La Ley de IA puede afectar a tu pyme aunque utilices programas de terceros. Para saber qué debes revisar, empieza por tres preguntas: qué herramienta usas, qué tarea realiza y a quién pueden afectar sus resultados. No plantea la misma revisión un asistente para redactar borradores que un sistema que evalúa candidatos o decide sobre clientes.

Esta guía está dirigida a quienes gestionan una pyme y necesitan saber qué revisar y qué tareas asignar al equipo. Incluye nueve situaciones habituales de uso de IA, una tabla de comprobaciones y un ejemplo cumplimentado de una tienda con chatbot.

Para desarrollar el plan completo de adaptación, consulta cómo cumplir la Ley de IA.

Cómo afecta la Ley de IA a una pyme

Ser una empresa pequeña no te exime de la Ley de Inteligencia Artificial, el Reglamento (UE) 2024/1689 o AI Act. Pero utilizar un asistente para preparar borradores no implica las mismas obligaciones que vender una aplicación de IA o evaluar candidatos.

Qué obligaciones de la Ley de IA debe revisar una pyme

Tu pyme debe revisar la alfabetización del equipo, los posibles usos prohibidos y, según el sistema, la transparencia y las obligaciones de alto riesgo. Si trata datos personales, también debe cumplir el RGPD. La revisión depende de lo que haga la herramienta y del papel de tu empresa, no solo de su marca.

Esta tabla relaciona usos habituales con las comprobaciones necesarias. La última columna propone qué dejar anotado para trabajar sobre cada caso; no es un expediente obligatorio idéntico para todas las pymes. Las obligaciones y sus fechas se detallan más adelante.

Usos habituales de IA en una pyme: qué comprobar
Situación Ejemplo en una pyme Qué revisar Cuándo pedir ayuda Qué dejar anotado
Redactar, traducir o resumir documentos Una gestoría prepara correos y resume contratos con un asistente de IA. Datos admitidos, cuenta utilizada, conservación de consultas, formación y revisión de resultados. Si se introducen contratos confidenciales, datos de clientes o información de empleados. Cuenta autorizada, datos admitidos y persona que revisa los borradores.
Activar IA en un programa ya contratado El proveedor incorpora un asistente al programa de gestión del negocio. Qué ha cambiado, si está activado, a qué datos accede y qué condiciones o permisos necesita. Si accede a más datos, cambia las decisiones que apoya o el proveedor no explica el cambio. Función activada, nuevos permisos y decisión de autorizar, limitar o aplazar su uso.
Atender a clientes con un chatbot Una tienda online responde consultas sobre pedidos y devoluciones. Consulta la guía para cumplir la Ley de IA en comercio electrónico. Aviso de interacción cuando corresponda, datos recogidos, límites de respuesta y derivación a una persona. Si decide sobre derechos, acceso a servicios o condiciones económicas, o no está claro quién responde de cada tarea. Aviso comprobado, límites de respuesta y contacto para atender las consultas derivadas.
Crear imágenes, voces o vídeos publicitarios Una agencia genera un anuncio con una voz que imita a una persona real. Si constituye un deepfake y qué información exige el artículo 50, además del contenido y los datos utilizados. Antes de publicar contenido que parezca mostrar declaraciones o hechos reales que no ocurrieron. Revisión de derechos sobre la imagen o la voz y decisión sobre cómo informar de su generación.
Seleccionar personal Una empresa puntúa currículos o recomienda descartes mediante IA. Amplía este caso en la guía de cumplimiento de la Ley de IA en recursos humanos. Finalidad, clasificación de riesgo, datos, supervisión e información a los candidatos. Antes de utilizar los resultados para decidir a quién entrevistar o contratar. Finalidad, justificación de la clasificación y persona que puede revisar o descartar la recomendación.
Evaluar o gestionar trabajadores Un programa evalúa el rendimiento o asigna tareas según el comportamiento o las características de cada empleado. Clasificación, posibles prohibiciones, datos, intervención humana e información laboral. Antes de usarlo para decidir promociones, condiciones de trabajo o despidos. Decisiones que puede apoyar, supervisión asignada e información que debe recibir la plantilla.
Evaluar la solvencia de clientes Una pequeña financiera puntúa la capacidad de pago de particulares. Consulta cómo cumplir la Ley de IA en el sector financiero. Si evalúa a personas físicas, cómo calcula la puntuación y qué intervención humana existe. Antes de que esa puntuación condicione la concesión de financiación o sus condiciones. Uso de la puntuación, garantías previstas y conclusión de la revisión antes de aplicarla.
Evaluar alumnos o decidir admisiones Una academia utiliza IA para puntuar exámenes o recomendar admisiones. Consulta la guía de cumplimiento de la Ley de IA en educación. Uso real de la puntuación, clasificación, datos del alumnado y revisión de resultados. Antes de implantarlo para evaluar el aprendizaje o decidir quién accede a la formación. Criterios de evaluación, revisión por el docente e información al alumnado.
Desarrollar o encargar una aplicación de IA Una empresa vende bajo su marca un asistente que ha encargado desarrollar. Papel de proveedor, finalidad, clasificación y requisitos aplicables al sistema. Antes de comercializarlo o ponerlo en servicio. Papel asumido y requisitos pendientes de resolver antes del lanzamiento.

Cómo cambia la Ley de IA el trabajo diario de tu empresa

En una pyme, la adaptación se concreta en decisiones de trabajo: qué herramientas puede usar el equipo, con qué información, quién comprueba el resultado y a quién se consulta si aparece un problema. Estas reglas deben ser fáciles de aplicar y tener un responsable, aunque una misma persona asuma varias tareas.

Define estas cinco decisiones para cada herramienta:

  1. Quién autoriza su uso. Designa una persona que apruebe nuevas herramientas y funciones, con apoyo técnico o jurídico cuando haga falta.
  2. Qué cuentas y datos se permiten. Indica qué cuenta debe utilizarse y qué información puede introducirse. Comprar un plan empresarial no sustituye la revisión del contrato y la configuración.
  3. Quién comprueba los resultados. Asigna la revisión de cifras, condiciones comerciales, referencias y datos personales antes de enviar un documento o tomar una decisión.
  4. Qué debe aprender cada persona. Pau Garcia-Milà destaca la formación adaptada a cada puesto. Quien redacta necesita detectar errores y proteger información; quien gestiona un chatbot debe conocer sus límites y cómo derivar una consulta.
  5. Cómo se comunican cambios y fallos. Establece un canal para avisar si la herramienta utiliza nuevos datos, cambia sus condiciones o produce un resultado incorrecto. Identifica quién puede detener ese uso.

Estas reglas son una propuesta de organización. La obligación de adoptar medidas de alfabetización en IA procede del artículo 4 y debe adaptarse a las personas, los usos y su contexto. No exige garantizar un nivel concreto de conocimientos a cada individuo.

La Comisión aclara que no se necesita un certificado específico. Puedes combinar instrucciones, sesiones prácticas y formación, y conservar qué se ha hecho, con quién y cuándo. La guía de alfabetización y formación en IA para trabajadores desarrolla cómo organizarlo.

Para comprobar que una regla sirve: plantea una tarea habitual y un fallo posible. Por ejemplo, un presupuesto con un precio inventado. La persona que lo utiliza debe saber cómo comprobarlo y a quién comunicar el error.

Qué cambia según tu papel y el uso de IA

Si utilizas, desarrollas o comercializas un sistema

Identifica primero qué hace tu empresa con cada sistema. El artículo 3 distingue estos papeles:

  • Empresa usuaria o responsable del despliegue: utilizas IA bajo tu autoridad, por ejemplo, para responder consultas de clientes con una herramienta contratada.
  • Proveedor: desarrollas o encargas desarrollar un sistema y lo comercializas o pones en servicio con tu nombre o marca, incluso para uso propio.
  • Importador o distribuidor: introduces en el mercado europeo un sistema de un proveedor de fuera de la UE o lo comercializas dentro de la cadena de suministro.

Una pyme puede asumir varios papeles. Si cambias la marca, modificas sustancialmente un sistema de alto riesgo o alteras la finalidad de otro hasta convertirlo en alto riesgo, revisa los supuestos de cambio de responsabilidad del artículo 25. Comprar una licencia o ajustar una configuración no te convierte por sí solo en proveedor.

Qué usos requieren revisar el alto riesgo y las prohibiciones

El anexo III del AI Act incluye determinadas finalidades laborales y educativas, la evaluación de solvencia de personas físicas y otros usos. La pertenencia a un sector no convierte por sí sola todas sus herramientas en sistemas de alto riesgo.

Las excepciones del artículo 6.3 exigen comprobar las condiciones legales y su justificación. No basta con decir que la IA «solo ayuda» o que alguien revisa el resultado. Dentro de los usos del anexo III, si el sistema elabora perfiles de personas, se considera de alto riesgo.

Comprueba antes si existe una prohibición. Por ejemplo, inferir emociones mediante IA en el trabajo está prohibido, salvo los usos previstos por motivos médicos o de seguridad. Consulta el supuesto concreto en el artículo 5: un uso prohibido no se resuelve añadiendo un aviso.

Cuándo debes informar de que utilizas IA

El artículo 50 reparte las obligaciones de transparencia entre proveedores y empresas usuarias. No exige colocar una etiqueta en todo lo que redactes con IA:

  • Interacción directa: el proveedor debe diseñar el sistema para informar de que es IA, salvo que resulte evidente en el contexto. Si instalas un chatbot, comprueba que el aviso llega al cliente como tarde en la primera interacción.
  • Marcado técnico: corresponde a los proveedores de sistemas que generan contenido sintético, con las condiciones y excepciones del artículo 50.2.
  • Contenido publicado por tu negocio: debes revelar los deepfakes y determinados textos sobre asuntos de interés público. En estos textos hay una excepción si existe revisión humana o control editorial y una persona o entidad asume la responsabilidad editorial. Las obras artísticas o satíricas tienen una forma adaptada de información, no una exención general.

Si utilizas datos personales, revisa además los artículos 5, 6, 13, 28, 32 y 44 y siguientes del RGPD: finalidad, base jurídica, información, contrato con el encargado cuando corresponda, seguridad y transferencias internacionales. Las decisiones exclusivamente automatizadas con efectos jurídicos o similares significativos y los tratamientos de alto riesgo requieren también revisar los artículos 22 y 35.

Qué puede preparar tu pyme y qué conviene delegar

Organiza la adaptación en tres prioridades. Puedes preparar la información dentro del negocio y reservar el asesoramiento para las decisiones que requieran conocimientos especializados.

  1. Reúne lo que ya sabes. Pide al equipo las herramientas que utiliza y una explicación de cada tarea. Incluye extensiones del navegador, cuentas personales y funciones incorporadas a programas contratados.
  2. Resuelve primero los usos con más dudas. Prioriza posibles prohibiciones, decisiones sobre personas, datos sensibles y avisos que falten. Cuando un uso plantee un incumplimiento, evita mantenerlo sin revisar sus condiciones.
  3. Asigna las tareas pendientes. Anota qué falta, quién lo resolverá, para cuándo y qué documento o prueba permitirá comprobarlo. Separa las medidas ya exigibles de las que preparas para fechas posteriores.
Qué prepara la pyme y qué puede revisar el asesor
Situación Qué prepara el negocio Qué puede revisar Atico34 Resultado del trabajo
Asistentes para documentos Herramientas, cuentas, tareas y tipos de datos. Condiciones de uso, privacidad, revisión de resultados y formación. Criterios de uso y medidas adaptadas al equipo.
Chatbot de clientes Proveedor, función, datos recogidos y recorrido de atención. Información, responsabilidades y tratamiento de datos. Avisos y procedimiento ajustados al funcionamiento real.
Decisiones sobre trabajadores Qué decide o recomienda, a quién afecta y quién supervisa. Clasificación, requisitos y garantías aplicables. Conclusiones documentadas y plan de medidas.
IA añadida a un programa Contrato, comunicación del proveedor y nueva finalidad. Cambios en responsabilidades, datos y controles. Criterios para decidir si se activa y qué debe actualizarse.

Los resultados de la tabla son orientativos y se concretan según el servicio contratado. La pyme aporta la información del negocio y aplica las medidas acordadas; el asesor revisa las cuestiones jurídicas que se le encarguen.

Vídeo: por dónde empezar si tu pyme utiliza IA

Si tu pyme utiliza IA, empieza por saber dónde y para qué. Este vídeo aborda la revisión de herramientas, la formación del equipo y la información a clientes. Las obligaciones concretas y sus excepciones se explican en esta guía.

Ver el vídeo de Ley de IA para pymes en YouTube.

Qué hacer al terminar: elige una herramienta y completa la ficha siguiente. Así tendrás un uso concreto sobre el que revisar obligaciones y asignar tareas.

Qué documentos e información preparar para la revisión

No necesitas redactar de antemano un expediente jurídico completo. Reúne esta información para que la revisión parta del funcionamiento real de tu negocio:

  • Herramientas y proveedores: nombre, versión o función activada, cuenta y persona que la utiliza.
  • Usos: qué tarea resuelve y qué se hace después con el resultado.
  • Datos: qué información entra, de quién procede y quién puede consultarla.
  • Contratos: condiciones del servicio, privacidad, acuerdos de tratamiento y comunicaciones sobre cambios.
  • Personas afectadas: clientes, candidatos, trabajadores u otros destinatarios.
  • Responsables y medidas: quién autoriza, revisa, forma al equipo y atiende incidencias; añade los avisos e instrucciones existentes.
  • Dudas y fallos: ejemplos con datos ficticios o protegidos que permitan reproducir el problema.

Ejemplo cumplimentado: una tienda con un chatbot

Ejemplo ficticio de una tienda de ocho personas. Ilustra una ficha inicial de trabajo; no representa un cliente de Atico34, una prueba del producto ni un entregable contractual cerrado.

Ficha inicial de un uso de IA: ejemplo ilustrativo
Campo Información de la tienda
Uso Chatbot contratado para responder sobre horarios y entregas. No decide reembolsos ni acepta pedidos.
Datos Información pública del negocio. Algunos clientes escriben su nombre y número de pedido en el chat.
Duda La tienda no sabe cuánto conserva el proveedor las conversaciones. El aviso de IA no se ve en la versión móvil.
Decisión inicial La gerente limita temporalmente el uso a preguntas generales y deriva las consultas sobre pedidos a una persona mientras se revisan los datos.
Tareas Administración solicita contrato y plazos de conservación. El proveedor corrige el aviso. El asesor revisa responsabilidades e información de privacidad.
Comprobación Probar el aviso y la derivación en móvil y ordenador con consultas ficticias; guardar resultados y condiciones revisadas.
Cierre y seguimiento La gerente confirma que las tareas se han resuelto antes de ampliar el uso. Se revisa la ficha si cambian los datos, las respuestas o el proveedor.

Si faltan documentos, indícalo expresamente: «pendiente de respuesta del proveedor» permite asignar una tarea. No lo sustituyas por «cumple» porque el programa sea conocido o tenga un plan de pago.

Cuándo necesita tu pyme asesoramiento especializado

Valora pedir ayuda cuando no puedas resolver una decisión con la información y los conocimientos disponibles. La revisión debe terminar en conclusiones y tareas concretas:

  • No sabes quién responde de cada parte: revisar contratos y papeles para delimitar las obligaciones de tu pyme, el proveedor y el integrador.
  • La IA influye en decisiones sobre personas: analizar finalidad, clasificación, datos y garantías antes de utilizar las recomendaciones.
  • Se manejan datos sensibles o accesos amplios: comprobar la licitud, los permisos y si procede una evaluación de impacto en protección de datos.
  • Quieres vender o modificar una solución: determinar si asumes obligaciones de proveedor y qué documentación o evaluación de conformidad corresponde.
  • No tienes capacidad interna para ejecutar las medidas: acordar qué prepara el asesor y quién las implantará y comprobará en la empresa.

La evaluación de impacto en derechos fundamentales del artículo 27 no se exige a toda pyme que use IA de alto riesgo. Depende del sujeto y del uso, como determinados prestadores de servicios públicos o usos de solvencia y seguros de vida o salud. Es distinta de la evaluación de protección de datos, aunque puedan coordinarse.

Una auditoría legal de los sistemas de IA puede ordenar una revisión más amplia. No es una contratación externa obligatoria para cualquier pyme por utilizar IA. Tu gestoría puede reunir la información y coordinar tareas si tiene capacidad para ello; conviene acordar qué decisiones necesitan revisión especializada.

Cómo te ayuda Atico34 a cumplir la Ley de IA

Atico34 ayuda a tu pyme a revisar las herramientas de IA que utiliza y a concretar qué medidas necesita. Partimos de tus usos reales para preparar la documentación y la formación que correspondan, y para acordar qué tareas realizará tu equipo y cuáles requieren apoyo jurídico. Atico34 AI Governance facilita reunir los sistemas y sus usos en un inventario.

Atico34 AI Governance para organizar la gestión del cumplimiento

Atico34 AI Governance es una plataforma tecnológica europea de gobernanza, riesgo y cumplimiento (GRC). Para una pyme, el inventario permite reunir qué sistemas utiliza y para qué, como punto de partida de la revisión. El asesoramiento jurídico concreta las obligaciones y las medidas necesarias.

El alcance de la plataforma y del asesoramiento debe quedar definido en la contratación. Utilizar el software no acredita por sí solo el cumplimiento.

Solicita una revisión del uso de IA en tu pyme. Para la primera consulta, prepara la actividad del negocio, las herramientas utilizadas y tus dudas principales.

Qué fechas, medidas de apoyo y sanciones debe revisar una pyme

Calendario de aplicación: qué se exige ya y qué debes preparar

La Plataforma ONE explica la aplicación progresiva del AI Act. A 26 de octubre de 2026, la alfabetización y las obligaciones de transparencia que correspondan ya son aplicables. El calendario vigente del artículo 113 distingue estos hitos:

Calendario del AI Act para revisar los usos de una pyme
Fecha A qué afecta Qué debe hacer la pyme
Desde el 2 de febrero de 2025 Alfabetización y prohibiciones iniciales. Adoptar medidas adaptadas al equipo y revisar que sus usos no incurran en prácticas prohibidas.
Desde el 2 de agosto de 2026 Transparencia del artículo 50, según sujeto y supuesto. Comprobar avisos, marcado o revelación que correspondan; revisar el régimen especial de sistemas antiguos.
2 de diciembre de 2026 Nuevas prohibiciones sobre generación o manipulación de contenido íntimo o sexual no consentido y material de abuso sexual infantil, en los supuestos del artículo 5; plazo especial de marcado técnico para determinados proveedores. Revisar las nuevas prohibiciones y, si actúa como proveedor, el supuesto del artículo 111.4. Esta fecha no autoriza conductas que ya sean ilícitas por otras normas.
2 de diciembre de 2027 Bloques de clasificación, requisitos y obligaciones de alto riesgo del anexo III. Preparar las medidas aplicables a su papel y comprobar las reglas para sistemas ya comercializados o puestos en servicio.
2 de agosto de 2028 Esos bloques de alto riesgo para sistemas vinculados a productos del anexo I que cumplan el artículo 6.1. Coordinar la adaptación con el proveedor y la normativa del producto. No afecta automáticamente a toda IA integrada en maquinaria o productos sanitarios.

El artículo 111 establece reglas transitorias. Para determinados sistemas de alto riesgo anteriores a su fecha de aplicación, importan los cambios significativos en su diseño. Además, el plazo hasta el 2 de diciembre de 2026 para el marcado técnico se refiere a proveedores de sistemas comercializados antes del 2 de agosto de 2026: no aplaza todos los avisos del artículo 50.

Si vas a utilizar IA de alto riesgo, prepara las obligaciones de la empresa usuaria: seguir instrucciones, asignar supervisión competente, controlar los datos de entrada cuando estén bajo tu control, vigilar el funcionamiento y conservar los registros exigibles. Los plazos del AI Act no suspenden las obligaciones actuales de protección de datos, laborales o de consumo.

Qué medidas de apoyo prevé la ley para las pymes

El artículo 62 prevé formación, canales de consulta y apoyo para pymes. Si tu empresa desarrolla o comercializa IA, revisa además estas medidas:

  • Pruebas supervisadas: las pymes con sede o sucursal en la UE tienen prioridad en los espacios controlados de pruebas si cumplen los criterios de selección. El artículo 58 contempla acceso gratuito, salvo costes excepcionales que puedan recuperarse de forma proporcionada. Comprueba la convocatoria y sus condiciones.
  • Documentación técnica simplificada: el artículo 11 permite una forma simplificada para pymes proveedoras, mediante el formulario previsto por la Comisión. No elimina la información exigible ni convierte a toda empresa usuaria en responsable de la documentación del fabricante.
  • Tasas de evaluación de conformidad: deben tener en cuenta las necesidades de los proveedores pymes y reducirse proporcionalmente a su tamaño y otros indicadores. No son una subvención automática para cualquier negocio que use IA.

Qué sanciones puede recibir una pyme

El artículo 99 fija límites máximos de multa, no importes que se cobren automáticamente. Para pymes, incluidas las empresas emergentes, se utiliza el menor de los dos límites de cada fila. El porcentaje se calcula sobre el volumen de negocio mundial anual total del ejercicio anterior.

Límites máximos de multa del artículo 99 para pymes
Infracción Límite aplicable a una pyme
Prácticas prohibidas del artículo 5 El menor entre 35 millones de euros y el 7 % de la facturación indicada.
Obligaciones enumeradas en el artículo 99.4, incluida la transparencia El menor entre 15 millones de euros y el 3 %.
Información incorrecta, incompleta o engañosa ante un requerimiento de autoridades u organismos notificados El menor entre 7,5 millones de euros y el 1 %.

Ejemplo de cálculo: para una pyme con un millón de euros de facturación mundial anual, el 3 % equivale a 30.000 euros. Ese sería el límite de esa categoría, inferior a 15 millones; no la multa que necesariamente recibiría. La cuantía depende, entre otros factores, de la gravedad, duración, daños, medidas adoptadas y cooperación.

La aplicación exige identificar la infracción, su fecha y el procedimiento correspondiente. No es correcto afirmar que usar IA generativa queda fuera de las sanciones: también puede haber incumplimientos de transparencia o usos prohibidos.

Cómo se ha preparado esta guía: contraste documental del AI Act y el RGPD el 22/10/2026; revisión editorial, del calendario, la alfabetización, la clasificación, la transparencia y los límites de multa el 26/10/2026. Las medidas organizativas son propuestas prácticas; los ejemplos son ficticios. La clasificación y documentación definitivas dependen de los sistemas y usos de cada empresa.