La regulación más importante sobre inteligencia artificial en la historia de Europa ya no es una promesa futura: el Reglamento (UE) 2024/1689 de Inteligencia Artificial, conocido como AI Act, lleva meses desplegando sus obligaciones de manera escalonada. Si tu empresa utiliza IA —ya sea un chatbot de atención al cliente, un sistema de selección de candidatos o simplemente ChatGPT para redactar correos— este reglamento te afecta directamente.
No hace falta ser una gran tecnológica para estar en el radar regulatorio. Las PYMEs españolas que actúan como usuarias de sistemas de IA (en la terminología del reglamento, «operadores») tienen deberes específicos, y desconocerlos no exime de las sanciones.
¿Qué es el AI Act y cuándo se aplica?
El AI Act entró en vigor en agosto de 2024, pero estableció un calendario de implementación progresiva. Los hitos clave son:
- Febrero de 2025: prohibición de sistemas de IA de riesgo inaceptable (manipulación subliminal, puntuación social, reconocimiento de emociones en entornos laborales sin excepciones).
- Agosto de 2025: obligaciones para modelos de IA de propósito general (los grandes LLM como GPT-4, Claude o Gemini). Los proveedores deben registrarse y publicar resúmenes de sus datos de entrenamiento.
- Agosto de 2026: entrada en vigor de las obligaciones completas para sistemas de IA de alto riesgo, incluidos los usados en RRHH, crédito, educación e infraestructuras críticas.
Si en tu empresa alguien usa IA para filtrar currículos, puntuar la solvencia de clientes, recomendar precios de manera automatizada o tomar decisiones que afecten a derechos de las personas, estás en zona de alto riesgo y debes actuar antes de agosto de 2026.
Las cuatro categorías de riesgo que debes conocer
El AI Act clasifica los sistemas de IA en función del daño potencial que pueden causar. Entender esta taxonomía es el primer paso para saber qué te aplica:
1. Riesgo inaceptable (prohibido)
Sistemas que manipulan a las personas de forma subliminal, explotan vulnerabilidades o permiten la vigilancia masiva sin base legal. Desde febrero de 2025, desplegar cualquiera de estos sistemas conlleva multas de hasta 35 millones de euros o el 7 % de la facturación global. Ninguna PYME debería tener estos sistemas, pero conviene revisar que los proveedores tampoco los incorporen de forma oculta.
2. Alto riesgo
Aquí se encuentra la zona más relevante para muchas PYMEs. Incluye IA usada en contratación y gestión de personal, concesión de créditos, atención sanitaria, educación o acceso a servicios esenciales. Las obligaciones son exigentes: evaluación de conformidad, registro en la base de datos de la UE, supervisión humana y documentación técnica detallada.
3. Riesgo limitado
Chatbots y sistemas generativos que interactúan con personas. La obligación principal es la transparencia: el usuario debe saber que está hablando con una IA. Si tu web tiene un asistente virtual, esto ya te aplica hoy.
4. Riesgo mínimo
La gran mayoría de los usos empresariales cotidianos: redacción de textos, análisis de datos, traducción automática, recomendaciones de contenido. Sin obligaciones específicas, aunque las buenas prácticas siguen siendo recomendables.
Lo que la AESIA exigirá a las empresas españolas
España creó la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, como autoridad nacional competente. En 2026 la agencia está intensificando sus actividades de supervisión y ha publicado guías específicas para PYMEs que facilitan la autoevaluación.
Los aspectos que más vigilará la AESIA en empresas medianas y pequeñas son:
- Que los chatbots y asistentes virtuales se identifiquen correctamente como IA.
- Que los sistemas de selección de personal cuenten con supervisión humana real y no solo nominal.
- Que los contratos con proveedores de IA incluyan cláusulas sobre cumplimiento del AI Act (responsabilidad compartida).
- Que exista un punto de contacto interno responsable de la gobernanza de IA.
Cinco pasos concretos para ponerte al día
El cumplimiento no tiene que ser un proyecto de meses ni requerir un equipo jurídico dedicado. Para la mayoría de las PYMEs españolas, estos cinco pasos bastan para establecer una base sólida:
Paso 1: Haz un inventario de tus sistemas de IA
Lista todas las herramientas que usan IA en tu empresa: desde el CRM con scoring predictivo hasta el asistente de redacción de correos. Incluye las herramientas de terceros integradas en tu stack. Clasificar cada una en la taxonomía de riesgos es el punto de partida obligatorio.
Paso 2: Revisa tus contratos con proveedores
El AI Act establece que la responsabilidad puede recaer tanto en el proveedor como en el operador. Asegúrate de que tus contratos con empresas como Microsoft (Copilot), Salesforce (Einstein AI) o cualquier SaaS con IA incluyan cláusulas de cumplimiento. Si no las tienen, renegocia o solicita una declaración de conformidad.
Paso 3: Añade avisos de IA donde sea necesario
Si tienes un chatbot en tu web o en WhatsApp Business, asegúrate de que el usuario sepa desde el primer mensaje que está hablando con un sistema automatizado. Un simple "Soy el asistente virtual de [Tu Empresa], no una persona" cumple el requisito de transparencia de riesgo limitado.
Paso 4: Designa un responsable interno
No necesitas un Chief AI Officer. Basta con que alguien —el responsable de operaciones, el director de sistemas, incluso el gerente en empresas pequeñas— asuma la función de supervisar el uso de IA y mantener actualizado el inventario. Documenta esta designación.
Paso 5: Forma a tu equipo
El AI Act exige que los operadores garanticen que las personas que usan sistemas de alto riesgo tengan la formación necesaria para entender sus limitaciones. Una sesión de dos horas sobre sesgos algorítmicos y supervisión humana puede ser suficiente para muchos perfiles.
¿Y si simplemente uso ChatGPT o Claude para el trabajo diario?
Este es el caso más común en PYMEs: el equipo usa herramientas de IA generativa de propósito general para redactar, resumir, traducir o analizar. La buena noticia es que estos usos caen mayoritariamente en la categoría de riesgo mínimo.
Sin embargo, hay matices importantes:
- Si usas la IA para tomar decisiones sobre personas (empleados, candidatos, clientes), el riesgo sube.
- Si integras la IA en un producto o servicio que vendes a terceros, pasas a ser proveedor y las obligaciones se multiplican.
- Si el output de la IA se presenta al usuario final sin revisión humana, la responsabilidad recae sobre ti como operador.
La regla práctica más útil: si la IA recomienda y una persona decide, estás probablemente en zona segura. Si la IA decide y la persona solo firma, necesitas revisar tu setup.
Las sanciones son reales, pero la AESIA prioriza el asesoramiento
Las multas del AI Act son considerables —hasta 15 millones de euros o el 3 % de la facturación global para incumplimientos generales—, pero la AESIA ha dejado claro que su primera línea de acción con PYMEs es el asesoramiento y la corrección, no la sanción inmediata. Además, el reglamento prevé expresamente un trato proporcionado para microempresas y PYMEs, reconociendo que sus recursos son distintos a los de las grandes corporaciones.
Esto no significa que puedas ignorar la normativa, pero sí que actuar ahora —aunque sea de forma gradual— te coloca en una posición muy diferente a la de quien no ha tomado ninguna medida.
Conclusión: la IA regulada es una ventaja competitiva
Las empresas que integren el cumplimiento del AI Act en su cultura operativa no solo evitarán sanciones: generarán confianza entre clientes, socios y empleados. En un mercado donde la IA está en todas partes pero la desconfianza hacia ella también crece, poder decir "usamos IA de forma responsable y cumplimos con la regulación europea" es un argumento comercial de primer orden.
Para las PYMEs españolas, el momento de actuar es ahora. No en agosto de 2026, cuando las obligaciones de alto riesgo entren en vigor, sino hoy, con el inventario, los contratos y la primera ronda de formación interna. La ventana para prepararse con calma se está cerrando.