Si utilizas herramientas de inteligencia artificial en tu empresa —ya sea para selección de personal, para atención al cliente, para gestionar créditos o para cualquier proceso que afecte a personas— tienes una cita marcada en rojo en el calendario: agosto de 2026. Es el plazo en el que el Reglamento Europeo de IA (EU AI Act) exige el cumplimiento pleno para los llamados sistemas de alto riesgo. Y muchas pymes españolas todavía no saben si están afectadas.
En este artículo hacemos un recorrido claro y práctico por la norma: qué ha entrado ya en vigor, qué llega ahora, qué categorías de riesgo existen y, sobre todo, qué debe hacer una empresa de tamaño mediano o pequeño para estar en regla sin necesidad de un departamento legal propio.
Un reglamento que llegó por fases
El EU AI Act se publicó en el Diario Oficial de la Unión Europea en agosto de 2024 y entró en vigor de inmediato, pero con un calendario de aplicación escalonado diseñado para dar tiempo a empresas e instituciones:
- Febrero de 2025: prohibición de las prácticas de IA consideradas inaceptables (manipulación subliminal, puntuación social generalizada, reconocimiento facial en espacios públicos salvo excepciones tasadas).
- Agosto de 2025: obligaciones para los modelos de propósito general (GPAI), como GPT, Claude o Gemini, especialmente cuando se despliegan con fines comerciales.
- Agosto de 2026: plena aplicación a los sistemas de IA de alto riesgo listados en el Anexo III del reglamento. Este es el gran hito de este año.
- 2027 en adelante: extensión a sistemas de IA integrados en productos ya cubiertos por otra normativa europea (maquinaria, juguetes, vehículos, etc.).
El incumplimiento de las obligaciones para sistemas de alto riesgo puede acarrear multas de hasta el 3% de la facturación mundial anual de la empresa, con un mínimo de 15 millones de euros para infracciones graves. Para las pymes, el reglamento prevé proporcionalidad, pero no exención.
¿Qué es un sistema de IA de alto riesgo?
Esta es la pregunta que más confunde a las empresas. El Anexo III del EU AI Act lista ocho categorías de uso que se consideran de alto riesgo por su potencial impacto en derechos fundamentales o en la seguridad de las personas:
- Infraestructuras críticas (energía, agua, transporte).
- Educación y formación profesional (acceso, evaluación).
- Empleo y gestión de recursos humanos —aquí es donde más pymes se ven implicadas—: sistemas que filtran CVs, puntúan candidatos, deciden ascensos o monitorizan el rendimiento de los trabajadores.
- Acceso a servicios esenciales: concesión de créditos, seguros de salud, prestaciones sociales.
- Aplicación de la ley.
- Gestión de fronteras y migración.
- Administración de justicia.
- Procesos democráticos.
Si en tu empresa usas un software de selección de personal que aplica IA para filtrar o puntuar candidatos automáticamente, o un sistema de scoring para conceder crédito a clientes, es muy probable que estés dentro del ámbito de alto riesgo.
Lo que la norma exige a quienes usen sistemas de alto riesgo
El reglamento distingue entre proveedores (quienes desarrollan el sistema) y desplegadores (quienes lo utilizan en su organización). La mayoría de las pymes serán desplegadoras. Las obligaciones principales para los desplegadores son:
1. Supervisión humana efectiva
Debes designar a personas concretas con capacidad real de intervenir, corregir o detener el sistema cuando sea necesario. No basta con tener un responsable de papel: debe conocer el sistema y poder actuar.
2. Registro de uso y trazabilidad
Es obligatorio mantener registros de cómo y cuándo se utiliza el sistema. Si un candidato impugna una decisión de selección, debes poder demostrar que el proceso fue justo y que hubo revisión humana.
3. Evaluación de impacto sobre derechos fundamentales
Antes de poner en marcha un sistema de alto riesgo, las organizaciones del sector público —y en ciertos casos las del sector privado— deben realizar una evaluación de impacto. El reglamento proporciona una plantilla, pero el análisis exige criterio y conocimiento del contexto.
4. Transparencia ante los afectados
Si una decisión que afecta a una persona (contratación, acceso a crédito, prestación de servicios) se apoya total o parcialmente en un sistema de IA, esa persona tiene derecho a saberlo y, en muchos casos, a solicitar una explicación.
5. Nombramiento de un responsable de cumplimiento IA
Las organizaciones que despliegan sistemas de alto riesgo deben designar formalmente a alguien con responsabilidad sobre el cumplimiento de la norma. En pymes con pocos recursos, esta función puede recaer en el responsable de protección de datos o en un asesor externo.
¿Y si uso ChatGPT, Claude u otras IA de propósito general?
Aquí muchas empresas respiran aliviadas... con razón. El uso cotidiano de herramientas como ChatGPT, Claude, Gemini o Copilot para redactar textos, analizar datos, resumir documentos o generar ideas no está sujeto a las obligaciones de alto riesgo, siempre que no se use para tomar decisiones automatizadas sobre personas en las categorías del Anexo III.
Sin embargo, sí existen obligaciones de transparencia si despliegas un chatbot o asistente de IA que interactúe directamente con el público sin que quede claro que es una máquina. El reglamento exige que los usuarios sean informados de que están interactuando con un sistema de IA, salvo en contextos donde sea obvio.
Regla práctica: si tu IA genera contenido que se presenta como humano (voz, texto, vídeo) o toma decisiones que afectan a derechos de las personas, necesitas transparencia activa. Si la usas internamente para ser más productivo, el impacto regulatorio es mínimo.
Plan de acción en tres pasos para pymes
Tienes tres meses antes del gran hito de agosto. Esto es lo que puedes hacer ahora mismo:
Paso 1: Inventario de sistemas de IA en uso
Haz una lista de todas las herramientas con componente de IA que utiliza tu empresa: software de RRHH, plataformas de marketing automatizado, sistemas de scoring, asistentes virtuales de atención al cliente, herramientas de análisis predictivo. Para cada una, identifica si toma decisiones sobre personas de forma autónoma o semi-autónoma.
Paso 2: Clasificación de riesgo
Contrasta tu inventario con las categorías del Anexo III. Para las herramientas en zona gris, consulta la guía de aplicación publicada por la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), el organismo nacional creado específicamente para coordinar la aplicación del reglamento en España.
Paso 3: Documentación y responsable
Si detectas sistemas de alto riesgo, prioriza: designa un responsable, establece un proceso de supervisión humana documentado y asegúrate de poder informar a los afectados. No necesitas un equipo jurídico grande; necesitas procesos claros y trazables.
Una oportunidad, no solo una obligación
Es tentador ver el EU AI Act únicamente como una carga regulatoria. Pero las empresas que se adelanten y construyan procesos de uso de IA transparentes, documentados y con supervisión humana tendrán una ventaja competitiva clara: más confianza de sus clientes, menos riesgo de litigios y mejor posicionamiento ante socios y financiadores que exigen cumplimiento ESG.
En GSV Agency llevamos meses ayudando a pymes españolas a auditar su uso de IA, identificar riesgos regulatorios y construir marcos de gobernanza proporcionales a su tamaño. No se trata de burocracia, sino de convertir el cumplimiento en una palanca de credibilidad.
El reloj corre, pero tres meses son suficientes para estar preparado si empiezas ahora.