EU AI Act para pymes: qué obligaciones se aplican ahora y qué debe hacer

La Ley de IA de la UE (Reglamento de IA, Reglamento (UE) 2024/1689) regula el uso de la inteligencia artificial en la UE según el riesgo. Para la mayoría de las pequeñas y medianas empresas que solo utilizan herramientas de IA como chatbots, asistentes de mecanografía o asistentes telefónicos, dos obligaciones son cruciales hoy en día: Desde el 2 de febrero de 2025, las empresas deben adoptar medidas que respalden la competencia en IA de sus empleados. Desde el 2 de agosto de 2026, la obligación de transparencia está en vigor: las personas deben ser capaces de reconocer que están interactuando con un sistema de IA. Las estrictas obligaciones para la IA de alto riesgo solo afectan a ciertas áreas de aplicación y solo se aplicarán a partir de diciembre de 2027.

Este artículo clasifica lo que afecta a tu empresa y termina con una lista de comprobación. No sustituye al asesoramiento legal. A fecha de octubre de 2026.

Proveedor u operador: ¿Cuál es el papel de su empresa?

Las obligaciones del Reglamento de IA dependen del papel:

• Los proveedores desarrollan un sistema de IA o lo desarrollan y comercializan bajo su propio nombre, por ejemplo, un fabricante de software.
• Los operadores utilizan un sistema de IA por su propia responsabilidad, por ejemplo, un negocio artesanal que utiliza un asistente telefónico con IA o una oficina que diseña textos con un modelo de lenguaje.

La gran mayoría de las pymes son operadoras. Sin embargo, cualquiera que ofrezca o modifique significativamente un sistema de IA de terceros bajo su propia marca puede convertirse en proveedor por sí mismo. Esto es especialmente relevante para las casas de software y agencias.

Los niveles de riesgo del Reglamento de IA

Las aplicaciones típicas de oficina en las PIME, como redactar mensajes de texto, buscar documentos, ordenar consultas o atender llamadas, se sitúan en los niveles de "transparencia" o "mínimo". Atención en la gestión de candidatos: La IA que clasifica o evalúa solicitudes es una de las aplicaciones de alto riesgo.

Lo que está vigente desde febrero de 2025: competencia en IA y prohibiciones

Según el Art. 4, los proveedores y operadores deben tomar medidas para apoyar el desarrollo de la competencia en IA de su personal y de otras personas que utilicen sistemas de IA en su nombre. Desde la enmienda por el Omnibus Digital (vigente desde el 27 de julio de 2026), no tienen por qué garantizar un cierto nivel de competencia de las personas individuales: la obligación de actuar sigue vigente. Se tienen en cuenta los conocimientos previos, la formación, el contexto de despliegue y las personas afectadas por el uso de la IA. Lo que esto significa en términos concretos se explica en el artículo Competencia en IA según el Art. 4: Qué significa la obligación de formarse.

Desde esa misma fecha, también se han prohibido ciertas prácticas de IA (Art. 5). Para aplicaciones normales de pymes, prácticamente no desempeñan ningún papel.

Lo que está vigente desde agosto de 2026: Obligaciones de transparencia

Desde el 2 de agosto de 2026, las obligaciones de transparencia previstas en el art. 50 están en vigor. Dos casos en particular son relevantes para las pymes:

• Chatbots y asistentes telefónicos: Cualquiera que hable o escriba a un sistema de IA debe aprender, como muy tarde, al principio, que es una IA, a menos que esto sea obvio de todos modos. Una frase como "Estás hablando con el asistente digital de ..." suele ser suficiente.
• Deepfakes y textos de IA sobre temas de interés público: Las imágenes, vídeos y grabaciones de sonido generados o manipulados artificialmente que parezcan reales deben ser declarados generados por IA. Esto también se aplica a textos sobre temas de interés público, salvo que un humano los haya revisado editorialmente y sea responsable.

Si utilizas un chatbot con IA o un asistente telefónico con IA, deberías incorporar firmemente la nota en el saludo.

IA de alto riesgo: aplazada hasta diciembre de 2027

Originalmente, las obligaciones para la IA de alto riesgo bajo el Anexo III debían aplicarse a partir de agosto de 2026. El Reglamento (UE) 2026/1744, llamado Digital Omnibus, aplazó esta fecha hasta el 2 de diciembre de 2027; para la IA en productos del Anexo I (como maquinaria o dispositivos médicos), se aplica el 2 de agosto de 2028. Cualquier persona que utilice o planee utilizar IA en la selección de personal, evaluación del desempeño o comprobaciones de crédito debe dedicar ese tiempo, ya que las obligaciones para los operadores (Art. 26) incluyen, entre otras cosas, la supervisión humana, el registro y la notificación de los afectados.

¿Quién controla y qué amenaza?

En Alemania, según la Ley de Vigilancia del Mercado y Promoción de la Innovación de la IA (KI-MIG) de 22 de julio de 2026, la Agencia Federal de Redes es generalmente la autoridad de vigilancia del mercado; autoridades especializadas como BaFin son responsables de ciertas áreas. Las multas están reguladas por el Art. 99 de la Ordenanza de IA. Las infracciones de las obligaciones de transparencia pueden ser sancionadas con hasta 15 millones de euros o el 3% de la facturación anual global; Las pymes están sujetas al valor inferior de los dos. El reglamento no prevé una multa separada por la competencia en IA según el Art. 4. Sin embargo, la falta de formación puede perjudicarte en caso de errores y problemas de responsabilidad.

Lista de verificación para pymes

1. Inventario: ¿Qué herramientas de IA se utilizan en la empresa, oficial y no oficialmente? Esto último en particular es común, véase IA en la sombra en la empresa.
2. Clasificar: Para cada herramienta, registra el rol (operador/proveedor) y el nivel de riesgo.
3. Garantizar la competencia en IA: La formación de todos los usuarios de IA está documentada y adaptada a las tareas.
4. Implementar transparencia: Notificaciones en chatbots, asistentes telefónicos e imágenes o vídeos generados por IA.
5. Establecer reglas: Una breve guía de IA aclara qué herramientas están permitidas y qué datos no pertenecen a ellas.
6. Comprobar la protección de datos: El Reglamento de IA no sustituye al RGPD. Los datos personales aún necesitan una base legal y contratos para la tramitación de pedidos.
7. Toma nota del alto riesgo: Quienes usan IA en RRHH planifican los requisitos para diciembre de 2027.

El asesoramiento y la implementación acompañada son elegibles para la financiación: A través del coaching INQA, el gobierno federal cubre el 80% de los costes de consultoría de hasta 1.200 € al día durante hasta 12 días, es decir, hasta 11.520 € de subvención. En Mecklemburgo-Pomerania Occidental y los otros nuevos estados federales, la financiación de consultoría BAFA también es elegible con un 80% hasta el 31.12.2026 (50% en los antiguos estados federales). La financiación se proporciona para consultoría, no para software. La comprobación de financiación muestra qué programa encaja.

Preguntas frecuentes

¿La Ley de IA de la UE también se aplica a las pequeñas empresas?

Sí. El Reglamento de IA se aplica a todos los que utilizan o ofrecen sistemas de IA profesionalmente, independientemente del tamaño de la empresa. Existen facilitaciones para las pymes, como límites máximos más bajos para las multas y documentación simplificada para los proveedores, pero no hay una excepción general.

¿Tengo que etiquetar ChatGPT dentro de la empresa?

Si los empleados usan ChatGPT internamente para diseñar textos, no tienen que ser etiquetados en todos los ámbitos. Los chatbots en contacto con clientes, imágenes, vídeos y voces de IA engañosamente reales, y textos de IA sobre temas de interés público sin revisión editorial humana están sujetos a etiquetado.

¿Desde cuándo se aplica la obligación de proporcionar formación bajo la Ley de IA?

La obligación prevista en el Art. 4 de tomar medidas sobre la competencia en IA se aplica a todas las empresas que utilizan sistemas de IA desde el 2 de febrero de 2025. Desde julio de 2026, se ha aclarado que no es necesario garantizar un nivel específico de competencia.

¿Quién es responsable de la Ley de IA en Alemania?

Según el KI-MIG, la Agencia Federal de Redes es generalmente la autoridad responsable de la vigilancia del mercado. BaFin es responsable de la IA en el sector financiero, y las autoridades especializadas correspondientes son responsables de ciertos productos.

¿Cuándo se aplican las obligaciones para la IA de alto riesgo?

Para sistemas de alto riesgo según el Anexo III, como en el ámbito de recursos humanos, a partir del 2 de diciembre de 2027. Para IA en productos regulados según el Anexo I a partir del 2 de agosto de 2028. Ambas fechas fueron pospuestas por el Reglamento (UE) 2026/1744.

Siguiente paso

Si quieres saber qué aplicaciones de IA te activan qué obligaciones, nuestra consultoría en IA te apoyará. Para la obligación de formación, ofrecemos formación en IA adaptada a tus herramientas y tareas.

Fuentes: Art. 4, Art. 50, Art. 99 y Art. 113 del Reglamento sobre IA; Reglamento (UE) 2026/1744; KI-MIG.