AI Act para pymes: qué obligaciones te aplican y desde cuándo

El AI Act —el Reglamento Europeo de Inteligencia Artificial— dejó de ser algo que pasaría algún día. Desde el 2 de agosto de 2026 su aplicación general está en vigor, y con ella un bloque de obligaciones que afecta a cualquier negocio que use inteligencia artificial de cara al público. También a las pymes. También si la IA que usas la ha construido otro.

Esta guía resume, sin lenguaje jurídico, qué obligaciones del AI Act aplican hoy a una pyme española, cuáles se han aplazado y qué puedes hacer esta semana para estar tranquilo.

¿El AI Act se aplica a las pymes?

Sí, y ese es el malentendido más extendido. El reglamento no se aplica según el tamaño de tu empresa, sino según qué haces con la IA y qué riesgo tiene ese uso. Una peluquería con un chatbot en la web entra dentro. Una gestoría que usa IA para clasificar documentos entra dentro. Una multinacional que no usa IA, no.

Lo que sí hace el reglamento con las pymes es graduar: las sanciones tienen topes más bajos para pequeñas y medianas empresas, hay cauces de acompañamiento previstos para ellas, y buena parte de las obligaciones más pesadas recaen sobre quien fabrica el sistema, no sobre quien lo usa.

Proveedor o responsable del despliegue: la distinción que lo cambia todo

Antes de mirar ninguna obligación, sitúate. El reglamento distingue dos papeles principales:

• Proveedor: quien desarrolla el sistema de IA o lo comercializa bajo su marca. Carga con el grueso de las obligaciones técnicas.
• Responsable del despliegue (el término que usa el reglamento para el usuario profesional): quien utiliza el sistema en su actividad. La inmensa mayoría de las pymes están aquí.

La consecuencia práctica es la parte que suele sorprender: usar la herramienta de un tercero no te deja fuera. Si integras un chatbot ajeno en tu web, tú sigues siendo responsable del despliegue y tienes obligaciones propias. Menos que el proveedor, pero no cero.

Qué obligaciones del AI Act están ya en vigor

El reglamento no entró de golpe: llegó por fases, y a fecha de hoy hay tres tramos aplicables.

• Desde febrero de 2025 — prácticas prohibidas. Hay usos de IA sencillamente vetados: la puntuación social, el reconocimiento de emociones en el trabajo o en centros educativos, la categorización biométrica por características sensibles o las técnicas manipulativas que explotan vulnerabilidades. Para una pyme normal esto rara vez es un problema, pero conviene saber que la lista existe antes de contratar una herramienta que prometa "detectar el estado de ánimo" de tus empleados.
• Desde febrero de 2025 — alfabetización en IA. Esta sí toca a todo el mundo y casi nadie la tiene hecha. Quien usa IA en su actividad debe garantizar un nivel suficiente de formación en IA entre el personal que la maneja. No exige un máster: exige que quien usa la herramienta entienda qué hace, qué no hace y dónde se equivoca.
• Desde agosto de 2025 — modelos de uso general. Obligaciones para quien pone en el mercado modelos de propósito general. Es cosa de los grandes laboratorios, no tuya, salvo que estés construyendo un modelo propio.
• Desde agosto de 2026 — transparencia. El tramo que ha cambiado el día a día de las pymes, y el que desarrollamos abajo.

Transparencia: si atiendes con IA, tienes que decirlo

El artículo 50 del reglamento es, con diferencia, el que más pymes afecta. En cristiano dice tres cosas:

• Si una persona habla con una IA, hay que avisarla. La información debe darse como muy tarde en la primera interacción, de forma clara y distinguible. Hay una excepción cuando resulta evidente por el contexto para una persona razonablemente informada, pero no conviene apoyarse en ella: la duda se resuelve avisando.
• El contenido generado o manipulado con IA debe ir marcado en un formato legible por máquina. Los sistemas que ya estaban en el mercado antes de agosto de 2026 disponen de un plazo adicional para incorporar ese marcado técnico, que termina el 2 de diciembre de 2026.
• Los deepfakes y los textos de interés público generados con IA se etiquetan. Si publicas imagen, audio o vídeo sintético que aparenta ser real, hay que decirlo.

Aterrizado: si tienes un chatbot en la web, un asistente en WhatsApp o una recepcionista con IA que atiende el teléfono, la persona que está al otro lado tiene derecho a saber que no habla con un humano. Y el aviso es tuyo aunque el sistema lo haya construido otro.

Qué se ha aplazado: el Ómnibus Digital y los sistemas de alto riesgo

Aquí hay una novedad de 2026 que conviene tener clara, porque mucha información publicada antes del verano ya no es correcta. El llamado Ómnibus Digital, publicado en el Diario Oficial de la Unión Europea en julio de 2026, retrasó la entrada en vigor de las obligaciones de los sistemas de alto riesgo:

• Los del anexo III —empleo y selección de personal, educación, acceso a servicios esenciales, biometría— pasan a ser exigibles el 2 de diciembre de 2027.
• Los del anexo I, integrados en productos ya regulados por normativa sectorial, se trasladan al 2 de agosto de 2028.

Lo que no se aplazó: las prácticas prohibidas, la alfabetización en IA y la transparencia del artículo 50 siguen plenamente en vigor. El aplazamiento te da aire si usas IA para cribar currículums —eso es alto riesgo y es más común en pymes de lo que parece—, pero no te exime de avisar de que tu chatbot es un chatbot.

Checklist de cumplimiento del AI Act para tu pyme

• Haz el inventario. Lista cada herramienta de IA que toca tu negocio, incluidas las que vienen dentro de otro software. La mayoría de las pymes descubre aquí dos o tres que no sabía que tenía.
• Sitúa cada una. ¿Eres proveedor o responsable del despliegue? ¿Interactúa con personas? ¿Toca decisiones sobre empleo, crédito o acceso a servicios?
• Revisa los avisos. Cualquier sistema que hable con clientes debe identificarse como IA en la primera interacción.
• Marca el contenido sintético y ten presente el plazo de diciembre de 2026 para los sistemas que ya estaban funcionando.
• Forma al equipo. La obligación de alfabetización se cumple con formación proporcionada y documentada, no con un curso caro.
• Guarda el rastro. Anota qué herramientas usas, con qué finalidad y qué avisos das. Si algún día te preguntan, la respuesta es un documento, no una reconstrucción de memoria.
• Pregunta a tus proveedores. Pídeles por escrito cómo cumplen con el reglamento. Su respuesta es parte de tu cumplimiento.

Cómo encaja esto con una recepcionista con IA

Un asistente que atiende llamadas y mensajes es exactamente el tipo de sistema que el artículo 50 tiene en mente, así que lo tratamos como un requisito de diseño y no como un añadido. Sara se presenta como asistente virtual al principio de la conversación, en el idioma en que le hablan, y pasa la conversación a una persona del negocio cuando hace falta. El aviso no es una nota en el pie de la web: está en la primera frase.

Si estás valorando automatizar procesos con IA, la pregunta de cumplimiento conviene hacerla antes de elegir herramienta, no después de haberla integrado. Cambiar de proveedor por un requisito que no contemplaste cuesta mucho más que preguntarlo a tiempo.

Esta guía es informativa y no sustituye al asesoramiento jurídico: para un caso concreto, consulta con un profesional. Si quieres que revisemos cómo encaja la IA en tu negocio y qué te aplica, cuéntanos tu caso y te preparamos una propuesta a medida.