribar currículos, evaluar entrevistas o tomar decisiones sobre la plantilla, ese uso es de alto riesgo. A partir del 2 de diciembre de 2027, como responsable del despliegue tendrás que, entre otras cosas (artículo 26):
- Usar el sistema conforme a las instrucciones del proveedor.
- Asignar la supervisión humana a personas con la formación y la autoridad necesarias.
- Vigilar su funcionamiento y comunicar los problemas graves.
- Conservar los registros que genere el sistema durante al menos seis meses.
- Informar a los representantes de los trabajadores y a las personas afectadas antes de usarlo.
Si estás pensando en incorporar una herramienta de este tipo, pregunta ya al proveedor cómo piensa cumplir con sus propias obligaciones.
Sanciones y autoridades
El artículo 99 prevé multas de hasta 35 millones de euros o el 7 % del volumen de negocio mundial por las prácticas prohibidas, y de hasta 15 millones o el 3 % por otros incumplimientos. Para las pymes se aplica la cantidad menor de las dos.
En España, la supervisión corresponde principalmente a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), junto con la AEPD y otras autoridades sectoriales. El Gobierno remitió al Congreso en 2026 un proyecto de ley orgánica para el buen uso y la gobernanza de la IA que completará el régimen sancionador; conviene seguir su tramitación.
El RGPD sigue aplicándose
El AI Act no sustituye al Reglamento General de Protección de Datos. Si introduces datos personales en una herramienta de IA, sigues necesitando una base jurídica, un contrato de encargo del tratamiento con el proveedor, garantías si los datos salen de la UE y, en los casos de alto riesgo, una evaluación de impacto. En la práctica, para la mayoría de pymes el RGPD sigue siendo la norma que más condiciona el uso diario de la IA.
Lista de tareas para una pyme
- Haz un inventario de las herramientas de IA que usa tu equipo, incluidas las que nadie ha autorizado.
- Identifica si alguna se usa en selección de personal, evaluación de empleados o decisiones sobre clientes.
- Revisa que ninguna incurra en prácticas prohibidas, como el análisis de emociones de la plantilla.
- Si tienes un chatbot o publicas contenido generado, añade los avisos de transparencia.
- Organiza una formación básica y documéntala.
- Escribe una política de uso de la IA de una página y compártela.
- Comprueba que tus proveedores de IA tienen contrato de encargo del tratamiento y no entrenan con tus datos.
- Apunta en el calendario el 2 de diciembre de 2027 si usas la IA en recursos humanos.
Si quieres tener bajo control qué herramientas usa tu equipo y con qué datos, plataformas como Acotia protegen los datos antes de enviarlos a la IA y te dan una visión clara del uso en toda la empresa.
Fuentes
- Reglamento (UE) 2024/1689, de Inteligencia Artificial (artículos 3, 4, 5, 26, 50, 99 y 113; anexo III).
- Reglamento (UE) 2026/1744, Ómnibus digital sobre IA.
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA.
- Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos.