AI Act para pymes: lo que te afecta ya (y lo que no)
Si tu empresa usa inteligencia artificial, hoy te obligan dos cosas y solo dos: formar a quien la maneja y avisar a las personas de que están hablando con una máquina. Eso es el AI Act para pymes resumido en una frase. Da igual que sea el chat de tu web, el sistema que descuelga el teléfono cuando nadie llega o media plantilla con ChatGPT abierto en una pestaña. Lo demás, el papeleo del alto riesgo que llena los titulares, ni te toca ni corre prisa salvo que hagas tres o cuatro cosas muy concretas que verás más abajo. Este artículo separa una cosa de la otra, te dice qué te juegas de verdad si tienes una empresa de diez personas y termina con un plan de seis pasos que cabe en un mes.
Qué es el AI Act para pymes y por qué te habla a ti aunque no fabriques nada
El AI Act es el Reglamento (UE) 2024/1689, la primera ley europea que regula la inteligencia artificial. Entró en vigor el 1 de agosto de 2024 y sus obligaciones van cayendo por fases hasta 2028. La ficha corta, con las fechas ordenadas, la tienes en el glosario: qué es el AI Act.
Lo primero que hay que entender es cómo clasifica, porque ahí se resuelven la mitad de los sustos. La ley no regula tecnologías: regula usos. El mismo modelo de lenguaje —el motor de texto que hay detrás de ChatGPT y de casi cualquier asistente— es riesgo mínimo si te redacta un correo comercial y es alto riesgo si decide a quién contratas. Por eso la pregunta correcta nunca es ¿qué inteligencia artificial uso?, sino ¿para qué la uso y a quién le afecta el resultado?
Y hay una segunda idea que casi nadie te cuenta. La ley no habla solo con quien fabrica el modelo; también habla contigo, que lo pones a funcionar delante de tus clientes. En la jerga del reglamento eres el responsable del despliegue. Si cuelgas en tu web el asistente de un proveedor, el canal es tuyo, los clientes son tuyos y la obligación de avisar es tuya. Que el fabricante responda de su producto no te saca de la foto.
De ahí que el AI Act para pymes no sea un capítulo aparte de la norma, con reglas rebajadas para empresas pequeñas. Es la misma ley leída desde el sitio donde tú estás: el de quien compra herramientas hechas y las usa para trabajar.
El AI Act para pymes cabe en tres listas
Ordena todo lo que tu empresa usa en tres montones y habrás hecho la mitad del trabajo.
- Lo prohibido. Está fuera de la ley en toda la Unión Europea desde el 2 de febrero de 2025. Puntuar a las personas por su comportamiento social, deducir emociones de empleados o de alumnos por su cara o su voz, y algunas prácticas más que ninguna empresa normal va buscando.
- Lo transparente. Es el artículo 50, exigible desde el 2 de agosto de 2026: si un sistema conversa con personas o genera contenido que se difunde como real, hay que decirlo.
- Lo de alto riesgo. Es el anexo III: selección de personal, concesión de crédito, educación, servicios esenciales. Su calendario se retrasó a diciembre de 2027 por el paquete de simplificación digital de mayo de 2026, ese que verás nombrado como Digital Omnibus. Para el anexo I, la inteligencia artificial que va incrustada en productos que ya llevan marcado CE, la fecha se va a agosto de 2028.
A esas tres listas se suma la formación del artículo 4, que no depende del montón en el que caiga cada herramienta: aplica siempre. Y hay un cuarto bloque que empezó a aplicarse el 2 de agosto de 2025: las obligaciones de los modelos de propósito general y las sanciones que las acompañan. Ese bloque habla con quien fabrica los modelos, no contigo, que los usas para mandar presupuestos.
Con esa foto encima de la mesa, el AI Act para pymes se queda en dos deberes reales y una fecha lejana que solo miran unos pocos.
Lo que ya te obliga (1): formar a quien usa la inteligencia artificial
Desde el 2 de febrero de 2025, el artículo 4 exige que quien maneja o supervisa un sistema de inteligencia artificial en tu empresa sepa lo suficiente sobre lo que tiene entre manos. No hay umbral de tamaño: aplica igual a un autónomo con un empleado que a una empresa de doscientos. Lleva en vigor desde el primer día, es la parte del AI Act para pymes que más empresas tienen sin hacer y, a la vez, la más fácil de cerrar.
Saber lo suficiente no significa tener un máster. Significa que quien usa la herramienta tenga claras tres cosas: qué hace de verdad, dónde se equivoca y qué datos no puede pegar ahí jamás. Los disgustos que vemos en las pymes no vienen del reglamento, vienen de ahí. Son las nueve y cuarto de la mañana, hay que mandar un listado y alguien pega la hoja entera de clientes en una herramienta pública para que se la ordene. Ese fichero ya está fuera de tu casa. Y no vuelve.
Tampoco es que la gente se resista. Según el ONTSI, el observatorio público de tecnología y sociedad, el 78 % de los trabajadores pide formación en inteligencia artificial. Lo raro es la empresa que se la da: en esa misma fuente, la adopción entre las empresas de diez o más empleados se queda en el 20,5 %, y cae al 12,8 % en las microempresas. La mayoría del tejido español está usando estas herramientas por libre, sin criterio escrito y sin nadie que diga qué se puede y qué no.
No existe ningún título oficial que comprar para esto. Lo que se te va a pedir es que puedas demostrarlo: acta de la sesión, certificado por persona y un registro de quién está formado y en qué. A la formación entran todos los que tocan la herramienta, y eso incluye al gerente que dicta correos por voz y a quien lleva las redes tres tardes por semana. Es exactamente lo que entregamos en la formación del artículo 4, y el concepto lo tienes ampliado en la ficha de alfabetización en inteligencia artificial. Una tarde de trabajo y un papel guardado cierran la casilla.
Lo que ya te obliga (2): avisar de que están hablando con una IA
El artículo 50 es exigible desde el 2 de agosto de 2026. Dice que todo asistente de chat, agente de voz —el sistema que descuelga el teléfono y conversa— o avatar debe avisar de forma clara, y desde la primera interacción, de que quien está al otro lado es una inteligencia artificial. También obliga a etiquetar el contenido generado o manipulado que se difunde como si fuera real. El detalle, con el texto masticado, está en la ficha de transparencia del artículo 50.
Es la obligación más visible del AI Act para pymes porque se ve desde fuera: cualquiera que entre en tu web puede comprobar en diez segundos si la cumples. En la práctica se resuelve en una tarde, no en un proyecto:
- En un asistente de tu web, un mensaje de apertura que lo diga con palabras normales, no escondido en la letra pequeña.
- En un agente de WhatsApp, la misma frase en el primer mensaje de cada conversación nueva.
- En un asistente de voz que contesta el teléfono, una frase al descolgar, antes de preguntar nada y antes de grabar nada.
- En tu web, una página pública de aviso de inteligencia artificial que diga qué sistemas usas, qué datos tratan y cómo pedir hablar con una persona.
- En tu carpeta, la captura o la grabación que demuestra que el aviso estaba puesto y desde qué día.
Míralo al revés: avisar vende. Cuando un asistente empieza diciendo que es una inteligencia artificial y que puede pasar la conversación a una persona, la gente pregunta con más soltura y se enfada mucho menos si algo no sale. Lo que molesta no es hablar con una máquina. Es descubrirlo a mitad de camino.
Qué no vale como aviso
Buena parte de los avisos que nos encontramos no aguantarían una queja. El aviso metido en la política de privacidad no vale: nadie la abre antes de escribir. El aviso que aparece al final de la conversación tampoco: llega cuando ya has contado tu caso. Llamarlo asistente virtual y esperar a que se entienda, tampoco: hay recepcionistas humanas que se llaman así.
Y hay un cuarto caso, el más incómodo. Una voz clonada que suena a persona real, sin decir nunca que es una máquina, con la intención de que el cliente crea que habla con alguien de tu equipo. Eso ya no es un descuido de forma: es exactamente lo que el artículo 50 quiere impedir. Si te lo venden como una ventaja competitiva, es motivo suficiente para descartarlo.
Lo que casi seguro no te afecta: el alto riesgo
La parte dura del reglamento es la del alto riesgo. Ahí sí hay que documentar el sistema por dentro, medir su impacto sobre los derechos de las personas, poner a alguien a supervisarlo de verdad, guardar registro de cómo funciona y responder de todo ello. Y ahí es donde una empresa de doce personas se asusta leyendo la prensa, casi siempre sin motivo. Es la parte del AI Act para pymes que casi nadie tiene que aplicar.
Casi nadie no es nadie. Si usas inteligencia artificial para cribar currículos, para puntuar solicitudes de financiación, para decidir la evaluación de un alumno o para repartir un servicio esencial, entras. El calendario se aplazó a diciembre de 2027, y a agosto de 2028 para el anexo I, pero prepararse lleva meses de verdad: conviene saberlo hoy y no en el otoño de 2027 con el sistema ya vendido a un cliente. Si tu caso es ese, empieza por los proyectos regulados y cuenta con documentación, evaluación de impacto y supervisión humana desde el diseño.
Un aviso práctico: hay funciones de alto riesgo que entran en tu empresa metidas dentro de un producto que compraste para otra cosa. Un programa de recursos humanos que empieza a puntuar candidatos, un control de presencia que añade lectura de emociones, un módulo que puntúa la solvencia de tus clientes dentro de tu herramienta de cobros. Cuando un proveedor te active una función nueva, pregúntale por escrito qué decide y sobre quién.
Qué te juegas: sanciones grandes y riesgos pequeños
Las sanciones asustan en el titular: hasta 15 millones de euros o el 3 % de la facturación mundial por incumplir la transparencia, y hasta 35 millones o el 7 % por usar prácticas prohibidas. La letra que casi nunca se cita es la del artículo 99.6: cuando quien incumple es una pyme, se aplica el menor de los dos importes por proporcionalidad. En España, la vigilancia le corresponde a la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña.
Dicho eso, el miedo es mal consejero y peor argumento de venta. El riesgo cotidiano de una empresa de diez personas no es una inspección europea. Es la fuga de datos por la puerta de atrás, que se resuelve con el RGPD y con la formación del apartado anterior. Un expediente ante la Agencia Española de Protección de Datos llega antes, duele antes y se explica mucho peor delante de un cliente.
Y hay un tercer riesgo que ya está pasando y no lleva multa: el cuestionario de proveedor. Cada vez es más habitual que una empresa mediana te mande un formulario antes de firmar, preguntando qué sistemas de inteligencia artificial usas, dónde tratas los datos y si tu equipo está formado. Quien no lo tiene ordenado pierde el contrato sin enterarse de por qué. Eso hace más daño que cualquier sanción teórica.
El AI Act para pymes y el RGPD son el mismo trabajo
Cumplir el reglamento de inteligencia artificial sin mirar la protección de datos es hacer media tarea. Cada sistema que usas trata datos de alguien. De cada proveedor hay que saber tres cosas: si tienes firmado con él un acuerdo de tratamiento de datos, en qué país guarda esa información y si la usa para entrenar sus modelos. Ese acuerdo es el DPA, el contrato que fija qué puede hacer tu proveedor con lo que le pasas. Las tres respuestas se piden por correo y se guardan en la misma carpeta que el resto.
Cuando los datos son sensibles, la respuesta limpia es no moverlos. Un asistente que vive en tu servidor propio en la Unión Europea te ahorra media conversación sobre transferencias internacionales: los datos no salen de ahí, el acuerdo de tratamiento está firmado y sabes en qué máquina está cada cosa. Lo mismo vale para una base de conocimiento propia, que responde con tus documentos sin subirlos a un servicio que no controlas.
En gestorías y asesorías, en despachos de abogados y en clínicas esto ya no es un extra que se añade al final. Es el punto de partida de la conversación, porque el material con el que trabajan es la vida fiscal, judicial o médica de otra persona.
Dos calendarios que se cruzan: el reglamento de IA y VeriFactu
Si facturas en territorio común —fuera del País Vasco y de Navarra, que tienen su propio sistema— y no estás en el suministro inmediato de información, tienes otra fecha encima. Ese suministro es el sistema por el que las empresas grandes ya mandan sus registros de facturación a Hacienda casi al momento, y casi ninguna pyme está dentro.
VeriFactu obliga a las sociedades antes del 1 de enero de 2027 y a los autónomos y demás obligados antes del 1 de julio de 2027. El régimen sancionador es distinto y bastante concreto: la sanción por usar o tener un programa de facturación no conforme llega hasta 50.000 € por ejercicio. Es una multa por tener el programa, no por facturar mal, y la infracción se cuenta por cada ejercicio. Conviene saberlo antes de que la sanción llegue por carta. Tienes el mapa completo por situaciones en la página de VeriFactu.
Aquí conviene decir una cosa que se repite mucho y es falsa: la Agencia Tributaria no homologa programas de facturación. Lo que existe es la declaración responsable del fabricante. Si alguien te vende su programa con un sello inventado, desconfía del resto de lo que te cuenta.
¿Por qué meter esto en un artículo sobre inteligencia artificial? Porque el trabajo es el mismo y se hace una vez. Los dos calendarios se resuelven con el mismo inventario de herramientas, la misma carpeta de evidencias y la misma persona responsable dentro de tu empresa. Quien lo ordena una vez llega a 2027 con las dos casillas cerradas; quien lo hace por separado acaba haciendo el mismo trabajo dos veces.
Los cinco errores que más nos encontramos
Ninguno de los cinco es un problema técnico. Todos aparecen por lo mismo: el AI Act para pymes se queda apuntado en la lista de pendientes de alguien que ya tiene el día lleno, y de ahí no sale hasta que un cliente pregunta.
- Dar por hecho que el proveedor cumple por ti. Su declaración cubre su producto. El aviso en tu canal, el registro de formación y la política interna son tuyos.
- Esconder el aviso. Ponerlo donde nadie lo lee equivale a no ponerlo, y encima da la sensación de que había algo que ocultar.
- Formar sin dejar rastro. Una charla de una hora sin acta ni registro no se puede demostrar seis meses después, que es justo cuando te lo van a pedir.
- Convivir con inteligencia artificial en la sombra. Herramientas que alguien dio de alta por su cuenta y que nadie ha inventariado. Es donde salen las sorpresas y donde se van los datos.
- Esperar a que se aclare todo. El calendario ya se ha movido una vez y puede volver a moverse, pero esperar no cambia lo que hoy es exigible.
Un plan de seis pasos que cabe en este mes
El plan de cumplimiento del AI Act para pymes que le damos a una empresa de diez personas cabe en una hoja. Este es el orden, y funciona igual si decides hacerlo por tu cuenta.
- Haz la lista de qué inteligencia artificial usa tu empresa, incluido lo que el equipo usa por su cuenta. Ahí están las sorpresas.
- Marca cuáles de esos sistemas hablan con personas y ponles el aviso desde la primera frase. Guarda la evidencia con fecha.
- Forma a quien la usa y quédate con el acta, los certificados y el registro de asistentes.
- Pide a cada proveedor su acuerdo de tratamiento por escrito y pregúntale dónde están los datos y si entrena con ellos.
- Escribe una política de uso de una página: qué herramientas valen, qué datos no salen de casa nunca y quién aprueba una herramienta nueva.
- Apunta diciembre de 2027 en el calendario solo si tocas selección de personal, crédito, educación o servicios esenciales.
Esos seis puntos son, uno a uno, lo que hacemos en Cumplimiento AI Act y RGPD: inventario, clasificación por riesgo, avisos probados en cada canal, evaluación de impacto donde toque, registro y política firmada. Y después, vigilancia mensual, que es la parte que nadie recuerda hasta que un proveedor cambia algo por su cuenta.
Lo que no tienes que hacer
El AI Act para pymes no te pide un departamento de cumplimiento. Tampoco te pide un sello: para asistentes conversacionales no existe ningún certificado oficial que colgar en la web, por mucho que te lo ofrezcan por correo. No tienes que dejar de usar inteligencia artificial mientras se aclara el panorama, porque esperar no cambia lo que ya es exigible. Y no tienes que rehacer tus sistemas: en la mayoría de las empresas pequeñas, cumplir es poner cuatro frases donde se ven, formar una tarde y guardar cinco documentos.
Y tampoco tienes que contratar herramientas nuevas para cumplir. Las dos casillas exigibles hoy, la formación y el aviso, se cierran con lo que ya usas: una tarde de trabajo, un acta guardada y cuatro frases bien colocadas en tus canales. El problema no es cumplir; es descubrir en octubre que nadie lo tenía apuntado.
Quién se hace cargo de esto dentro de tu empresa
Una obligación sin nombre y apellidos no se cumple. No hace falta un cargo nuevo ni un organigrama: hace falta que alguien tenga escrito que esto es suyo, con media hora al mes en el calendario. Esa persona mantiene el inventario, revisa los avisos cuando se cambia un canal, guarda las evidencias y decide si una herramienta nueva entra o no entra.
En empresas de tres o cuatro personas suele ser quien lleva la administración, y funciona. Cuando ya hay varios sistemas conviviendo, o cuando el negocio está regulado, tiene más sentido apoyarse fuera: es lo que hace el responsable de IA externo, que pone criterio y calendario sin que tengas que contratar a nadie.
Cómo lo montamos nosotros
Igual que el resto de lo que hacemos: reunión de treinta minutos, alcance cerrado por escrito antes de empezar, implantación de dos a seis semanas y, a partir de ahí, el Servicio Gestionado. El Servicio Gestionado hace seis cosas por ti: vigila que nada se rompa, mantiene lo montado, absorbe los cambios de API de tus proveedores, actualiza los modelos y el conocimiento, te manda un informe cada mes y te atiende cuando surge una duda. La API es la vía por la que se hablan dos programas, y cambia cuando el proveedor quiere, no cuando a ti te viene bien. Lo enciendes y te olvidas.
Todo lo que desplegamos, del asistente de la web al que contesta el teléfono, sale de fábrica con el aviso del artículo 50 activado y con los datos en servidores propios en la Unión Europea, con acuerdo de tratamiento firmado. No lo vendemos como un extra: es la única forma de montarlo que nos parece defendible. Tenemos la sede en Madrid y trabajamos en remoto para toda España, y también en Europa, Estados Unidos y Latinoamérica, así que la distancia no cambia nada del proceso.
Si quieres empezar por lo básico y hacer crecer el resto encima, mira por dónde se empieza en IA para pymes. Y si prefieres que te digamos qué parte del AI Act para pymes te toca a ti, el diagnóstico se resuelve en diez minutos, nadie te llama para venderte y te deja un informe con lo que tienes que cerrar y en qué orden. El informe es tuyo aunque no contrates nada.