Guía RespondeYA · Cumplimiento del AI Act
Cumplimiento del AI Act para pymes: qué te obliga, desde cuándo y cómo empezar
El Reglamento (UE) 2024/1689, el AI Act, obliga a las pymes que venden o usan sistemas de IA en la Unión Europea. No todo se cumple igual: las obligaciones dependen del nivel de riesgo. Un chatbot o una recepcionista virtual son, en principio, riesgo limitado y deben avisar de que son una IA (artículo 50). Filtrar currículos o puntuar la solvencia de una persona es alto riesgo y exige más. Las prohibiciones y la alfabetización en IA ya se aplican desde el 2 de febrero de 2025; la transparencia, desde el 2 de agosto de 2026.
Si tienes una pyme, es probable que ya uses IA sin llamarla así: el chat de la web, una herramienta que ordena candidatos, un asistente que coge el teléfono o el generador de textos del marketing. Esta guía resume qué dice el texto oficial, qué fechas están en vigor y qué pasos puedes dar sin montar un departamento de cumplimiento. No promete certificaciones ni auditorías oficiales. Sirve para entender el terreno y hacer las preguntas correctas.
Material divulgativo. No es asesoramiento jurídico. Antes de cambiar contratos, clasificar un sistema o responder a una autoridad, revisa tu caso con tu asesoría.
Lo esencial
- El AI Act es un reglamento de la UE: se aplica directamente en España, sin una ley nacional que lo copie
- Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025
- La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026
- Un chatbot o una recepcionista que atiende llamadas son, en principio, riesgo limitado: hay que avisar de que son IA
- Filtrar currículos o puntuar la solvencia de personas es alto riesgo (anexo III)
- Las fechas de alto riesgo se modificaron con el Digital Omnibus: 2 de diciembre de 2027 y 2 de agosto de 2028
- Para pymes y startups, el artículo 99(6) limita la multa al menor de los dos valores previstos
¿Qué es el Reglamento (UE) 2024/1689 y a quién afecta?
Es la norma europea que fija reglas comunes para vender, poner en servicio y usar sistemas de inteligencia artificial en la Unión Europea. Se publicó en el Diario Oficial de la Unión Europea (DOUE) el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Es un reglamento, no una directiva: se aplica directamente en España y no necesita una ley nacional que lo transponga.
Afecta a cuatro tipos de operadores. El proveedor es quien fabrica o comercializa el sistema con su marca. El responsable del despliegue, o deployer, es quien lo usa en su actividad. También alcanza a importadores y distribuidores. Una pyme puede ser proveedora si ofrece su propia herramienta de IA, o deployer si contrata una. La norma también llega a proveedores de fuera de la UE cuando el resultado del sistema se usa en la Unión.
¿Me afecta si solo uso herramientas de IA contratadas?
Sí. Si usas una herramienta de IA para atender, redactar, clasificar o decidir, eres responsable del despliegue de ese sistema y te afectan las obligaciones que el Reglamento asigna a los deployers. No tienes que fabricar nada ni tener un equipo técnico. Tienes que usar el sistema conforme a las instrucciones del proveedor, no ocultar los avisos de transparencia, garantizar la supervisión humana cuando corresponda y conservar la información del uso.
¿Hay un régimen especial para pymes?
El Reglamento se aplica a todas las empresas, del tamaño que sean. Lo que cambia es la proporcionalidad de algunas obligaciones y la regla de multas del artículo 99(6), que para pymes y startups limita cada sanción al menor de los dos valores previstos. No existe una exención por ser pequeño.
¿Cuáles son los niveles de riesgo y qué ejemplo tiene cada uno en una pyme?
El Reglamento ordena los sistemas en cuatro niveles. La clasificación no depende del precio de la herramienta ni del tamaño de tu empresa, sino del uso y del impacto sobre las personas. Un mismo sistema puede ser de riesgo limitado en un uso y de alto riesgo en otro.
Las listas que importan están en el artículo 5 (usos prohibidos) y en el anexo III (alto riesgo). Si tu sistema entra en uno de esos supuestos, no lo conviertas en limitado porque tú lo veas pequeño.
Riesgo prohibido: usos que no se pueden hacer
El artículo 5 prohíbe ciertas prácticas, sin excepción de tamaño. Por ejemplo: manipular a una persona de forma subliminal o engañosa para que tome una decisión que le cause un perjuicio significativo, explotar su vulnerabilidad por edad, discapacidad o situación económica, crear bases de datos de caras obtenidas de internet o de grabaciones, reconocer emociones en el trabajo o en el aula salvo excepciones médicas o de seguridad, o categorizar biométricamente a personas para deducir datos sensibles. Una pyme no puede usar una cámara para leer las emociones de su plantilla ni montar un ranking de clientes con datos sensibles.
Riesgo alto: sistemas que deciden sobre personas
El anexo III enumera los usos de alto riesgo. En una pyme aparecen sobre todo en selección de personal (filtrar currículos, ordenar candidatos, evaluar pruebas), en acceso a servicios esenciales, en gestión de trabajadores y en puntuación de solvencia o crédito. Una herramienta que ordena candidatos por probabilidad de encajar es alto riesgo. Leer los currículos a mano no lo es. Puntuar la solvencia de un cliente para darle financiación es alto riesgo; segmentar una campaña de marketing, en principio, no.
Riesgo limitado: sistemas que hablan con personas o generan contenido
Aquí están los chatbots, las recepcionistas de voz, los asistentes de atención y los generadores de texto, imagen o audio. La obligación principal es de transparencia: la persona tiene que saber que habla con una IA o que el contenido se ha generado con IA. Es el grupo más habitual en una pyme.
Riesgo mínimo: el resto
Filtros de spam, recomendadores de productos, previsión de stock o mantenimiento predictivo. El Reglamento no les impone obligaciones específicas de transparencia ni de conformidad. Siguen aplicándose el artículo 4 (alfabetización) y el RGPD si hay datos personales.
¿Qué obligación de transparencia impone el artículo 50?
El artículo 50 busca que las personas sepan cuándo hablan con una IA y cuándo un contenido lo ha generado una IA. Se aplica desde el 2 de agosto de 2026.
Las obligaciones principales son cuatro. Los sistemas que interactúan directamente con personas, como un chatbot o una recepcionista de voz, tienen que informar de que son una IA, salvo que resulte evidente por el contexto. El contenido sintético (audio, imagen, vídeo o texto) tiene que marcarse en un formato legible por máquina y detectable como generado o manipulado. Los sistemas de reconocimiento de emociones o de categorización biométrica tienen que informar a las personas expuestas. Y los deepfakes y los textos generados que se publican para informar sobre asuntos de interés público tienen que identificarse como generados por IA.
Para una pyme, lo más habitual es lo primero. Si tu web tiene un chatbot, si el teléfono lo coge una IA o si envías mensajes automáticos, dilo desde el primer contacto. No hace falta un cartel: basta con que el propio sistema lo diga en el saludo o en el primer mensaje, de forma clara. En el caso de un chatbot, la obligación recae en el proveedor del sistema; si tú lo despliegas, comprueba que el aviso está activo y no lo ocultas.
¿Y si uso una herramienta que ya estaba en el mercado?
El Digital Omnibus (Reglamento (UE) 2026/1744) dio un plazo hasta el 2 de diciembre de 2026 para el marcado legible por máquina de los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026. No cambia la obligación de decir a la persona que habla con una IA. Si usas una herramienta de terceros, pregunta al proveedor si el marcado ya está resuelto.
¿Qué es la alfabetización en IA del artículo 4?
El artículo 4 obliga a proveedores y responsables del despliegue a tomar medidas para que su personal y las personas que trabajan con la IA en su nombre tengan un nivel suficiente de alfabetización en IA. Hay que tener en cuenta sus conocimientos técnicos, su experiencia, su formación y el contexto de uso. Se aplica desde el 2 de febrero de 2025.
No pide un curso homologado ni un certificado. Pide que el equipo sepa qué hace la herramienta, qué límites tiene, cuándo debe pasar la conversación a una persona, qué datos puede introducir y qué no, y cómo detectar un resultado erróneo. Vale una sesión práctica con constancia de asistencia, una guía interna o una formación breve. Lo importante es poder demostrar que se hizo.
El Digital Omnibus ajustó la redacción: ahora se pide adoptar medidas para favorecer la alfabetización, sin exigir garantizar un nivel concreto a cada persona. La obligación sigue en vigor y la fecha de aplicación no cambia.
¿Cuándo se aplica cada obligación?
El artículo 113 del texto oficial fija el calendario. Estas son las fechas que afectan a una pyme. La fuente es el Reglamento (UE) 2024/1689, publicado en el DOUE el 12 de julio de 2024.
- 1 de agosto de 2024: entrada en vigor
- 2 de febrero de 2025: capítulos I y II. Incluye las prohibiciones del artículo 5 y la alfabetización del artículo 4
- 2 de agosto de 2025: capítulo III, sección 4 (autoridades notificantes), capítulo V (modelos de IA de uso general), gobernanza, capítulo XII (sanciones) y artículo 78, salvo el artículo 101
- 2 de agosto de 2026: aplicación general, incluida la transparencia del artículo 50
- 2 de diciembre de 2026: fin del plazo de marcado para sistemas generativos ya en el mercado antes del 2 de agosto de 2026 (añadido por el Digital Omnibus)
- 2 de diciembre de 2027: sistemas de alto riesgo del anexo III. Fecha modificada por el Digital Omnibus; el texto original decía 2 de agosto de 2026
- 2 de agosto de 2028: sistemas de alto riesgo del artículo 6(1) y anexo I. Fecha modificada; el texto original decía 2 de agosto de 2027
¿Qué fechas han cambiado?
El texto original fijaba el 2 de agosto de 2026 para los sistemas de alto riesgo del anexo III y el 2 de agosto de 2027 para los del artículo 6(1) y anexo I. Esas dos fechas ya no son las vigentes. El Reglamento (UE) 2026/1744, conocido como paquete Digital Omnibus, publicado en el DOUE el 24 de julio de 2026, las traslada al 2 de diciembre de 2027 y al 2 de agosto de 2028. El resto del calendario del artículo 113 no cambia. Si planificas un proyecto de alto riesgo, comprueba siempre la versión consolidada antes de dar una fecha por firme.
¿Cómo empezar? Checklist de 8 pasos
No hace falta montar un departamento de cumplimiento. Empieza por lo que ya usas y por lo que se aplica hoy. Estos ocho pasos te dan una base ordenada.
- 1. Haz un inventario. Apunta cada herramienta de IA que usa tu equipo, aunque venga dentro de un CRM, una gestoría online o una herramienta de recursos humanos
- 2. Separa los papeles. Para cada sistema, decide si eres proveedor (lo vendes o lo ofreces con tu marca) o deployer (lo usas)
- 3. Clasifica por riesgo. Comprueba si el uso está prohibido (artículo 5), es alto riesgo (anexo III o artículo 6) o limitado. Si dudas, pregunta al proveedor y a tu asesoría
- 4. Revisa los usos prohibidos. Si detectas uno, deja de usarlo o cámbialo antes de seguir
- 5. Pon los avisos de transparencia. Que el chatbot, el teléfono o el contenido generado digan que son IA cuando corresponda (artículo 50)
- 6. Forma al equipo. Explica qué hace cada herramienta, qué datos no se introducen y cuándo hay que pasar a una persona. Deja constancia (artículo 4)
- 7. Revisa los contratos. Aclara quién es proveedor y quién deployer, dónde se tratan los datos, qué garantías hay y qué información te tiene que dar el proveedor
- 8. Documenta las decisiones. Guarda la clasificación, las medidas, la fecha y quién las aprobó. Si un sistema es de alto riesgo, añade supervisión humana, documentación técnica y evaluación de conformidad
¿Y si no sé clasificar un sistema?
Empieza por el uso, no por la herramienta. Pregúntate qué decide o qué hace el sistema y a quién afecta. Si influye en el acceso a un empleo, a un crédito, a un servicio esencial o en la gestión de trabajadores, mira el anexo III. Si solo informa, conversa o genera contenido, mira el artículo 50. Y si sigues con dudas, no lo decidas solo: pregúntalo a tu asesoría y pide al proveedor la documentación.
¿Qué hace LIA y cómo encaja en el artículo 50?
LIA es la recepcionista con IA de RespondeYA. Dice en el saludo que es una inteligencia artificial, que es lo que pide el artículo 50 a un sistema que habla con personas.
Por teléfono te pasa la llamada si es urgente o la piden, en tu horario; si no contestas, toma nota y te avisa con el motivo. Por teléfono ofrece huecos reales y reserva la cita en tu Google Calendar si lo conectas; en el chat y en WhatsApp, o si no conectas tu agenda, recoge la solicitud y te la envía al instante. Atiende en español, inglés, francés, alemán, portugués e italiano.
LIA no certifica tu cumplimiento ni sustituye a tu asesoría. Cubre la parte de transparencia en el primer contacto y deja por escrito el resumen de cada llamada y lo que se dijo. Los precios y las condiciones están en la página de precios. Si necesitas un proyecto de cumplimiento a medida, con inventario, clasificación, documentación o formación, se habla por la página de contacto.
Qué obliga cada nivel de riesgo
| Nivel de riesgo | Riesgo mínimo | Riesgo limitado | Alto riesgo |
|---|---|---|---|
| Ejemplos en una pyme | Filtro de spam, previsión de stock, recomendador de productos | Chatbot web, recepcionista de voz, generador de textos o imágenes | Filtrado de currículos, scoring de solvencia, gestión de trabajadores, acceso a servicios esenciales |
| ¿Hay que avisar de que es IA? | No hay obligación específica de la AI Act | Sí, artículo 50 | Sí, y además hay que informar a las personas afectadas y garantizar supervisión humana |
| Obligaciones principales | Ninguna específica por nivel; se mantienen el artículo 4 y el RGPD | Transparencia del artículo 50 y alfabetización del artículo 4 | Gestión de riesgos, gobernanza de datos, documentación técnica, registro, supervisión humana, exactitud, robustez y ciberseguridad |
| ¿Evaluación de conformidad? | No | No | Sí, antes de ponerlo en el mercado |
| ¿Registro en la base de datos de la UE? | No | No | Sí para los sistemas del anexo III que lo exigen; también para determinados responsables del despliegue que prestan servicios públicos |
| ¿Quién responde? | Quien lo usa, por el RGPD y el artículo 4 | El proveedor por el aviso del artículo 50; el deployer, por usarlo conforme a las instrucciones y por los avisos que le correspondan | El proveedor por el diseño y la conformidad; el deployer por el uso, la supervisión humana y la conservación de registros |
Preguntas frecuentes
¿El AI Act se aplica a una pyme que solo usa un chatbot?
Sí. Si el chatbot habla con clientes, es un sistema de riesgo limitado y debe avisar de que es una IA (artículo 50), desde el 2 de agosto de 2026. Además, tienes que cumplir el artículo 4 (alfabetización del equipo) y el RGPD.
¿Una recepcionista virtual con IA es alto riesgo?
No por el hecho de coger llamadas. Si informa, recoge datos y agenda, es riesgo limitado. Sería alto riesgo si se usara para decidir sobre personas, por ejemplo para filtrar candidatos o puntuar su solvencia.
¿Qué obligaciones tengo si la IA me la da un proveedor?
Normalmente eres responsable del despliegue (deployer). Tienes que usar el sistema conforme a las instrucciones del proveedor, garantizar la supervisión humana cuando toque, conservar los registros y no ocultar los avisos de transparencia. Pide al proveedor la clasificación de riesgo, la información de uso y el contrato de tratamiento de datos.
¿Tengo que registrar mi sistema en la base de datos de la UE?
Solo algunos sistemas de alto riesgo del anexo III. Un chatbot o una recepcionista de riesgo limitado no se registran. Si tu sistema es de alto riesgo, mira el artículo 49 y las obligaciones del proveedor.
¿Cuándo tengo que cumplir?
Las prohibiciones y la alfabetización, desde el 2 de febrero de 2025. La transparencia del artículo 50, desde el 2 de agosto de 2026. Las obligaciones de alto riesgo se han retrasado por el Digital Omnibus: 2 de diciembre de 2027 para el anexo III y 2 de agosto de 2028 para el anexo I. Comprueba la versión consolidada.
¿Hay multas para pymes?
El artículo 99 fija el régimen de sanciones. Para pymes y startups, el artículo 99(6) limita cada multa al menor de los dos valores previstos: el porcentaje de facturación o el importe fijo. Las cuantías concretas están en el texto oficial. No las des por supuestas sin leerlo.
¿Esto es asesoramiento jurídico?
No. Es material divulgativo. Antes de cambiar contratos, clasificar un sistema o responder a una autoridad, revisa tu caso con tu asesoría.
¿LIA cumple el artículo 50?
LIA dice en el saludo que es una inteligencia artificial. Es lo que exige el artículo 50 para un sistema que interactúa con personas. No sustituye a tu asesoría ni certifica el cumplimiento de tu negocio.