La nueva ley europea de IA ya no va solo contra las grandes tecnológicas: las pymes también están en el punto de mira

Durante meses se ha instalado una idea equivocada sobre el Reglamento Europeo de Inteligencia Artificial (AI Act): que es una norma pensada para controlar a gigantes como OpenAI, Google o Microsoft.

Sin embargo, la realidad es muy distinta. La mayor parte de las obligaciones no recaen únicamente sobre quienes desarrollan la inteligencia artificial, sino también sobre las empresas que la utilizan en su actividad diaria.

Y eso significa que miles de pymes españolas ya están afectadas, muchas de ellas sin ser conscientes.

Digital Omnibus

El calendario del AI Act acaba de moverse. El Parlamento Europeo, el 16 de junio, y el Consejo, el 29 de junio, han aprobado el llamado Digital Omnibus, pendiente de publicación en el Diario Oficial de la UE, que aplaza el régimen de los sistemas de inteligencia artificial de alto riesgo: los sistemas autónomos del Anexo III pasan del 2 de agosto de 2026 al 2 de diciembre de 2027, y los integrados en productos regulados, al 2 de agosto de 2028.

Conviene no leer ese aplazamiento como una tregua. El 2 de agosto de 2026 siguen entrando en juego obligaciones que afectan de lleno a las pymes: las de transparencia del artículo 50 (avisar de que se interactúa con una IA, identificar el contenido generado artificialmente y revelar los deepfakes) y el inicio de la actividad de las autoridades de vigilancia del mercado.

El aplazamiento responde a que ni los estándares técnicos ni las autoridades nacionales estaban listos a tiempo: es margen para prepararse, no permiso para no hacer nada.

Lo más llamativo es que muchas empresas creen que no utilizan inteligencia artificial cuando, en realidad, la emplean todos los días.

Basta con preparar documentos mediante ChatGPT, redactar propuestas con Microsoft Copilot, utilizar asistentes inteligentes en el correo electrónico, incorporar un chatbot en la web o recurrir a herramientas que analizan currículums, imágenes o datos para que la normativa entre en juego.

El error más habitual: pensar que el responsable es el proveedor

Uno de los mayores malentendidos consiste en creer que si la herramienta cumple la ley, la empresa que la utiliza queda automáticamente protegida. No es así.

El AI Act distingue entre el proveedor, que desarrolla y comercializa el sistema, y el usuario profesional (deployer), es decir, la empresa que lo utiliza en su actividad.

La inmensa mayoría de las pymes españolas pertenecen a esta segunda categoría y tienen obligaciones propias e independientes.

En otras palabras, contratar una licencia de ChatGPT Enterprise, Microsoft Copilot o cualquier otra solución de IA no traslada toda la responsabilidad al fabricante.

La empresa sigue siendo responsable del uso que hace de esas herramientas y de garantizar que se emplean conforme a la normativa.

Muchas empresas ya incumplen una obligación sin saberlo

Existe además una circunstancia poco conocida. Desde febrero de 2025 el Reglamento ya exige que cualquier organización que utilice inteligencia artificial garantice que sus trabajadores poseen un nivel suficiente de alfabetización en IA.

No se trata de formar especialistas en inteligencia artificial, sino de asegurarse de que quienes utilizan estas herramientas conocen sus riesgos, limitaciones y buenas prácticas.

Sin embargo, en numerosas empresas el uso de la IA se ha extendido de forma espontánea, sin protocolos internos ni formación específica.

Los empleados recurren diariamente a estas aplicaciones para ahorrar tiempo o aumentar su productividad, pero pocas organizaciones han establecido unas reglas mínimas sobre qué información puede compartirse, qué controles deben existir o cómo supervisar los resultados generados.

El mayor riesgo suele estar dentro de la empresa

La mayoría de las incidencias no nacen de un ciberataque sofisticado, sino de una práctica cotidiana.

Un trabajador copia un listado de clientes en una IA gratuita para redactar un informe. Otro introduce contratos confidenciales para resumirlos. Un tercero pega datos financieros para elaborar una presentación.

En cuestión de segundos, información sensible puede salir del entorno de la empresa y acabar tratándose en sistemas sobre los que la organización no tiene ningún control.

Las consecuencias pueden afectar simultáneamente a la confidencialidad empresarial, a la normativa de protección de datos y ahora también al cumplimiento del AI Act.

No solo afecta a las grandes empresas

Aunque el Reglamento reserva la categoría de “alto riesgo” para determinados usos concretos, muchas pequeñas y medianas empresas utilizan ya este tipo de sistemas sin identificarlos como tales.

Es el caso de herramientas de selección automática de personal, sistemas de evaluación crediticia, soluciones empleadas por clínicas privadas para analizar imágenes médicas, programas educativos que califican automáticamente pruebas o aplicaciones biométricas para controlar accesos.

Cuando una empresa utiliza alguno de estos sistemas deberá cumplir obligaciones mucho más exigentes relacionadas con la documentación técnica, la supervisión humana, la gestión de riesgos, la gobernanza de los datos o el registro de incidentes.

Además, en determinados supuestos será necesario realizar una evaluación específica del impacto que el sistema puede tener sobre los derechos fundamentales de las personas afectadas.

Tras el Digital Omnibus, estas obligaciones de alto riesgo serán plenamente exigibles el 2 de diciembre de 2027. Ese plazo no es una excusa para esperar: la documentación técnica, las evaluaciones de conformidad y la gobernanza de datos no se improvisan en un día.

La transparencia también cambia la relación con clientes y empleados

Otra de las novedades prácticas del AI Act afecta directamente a la comunicación empresarial.

Si un cliente conversa con un chatbot, debe saber que está interactuando con una máquina. Si una empresa utiliza imágenes, voces o vídeos generados mediante inteligencia artificial en campañas comerciales, también deberá informarlo cuando resulte exigible.

La filosofía de la norma es sencilla: las personas tienen derecho a conocer cuándo están interactuando con sistemas de inteligencia artificial y cuándo determinados contenidos han sido generados artificialmente.

Las sanciones ya no son una amenaza lejana

El régimen sancionador previsto por el Reglamento es uno de los más severos aprobados hasta la fecha en la Unión Europea.

Las multas pueden alcanzar hasta 35 millones de euros o el 7 % del volumen de negocio mundial en los supuestos más graves, mientras que los incumplimientos relacionados con sistemas de alto riesgo pueden llegar hasta los 15 millones de euros o el 3 % de la facturación global.

Es cierto que el propio Reglamento introduce criterios de proporcionalidad para pymes y startups, pero eso no significa que el riesgo desaparezca.

Además de las sanciones económicas, las autoridades podrán ordenar la retirada de determinados sistemas del mercado, impedir su utilización e incluso provocar consecuencias indirectas como la exclusión de procedimientos de contratación pública o investigaciones paralelas con la Agencia Española de Protección de Datos cuando también exista un tratamiento indebido de datos personales.

El momento de prepararse es ahora

Muchas empresas siguen considerando el AI Act como una regulación futura. Sin embargo, la adaptación requiere tiempo.

Inventariar todas las herramientas de inteligencia artificial utilizadas en la organización, clasificarlas correctamente, revisar los contratos con proveedores, establecer protocolos internos, formar a los empleados y analizar los riesgos asociados no son actuaciones que puedan improvisarse unas semanas antes de la entrada en vigor del nuevo régimen.

La experiencia demuestra que la inteligencia artificial ya forma parte del funcionamiento cotidiano de las pymes españolas. Precisamente por eso, el principal reto no consiste en dejar de utilizarla, sino en hacerlo con seguridad jurídica.

Quienes comiencen ahora a adaptar sus procesos llegarán preparados a la nueva regulación. Quienes esperen hasta el último momento correrán el riesgo de descubrir demasiado tarde que el AI Act nunca estuvo pensado únicamente para las grandes tecnológicas, sino también para cualquier empresa que haya incorporado la inteligencia artificial a su forma de trabajar.