¿Cómo afecta el nuevo EU AI Act a tu pequeña empresa?

*El primer marco legal integral de inteligencia artificial del mundo ya aplica a pymes y autónomos.*

La IA ya está en tu negocio, y la ley también

Tu empresa probablemente ya usa inteligencia artificial. Puede ser el software que filtra currículos, el chatbot de atención al cliente, una herramienta de análisis de rendimiento o simplemente un asistente como ChatGPT para redactar correos. Lo que quizás no sabes es que desde agosto de 2024 existe una norma europea que regula exactamente eso.

El Reglamento Europeo de Inteligencia Artificial (UE) 2024/1689, conocido como EU AI Act, es el primer marco legal integral sobre IA del mundo. Y contrariamente a lo que muchos piensan, no está dirigido exclusivamente a grandes tecnológicas. Una pyme que incorpore un chatbot en su web, utilice herramientas de IA para redactar informes o genere contenidos comerciales mediante inteligencia artificial puede asumir obligaciones específicas previstas en el AI Act.

La cuestión ya no es si incorporar la IA al negocio. La verdadera pregunta es: ¿está tu empresa preparada para utilizar la IA conforme al nuevo marco regulatorio europeo?

¿Qué es el EU AI Act y a quién afecta?

El AI Act es el primer reglamento europeo que clasifica los sistemas de inteligencia artificial según el riesgo que representan. A diferencia del RGPD, que protege datos personales, el AI Act regula los propios sistemas de IA: cómo se usan, quién los controla y qué garantías deben ofrecer.

¿A quién afecta?

El Reglamento afecta a tres tipos de actores:

Si tu empresa utiliza un software de RRHH con selección automatizada de candidatos, un chatbot en tu web o una herramienta de análisis de datos con IA, eres desplegador y tienes obligaciones específicas.

Calendario clave: ¿Cuándo tienes que cumplir?

El AI Act entró en vigor el 1 de agosto de 2024, pero sus obligaciones se activan de forma escalonada. El 2 de agosto de 2026 es la fecha crítica para la mayoría de las empresas.

Línea de tiempo actualizada (tras el Digital Omnibus de mayo de 2026)

En mayo de 2026, el Parlamento Europeo y el Consejo alcanzaron un acuerdo político para simplificar y retrasar partes del AI Act. El texto fue adoptado formalmente el 29 de junio de 2026. Estas son las fechas clave que debes conocer:

⚠️ Atención: Aunque los plazos para sistemas de alto riesgo se han retrasado, las obligaciones de transparencia del Artículo 50 siguen vigentes desde el 2 de agosto de 2026. No trates el nuevo calendario como una suspensión de la ley.

Las cuatro categorías de riesgo del AI Act

El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo:

1. Riesgo inaceptable (prohibido)

Sistemas que suponen una amenaza clara para la seguridad, los medios de vida o los derechos de las personas. Están prohibidos desde febrero de 2025. Incluyen: * Manipulación y engaño basados en IA. * Explotación de vulnerabilidades. * Puntuación social (*social scoring*). * Evaluación o predicción de riesgos penales individuales. * Recopilación indiscriminada de imágenes faciales de internet o CCTV. * Reconocimiento de emociones en lugares de trabajo y educación. * Categorización biométrica para deducir características protegidas.

2. Alto riesgo

Sistemas que impactan significativamente en derechos fundamentales o seguridad. Para las pymes, los más habituales son: * Herramientas de selección y evaluación de personal (cribado automático de CVs). * Sistemas de gestión o supervisión del rendimiento laboral. * Herramientas de puntuación crediticia o evaluación de solvencia. * Videovigilancia con reconocimiento de emociones. * Sistemas de acceso a servicios esenciales (seguros, prestaciones públicas).

Si usas alguno de estos sistemas, aunque lo hayas contratado a un proveedor externo, eres responsable como desplegador.

3. Riesgo limitado o de transparencia

Sistemas que interactúan con personas o generan contenido mediante IA. Deben cumplir con obligaciones de transparencia (Artículo 50). Ejemplos: * Chatbots que conversan con clientes (debe quedar claro que es IA). * Imágenes, vídeos o textos generados artificialmente. * Avatares digitales utilizados en comunicación comercial.

4. Riesgo mínimo o nulo

Sistemas que no requieren obligaciones específicas adicionales. La gran mayoría de las herramientas de IA de uso general entran en esta categoría... siempre que no se usen en contextos de alto riesgo.

¿Qué obligaciones tiene tu pyme?

Si solo usas IA generativa (ChatGPT, Copilot, Gemini...)

Aunque estas herramientas son de riesgo mínimo por sí mismas, su uso en la empresa sí genera obligaciones:

* Alfabetización en IA (Artículo 4): Desde el 2 de febrero de 2025, todas las empresas deben garantizar que su personal tenga competencias básicas en IA. Esto incluye formación sobre cómo funciona la IA, sus limitaciones y riesgos. * Transparencia (Artículo 50): Debes informar cuando el contenido (texto, imagen, audio, vídeo) ha sido generado por IA, especialmente si se presenta al público. * Política interna mínima de IA: Es recomendable establecer reglas internas sobre qué usos de IA están permitidos, quién puede usarla y bajo qué condiciones.

Si usas sistemas de alto riesgo

Si tu empresa utiliza sistemas de IA de alto riesgo (selección de personal, gestión de rendimiento, etc.), el AI Act exige a los desplegadores: * Verificar que el proveedor ha realizado la evaluación de conformidad. * Implementar supervisión humana sobre el sistema (*Human-in-the-loop*). * Mantener registros de uso, monitoreo y escalado de incidencias. * Informar a los representantes de los trabajadores y a las autoridades competentes. * Cumplir con los requisitos de calidad de los datos y de gestión de riesgos.

🎓 Recomendación Formativa: Para preparar a tu empresa y cumplir con las exigencias de alfabetización en IA del Artículo 4, explora nuestro Curso de Ética y Seguridad en IA en la Academia IASP.

¿Qué simplificaciones hay para pymes?

El *Digital Omnibus on AI*, adoptado en junio de 2026, ha introducido medidas de simplificación específicas para pymes:

* Documentación técnica simplificada: Las pymes y *small mid-caps* (empresas de hasta 500 empleados) pueden usar formularios simplificados para la documentación técnica. * Requisitos de gestión de calidad proporcionados: Menos prescriptivos para empresas más pequeñas. * Acceso prioritario a sandboxes regulatorios: Espacios controlados para probar sistemas de IA bajo supervisión regulatoria. * Multas potencialmente más bajas: Para infracciones de pymes y pequeñas mid-caps.

💡 Consejo: Evalúa proactivamente si calificas como pyme o *small mid-cap* para aprovechar estas flexibilidades.

Sanciones: ¿Cuánto puede costarte no cumplir?

El incumplimiento del AI Act puede acarrear sanciones significativas:

*Importante: El 2 de agosto de 2026 comienza la aplicación efectiva de las sanciones por incumplimiento de las obligaciones de transparencia.*

Plan de acción en 90 días para tu pyme

Basado en las guías prácticas disponibles, aquí tienes un plan para poner tu empresa al día:

Días 1–15: Inventario de IA

* Identifica todos los sistemas de IA que usa tu empresa (chatbots, asistentes, herramientas de RRHH, generación de contenido, análisis de datos). * No olvides los usos "ocultos": equipos que usan ChatGPT sin que lo sepa la dirección. * Documenta qué hace cada sistema, quién lo usa y con qué datos.

Días 16–30: Clasificación y evaluación de riesgos

* Clasifica cada sistema según las cuatro categorías de riesgo. * Identifica si alguno es de alto riesgo (especialmente RRHH, crédito, vigilancia). * Evalúa si necesitas formación en alfabetización en IA para tu equipo.

Días 31–60: Políticas y formación

* Elabora una política interna de uso de IA (qué se puede hacer y qué no). * Implementa formación básica en IA para todos los empleados que la usen. * Establece procedimientos de supervisión humana para sistemas de alto riesgo.

Días 61–90: Documentación y revisión final

* Prepara la documentación requerida (inventario, clasificaciones, políticas). * Revisa que los proveedores de tus sistemas de IA cumplen con sus obligaciones. * Designa a una persona responsable del cumplimiento del AI Act en tu empresa.

🚀 Veredicto IASP: La IA no es un "agujero legal"

El AI Act no es una norma lejana que solo preocupa a las grandes tecnológicas. Afecta a tu pyme desde el momento en que usas IA, y el 2 de agosto de 2026 es la fecha en que muchas de esas obligaciones se vuelven exigibles.

La buena noticia es que el Digital Omnibus ha dado más tiempo para los sistemas de alto riesgo y ha introducido simplificaciones para pymes. Pero la transparencia (Artículo 50) ya está aquí: si usas chatbots o generas contenido con IA, debes informar a tus usuarios.

Al igual que el RGPD transformó la gestión de datos personales, el AI Act está creando un nuevo ámbito de gobernanza empresarial. Del mismo modo que hoy es impensable gestionar datos personales al margen del RGPD, cada vez tendrá menos sentido utilizar herramientas de IA sin reglas internas que definan cómo pueden emplearse, quién puede utilizarlas y bajo qué condiciones.

No esperes a que te llegue una inspección. Actúa ahora.

❓ Preguntas frecuentes sobre el EU AI Act para pymes