Desde el 2 de agosto de 2026 el Reglamento europeo de IA se aplica con carácter general, y los titulares llevan semanas agitando multas millonarias. Si diriges una pyme que solo usa herramientas de terceros, el reglamento de IA se te queda en una lista corta: tres cosas que hacer ya y bastantes que hoy no te tocan.
Lectura: ~9 minutos.
Esto no es asesoramiento jurídico. El Reglamento de IA es reciente, el Ómnibus que lo modificó lo es todavía más, y varias cuestiones siguen pendientes de guías oficiales e interpretación. Este artículo te sitúa; para decisiones con riesgo legal real, contrasta con un abogado especializado. Las fechas y artículos citados están verificados en las fuentes del final a fecha de publicación.
Antes de nada: eres usuaria, no desarrolladora
El Reglamento (UE) 2024/1689 —el «AI Act»— reparte obligaciones por roles. Los dos que importan aquí son el proveedor, que desarrolla y comercializa el sistema de IA, y el responsable del despliegue, que lo usa en su actividad. O sea, tú.
Si tu relación con la IA consiste en cuentas de ChatGPT o Copilot para el equipo, un chatbot contratado a un tercero para atender la web y alguna función de IA que viene dentro de tu ERP o tu CRM, eres responsable del despliegue. La inmensa mayoría del articulado no habla de ti: habla de quien fabrica el sistema.
Eso no significa cero obligaciones. Significa una lista corta. Vamos con ella.
Qué exige ya el reglamento de IA a las pymes usuarias: los tres sí
1. Avisar cuando un cliente habla con una máquina
Las obligaciones de transparencia del artículo 50 rigen desde el 2 de agosto de 2026. En la práctica: si un chatbot atiende a tus clientes, la persona tiene que saber que está hablando con un sistema automático, salvo que resulte evidente por el contexto.
Diseñar ese aviso es trabajo del proveedor del chatbot, pero se muestra —o no— en tu web. Compruébalo hoy: abre tu propio chat como lo haría un cliente y mira si el aviso existe, si sobrevivió a la personalización del widget y si se entiende. «Asistente virtual» en letra de ocho píxeles detrás de un icono no es avisar.
Lo mismo con el contenido sintético. Si publicas imágenes, audio o vídeo generados o manipulados con IA que puedan pasar por reales, tienes que declararlo. Y si publicas texto generado con IA para informar al público sobre asuntos de interés general, también, salvo que haya revisión humana y alguien asuma la responsabilidad editorial de lo publicado. La foto «del equipo» que nunca existió y el post escrito por una herramienta y publicado sin que nadie lo lea entran de lleno ahí.
2. No usar prácticas prohibidas (aunque te las vendan empaquetadas)
Las prohibiciones del artículo 5 rigen desde el 2 de febrero de 2025 y el Ómnibus no las tocó. Suenan a ciencia ficción —puntuación social, manipulación subliminal— hasta que aparecen envueltas en software comercial con demo y precio por usuario.
El caso que más nos preocupa en pymes: herramientas que dicen inferir las emociones de tus empleados en llamadas, videollamadas o correos. El reconocimiento de emociones en el entorno laboral está prohibido, salvo excepciones médicas o de seguridad. Si un proveedor te ofrece «análisis del estado de ánimo del equipo en tiempo real», la pregunta no es cuánto cuesta: es si es legal usarlo.
Y aquí las sanciones son las más altas del reglamento: hasta 35 millones de euros o el 7 % de la facturación mundial para las prácticas prohibidas, y hasta 15 millones o el 3 % para la mayoría del resto de incumplimientos. Para las pymes el propio reglamento prevé que se aplique el menor de los dos importes, pero «el menor» sigue siendo un número que ninguna pyme quiere ver en una resolución. En España la autoridad de vigilancia es la AESIA, ya operativa desde A Coruña.
3. Formar al equipo (y saber qué herramientas usa de verdad)
El artículo 4 exige desde febrero de 2025 un nivel suficiente de alfabetización en IA en las personas que operan estos sistemas por cuenta de tu empresa. No pide un máster ni un certificado: pide formación proporcional al uso que se hace. Para la mayoría de pymes, una sesión seria sobre qué hace la herramienta, qué datos puede recibir y qué errores comete, repetida cuando cambien las herramientas, cubre el expediente y —más importante— evita sustos.
El problema es que no puedes formar a nadie sobre herramientas que no sabes que usa. Si tu equipo pega datos de clientes en cuentas gratuitas que nadie ha revisado, tienes un problema anterior al reglamento; cómo aflorarlo y ordenarlo lo contamos en el artículo sobre shadow AI y política de uso de IA.
Lo que puedes ignorar por ahora, y por qué
El 2 de agosto de 2026 era también la fecha prevista para que arrancara el bloque más pesado del reglamento: los sistemas de alto riesgo. Unos días antes, el Ómnibus digital sobre IA (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026) aplazó esas obligaciones: las del anexo III pasan al 2 de diciembre de 2027 y las de sistemas integrados en productos regulados (anexo I) al 2 de agosto de 2028. Todo lo demás sigue como estaba.
Traducción para una pyme usuaria: buena parte de lo que te intentarán vender como «urgente» no lo es, o directamente no es tuyo.
| Obligación | Por qué hoy no es tuya |
|---|---|
| Clasificar sistemas como alto riesgo y cumplir sus requisitos | Aplazado a diciembre de 2027. Y solo te alcanzará si usas IA para decidir sobre personas: contratar, evaluar, conceder crédito. |
| Evaluación de conformidad y marcado CE | Es del proveedor que comercializa el sistema, no de quien lo usa. |
| Documentación técnica y sistema de gestión de riesgos | Del proveedor. Tú puedes pedirla; no redactarla. |
| Registro en la base de datos europea | Con carácter general, para proveedores y para ciertos organismos públicos. |
| Obligaciones de los modelos de uso general | Son de OpenAI, Google, Anthropic, Meta y compañía. No tuyas por usar sus herramientas. |
| Marcado técnico del contenido generado | La tecnología de marcado es del proveedor de la herramienta. A ti te toca el aviso visible, no el sistema que lo implementa. |
| Nombrar un «responsable de IA» | El reglamento no exige esa figura, a diferencia del delegado de protección de datos del RGPD. Si te la venden como obligatoria, es humo. |
La letra pequeña: cuándo dejas de ser «solo usuaria»
Tres situaciones convierten a una pyme usuaria en algo más, y conviene tenerlas localizadas:
- Marca blanca. Si comercializas el chatbot de un tercero con tu nombre o tu marca, a efectos del reglamento puedes pasar a ser proveedor, con todo lo que arrastra.
- Modificación sustancial. Ajustar prompts o subir tus documentos no te convierte en desarrollador; reentrenar o alterar sustancialmente la finalidad del sistema, sí puede hacerlo.
- Uso de alto riesgo. Si usas IA para filtrar currículums, evaluar el rendimiento del equipo o decidir a quién das crédito, en diciembre de 2027 tendrás obligaciones propias como responsable del despliegue: supervisión humana, uso conforme a las instrucciones, informar a los trabajadores afectados. Catorce meses pasan rápido; no hace falta correr, pero sí apuntarlo.
Y una precaución transversal: buena parte del software que hoy se vende como «agentes de IA autónomos» es otra cosa con mejor marketing. Antes de aceptar la etiqueta —y las obligaciones o riesgos que implicaría—, pregunta qué hay debajo; lo desmontamos en el artículo sobre agent washing.
Ojo también con la trampa mental de «esto ya lo aplazaron»: el RGPD no se ha movido ni un centímetro. Qué datos puedes meter en una herramienta de IA y cuáles no es una cuestión de protección de datos que aplica desde siempre, y la tratamos en detalle en IA y RGPD: qué datos puedes usar.
Cinco preguntas para el proveedor de tu chatbot o tu software
La mayor parte de tu cumplimiento como usuaria se juega en el contrato y la configuración de lo que compras. Estas cinco preguntas, por escrito, te dejan cubierta:
- ¿El aviso de «estás hablando con un sistema automático» viene activado de serie o tengo que configurarlo yo? ¿Puede desactivarse por error al personalizar el widget?
- ¿El contenido que genera la herramienta lleva marcado técnico legible por máquina, conforme al artículo 50?
- ¿Tu sistema entra en alguna categoría del anexo III? Si la respuesta es sí, ¿cuál es tu plan para diciembre de 2027 y qué me tocará hacer a mí?
- ¿Dónde se procesan mis datos y los de mis clientes, y con qué base jurídica? Esto es RGPD, no reglamento de IA, y es exigible desde ya.
- ¿Quién figura como proveedor a efectos del reglamento si yo integro o revendo la herramienta con mi marca?
Un proveedor serio contesta a las cinco sin ponerse nervioso. Uno que responde con generalidades te está diciendo, sin querer, todo lo que necesitas saber.
- Abre tu propio chatbot como si fueras un cliente y comprueba que el aviso de sistema automático existe y se entiende. Si no está, es un correo de dos líneas a tu proveedor, no un proyecto.
- Haz inventario de herramientas de IA en uso, incluidas las cuentas personales que nadie autorizó, y marca las que tocan datos de clientes o decisiones sobre personas. Una hoja de cálculo con cuatro columnas basta.
- Agenda una sesión de formación básica con el equipo —qué herramienta se usa para qué, qué datos no se meten nunca— y déjala por escrito: esa página ya es el embrión de tu política de uso y tu evidencia de alfabetización.
Si no tienes claro qué herramientas de IA usa de verdad tu empresa ni cuáles te comprometen, en la auditoría gratuita lo revisamos contigo: qué usas, qué te exige el calendario a ti —y no a tu proveedor— y qué puedes ignorar sin remordimientos.
En myIA el cumplimiento no es un proyecto aparte: cada caso de uso que implantamos entra con su aviso, su política y su formación puestos desde el primer día.
Fuentes
- Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial): artículos 4, 5, 50 y 99 y calendario de aplicación del artículo 113. Texto en el BOE (DOUE-L-2024-81079). Las cuantías de sanciones (35 M€/7 % y 15 M€/3 %, con el importe menor para pymes) proceden del artículo 99.
- Reglamento (UE) 2026/1744, de 8 de julio de 2026 (Ómnibus digital sobre IA), en vigor desde el 27 de julio de 2026: aplaza el anexo III al 2 de diciembre de 2027 y el anexo I al 2 de agosto de 2028. Texto en EUR-Lex y en el BOE (DOUE-L-2026-81147).
- Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), autoridad de vigilancia en España, con sede en A Coruña. Web oficial.