Reglamento europeo de IA: qué obliga a una pyme

Cómo leer esta guía.

Cada afirmación normativa que encontrarás abajo se corresponde con un artículo concreto del texto consolidado del Reglamento, y los artículos citados están reproducidos literalmente dentro de nuestro sistema: es la misma base que usa el informe de la auditoría, no un resumen escrito de memoria. Al final tienes el enlace a la fuente oficial para comprobar cualquiera de ellos.

Esto es contenido informativo. Zertidox es una plataforma de software y no presta servicios jurídicos: si tu caso concreto tiene consecuencias serias, contrasta con quien pueda analizarlo.

• Qué es el Reglamento de IA y por qué te afecta aunque no «hagas» IA
• Desde cuándo se aplica: el calendario real
• Lo que ya está prohibido
• Alfabetización en IA: la obligación que ya te toca
• Transparencia: el chatbot, el contenido generado y las ultrafalsificaciones
• ¿Tu sistema es de alto riesgo?
• Si usas un sistema de alto riesgo, esto es lo tuyo
• Donde el Reglamento de IA se cruza con el RGPD
• Sanciones, y el trato expreso a las pymes
• Qué hacer esta semana: ocho comprobaciones
• Dónde seguir: el diagnóstico gratuito
• Preguntas frecuentes

Qué es el Reglamento de IA y por qué te afecta aunque no «hagas» IA

El Reglamento (UE) 2024/1689 es una norma europea de aplicación directa: no hay que esperar a que España lo copie en una ley propia para que obligue. Y no obliga solo a quien programa modelos. El Reglamento nombra a varios operadores —también importadores, distribuidores y representantes—, pero la pareja que aparece una y otra vez es «los proveedores y responsables del despliegue de sistemas de IA», y la segunda es la que describe a casi cualquier pyme: la empresa que usa el sistema que ha comprado o contratado.

Esa distinción es la que más confusión genera y la que más dinero ahorra entenderla. Si tu empresa contrata un chatbot para la web, una herramienta que ordena candidaturas o un servicio que redacta descripciones de producto, tú no eres el proveedor de esos sistemas: eres quien los despliega. La mayor parte de las obligaciones pesadas —documentación técnica, evaluación de la conformidad, marcado— son del proveedor. Las tuyas son menos y más concretas, pero existen, y dos de ellas ya están en vigor.

Conviene decir lo que el Reglamento no es: no es un registro al que haya que apuntarse, ni una autorización que haya que pedir antes de usar IA en una empresa normal. Es un régimen por niveles de riesgo. La inmensa mayoría de los usos de una pyme —una hoja de cálculo que predice ventas, un asistente que resume correos, un corrector de estilo— no son de alto riesgo ni están prohibidos: arrastran la obligación general de formación que verás más abajo y, si con ellos publicas ultrafalsificaciones o textos destinados a informar al público sobre asuntos de interés público, los deberes de transparencia del artículo 50.

El artículo 26, que es el que enumera lo que debe hacer quien despliega un sistema de alto riesgo, empieza con una frase que resume el espíritu de toda la norma: usar el sistema «con arreglo a las instrucciones de uso que los acompañen». Traducido: el Reglamento no te pide que entiendas el modelo por dentro; te pide que no lo uses para algo distinto de aquello para lo que fue diseñado y que alguien con criterio lo supervise.

Base: Reglamento de IA, art. 4 · Reglamento de IA, art. 26 · Reglamento de IA, art. 50

Desde cuándo se aplica: el calendario real

Aquí es donde más información desfasada circula. El Reglamento se adoptó en junio de 2024 con un calendario escalonado, y ese calendario se modificó después. El texto que vale es el consolidado, y su artículo 113 dice que la norma «será aplicable a partir del 2 de agosto de 2026» con una lista de excepciones que adelantan unas cosas y retrasan otras.

Lo que significa para una empresa, a fecha de hoy: la parte general ya está en vigor, las prohibiciones lo están desde antes, y el bloque más exigente —el de los sistemas de alto riesgo del anexo III— todavía no. Esa última fecha es la que más se cita mal: no coincide con la de la aplicación general.

Dos matices que el artículo 113 sí recoge y conviene no redondear. Primero, las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, salvo dos letras y dos apartados añadidos después, que esperan al 2 de diciembre de 2026. Segundo, los sistemas de alto riesgo tienen dos fechas distintas según de dónde les venga esa condición: los del anexo III, el 2 de diciembre de 2027; los que lo son por formar parte de un producto ya regulado, el 2 de agosto de 2028.

Base: Reglamento de IA, art. 113 · Reglamento de IA, art. 5 · Reglamento de IA, art. 6 · Reglamento de IA, art. 50 · Reglamento de IA, art. Anexo III

Lo que ya está prohibido

El artículo 5 no regula: prohíbe. No hay evaluación de conformidad que salve estas prácticas ni cliente que pueda consentirlas, y son las que llevan aparejada la multa más alta de todo el Reglamento. La lista completa incluye supuestos de uso policial que no tocan a una empresa privada; lo que sigue es el recorte que sí puede pisar una pyme.

De toda la lista, hay una que aparece en empresas normales sin mala intención por parte de nadie: el Reglamento prohíbe los sistemas de IA destinados a «inferir las emociones de una persona física en los lugares de trabajo», salvo cuando se instalen por motivos médicos o de seguridad. Cualquier herramienta de analítica de plantilla, de control de llamadas o de videoentrevistas que prometa medir el ánimo, el compromiso o el estrés de quien trabaja o de quien se presenta a un puesto entra de lleno ahí. Si un proveedor te lo ofrece como una ventaja, esa función es precisamente la que no puedes usar.

Las demás prohibiciones que pueden rozar a una empresa privada son la manipulación mediante técnicas subliminales o engañosas que causen perjuicios considerables, la explotación de vulnerabilidades derivadas de la edad, la discapacidad o una situación social o económica concreta, la puntuación social de personas cuando acaba en un trato perjudicial injustificado o sacado de su contexto original, la creación o ampliación de bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes de internet o de cámaras de seguridad, y la categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual.

Base: Reglamento de IA, art. 5 · Reglamento de IA, art. 99

Alfabetización en IA: la obligación que ya te toca

Es la obligación que más fácilmente pasa desapercibida, y la más fácil de cumplir. Está en el artículo 4 y se aplica desde febrero de 2025 a proveedores y a quien despliega: adoptar medidas para promover la alfabetización en materia de IA de su personal «y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA», teniendo en cuenta sus conocimientos, su experiencia y el contexto de uso.

Dos precisiones del propio artículo evitan gastar de más. La primera: la obligación «no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular». No hay examen, ni certificado obligatorio, ni un número de horas fijado. La segunda: el artículo encarga expresamente a la Comisión y a los Estados miembros apoyar a las pymes en esto y publicar ejemplos prácticos de cómo cumplirlo.

Lo que sí hay que poder demostrar es que se hizo algo y que fue proporcionado a cómo se usa la IA en esa empresa. Una sesión interna documentada, unas instrucciones escritas sobre qué se puede y qué no se puede meter en un asistente, y una lista de quién las ha recibido, cumplen mejor que un curso caro sin registro de asistencia.

Base: Reglamento de IA, art. 4

Transparencia: el chatbot, el contenido generado y las ultrafalsificaciones

Este es el bloque que más empresas pequeñas tocan a diario, y está en vigor desde la aplicación general del Reglamento. El artículo 50 impone cuatro deberes distintos, y no todos recaen en la misma figura.

El primero es del proveedor: los sistemas destinados a interactuar directamente con personas deben diseñarse de forma que esas personas sepan que están hablando con una IA, salvo cuando resulte evidente «desde el punto de vista de una persona física razonablemente informada, atenta y perspicaz». Si el chatbot de tu web se llama como una persona, responde en primera persona y nada indica que sea automático, esa excepción no te ampara. La forma barata de cumplir es decirlo en la primera línea de la conversación.

El segundo también es del proveedor y no depende de la buena voluntad: el contenido sintético de audio, imagen, vídeo o texto debe salir marcado en un formato legible por máquina que permita detectar que fue generado o manipulado artificialmente. A una pyme le importa como comprador: al contratar una herramienta generativa, esa marca es una característica que se puede preguntar y que debe figurar por escrito.

El tercero sí es tuyo si publicas: quien despliega un sistema que genere o manipule imágenes, audio o vídeo que constituyan una ultrafalsificación tiene que hacer público que ese contenido es artificial. Para obras manifiestamente creativas, satíricas o de ficción, la obligación se limita a revelarlo de una manera que no estropee la obra. Y para el texto publicado con el fin de informar al público sobre asuntos de interés público hay una salida expresa: no se aplica cuando el contenido ha pasado por revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación.

El cuarto es de forma y suele ser el que se olvida: esa información se facilita «de manera clara y distinguible a más tardar con ocasión de la primera interacción o exposición», y tiene que cumplir los requisitos de accesibilidad aplicables. Un aviso escondido en la política de privacidad llega tarde y no es distinguible.

Base: Reglamento de IA, art. 50

¿Tu sistema es de alto riesgo?

«Alto riesgo» no es una valoración subjetiva ni depende de lo potente que sea el modelo. El artículo 6 lo define por dos vías. La primera: que el sistema sea el componente de seguridad de un producto ya sujeto a legislación europea de armonización y que ese producto deba pasar una evaluación de la conformidad por un tercero. La segunda, la que afecta a los servicios: que el sistema esté en alguno de los ámbitos del anexo III.

De los ocho ámbitos del anexo III, dos alcanzan a empresas corrientes. El de empleo incluye los sistemas destinados a la contratación o selección de personas, «en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos», y también los que se usan para decidir sobre condiciones laborales, promoción o extinción, para asignar tareas según comportamientos o rasgos personales, o para supervisar y evaluar el rendimiento. El de acceso a servicios esenciales incluye la evaluación de solvencia o la calificación crediticia de personas físicas —excluidos los sistemas de detección de fraude— y la fijación de precios de seguros de vida y salud.

Hay una válvula importante, y otra que la cierra. El artículo 6, apartado 3, permite que un sistema del anexo III no se considere de alto riesgo cuando no plantee un riesgo importante de perjuicio, y solo si encaja en uno de cuatro supuestos: tarea de procedimiento limitada, mejora del resultado de una actividad humana ya realizada, detección de desviaciones respecto de decisiones anteriores siempre que no sustituya la valoración de una persona ni influya en ella sin que alguien la revise, o tarea preparatoria. Ahora la que la cierra: ese mismo artículo 6 añade que esos sistemas «siempre se considerarán de alto riesgo cuando el sistema de IA efectúe la elaboración de perfiles de personas físicas».

Quien se acoja a la excepción no puede limitarse a creerlo: el apartado 4 obliga al proveedor a documentar esa evaluación antes de poner el sistema en el mercado y a entregarla si la autoridad la pide. Si eres la empresa que lo usa, esa documentación es exactamente lo que tiene sentido pedirle al proveedor antes de firmar.

Base: Reglamento de IA, art. 6 · Reglamento de IA, art. Anexo III

Si usas un sistema de alto riesgo, esto es lo tuyo

El artículo 26 es la lista corta que debería estar pegada en la pared de cualquier empresa que haya metido IA en selección de personal o en evaluación de plantilla. No pide auditorías continuas ni un departamento nuevo: los ocho puntos que más pesan para una empresa privada son estos, y su plazo de aplicación es el de diciembre de 2027 que vimos en el calendario.

• Usar el sistema conforme a las instrucciones de uso que lo acompañan, con medidas técnicas y organizativas adecuadas.
• Encomendar la supervisión humana a personas «que tengan la competencia, la formación y la autoridad necesarias». Las tres cosas: un becario con la instrucción de revisar pero sin poder para parar el proceso no cumple.
• Asegurarse de que los datos de entrada son pertinentes y suficientemente representativos, en la medida en que controles esos datos.
• Vigilar el funcionamiento y, si hay motivos para pensar que el sistema presenta un riesgo, informar al proveedor y a la autoridad de vigilancia del mercado y suspender el uso.
• Conservar los archivos de registro que el sistema genere automáticamente durante un período adecuado y, como mínimo, seis meses.
• Antes de ponerlo en servicio en el trabajo, informar a los representantes de los trabajadores y a los trabajadores afectados de que van a estar expuestos a ese sistema.
• Usar la información que dé el proveedor para cumplir, cuando proceda, la evaluación de impacto relativa a la protección de datos del artículo 35 del RGPD.
• Si el sistema es del anexo III y toma decisiones sobre personas, o ayuda a tomarlas, informar a esas personas de que están expuestas a él. Es el punto que más se olvida, y es el que nota el candidato al que no llaman.

Base: Reglamento de IA, art. 26 · Reglamento de IA, art. Anexo III · RGPD, art. 35

Donde el Reglamento de IA se cruza con el RGPD

El Reglamento de IA no sustituye al RGPD: se suma. En la práctica, la mayoría de los problemas que una pyme se va a encontrar con la IA son de protección de datos, y llegan antes que los del Reglamento de IA porque el RGPD lleva años aplicándose.

El precepto que más directamente habla de automatizar decisiones no está en el Reglamento de IA, sino en el artículo 22 del RGPD: toda persona tiene derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ella o le afecte significativamente de modo similar. Descartar candidaturas sin que nadie las mire es el ejemplo de manual, y cae bajo esa regla aunque el sistema no llegue a ser de alto riesgo.

Alrededor de eso, cinco deberes que ya tenías y que la IA vuelve a poner sobre la mesa: una base de licitud para el tratamiento (artículo 6), respeto de los principios de minimización y limitación de la finalidad (artículo 5), un contrato de encargado con el proveedor que trata datos por tu cuenta (artículo 28), el registro de actividades de tratamiento actualizado con el nuevo uso (artículo 30) y medidas de seguridad proporcionadas al riesgo (artículo 32). Si el proveedor procesa fuera del Espacio Económico Europeo, se añaden las condiciones de transferencia internacional (artículo 44).

Dos cautelas más. Si el tratamiento entraña un alto riesgo para los derechos de las personas —y usar nuevas tecnologías para evaluar a personas es el supuesto típico—, el artículo 35 obliga a una evaluación de impacto previa. Y si el sistema toca categorías especiales de datos, el artículo 9 las prohíbe como regla general, con excepciones tasadas.

Ahí hay una puerta que antes no existía: el artículo 4 bis del Reglamento de IA permite tratar categorías especiales de datos personales «en la medida en que sea estrictamente necesario» para detectar y corregir sesgos de los sistemas de alto riesgo. Es una excepción estrecha y para un fin concreto, no una autorización general para recoger datos sensibles porque el modelo mejore con ellos.

Base: Reglamento de IA, art. 4 bis · RGPD, art. 5 · RGPD, art. 6 · RGPD, art. 9 · RGPD, art. 22 · RGPD, art. 28 · RGPD, art. 30 · RGPD, art. 32 · RGPD, art. 35 · RGPD, art. 44

Sanciones, y el trato expreso a las pymes

Las cifras del artículo 99 son las que circulan en titulares, casi siempre sin la letra pequeña que es justo la que importa a una empresa pequeña. Hay tres tramos: hasta 35 millones de euros o el 7 % del volumen de negocios mundial total del ejercicio anterior por incumplir las prohibiciones del artículo 5; hasta 15 millones de euros o el 3 % por incumplir, entre otras, las obligaciones de quien despliega sistemas de alto riesgo y las de transparencia; y hasta 7,5 millones de euros o el 1 % por dar información inexacta, incompleta o engañosa a los organismos notificados o a las autoridades nacionales competentes cuando te la piden.

La letra pequeña: en cada tramo, cuando el infractor es una empresa, se aplica la cifra mayor entre el importe fijo y el porcentaje. Pero el mismo artículo 99 invierte esa regla para las pymes, incluidas las empresas emergentes: en su caso cada multa «podrá ser por el porcentaje o el importe […], según cuál de ellos sea menor». Para una empresa con facturación modesta, eso convierte el titular de 35 millones en un porcentaje de su cifra de negocio.

El artículo también ordena a los Estados miembros tener en cuenta los intereses de las pymes y su viabilidad económica al sancionar, y enumera los factores que se ponderan en cada caso concreto: la gravedad y duración, el tamaño y volumen de negocios, el grado de cooperación con la autoridad, si la infracción fue intencionada o negligente, y las medidas técnicas y organizativas que el operador ya había aplicado. Esa última es la razón práctica por la que documentar lo que se hizo vale dinero: es un factor atenuante escrito en la norma.

Y no se mezclan los regímenes: una infracción de protección de datos se sanciona por el artículo 83 del RGPD, con su propia escala y sus propias autoridades. Un mismo proyecto de IA mal montado puede activar los dos.

Base: Reglamento de IA, art. 99 · Reglamento de IA, art. 5 · RGPD, art. 83

Qué hacer esta semana: ocho comprobaciones

Ninguna de estas ocho cosas requiere contratar nada. Son las que convierten la impresión de que se cumple en algo que se puede enseñar si alguien pregunta.

• Haz la lista de sistemas con IA que usa tu empresa, incluidos los que vinieron dentro de otra herramienta. Las sorpresas suelen estar en funciones nuevas de programas de siempre.
• Por cada uno, escribe en una línea para qué se usa y quién decide con su resultado. Esa línea es la que determina todo lo demás.
• Comprueba si alguno infiere emociones de personas en el trabajo —salvo que esté instalado por motivos médicos o de seguridad—, o si clasifica a personas por sus datos biométricos para deducir su raza, sus opiniones políticas, su afiliación sindical, sus convicciones religiosas o filosóficas, su vida sexual o su orientación sexual: eso está prohibido por el artículo 5, no es un riesgo a gestionar.
• Si alguno filtra candidaturas, evalúa rendimiento o puntúa solvencia, márcalo: es candidato a alto riesgo del anexo III y le toca el artículo 26.
• Documenta la formación del artículo 4: qué se explicó, a quién y cuándo. Vale un acta de una reunión.
• Comprueba que tu chatbot avisa de que es un sistema de IA —eso es obligación de su proveedor— y que identificas como artificial lo que publiques que sea una ultrafalsificación o un texto destinado a informar al público sobre asuntos de interés público, según el artículo 50.
• Pide a cada proveedor su contrato de encargado del tratamiento (artículo 28 del RGPD) y comprueba dónde trata los datos.
• Actualiza el registro de actividades de tratamiento (artículo 30 del RGPD) y valora si el nuevo uso exige la evaluación de impacto del artículo 35 del RGPD.

Base: Reglamento de IA, art. 4 · Reglamento de IA, art. 5 · Reglamento de IA, art. 50 · Reglamento de IA, art. 26 · Reglamento de IA, art. Anexo III · RGPD, art. 28 · RGPD, art. 30 · RGPD, art. 35

Dónde seguir: un diagnóstico que no inventa sus números.

La parte difícil de todo esto no es leerse el Reglamento: es saber qué hay dentro de tu propia empresa. El diagnóstico gratuito hace veinte preguntas sobre cómo entran tus clientes, cómo agendas, cómo cobras y qué herramientas usas, y devuelve cuatro cifras: una nota digital, el nivel de madurez, las horas al mes que se van en trabajo repetitivo y lo que cuestan al año. No pide acceso a ningún sistema ni datos de tus clientes.

Esas cuatro cifras las calcula el código con aritmética pura a partir de tus respuestas, no un modelo de lenguaje. Es deliberado: un modelo puede redactar bien y equivocarse en un número, y el número es justamente lo que lleva a alguien a tomar una decisión. Lo que no nos cuentes sale como «sin datos», no como una estimación.

Si después quieres el análisis completo —cada punto débil con su solución, el orden en que atacarlos y lo que cuesta cada paso— hay dos escalones:

• Auditoría de IA y automatización (Express) — 149 €
• Auditoría de IA y automatización (firmada por abogado) — 390 €

Preguntas frecuentes.

También te puede ayudar.