Ley de IA para pymes: obligaciones, calendario y sanciones en 2026

La Ley de IA para pymes (Reglamento UE 2024/1689, el AI Act) obliga a cualquier empresa que utilice inteligencia artificial, no solo a quien la desarrolla. Tras el Digital Omnibus, en vigor desde el 27 de julio de 2026, el alto riesgo se aplaza a 2027, la alfabetización en IA ya es exigible y la transparencia se aplicará desde el 2 de agosto de 2026.

¿Cómo afecta a las pymes la Ley de IA?

La Ley de IA afecta a las pymes como responsables del despliegue (deployers): empresas que usan sistemas de IA bajo su autoridad en su actividad profesional, aunque no los hayan creado. El marco regulador europeo es de aplicación directa: no necesita ley española para ser exigible.

El error más extendido es creer que “no usamos IA”. Basta con redactar documentos con ChatGPT o Copilot, tener un chatbot en la web o usar un CRM con módulo de IA para que la norma entre en juego. El impacto de la inteligencia artificial en la operativa diaria de una pyme ya es la regla, no la excepción.

Contratar una licencia de una herramienta que “cumple la ley” no traslada la responsabilidad al fabricante: la pyme responde del uso que hace de ella dentro de su actividad, con obligaciones propias e independientes de las del proveedor.

Calendario real del AI Act para pymes tras el Digital Omnibus

El paquete Digital Omnibus sobre IA, publicado en el Diario Oficial de la UE el 24 de julio de 2026 como Reglamento (UE) 2026/1744 y en vigor desde el 27 de julio, aplaza las obligaciones de alto riesgo, pero mantiene vivas dos que afectan de lleno a las pymes, según detallan los expertos.

¿Qué obligaciones tiene una pyme que usa IA en 2026?

Las obligaciones exigibles hoy a una pyme que usa IA son dos: adoptar medidas de alfabetización en IA para su personal (art. 4) y no incurrir en prácticas prohibidas (art. 5). Desde el 2 de agosto de 2026 se suma la transparencia del artículo 50 cuando aplique. El inventario de sistemas y la política interna de uso no son obligaciones expresas para todas las pymes, pero en la práctica son imprescindibles: sin saber qué IA se usa y con qué decisiones automatizadas, no se puede cumplir ninguna de las anteriores.

Obligaciones ya vigentes: alfabetización y prácticas prohibidas

El artículo 4 del AI Act, exigible desde febrero de 2025, obliga a adoptar medidas de alfabetización en IA adaptadas al personal, su contexto y los riesgos de los sistemas utilizados. No hay umbral mínimo de facturación ni de plantilla.

No existe un formato único que garantice el cumplimiento: la Comisión Europea admite formación, guías internas u otras medidas, y recomienda conservar registros de lo realizado, según su FAQ oficial sobre alfabetización en IA. Las prácticas prohibidas del artículo 5 (manipulación dañina del comportamiento, puntuación social, reconocimiento de emociones en el trabajo) también son exigibles desde esa fecha.

Obligación de transparencia desde agosto de 2026

El artículo 50 se aplicará a partir del 2 de agosto de 2026 y reparte las obligaciones según el papel de cada empresa:

• Chatbots: avisar de forma clara de que quien responde es una IA. Los chatbots tienen además responsabilidades legales propias si recogen datos.
• Proveedores: incorporar un marcado técnico, detectable y legible por máquina, al contenido sintético que generan sus sistemas.
• Responsables del despliegue: revelar de forma visible los deepfakes y determinados textos de interés público generados con IA, con excepciones para contenidos artísticos, satíricos o de ficción y usos legalmente autorizados.

La transparencia en inteligencia artificial también cambia la relación con clientes: el reto ya no es usar IA, sino explicar cómo se usa.

¿Cómo saber si tu pyme usa IA de alto riesgo?

El alto riesgo no lo define la herramienta, sino el caso de uso. Usar IA generativa para redactar, resumir o atender clientes no convierte a una pyme en operadora de alto riesgo.

Checklist: usos que sitúan a tu pyme en alto riesgo

Tu pyme entra en el Anexo III del AI Act si la IA:

• Filtra, puntúa o descarta candidatos en procesos de selección.
• Toma o apoya decisiones sobre empleados: promoción, sanción, despido o asignación de tareas.
• Evalúa la solvencia o fija la calificación crediticia de personas físicas (con excepciones, como la detección de fraude financiero).
• Usa identificación biométrica remota, categorización biométrica o reconocimiento facial más allá de la simple verificación de identidad.
• Evalúa resultados de aprendizaje cuando determinan el acceso, el nivel o la trayectoria formativa de una persona.

La verificación biométrica uno a uno cuya única finalidad es confirmar la identidad para acceder a un dispositivo, servicio o recinto está expresamente excluida del alto riesgo. Y una prueba interna de formación sin efectos sobre el acceso o la trayectoria tampoco entra automáticamente.

Si has marcado alguna casilla, tu fecha límite como responsable del despliegue es el 2 de diciembre de 2027: usar el sistema según las instrucciones del proveedor, asignar supervisión humana competente, controlar los datos de entrada y vigilar su funcionamiento. La documentación técnica completa corresponde principalmente al proveedor, y la evaluación de impacto en derechos fundamentales solo se exige en casos concretos (sector público, prestadores privados de servicios públicos, solvencia y seguros de vida o salud), según las orientaciones oficiales de la Comisión.

Casos frontera: lo que parece alto riesgo y no lo es

• CRM que segmenta clientes por tarifa: la segmentación comercial ordinaria no figura en el Anexo III, por lo que no es alto riesgo. La revisión humana es una buena práctica, pero no es lo que determina la clasificación.
• Chatbot que recoge datos de contacto: obligación de transparencia del art. 50, no alto riesgo.
• Herramienta que ordena CVs por fecha o criterios administrativos: no evalúa personas, no aplica.

Son matices que conviene revisar caso a caso. La clasificación completa de niveles está en nuestra guía sobre sistemas de IA de riesgo mínimo y alto.

¿Qué sanciones prevé la Ley de IA para las pymes?

El régimen sancionador del AI Act es uno de los más severos de la UE, pero sus cifras máximas no se aplican al uso cotidiano de IA generativa.

En España, el proyecto de Ley de gobernanza de la IA (en tramitación parlamentaria) desarrollará el régimen sancionador nacional, con la AESIA como autoridad de supervisión, tras su aprobación por el Consejo de Ministros.

La regla del importe menor: cómo se calcula la multa a una pyme

El artículo 99 del AI Act establece que para pymes y startups la sanción será el importe menor entre la cifra fija y el porcentaje de facturación. Para las grandes empresas, el mayor.

La norma está diseñada para que la multa a una empresa de cuatro personas no sea la de una multinacional. Aun así, un porcentaje sobre una facturación modesta puede comprometer la viabilidad del negocio: el riesgo es proporcional, no inexistente.

¿Cómo cumplir la normativa de IA en una pyme paso a paso?

Una pyme organiza el cumplimiento de la Ley de Inteligencia Artificial en ocho pasos: auditar las herramientas, inventariarlas, identificar su papel, clasificar el riesgo, formar al equipo, cumplir la transparencia, coordinarlo con el RGPD y documentarlo todo dentro de una gobernanza de datos e IA coherente.

Paso 1. Audita las herramientas de IA. Revisa los programas de administración, marketing, ventas, atención al cliente, finanzas, RRHH y tecnología: una agenda de citas, un software de facturación, un CRM, un chatbot o una herramienta de contenidos pueden incorporar IA. Incluye las aplicaciones contratadas por los empleados y las nuevas funciones de IA añadidas a programas que ya usabas.

Paso 2. Crea un inventario de sistemas de IA. Registra por cada herramienta: nombre, proveedor, departamento, responsable, finalidad, personas autorizadas, datos utilizados, resultados generados, personas afectadas y medidas de supervisión humana. Este inventario es la base de todas las demás obligaciones.

Paso 3. Identifica el papel de tu empresa. Si usas herramientas de terceros en tu actividad, actúas como responsable del despliegue. Si desarrollas, comercializas bajo tu marca o modificas sustancialmente un sistema de IA, puedes asumir obligaciones de proveedor. El AI Act también prevé responsabilidades para importadores y distribuidores.

Paso 4. Clasifica el nivel de riesgo. Depende de la finalidad y del contexto de uso:

• Prácticas prohibidas: usos manipulativos, puntuación social o reconocimiento de emociones en el trabajo.
• Alto riesgo: selección de candidatos, evaluación de trabajadores, solvencia de personas físicas y determinados usos en educación, sanidad o servicios esenciales.
• Transparencia: chatbots, asistentes virtuales y determinados contenidos generados con IA.
• Riesgo mínimo: herramientas con incidencia limitada sobre las personas.

Documenta la clasificación, su justificación y las medidas aplicadas.

Paso 5. Forma a las personas que utilizan IA. El artículo 4 exige medidas de alfabetización adaptadas al puesto, el contexto y los riesgos: herramientas autorizadas, protección de datos, información confidencial, revisión de errores y sesgos, validación humana y comunicación de incidentes. Se acredita con guías, cursos, registros de participación y pruebas prácticas.

Paso 6. Cumple las obligaciones de transparencia. Incorpora el aviso al inicio del chatbot, asistente virtual o canal automatizado de atención al cliente. Identifica los contenidos generados o manipulados con IA que lo requieran: deepfakes y determinados textos de interés público.

Paso 7. Coordina el AI Act con el RGPD. Si la herramienta usa datos personales, revisa la finalidad y la base jurídica del tratamiento, la minimización de datos, los contratos con proveedores, las transferencias internacionales, los permisos de acceso y la necesidad de una evaluación de impacto.

Paso 8. Documenta y actualiza el cumplimiento. Conserva en un expediente el inventario, las clasificaciones de riesgo, los responsables, las políticas internas, la formación, los avisos de transparencia, los informes y los planes de acción. Como mínimo, cuatro evidencias fechadas: inventario, política firmada, avisos publicados y registro de formación, como muestran las guías prácticas para pymes. Actualiza el expediente cuando incorpores una herramienta, cambie su finalidad o se añadan nuevas funciones de IA.

La solución de Atico34: Atico34 AI Governance reúne todo este proceso en un único expediente: inventario de herramientas y modelos de IA, formación de la plantilla, clasificación de riesgos, informes, evidencias y planes de acción para ayudar a las pymes a cumplir la Ley de Inteligencia Artificial, el AI Act y el RGPD. Incluye asesoramiento por parte de abogados especialistas en inteligencia artificial.

Ayudas del AI Act para pymes: sandboxes y documentación simplificada

El Reglamento incluye medidas específicas de apoyo, recogidas en la guía del AI Act para pequeñas empresas:

• Sandboxes regulatorios: acceso prioritario y gratuito para pymes; quien sigue de buena fe el plan acordado no se enfrenta a multas por infracción durante la prueba.
• Documentación técnica simplificada: formularios específicos para pymes aceptados por las autoridades nacionales.
• Tasas proporcionales al tamaño de la empresa y canales de comunicación dedicados en cada Estado miembro.

AI Act y RGPD: por qué una pyme puede estar expuesta a dos marcos por el mismo error

El AI Act regula los sistemas; el RGPD, los datos personales que esos sistemas procesan. Si tu pyme usa IA con datos de clientes o empleados, está sujeta a ambos marcos a la vez, con dos autoridades de supervisión distintas (AESIA y AEPD), como advierten los análisis del paquete normativo. La acumulación de sanciones por los mismos hechos no es automática: está limitada por el principio ne bis in idem, que según la jurisprudencia del TJUE (asunto bpost) exige coordinación entre autoridades y proporcionalidad global. Pero la doble exposición regulatoria es real: un mismo sistema puede ser investigado por dos vías.

El solapamiento también es una oportunidad: la evaluación de impacto en protección de datos (EIPD) del RGPD y la evaluación del AI Act comparten gran parte de su estructura. Abordarlas de forma coordinada reduce el coste de cumplimiento. La relación entre inteligencia artificial y protección de datos es hoy el frente de supervisión más activo: la AEPD ya utiliza el RGPD como palanca para vigilar el uso de IA con datos personales.

Conclusión

La Ley de IA afecta a las pymes desde 2025, con o sin ley española. El aplazamiento del alto riesgo a diciembre de 2027 da margen, pero la alfabetización del equipo es exigible ya y la transparencia arranca el 2 de agosto de 2026. El siguiente paso lógico para cualquier pyme es el inventario de sistemas de IA: sin saber qué se usa, no se puede cumplir nada.

Preguntas frecuentes sobre la Ley de IA en pymes

¿Qué pasa si tus empleados usan ChatGPT por su cuenta en la empresa?

Si los empleados usan IA en el marco de su trabajo, la empresa actúa como responsable del despliegue y el artículo 4 le aplica; un uso clandestino o contrario a instrucciones expresas exige analizar el control y la autorización en cada caso. El riesgo práctico es el mismo: copiar listados de clientes o contratos en IAs gratuitas. Tres medidas lo atajan: cuentas de empresa (nunca personales), lista de datos que jamás se suben a una IA de terceros y aprobación previa de herramientas nuevas, dentro de unas buenas prácticas de inteligencia artificial.

¿Cómo proteger a una pyme de la información falsa generada por IA?

Con una regla interna: nada generado por IA sale hacia un cliente o hacia la Administración sin revisión humana y verificación de fuentes. Si un sistema de IA difunde datos personales falsos sobre tu empresa o tus empleados, los derechos de rectificación y supresión se ejercen ante el responsable del tratamiento (que no siempre es el proveedor de la IA), la supresión procede cuando concurre una causa legal, y cabe reclamar ante la AEPD.

¿Una pyme necesita contratar un consultor o un DPO para cumplir el AI Act?

El AI Act no lo exige, pero sí conviene designar un responsable interno que mantenga el inventario y apruebe herramientas nuevas. El asesoramiento externo compensa cuando hay sistemas de alto riesgo o tratamiento intensivo de datos personales: ahí la evaluación del AI Act y la EIPD del RGPD se solapan y coordinarlas evita tanto la inacción como comprar soluciones desproporcionadas.

¿Tengo que etiquetar los textos de mi web o blog si los redacto con IA?

No. La obligación de revelación del artículo 50 para quien despliega la IA cubre los deepfakes y determinados textos de interés público; el marcado técnico del contenido sintético corresponde al proveedor del sistema. Un artículo editorial revisado por una persona no entra en esas categorías. Lo que sí será obligatorio desde el 2 de agosto de 2026 es que tu chatbot avise de que es una IA.