AI Act para pymes: qué te obliga de verdad en 2026
Actualizado el 10 de septiembre de 2026, después de la entrada en vigor del Ómnibus Digital de IA (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), que ha cambiado el calendario del AI Act. Si has leído una guía escrita antes del verano, las fechas que te daba ya no son correctas.
Resumen en 30 segundos
- Si tu pyme usa herramientas de IA (ChatGPT, Copilot, un chatbot, un lector de facturas), eres responsable del despliegue, no proveedor. Tus obligaciones son pocas y asumibles.
- Hoy ya te aplican tres cosas: las prácticas prohibidas, la alfabetización en IA del artículo 4 y, desde el 2 de agosto de 2026, la transparencia del artículo 50.
- Lo verdaderamente pesado, los sistemas de alto riesgo, se ha aplazado al 2 de diciembre de 2027. Y lo más probable es que no te afecte.
- No existe ningún certificado oficial de cumplimiento del AI Act para pymes. Quien te venda uno, te está vendiendo humo.
Lo primero: casi ninguna pyme es proveedor de IA
El reglamento reparte obligaciones según el papel que juegas, no según tu tamaño. Y la distinción que más te conviene entender es esta:
- Proveedor: quien desarrolla un sistema de IA y lo pone en el mercado con su nombre. Aquí están OpenAI, Google, Microsoft o una empresa de software que vende su propia IA.
- Responsable del despliegue (el reglamento lo llama así, aunque suene raro): quien utiliza un sistema de IA bajo su propia autoridad. Aquí estáis prácticamente todas las pymes y autónomos.
Esto importa porque el 90 % de las obligaciones del AI Act, las que dan miedo cuando lees titulares, recaen sobre el proveedor. Si tu empresa usa ChatGPT para redactar correos o un asistente que te lee las facturas, eres responsable del despliegue y tu lista de deberes es corta.
Ojo con una excepción: si coges una herramienta ajena, le pones tu marca y la vendes como tuya, o si la modificas sustancialmente, pasas a ser proveedor. Es raro en una pyme, pero pasa.
Qué se te aplica hoy y qué se ha aplazado
El AI Act no entró en vigor de golpe: se aplica por tramos. Este es el calendario real después del Ómnibus Digital:
| Fecha | Qué empieza a aplicarse | ¿Te afecta si usas IA en tu pyme? |
|---|---|---|
| 2 feb 2025 | Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4) | Sí |
| 2 ago 2025 | Modelos de propósito general, gobernanza y régimen sancionador | Indirectamente |
| 27 jul 2026 | Entra en vigor el Ómnibus Digital de IA | Sí: cambia el calendario y suaviza el art. 4 |
| 2 ago 2026 | El resto del reglamento, incluida la transparencia del art. 50, y la vigilancia del mercado | Sí |
| 2 dic 2026 | Nuevas prohibiciones sobre generación de contenido íntimo no consentido y CSAM | Raramente |
| 2 dic 2027 | Sistemas de alto riesgo del anexo III | Solo en algunos casos (ver abajo) |
| 2 ago 2028 | Alto riesgo integrado en productos regulados (anexo I) | Solo si fabricas producto |
La noticia importante del verano de 2026 es el aplazamiento: las obligaciones de alto riesgo del anexo III, que estaban previstas para el 2 de agosto de 2026, se han movido al 2 de diciembre de 2027. Muchas guías que siguen en internet no lo recogen.
Los cuatro niveles de riesgo, en cristiano
El reglamento clasifica los usos, no las herramientas. La misma tecnología puede ser riesgo mínimo o alto riesgo según para qué la uses.
| Nivel | Ejemplos | Qué implica |
|---|---|---|
| Inaceptable | Puntuación social, reconocimiento de emociones en el trabajo, extracción masiva de imágenes faciales de internet | Prohibido desde febrero de 2025 |
| Alto riesgo | Cribado automático de currículums, decisiones de promoción o despido, evaluación de solvencia, admisión a estudios | Obligaciones fuertes desde diciembre de 2027 |
| Riesgo limitado | Chatbots de atención al cliente, generación de textos o imágenes | Obligación de avisar (art. 50) |
| Riesgo mínimo | Filtros antispam, sugerencias de escritura, categorización de correo | Sin obligaciones específicas |
Fíjate en una cosa que se cuela a menudo en las pymes: si usas IA para filtrar candidaturas, eso es alto riesgo. No porque sea peligroso en abstracto, sino porque decide sobre el acceso al empleo de una persona. Es el caso en el que una empresa pequeña se encuentra con obligaciones serias sin haberlo buscado.
Las tres obligaciones que sí afectan a una pyme normal
1. Alfabetización en IA (artículo 4)
Esta es la que casi nadie tiene hecha. El artículo 4 obliga a proveedores y responsables del despliegue a que su gente sepa lo que está manejando. El Ómnibus Digital lo ha suavizado en un punto que conviene conocer: ahora la ley dice que hay que adoptar medidas para favorecer el desarrollo de la alfabetización en IA, y aclara expresamente que no obliga a garantizar un nivel concreto en cada persona.
Traducido: es una obligación de medios, no de resultado. Nadie te va a examinar a la plantilla. Lo que sí te pueden pedir es que demuestres que has hecho algo, y ese algo tiene que ser proporcional a tu tamaño y a lo que uses. Para una empresa de diez personas que usa ChatGPT, una formación corta y unas normas internas escritas bastan. Es exactamente lo que cubre nuestro curso de alfabetización en IA.
2. Transparencia (artículo 50), aplicable desde agosto de 2026
Si tienes un chatbot, la persona tiene que saber que habla con una máquina. Si publicas textos, imágenes, audio o vídeo generados con IA, hay que poder identificarlos como tales. Y si usas IA para generar contenido informativo dirigido al público, hay que decirlo.
Es la obligación más barata de cumplir y la que más se incumple por despiste: basta una frase. También es la cara amable de un problema real, el de no saber si lo que ves es auténtico; hemos escrito sobre ello en el artículo sobre videollamadas falsas.
3. No usar prácticas prohibidas
Están prohibidas desde febrero de 2025 y algunas son menos exóticas de lo que parecen. La más relevante para una empresa: el reconocimiento de emociones de los trabajadores en el puesto de trabajo. Si alguien te ofrece un software que analiza el tono de voz o la cara de tu equipo para medir su implicación, eso está prohibido, con contadas excepciones de seguridad o salud.
Un ejemplo concreto: una asesoría de doce personas
Imagina una asesoría fiscal con doce empleados. Usa ChatGPT para redactar borradores, un lector automático de facturas y un chatbot en la web para pedir cita.
- Papel: responsable del despliegue en los tres casos.
- Nivel de riesgo: mínimo el primero, limitado el chatbot, mínimo el lector de facturas.
- Qué tiene que hacer: formar al equipo y dejarlo documentado (art. 4), avisar en el chatbot de que es un bot (art. 50), y tener unas normas internas de qué datos se pueden y no se pueden pegar en una herramienta de IA.
- Qué NO tiene que hacer: evaluaciones de conformidad, marcado CE, registro en la base de datos europea ni auditorías externas. Nada de eso le aplica.
Total: una tarde de trabajo bien hecha, no un proyecto de consultoría de seis meses. Ese desajuste entre el miedo y la obligación real es, por cierto, uno de los errores más comunes al empezar con IA.
¿Y si no cumplo? Las sanciones
- Prácticas prohibidas: hasta 35 millones de euros o el 7 % de la facturación mundial anual.
- Incumplir el resto de obligaciones: hasta 15 millones o el 3 %.
- Dar información incorrecta a las autoridades: hasta 7,5 millones o el 1 %.
Antes de que te dé un vuelco el corazón: el reglamento prevé expresamente que, para pymes y start-ups, la multa es la cifra menor de las dos, no la mayor. Y desde el 2 de agosto de 2026 quien supervisa son las autoridades nacionales de vigilancia del mercado. En España todavía se está desplegando ese aparato, así que hoy el riesgo realista para una pyme no es una multa millonaria: es llegar tarde y mal cuando un cliente grande te pida por contrato que acredites que cumples.
Checklist: seis pasos para una pyme
- Haz el inventario. Lista de todas las herramientas con IA que se usan en la empresa, incluidas las que ha traído alguien por su cuenta. Suele salir el doble de lo que esperabas.
- Asigna el papel. Para cada herramienta, ¿eres proveedor o responsable del despliegue? Casi siempre lo segundo.
- Clasifica el uso. ¿Mínimo, limitado o alto riesgo? Presta atención especial a cualquier uso que afecte a personas: contratación, promoción, evaluación.
- Forma al equipo y déjalo por escrito. Quién, cuándo, qué contenidos, y guarda la evidencia. Sin registro, a efectos prácticos no lo has hecho.
- Escribe las normas internas. Qué se puede pegar en una IA y qué no, qué hay que revisar siempre antes de enviar, y a quién se avisa si algo sale mal. Dos páginas bastan.
- Añade los avisos de transparencia. En el chatbot y en el contenido generado con IA que publiques.
Preguntas frecuentes
¿El AI Act se aplica también a autónomos?
Sí. El reglamento no exime por tamaño: se aplica a cualquiera que ponga en el mercado o utilice sistemas de IA en la Unión Europea. Lo que sí hace es modular la exigencia, porque las medidas deben ser proporcionales al contexto, y limitar el importe de las sanciones para pymes.
¿Necesito un certificado oficial de cumplimiento?
No existe. El AI Act no crea ninguna homologación ni certificación oficial de formación para pymes. Lo que necesitas es poder acreditar lo que has hecho: un registro de la formación, unas normas escritas y un inventario. Desconfía de quien te venda un sello oficial del AI Act.
Uso ChatGPT en la empresa. ¿Eso me convierte en proveedor de IA?
No. El proveedor es OpenAI. Tú eres responsable del despliegue, con las obligaciones que hemos visto: formación, transparencia si publicas contenido generado, y no usarlo para prácticas prohibidas.
¿Tengo que registrar mis sistemas de IA en algún sitio?
La base de datos europea es para sistemas de alto riesgo, y la obligación de registro recae sobre proveedores y sobre responsables del despliegue que sean autoridades públicas. Una pyme que usa herramientas de riesgo mínimo o limitado no tiene que registrar nada.
Mi proveedor de software dice que ya cumple. ¿Me vale?
Parcialmente. Que el proveedor cumpla sus obligaciones no te libera de las tuyas: la formación de tu equipo y el uso que hagas de la herramienta siguen siendo tuyos. Pídele por escrito qué cumple exactamente y guárdalo.
Este artículo es información divulgativa, no asesoramiento jurídico. Para una decisión concreta con consecuencias legales, consulta con un profesional del derecho.
¿Quieres repasar en qué punto estáis vosotros?
Escríbenos a [email protected] y te ayudamos a hacer el inventario y valorar el riesgo real de las herramientas que ya usáis.
— El equipo de IAètica