Ley de IA europea (AI Act): qué debe hacer una pyme que usa inteligencia artificial

El Reglamento (UE) 2024/1689, conocido como Ley de IA o AI Act, es la primera regulación general de la inteligencia artificial en el mundo. Mucha gente piensa que solo afecta a las grandes tecnológicas que desarrollan modelos, pero también impone obligaciones a las empresas que usan sistemas de IA. La buena noticia: para la mayoría de las pymes, las obligaciones son asumibles si se conocen a tiempo.

¿Eres proveedor o responsable del despliegue?

El reglamento distingue varios papeles. Los dos más importantes:

• Proveedor: quien desarrolla un sistema de IA, o lo encarga, y lo comercializa o pone en servicio con su nombre.
• Responsable del despliegue (deployer): quien usa un sistema de IA bajo su autoridad en una actividad profesional.

Una pyme que usa un chatbot comercial, una herramienta de selección de personal con IA o un asistente de redacción es responsable del despliegue. Si desarrolla su propio sistema y lo ofrece a clientes, pasa a ser también proveedora, con obligaciones mucho mayores.

Los cuatro niveles de riesgo

1. Riesgo inaceptable (prohibido). Prácticas como la manipulación que explota vulnerabilidades, la puntuación social, el reconocimiento de emociones en el trabajo o en centros educativos (salvo excepciones médicas o de seguridad) o determinados usos de identificación biométrica.

2. Alto riesgo. Sistemas usados en ámbitos sensibles del anexo III, entre ellos: empleo y gestión de trabajadores (filtrar currículums, evaluar candidatos, decidir ascensos o despidos, supervisar el rendimiento), acceso a servicios esenciales como la evaluación de solvencia crediticia, educación, infraestructuras críticas, y otros. También los componentes de seguridad de productos regulados.

3. Riesgo limitado: obligaciones de transparencia. Chatbots, sistemas que generan contenido sintético, ultrafalsificaciones (deepfakes)…

4. Riesgo mínimo. La mayoría de los usos: filtros de spam, recomendaciones, herramientas de productividad. Sin obligaciones específicas más allá de las generales.

Qué obligaciones tiene una pyme usuaria

Para todas: alfabetización en IA

Desde el 2 de febrero de 2025, quienes usan sistemas de IA deben adoptar medidas para que su personal tenga un nivel suficiente de alfabetización en IA, adaptado a su función. Una formación práctica sobre qué hace la herramienta, sus límites y sus riesgos es el punto de partida.

Transparencia

• Si un chatbot atiende a clientes, las personas deben saber que hablan con una IA, salvo que resulte obvio.
• Las ultrafalsificaciones (imagen, audio o vídeo que parece real) deben indicar que se han generado o manipulado artificialmente.
• Los textos generados con IA que se publiquen para informar al público sobre asuntos de interés público deben indicarlo, salvo que hayan pasado por revisión humana y alguien asuma la responsabilidad editorial.

Si usas sistemas de alto riesgo

Por ejemplo, una herramienta de IA para filtrar candidatos. Como responsable del despliegue, debes, entre otras cosas:

• Usarlo según las instrucciones del proveedor.
• Asignar una supervisión humana a personas con la formación y la autoridad necesarias.
• Asegurarte de que los datos de entrada son pertinentes.
• Vigilar su funcionamiento y conservar los registros que genera.
• Informar a los trabajadores y sus representantes antes de usarlo en el lugar de trabajo.
• Informar a las personas afectadas de que se usa un sistema de alto riesgo para tomar decisiones sobre ellas.

Plazos

• 1 de agosto de 2024: entrada en vigor.
• 2 de febrero de 2025: prohibiciones y alfabetización en IA.
• 2 de agosto de 2025: obligaciones para los modelos de IA de uso general y régimen de sanciones.
• 2 de agosto de 2026: aplicación general, incluidas las obligaciones de transparencia (por ejemplo, avisar de que se habla con un chatbot).
• 2 de diciembre de 2027: sistemas de alto riesgo del anexo III, como los de selección y gestión de personal.
• 2 de agosto de 2028: sistemas de alto riesgo integrados en productos regulados (anexo I).

Las dos últimas fechas son nuevas: el Reglamento (UE) 2026/1744, conocido como Digital Omnibus sobre IA y publicado en el Diario Oficial el 24 de julio de 2026, retrasó las obligaciones de alto riesgo, que en el texto original empezaban el 2 de agosto de 2026. Que se retrasen no significa que desaparezcan: si usas IA en recursos humanos, este es el momento de prepararte.

Sanciones

Las multas máximas llegan a 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas, y a 15 millones o el 3 % por incumplir otras obligaciones. Para las pymes y empresas emergentes se aplica la cifra menor de cada par.

En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad de referencia.

Lista de tareas para empezar

1. Inventario: qué herramientas con IA se usan en la empresa, para qué y quién las usa.
2. Clasificación: ¿alguna entra en alto riesgo (por ejemplo, en recursos humanos)? ¿Hay chatbots de cara al cliente?
3. Formación básica para todo el personal que use IA, y más específica para quien supervise sistemas de alto riesgo.
4. Transparencia: avisos en chatbots y etiquetado del contenido sintético cuando corresponda.
5. Proveedores: pide a tus proveedores de IA información sobre cómo cumplen el reglamento, sobre todo en sistemas de alto riesgo.
6. Coordina con el RGPD: muchos usos de IA implican datos personales y pueden requerir una evaluación de impacto.

Preguntas frecuentes

¿Usar ChatGPT o Copilot para redactar correos me obliga a algo? Es un uso de riesgo mínimo. Te aplica la obligación general de alfabetización en IA y, si publicas contenido generado, las reglas de transparencia en los casos previstos.

¿El reglamento prohíbe usar IA en selección de personal? No lo prohíbe, pero lo considera de alto riesgo, con obligaciones específicas de supervisión humana, información y control.