El Reglamento Europeo de Inteligencia Artificial —el AI Act— se publicó en el DOUE el 12 de julio de 2024 y entró en vigor el 1 de agosto del mismo año. Es la primera regulación horizontal del mundo sobre sistemas de IA y aplica a cualquier organización que despliegue, distribuya o desarrolle IA en territorio europeo, sea cual sea su tamaño.
En España, el organismo central de supervisión es la Agencia Española de Supervisión de Inteligencia Artificial (AESIA). Tras la reforma aprobada en julio de 2026 (Reglamento (UE) 2026/1744), las obligaciones de los sistemas de alto riesgo del anexo III no se aplican hasta el 2 de diciembre de 2027. Para una PYME que ya usa herramientas con componente IA —desde un CRM con scoring automático hasta un clasificador de correo—, esto se traduce en cuatro acciones que conviene hacer cuanto antes.
Las cuatro categorías de riesgo
El AI Act clasifica los sistemas de IA en cuatro niveles según su impacto sobre derechos fundamentales y seguridad. Conocer en cuál encajan los sistemas que usas es el primer paso para saber qué obligaciones aplican.
Riesgo inaceptable (prohibidos): sistemas de scoring social tipo China, manipulación cognitiva subliminal, el uso policial de la identificación biométrica remota en tiempo real en espacios de acceso público (salvo excepciones muy acotadas; fuera del ámbito policial no está prohibida por el AI Act, pero es de alto riesgo), y reconocimiento de emociones en lugares de trabajo o centros educativos. Aplicación inmediata desde febrero 2025. Si tu empresa usa cualquier sistema que entre aquí, debe dejar de usarlo ya.
Alto riesgo: los casos que el Reglamento enumera expresamente —los usos del anexo III y los componentes de seguridad de productos regulados por la legislación del anexo I—, no cualquier decisión con impacto. Incluye selección de personal (CV screening, ranking de candidatos), evaluación de la solvencia de personas físicas, acceso a prestaciones públicas esenciales (incluida la asistencia sanitaria) y componentes de seguridad de infraestructuras críticas. Tras la reforma de julio de 2026, sus obligaciones se aplican desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (productos del anexo I). Al proveedor le tocan la gestión de riesgos, la gobernanza de datos, la documentación técnica y el registro en la base de datos de la UE; quien lo usa debe seguir las instrucciones de uso, encargar la supervisión humana a personas competentes, vigilar su funcionamiento, conservar sus registros al menos seis meses e informar a las personas afectadas.
Riesgo limitado: chatbots, generadores de imágenes, sistemas que interactúan con personas. Obligación de transparencia: el usuario debe saber que está interactuando con una IA o que el contenido es generado. Aplicable desde el 2 de agosto de 2026 (los proveedores de generadores que ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 para marcar el contenido).
Riesgo mínimo: filtros de spam, recomendadores básicos, IA en videojuegos. Su nivel de riesgo no les añade obligaciones, pero sí les alcanza el artículo 4: quien usa sistemas de IA en su empresa debe adoptar medidas para promover la alfabetización en IA de su personal (en vigor desde febrero de 2025 y reformulado en julio de 2026), además del cumplimiento general (RGPD, ciberseguridad).
Casos típicos en una PYME y dónde encajan
La parte que más confusión genera es identificar correctamente la categoría de cada sistema. Un mismo tipo de herramienta puede ser de alto riesgo o de riesgo limitado según el uso concreto. Algunos ejemplos típicos:
CV screening con IA: alto riesgo siempre. Tanto si usas un servicio externo como si construyes el tuyo propio. La obligación recae sobre quien despliega el sistema (deployer), no solo sobre quien lo desarrolla. Implica usar el sistema según las instrucciones del proveedor, normalmente una evaluación de impacto en protección de datos (art. 35 RGPD), supervisión humana significativa antes de cualquier decisión de no continuar con un candidato, y transparencia hacia el candidato (debe saber que su CV es analizado por IA). Las obligaciones propias del AI Act se aplican desde el 2 de diciembre de 2027; las del RGPD, ya.
Chatbot de atención al cliente: riesgo limitado. La única obligación específica es que el visitante sepa que habla con una IA y no con una persona. Una etiqueta clara al inicio de la conversación es suficiente. Si el chatbot puede tomar decisiones automatizadas relevantes —por ejemplo, denegar una reclamación— pasa a entrar también en el ámbito del Art. 22 del RGPD.
Lead scoring automático: depende del impacto. Si solo prioriza la cola de un comercial, es riesgo mínimo. Si puntúa a particulares para decidir sobre su crédito, puede ser de alto riesgo (anexo III, punto 5.b). Si rechaza a personas de forma automática, sin revisión humana, y esa decisión les produce efectos jurídicos o les afecta de forma similarmente significativa, entra además en el art. 22 del RGPD. Un scoring de empresas para venta B2B no está, por sí solo, en la lista de alto riesgo.
Análisis de sentimiento de empleados: lo que está prohibido desde febrero de 2025 es inferir las emociones de los trabajadores a partir de datos biométricos —expresiones faciales, voz, forma de teclear—, salvo por motivos médicos o de seguridad. Analizar el tono de mensajes escritos no entra en esa prohibición según las directrices de la Comisión, pero si se usa para evaluar a empleados es un sistema de alto riesgo (anexo III, punto 4.b), con obligaciones desde el 2 de diciembre de 2027, y exige revisar además su encaje en el RGPD y en los derechos digitales de los trabajadores.
Las cuatro acciones concretas para una PYME hoy
Independientemente de la categoría en la que encajen tus sistemas, hay cuatro acciones que toda empresa que use IA debería ejecutar cuanto antes.
1. Inventario de sistemas IA: lista todos los sistemas de IA en uso. Incluye no solo los desarrollos propios sino las funcionalidades IA de SaaS que tienes contratado: scoring de leads en HubSpot, sugerencias de Salesforce Einstein, traductor automático en Slack, autocompletados en Gmail. Para cada uno: proveedor, propósito, datos personales tratados, categoría de riesgo estimada.
2. Cláusula de transparencia básica: añade en tu política de privacidad una sección sobre uso de IA. Incluye qué decisiones automatizadas se toman, qué datos se procesan, y el derecho del interesado a obtener intervención humana (Art. 22 RGPD). Es una página, te ayuda a cumplir el deber de información del RGPD y te da credibilidad ante clientes que pregunten.
3. Para sistemas de alto riesgo identificados: inicia ya la documentación. Mínimo: qué sistema es y para qué lo usas, quién lo supervisa y cómo, qué haces si falla y, si el sistema es tuyo, con qué datos se entrenó y cómo mides su rendimiento. No necesitas un consultor caro para empezar; necesitas escribirlo. Si el sistema lo has desarrollado tú, esa documentación técnica es obligación tuya como proveedor; si lo usas de un tercero, el proveedor debe entregarte unas instrucciones de uso, y a ti te toca usarlo conforme a ellas, encargar su supervisión a personas competentes y conservar sus registros al menos seis meses.
4. Contratos con proveedores SaaS: revisa los DPA (Data Processing Agreement), que cubren la protección de datos, y pide además al proveedor que te indique por escrito cómo clasifica su sistema según el AI Act. Si es de alto riesgo, cuando esas obligaciones sean aplicables (desde diciembre de 2027 para el anexo III) deberá entregarte instrucciones de uso y contar con declaración UE de conformidad y marcado CE. Si un proveedor no puede darte esa información, considéralo bandera roja.
Sanciones: por qué importa cumplir
El AI Act establece un régimen sancionador severo: multas de hasta 35 millones de euros o el 7 % de la facturación mundial anual (lo que sea mayor) por incurrir en las prácticas prohibidas del artículo 5, y de hasta 15 millones o el 3 % por incumplir la mayoría de las demás obligaciones, incluidas las de quien usa sistemas de alto riesgo y las de transparencia. Para PYMEs y startups se aplica la cantidad menor de las dos, en lugar de la mayor.
Más allá de las multas, hay un riesgo comercial: la Comisión Europea ha publicado cláusulas contractuales tipo para que los organismos públicos exijan a sus proveedores de IA requisitos alineados con el AI Act. Si tu empresa vende sistemas de IA al sector público, esas cláusulas describen lo que te pueden pedir.
La conclusión práctica
El AI Act no es una amenaza, es una oportunidad de orden. La mayoría de estas buenas prácticas —documentar lo que usas, ser transparente con los usuarios, mantener supervisión humana sobre decisiones importantes— son prácticas que cualquier organización seria ya debería tener implementadas. La regulación convierte algunas en obligaciones exigibles, sobre todo para los sistemas de alto riesgo y los que interactúan con personas.
Construir pensando en el AI Act desde el principio suele salir más barato que adaptar un sistema después. Si quieres hablarlo, escríbenos: el diagnóstico inicial es una videollamada de 30 minutos, sin compromiso.