- Si tu empresa usa IA, la ley europea de IA ya te afecta, aunque no la hayas desarrollado tú. Para una pyme las obligaciones son pocas y concretas.
- Desde el 2 de agosto de 2026, el chatbot que conversa con clientes tiene que decir que es una IA, salvo que sea evidente. Esa fecha no se aplazó.
- Lo que se aplazó son los sistemas de alto riesgo: al 2 de diciembre de 2027 los del anexo III, como la IA que filtra currículums, y al 2 de agosto de 2028 la integrada en productos regulados.
- No hay un registro general de IA para empresas. La base de datos europea es para sistemas de alto riesgo y la rellenan sus proveedores.
La llamada ley de IA es el Reglamento (UE) 2024/1689, que entró en vigor el 1 de agosto de 2024 y se aplica por fases. En julio de 2026 lo modificó el ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, que aplazó una parte y dejó el resto como estaba. Este artículo resume qué toca a una pyme que usa IA, sin fabricarla, y qué conviene hacer ya. Está escrito con el texto vigente a 28 de octubre de 2026 y no es asesoramiento jurídico.
Proveedor o responsable del despliegue: quién es tu empresa
El Reglamento reparte las obligaciones según el papel de cada uno. El proveedor desarrolla un sistema de IA, o lo encarga, y lo comercializa o lo pone en servicio con su nombre. El responsable del despliegue es quien usa un sistema de IA bajo su autoridad en su actividad profesional. La pyme que usa ChatGPT, Copilot o un chatbot de un tercero es responsable del despliegue, y sus obligaciones son las más ligeras.
Hay un matiz si encargas un sistema a medida y lo pones en servicio con tu nombre: para el Reglamento puedes ser también su proveedor. En un sistema que no es de alto riesgo eso añade poco, sobre todo que esté diseñado para avisar de que es una IA y para marcar lo que genera. Es algo que se acuerda por escrito con quien lo desarrolla. El artículo 25 recoge además cuándo un usuario pasa a ser proveedor de un sistema de alto riesgo, por ejemplo si le cambia la finalidad.
Lo que ya se aplica a una pyme que usa IA
Formación de la plantilla, desde febrero de 2025
El artículo 4 se aplica desde el 2 de febrero de 2025. En su versión original obligaba a proveedores y responsables del despliegue a garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA de su personal. El ómnibus lo reescribió: ahora deben adoptar medidas para apoyar la alfabetización en IA de su personal, teniendo en cuenta su formación y el contexto de uso, y el texto aclara que no exige garantizar un nivel específico a ninguna persona. La Comisión publicará ejemplos prácticos para pymes.
En una empresa pequeña eso se traduce en una norma de uso breve y una explicación al equipo. La norma dice qué herramientas se usan, para qué tareas sí y para cuáles no, qué datos no se meten nunca en una herramienta externa y quién revisa lo que produce la IA antes de que salga de la empresa. Guarda la norma y la fecha en que se explicó: es la prueba de que tomaste medidas.
Prácticas prohibidas, desde febrero de 2025
El artículo 5 prohíbe algunos usos desde la misma fecha. La mayoría quedan lejos de una pyme, como la puntuación social o la identificación biométrica en tiempo real en espacios públicos. Dos sí pueden aparecer en una empresa normal. Está prohibido inferir las emociones de una persona en el lugar de trabajo o en centros educativos, salvo por motivos médicos o de seguridad, así que una herramienta que analiza el tono de voz de tus empleados en las llamadas para puntuar su estado de ánimo queda fuera. Y están prohibidas las técnicas manipuladoras o engañosas que alteran el comportamiento de alguien y le causan un perjuicio importante.
Transparencia, desde el 2 de agosto de 2026
El artículo 50 es la obligación que más pymes tocan, y se aplica desde el 2 de agosto de 2026. Esa misma fecha empezó también la supervisión de la formación y de las prohibiciones, y el ómnibus no la aplazó. Pide tres cosas:
- Los sistemas que conversan con personas tienen que avisar de que son una IA, salvo que sea evidente por el contexto, de forma clara y como tarde en la primera interacción. Es el caso del chatbot de la web o del asistente que contesta por WhatsApp. La Comisión lo explica en sus preguntas frecuentes sobre el artículo 50.
- El contenido sintético se marca como generado por IA en un formato legible por máquina. Esa obligación es del proveedor del sistema, y el ómnibus dio hasta el 2 de diciembre de 2026 a los sistemas que ya estaban en el mercado antes del 2 de agosto.
- Las ultrasuplantaciones se señalan. Si tu empresa publica una imagen, un audio o un vídeo generados por IA que parecen reales, tiene que decir que son artificiales. En una obra claramente artística, creativa o satírica basta con indicarlo de forma que no estropee la pieza.
Lo que se aplazó: los sistemas de alto riesgo
Los sistemas de alto riesgo son los que más obligaciones cargan, y son los que el ómnibus movió. Los del anexo III pasan al 2 de diciembre de 2027 y los integrados en productos regulados por el anexo I, como maquinaria o productos sanitarios, al 2 de agosto de 2028, según el calendario de la Comisión Europea.
Del anexo III, los usos que una pyme puede tener cerca son tres. El empleo: la IA para seleccionar personal, filtrar currículums, decidir ascensos o despidos, repartir tareas según el comportamiento o vigilar el rendimiento. La evaluación de la solvencia de personas físicas, salvo la detección de fraude. Y la educación y la formación profesional, cuando la IA decide admisiones o evalúa resultados.
Si usas un sistema así, como responsable del despliegue tendrás que seguir las instrucciones del proveedor, poner a una persona con formación a supervisarlo, guardar sus registros al menos seis meses e informar a los trabajadores y a sus representantes antes de usarlo en el trabajo. Son obligaciones del artículo 26. Lo práctico es preguntar ya a tu proveedor de software de recursos humanos qué piezas usan IA y cómo piensa cumplir.
Registro de IA para empresas: ¿hay que inscribir algo?
Para la mayoría de las pymes, no. El artículo 49 prevé una base de datos de la UE para los sistemas de alto riesgo del anexo III. Quien los inscribe es su proveedor antes de comercializarlos. El proveedor inscribe también los sistemas del anexo III que ha evaluado como no de alto riesgo por el artículo 6.3, un registro que el ómnibus mantuvo con menos datos. Entre los responsables del despliegue, solo se inscriben las autoridades públicas, las instituciones de la Unión y quienes actúan en su nombre.
No hay un registro general donde una empresa tenga que declarar que usa ChatGPT, un chatbot o un agente. Lo que sí conviene tener es un inventario interno: qué herramientas de IA se usan, para qué, con qué datos y quién es el responsable de cada una. Ese inventario es la base del resto de obligaciones y te permite contestar a un cliente o a un supervisor que pregunte.
Quién supervisa en España
En España vigila el cumplimiento la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. Todo lo que afecta a datos personales sigue en manos de la Agencia Española de Protección de Datos, y el RGPD se aplica a la vez que el Reglamento de IA.
Para orientarse, la AESIA ha publicado 16 guías y unas listas de comprobación, desde una introductoria hasta una específica de transparencia. No son vinculantes, y la propia agencia avisa de que las actualizará con el ómnibus.
La ley española que iba a desarrollar el Reglamento, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, entró en el Congreso el 28 de mayo de 2026 y figura como caducada desde el 6 de octubre de 2026 (expediente 121/000096). El Reglamento europeo se aplica igual, porque no necesita trasposición. Los topes de las multas están en su artículo 99: hasta 35 millones o el 7 % de la facturación por prácticas prohibidas y hasta 15 millones o el 3 % por el resto, con la cifra menor de las dos para pymes y empresas emergentes. Las pequeñas empresas de mediana capitalización tienen la misma regla, salvo en las prácticas prohibidas.
Qué hacer esta semana: cinco pasos
- Haz la lista. Todas las herramientas de IA que se usan en la empresa, también las que cada persona usa por su cuenta en el navegador.
- Marca las que hablan con clientes o publican contenido y comprueba que avisan de que son una IA.
- Marca las que tocan personal o crédito. Si alguna filtra candidatos o puntúa a empleados, prepara la conversación con su proveedor antes de diciembre de 2027.
- Escribe la norma de uso en una página, explícasela al equipo y guarda la fecha.
- Revisa los datos personales con quien lleve la protección de datos, sobre todo si la herramienta procesa fuera de Europa. Las opciones de proveedores están en Datos en Europa: alternativas RGPD.
Cuando la IA te la monta otro
Si encargas un asistente, un chatbot o un agente, pide por escrito cómo cumple el artículo 50, qué registro deja y dónde procesa los datos. Cuando Ignira monta uno, dejamos configurado el aviso de IA en cada canal, el registro de cada paso y la documentación de qué hace el sistema y con qué datos, y acordamos antes de empezar dónde se procesan. La sesión de formación que acompaña cada entrega puede formar parte de las medidas del artículo 4.
Los casos concretos están en correos, WhatsApp y llamadas con IA, donde el aviso al cliente es parte del montaje, y en agentes de IA en la empresa, que explica los controles de un sistema que actúa sobre tus datos. El servicio completo está en automatización de procesos con IA.