AI Act per a pimes: què t'obliga de debò el 2026
Actualitzat el 10 de setembre de 2026, després de l'entrada en vigor de l'Òmnibus Digital d'IA (Reglament (UE) 2026/1744, vigent des del 27 de juliol de 2026), que ha canviat el calendari de l'AI Act. Si has llegit una guia escrita abans de l'estiu, les dates que et donava ja no són correctes.
Resum en 30 segons
- Si la teva pime fa servir eines d'IA (ChatGPT, Copilot, un xatbot, un lector de factures), ets responsable del desplegament, no proveïdor. Les teves obligacions són poques i assumibles.
- Avui ja t'apliquen tres coses: les pràctiques prohibides, l'alfabetització en IA de l'article 4 i, des del 2 d'agost de 2026, la transparència de l'article 50.
- El que de debò pesa, els sistemes d'alt risc, s'ha ajornat al 2 de desembre de 2027. I el més probable és que no t'afecti.
- No existeix cap certificat oficial de compliment de l'AI Act per a pimes. Qui te'n vengui un, et ven fum.
El primer: gairebé cap pime és proveïdora d'IA
El reglament reparteix obligacions segons el paper que hi fas, no segons la teva mida. I la distinció que més et convé entendre és aquesta:
- Proveïdor: qui desenvolupa un sistema d'IA i el posa al mercat amb el seu nom. Aquí hi ha OpenAI, Google, Microsoft o una empresa de programari que ven la seva pròpia IA.
- Responsable del desplegament (el reglament ho diu així, per estrany que soni): qui utilitza un sistema d'IA sota la seva autoritat. Aquí hi sou pràcticament totes les pimes i autònoms.
Això importa perquè el 90 % de les obligacions de l'AI Act, les que fan por quan llegeixes titulars, recauen sobre el proveïdor. Si la teva empresa fa servir ChatGPT per redactar correus o un assistent que et llegeix les factures, ets responsable del desplegament i la llista de deures és curta.
Compte amb una excepció: si agafes una eina aliena, hi poses la teva marca i la vens com a teva, o si la modifiques substancialment, passes a ser proveïdor. És poc habitual en una pime, però passa.
Què se t'aplica avui i què s'ha ajornat
L'AI Act no va entrar en vigor de cop: s'aplica per trams. Aquest és el calendari real després de l'Òmnibus Digital:
| Data | Què comença a aplicar-se | T'afecta si fas servir IA a la pime? |
|---|---|---|
| 2 feb 2025 | Pràctiques prohibides (art. 5) i alfabetització en IA (art. 4) | Sí |
| 2 ago 2025 | Models de propòsit general, governança i règim sancionador | Indirectament |
| 27 jul 2026 | Entra en vigor l'Òmnibus Digital d'IA | Sí: canvia el calendari i suavitza l'art. 4 |
| 2 ago 2026 | La resta del reglament, inclosa la transparència de l'art. 50, i la vigilància del mercat | Sí |
| 2 des 2026 | Noves prohibicions sobre generació de contingut íntim no consentit i CSAM | Rarament |
| 2 des 2027 | Sistemes d'alt risc de l'annex III | Només en alguns casos (ho veiem més avall) |
| 2 ago 2028 | Alt risc integrat en productes regulats (annex I) | Només si fabriques producte |
La notícia important de l'estiu de 2026 és l'ajornament: les obligacions d'alt risc de l'annex III, previstes per al 2 d'agost de 2026, s'han mogut al 2 de desembre de 2027. Moltes guies que encara circulen per internet no ho recullen.
Els quatre nivells de risc, en cristià
El reglament classifica els usos, no les eines. La mateixa tecnologia pot ser de risc mínim o d'alt risc segons per a què la facis servir.
| Nivell | Exemples | Què implica |
|---|---|---|
| Inacceptable | Puntuació social, reconeixement d'emocions a la feina, extracció massiva d'imatges facials d'internet | Prohibit des del febrer de 2025 |
| Alt risc | Cribratge automàtic de currículums, decisions de promoció o acomiadament, avaluació de solvència, admissió a estudis | Obligacions fortes des del desembre de 2027 |
| Risc limitat | Xatbots d'atenció al client, generació de textos o imatges | Obligació d'avisar (art. 50) |
| Risc mínim | Filtres antispam, suggeriments d'escriptura, categorització de correu | Sense obligacions específiques |
Fixa't en una cosa que s'escola sovint a les pimes: si fas servir IA per filtrar candidatures, això és alt risc. No perquè sigui perillós en abstracte, sinó perquè decideix sobre l'accés a la feina d'una persona. És el cas en què una empresa petita es troba amb obligacions serioses sense haver-les buscat.
Les tres obligacions que sí que afecten una pime normal
1. Alfabetització en IA (article 4)
Aquesta és la que gairebé ningú té feta. L'article 4 obliga proveïdors i responsables del desplegament a fer que la seva gent sàpiga què està manejant. L'Òmnibus Digital l'ha suavitzat en un punt que convé conèixer: ara la llei diu que cal adoptar mesures per afavorir el desenvolupament de l'alfabetització en IA, i aclareix expressament que no obliga a garantir un nivell concret en cada persona.
Traduït: és una obligació de mitjans, no de resultat. Ningú no t'examinarà la plantilla. El que sí que et poden demanar és que demostris que has fet alguna cosa, i aquesta cosa ha de ser proporcional a la teva mida i al que facis servir. Per a una empresa de deu persones que fa servir ChatGPT, una formació curta i unes normes internes escrites ja fan el fet. És exactament el que cobreix el nostre curs d'alfabetització en IA, i ho hem explicat amb detall a l'article sobre la formació obligatòria de l'article 4.
2. Transparència (article 50), aplicable des de l'agost de 2026
Si tens un xatbot, la persona ha de saber que parla amb una màquina. Si publiques textos, imatges, àudio o vídeo generats amb IA, s'han de poder identificar com a tals. I si fas servir IA per generar contingut informatiu adreçat al públic, cal dir-ho.
És l'obligació més barata de complir i la que més s'incompleix per despistament: n'hi ha prou amb una frase. També és la cara amable d'un problema real, el de no saber si el que veus és autèntic; en vam parlar a l'article sobre videotrucades falses.
3. No fer servir pràctiques prohibides
Estan prohibides des del febrer de 2025 i algunes són menys exòtiques del que sembla. La més rellevant per a una empresa: el reconeixement d'emocions dels treballadors al lloc de treball. Si algú t'ofereix un programari que analitza el to de veu o la cara del teu equip per mesurar-ne la implicació, això està prohibit, amb comptades excepcions de seguretat o salut.
Un exemple concret: una gestoria de dotze persones
Imagina una gestoria fiscal de l'Anoia amb dotze treballadors. Fa servir ChatGPT per redactar esborranys, un lector automàtic de factures i un xatbot al web per demanar cita.
- Paper: responsable del desplegament en els tres casos.
- Nivell de risc: mínim el primer, limitat el xatbot, mínim el lector de factures.
- Què ha de fer: formar l'equip i deixar-ho documentat (art. 4), avisar al xatbot que és un bot (art. 50), i tenir unes normes internes de quines dades es poden i no es poden enganxar en una eina d'IA.
- Què NO ha de fer: avaluacions de conformitat, marcatge CE, registre a la base de dades europea ni auditories externes. Res d'això li aplica.
Total: una tarda de feina ben feta, no un projecte de consultoria de sis mesos. Aquest desajust entre la por i l'obligació real és, de fet, un dels errors més habituals en començar amb IA.
I si no compleixo? Les sancions
- Pràctiques prohibides: fins a 35 milions d'euros o el 7 % de la facturació mundial anual.
- Incomplir la resta d'obligacions: fins a 15 milions o el 3 %.
- Donar informació incorrecta a les autoritats: fins a 7,5 milions o l'1 %.
Abans que et faci un salt el cor: el reglament preveu expressament que, per a pimes i start-ups, la multa és la xifra menor de les dues, no la major. I des del 2 d'agost de 2026 qui supervisa són les autoritats nacionals de vigilància del mercat. A Catalunya i a l'Estat aquest aparell encara s'està desplegant, de manera que avui el risc realista per a una pime no és una multa milionària: és arribar tard i malament quan un client gran et demani per contracte que acreditis que compleixes.
Llista de comprovació: sis passos per a una pime
- Fes l'inventari. Llista de totes les eines amb IA que es fan servir a l'empresa, incloses les que ha portat algú pel seu compte. Acostuma a sortir-ne el doble del que esperaves.
- Assigna el paper. Per a cada eina, ets proveïdor o responsable del desplegament? Gairebé sempre la segona.
- Classifica'n l'ús. Mínim, limitat o alt risc? Para atenció especial a qualsevol ús que afecti persones: contractació, promoció, avaluació.
- Forma l'equip i deixa-ho per escrit. Qui, quan, quins continguts, i guarda'n l'evidència. Sense registre, a efectes pràctics no ho has fet.
- Escriu les normes internes. Què es pot enganxar en una IA i què no, què cal revisar sempre abans d'enviar, i a qui s'avisa si alguna cosa surt malament. Dues pàgines n'hi ha prou.
- Afegeix els avisos de transparència. Al xatbot i al contingut generat amb IA que publiquis.
Preguntes freqüents
L'AI Act s'aplica també als autònoms?
Sí. El reglament no eximeix per mida: s'aplica a qualsevol que posi al mercat o utilitzi sistemes d'IA a la Unió Europea. El que sí que fa és modular l'exigència, perquè les mesures han de ser proporcionals al context, i limitar l'import de les sancions per a pimes.
Necessito un certificat oficial de compliment?
No existeix. L'AI Act no crea cap homologació ni certificació oficial de formació per a pimes. El que necessites és poder acreditar el que has fet: un registre de la formació, unes normes escrites i un inventari. Desconfia de qui et vengui un segell oficial de l'AI Act.
Faig servir ChatGPT a l'empresa. Això em converteix en proveïdor d'IA?
No. El proveïdor és OpenAI. Tu ets responsable del desplegament, amb les obligacions que hem vist: formació, transparència si publiques contingut generat, i no fer-lo servir per a pràctiques prohibides.
He de registrar els meus sistemes d'IA en algun lloc?
La base de dades europea és per a sistemes d'alt risc, i l'obligació de registre recau sobre proveïdors i sobre responsables del desplegament que siguin autoritats públiques. Una pime que fa servir eines de risc mínim o limitat no ha de registrar res.
El meu proveïdor de programari diu que ja compleix. Em serveix?
Parcialment. Que el proveïdor compleixi les seves obligacions no t'allibera de les teves: la formació del teu equip i l'ús que facis de l'eina continuen sent responsabilitat teva. Demana-li per escrit què compleix exactament i guarda-ho.
Aquest article és informació divulgativa, no assessorament jurídic. Per a una decisió concreta amb conseqüències legals, consulta amb un professional del dret.
Vols repassar en quin punt esteu vosaltres?
Escriu-nos a [email protected] i t'ajudem a fer l'inventari i valorar el risc real de les eines que ja feu servir.
— L'equip d'IAètica