AI Act para pymes: qué obligaciones tienes y cómo prepararte

El Reglamento europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689, conocido como AI Act) es la primera ley general sobre IA del mundo. Mucha pyme cree que solo afecta a quien desarrolla modelos como ChatGPT, pero no es así: también tiene obligaciones quien usa sistemas de IA en su actividad, aunque sea una herramienta comprada.

La buena noticia es que, para la mayoría de las pymes, las obligaciones son razonables y se cumplen con orden y algo de formación. Aquí tienes el resumen en una página; debajo, el detalle.

¿Mi empresa es “proveedor” o “responsable del despliegue”?

El AI Act reparte las obligaciones según el papel de cada empresa:

• Proveedor: desarrolla un sistema de IA (o lo encarga) y lo comercializa o lo pone en servicio con su nombre o su marca. Por ejemplo, una empresa de software que vende una herramienta de selección de personal con IA.
• Responsable del despliegue (en inglés, deployer): utiliza un sistema de IA bajo su autoridad en el marco de su actividad profesional. Por ejemplo, una gestoría que usa un asistente para clasificar correos o una tienda online con un chatbot de atención al cliente.

Casi todas las pymes son responsables del despliegue. Si además desarrolláis una solución con IA para vender a terceros, también seréis proveedores de ese producto.

Los cuatro niveles de riesgo

El Reglamento no regula la tecnología en sí, sino el uso que se le da. Cuanto mayor es el riesgo para las personas, más obligaciones.

La mayoría de los usos habituales en una pyme (redactar, resumir, clasificar correos, buscar en la documentación interna, extraer datos de documentos) son de riesgo mínimo o limitado.

¿En qué nivel está cada uso de tu empresa?

Recorre este árbol para cada herramienta o uso de IA. Es orientativo, pero ayuda a ver rápido dónde hay que poner atención.

El calendario, tras el Ómnibus Digital

El AI Act entró en vigor el 1 de agosto de 2024, pero se aplica por fases. En 2026, la Unión Europea aprobó el llamado Ómnibus Digital sobre IA, que aplaza las obligaciones de los sistemas de alto riesgo y mantiene el resto del calendario.

• 2 de febrero de 2025: prohibiciones (artículo 5) y obligación de alfabetización en IA (artículo 4). Ya son aplicables.
• 2 de agosto de 2025: obligaciones de los modelos de IA de uso general (los grandes modelos de lenguaje) y régimen sancionador.
• 2 de agosto de 2026: obligaciones de transparencia (artículo 50) y vigilancia del mercado.
• 2 de diciembre de 2026: fin del periodo transitorio para el marcado técnico del contenido generado por sistemas que ya estaban en el mercado.
• 2 de diciembre de 2027: sistemas de alto riesgo del anexo III (empleo, educación, crédito, servicios esenciales…).
• 2 de agosto de 2028: sistemas de alto riesgo integrados en productos regulados (anexo I: maquinaria, productos sanitarios, juguetes…).

Dicho de otro modo: la alfabetización en IA y la transparencia ya te afectan hoy, y si usas IA en recursos humanos o en decisiones sobre clientes, tienes hasta finales de 2027 para prepararte.

Qué te afecta ya si usas IA en tu empresa

La alfabetización la explicamos con detalle en la guía sobre la alfabetización en IA obligatoria.

Si usas IA de alto riesgo (desde diciembre de 2027)

Aunque el plazo se haya aplazado, la herramienta que contrates hoy seguirá en uso en 2028. Conviene preguntar ya al proveedor cómo piensa cumplir.

Sanciones

Las multas máximas son elevadas: hasta 35 millones de euros o el 7 % de la facturación mundial por usar prácticas prohibidas, y hasta 15 millones o el 3 % por incumplir otras obligaciones. Para las pymes se aplica la cantidad menor de las dos. En España, la autoridad de supervisión es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).

Más allá de las multas, el riesgo real para una pyme suele ser otro: perder un cliente grande que exige cumplimiento a sus proveedores, o un problema de reputación por un uso descuidado de los datos.

Plan de acción en 5 pasos

1. Haz un inventario de las herramientas de IA que se usan en la empresa, incluidas las que cada persona usa por su cuenta (ChatGPT, extensiones del navegador, funciones de IA del CRM…). Anota para qué se usan y qué datos manejan.
2. Clasifica cada uso por nivel de riesgo, con el árbol de arriba. La mayoría serán de riesgo mínimo; marca los que tocan recursos humanos, clientes o decisiones sobre personas.
3. Escribe una política de uso breve: qué herramientas están aprobadas, qué datos nunca se introducen (datos personales de clientes, información confidencial) y quién revisa lo que se publica.
4. Forma al equipo según su perfil y guarda registro de la formación. Es la obligación que ya se aplica y la que más reduce los riesgos.
5. Revisa los contratos y la transparencia: contrato de encargado del tratamiento con los proveedores, aviso en el chatbot y etiquetado del contenido sintético.

Si no sabes por dónde empezar, nuestro test de madurez en IA incluye preguntas de gobernanza y te da una primera orientación en tres minutos.

En resumen

Para una pyme típica, cumplir el AI Act hoy significa saber qué IA se usa, poner unas normas sencillas y formar al equipo. Hacerlo bien no solo evita problemas: ordena el uso de la IA y hace más fácil sacarle partido.

En Neural Soft ayudamos a hacer este trabajo en un diagnóstico de IA y con formación específica en gobernanza y cumplimiento.