Actualizado: octubre de 2026
Si en tu empresa alguien usa ChatGPT, Copilot, un chatbot en la web o un programa de selección de personal con IA, el reglamento europeo de IA ya te afecta. No hace falta desarrollar inteligencia artificial: basta con usarla en el trabajo. En este artículo explicamos qué supone el reglamento de IA para pymes, qué fechas están en vigor en octubre de 2026 después de la reforma aprobada este verano y qué puedes hacer, paso a paso, para tenerlo en orden.
Qué es el reglamento europeo de IA (AI Act)
Es el Reglamento (UE) 2024/1689, conocido como AI Act o RIA. Entró en vigor el 1 de agosto de 2024 y se aplica directamente en toda la Unión, sin necesidad de una ley nacional que lo trasponga. La IA no se prohíbe: se ordena por riesgo.
- Usos prohibidos: por ejemplo, deducir las emociones de la plantilla en el trabajo (salvo por motivos médicos o de seguridad).
- Alto riesgo: usos que deciden sobre personas, como seleccionar o evaluar trabajadores o conceder crédito.
- Transparencia: chatbots y contenido generado por IA. La obligación principal es avisar.
- Riesgo mínimo: la mayoría de usos del día a día, sin más obligación que la formación del equipo.
Por qué existe esta ley
La IA ya decide cosas sobre personas, y Europa no la prohíbe: la ordena por riesgo. Cuanto más daño puede hacer un uso a una persona, más se le exige a quien lo pone en marcha. Tres motivos explican el enfoque:
- Decide sin que se vea. Filtra currículums, concede créditos o fija precios. Si discrimina o se equivoca, la persona afectada ni se entera.
- Nadie responde. Muchas herramientas no explican cómo llegan a una conclusión. Sin reglas, cuando fallan no hay a quién pedir cuentas.
- Ya no se distingue lo real. Voces, imágenes y textos generados pasan por auténticos. Por eso hay que avisar cuando detrás hay una IA.
Por qué te afecta aunque solo uses herramientas de otros
El reglamento distingue entre el proveedor (quien desarrolla el sistema y lo pone en el mercado) y el responsable del despliegue (quien lo usa en su actividad profesional). Una pyme que usa ChatGPT para redactar ofertas, Copilot para resumir reuniones o un software de RR. HH. que puntúa currículums es responsable del despliegue de cada una de esas herramientas.
Sus obligaciones son menores que las del proveedor, pero existen, y dependen del uso: el mismo modelo puede ser de riesgo mínimo si redacta correos y de alto riesgo si filtra candidatos.
Ojo: no todo lo que se automatiza es IA. Conectar el ERP con el CRM o generar un informe con reglas fijas no entra en el reglamento; entra cuando un modelo interpreta, estima o genera algo. Qué hacemos con cada caso lo tienes en nuestra página de cumplimiento del reglamento de IA.
Calendario del reglamento de IA para pymes, a octubre de 2026
El calendario original cambió en julio de 2026. La Unión aprobó el llamado Ómnibus Digital sobre IA, publicado como Reglamento (UE) 2026/1744 el 24 de julio y en vigor desde el 27 de julio de 2026. Retrasó el alto riesgo y suavizó la formación, pero mantuvo la transparencia:
| Fecha | Qué empieza a aplicarse | ¿Afecta a una pyme que usa IA? |
|---|---|---|
| 2 de febrero de 2025 | Usos prohibidos y alfabetización en IA del personal (art. 4) | Sí: comprobar que no hay usos prohibidos y formar al equipo |
| 2 de agosto de 2025 | Obligaciones de los modelos de IA de uso general, gobernanza y régimen de sanciones | Indirectamente: recae sobre los grandes proveedores de modelos |
| 27 de julio de 2026 | Entra en vigor el Ómnibus (Reglamento (UE) 2026/1744); el art. 4 queda suavizado | Sí: la formación sigue siendo obligatoria, con otro enfoque |
| 2 de agosto de 2026 | Transparencia (art. 50): avisar de que se habla con una IA y señalar contenido generado. Aplicación general y supervisión por las autoridades | Sí, si tienes chatbot o publicas contenido generado |
| 2 de diciembre de 2026 | Nueva prohibición sobre imágenes íntimas sin consentimiento y material de abuso sexual infantil; fin del plazo de gracia para el marcado técnico del contenido de sistemas generativos ya comercializados | Poco habitual en una pyme; el marcado recae sobre el proveedor |
| 2 de diciembre de 2027 | Requisitos de alto riesgo para los usos del anexo III (empleo, educación, crédito, etc.) | Sí, si usas IA para seleccionar, evaluar o despedir personal |
| 2 de agosto de 2028 | Requisitos de alto riesgo para la IA integrada en productos con normativa propia (anexo I: máquinas, juguetes, ascensores, productos sanitarios…) | Solo si fabricas productos de este tipo con IA dentro |
Qué cambió con el Ómnibus en la formación (art. 4)
Antes había que asegurar que el personal tuviera un nivel suficiente de alfabetización en IA. Ahora hay que tomar medidas para apoyar ese aprendizaje, sin garantizar un nivel concreto en cada persona. Más razonable, pero sigue siendo obligatorio: hay que hacer algo y poder demostrarlo.
Y en transparencia (art. 50)
Desde el 2 de agosto de 2026, quien habla con una IA tiene que saberlo, salvo que sea evidente. La obligación recae sobre todo en el proveedor, pero si tienes un asistente en la web, te toca comprobar que el aviso se ve desde la primera interacción. Además, quien despliega IA tiene que avisar cuando publica deepfakes, o textos generados sobre asuntos de interés público que nadie ha revisado ni firma.
Qué pasa en España: AESIA y la ley en tramitación
España ya tiene una autoridad específica: la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, junto a los supervisores de cada sector.
Además, el Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que se publicó en el Boletín Oficial de las Cortes el 12 de junio. En el momento de esta actualización sigue en tramitación parlamentaria y no está en vigor. Concreta las autoridades y el régimen sancionador en España, con multas de hasta 35 millones de euros o el 7 % de la facturación mundial para las infracciones más graves.
El propio reglamento europeo ya fija esos topes: hasta 35 M€ o el 7 % por usos prohibidos, y hasta 15 M€ o el 3 % por incumplir el resto de obligaciones. Para las pymes se aplica la cantidad más baja de las dos, lo que no las convierte en simbólicas.
AI Act para pymes: obligaciones en la práctica, en 7 pasos
Para una empresa de 10 a 250 personas, ya sea una distribuidora industrial, un servicio técnico o una empresa agroalimentaria, todo esto se traduce en un trabajo acotado. Lo ordenamos así:
- Haz inventario de las herramientas con IA. También el CRM que sugiere respuestas o la cuenta personal de ChatGPT que usa alguien de administración. Para cada una: quién la usa, para qué y con qué datos.
- Clasifica cada uso. ¿Prohibido, alto riesgo, transparencia o mínimo? Lo que cuenta es el uso. Un caso dudoso se anota como dudoso y se consulta.
- Revisa si hay algún uso de alto riesgo. En pymes, el más habitual tiene que ver con personas: cribar currículums, evaluar el rendimiento o asignar turnos con IA. Si lo hay, a partir del 2 de diciembre de 2027 tendrás que usar el sistema según las instrucciones del proveedor, asignar una supervisión humana con formación y autoridad, conservar los registros al menos seis meses e informar a la plantilla y a sus representantes antes de ponerlo en marcha. Conviene prepararlo ya.
- Pon avisos de transparencia. Chatbot en la web, respuestas automáticas por WhatsApp o correo, voz sintética al teléfono: el aviso de que es una IA tiene que verse desde el primer mensaje.
- Toma medidas de alfabetización en IA. Una sesión práctica sobre qué hace bien cada herramienta, en qué se equivoca y qué datos no se le deben dar (clientes, personal, información confidencial), y una norma interna de uso breve. Guarda registro de quién la ha recibido.
- Revisa los contratos con los proveedores. Qué hace con tus datos, dónde los procesa y qué documentación te entrega sobre el reglamento.
- Documéntalo todo y mantenlo vivo. Inventario, clasificación, avisos, formación y contratos, en un expediente que se actualiza cada vez que entra una herramienta nueva. Es lo que enseñarás si te lo pide la autoridad o un cliente grande.
Si antes de nada quieres saber en qué punto estás, el test gratuito del AI Act te lo dice en unos minutos.
Un ejemplo hipotético
Ejemplo inventado para ilustrar el método; no es un cliente. Una distribuidora de 40 personas encuentra cinco herramientas con IA. Tres son de riesgo mínimo (correos, resúmenes, traducciones). La cuarta es el asistente de la web, que necesita su aviso. La quinta ordena candidatos: alto riesgo, que hay que preparar para diciembre de 2027 o dejar de usar para esa función. Así la empresa sabe dónde poner el esfuerzo.
Cuando la IA está dentro de tus procesos
Si automatizas la entrada de pedidos con un modelo que lee PDF, como explicamos en cómo automatizar pedidos y albaranes en el ERP, ese uso también va al inventario. Suele ser de riesgo mínimo, porque no decide sobre personas, pero conviene registrar la revisión humana. Por eso, en nuestros proyectos de automatización, la documentación del reglamento se entrega junto con el sistema.
Y si todavía estás decidiendo qué automatizar primero, quizá te sirva este artículo sobre qué procesos conviene automatizar en una pyme.
Cómo lo trabajamos en Escalatech
Documentamos, no certificamos. Hacemos el inventario, la clasificación, los avisos, la formación y el expediente, y te lo entregamos completo y editable. Lo que requiere interpretación legal lo derivamos a un despacho identificado, y te decimos cuál. No damos asesoramiento jurídico.
Si quieres empezar por algo concreto, puedes pedir el diagnóstico gratuito: en 30 minutos miramos un proceso real, contamos las horas que te lleva hoy y, si hay IA de por medio, te decimos qué te exige el reglamento. Sin compromiso de seguir.