Reglamento de IA para pymes: lo único que tienes que hacer en 2026

Con la fecha del 2 de agosto de 2026 encima, abundan las ofertas de "formación para cumplir el AI Act", las "auditorías de conformidad" para un chat de web y los dueños de negocio que se preguntan si tienen que dar de baja el ChatGPT de la oficina. Las tres cosas vienen del mismo sitio: el Reglamento europeo se ha contado como si fuera el RGPD de 2018, y no lo es. Para una pyme que usa herramientas de otros, pide dos cosas concretas y con fecha. Esta guía las cuenta, dice qué se aplaza, qué está prohibido y qué es humo.

De qué reglamento hablamos y a quién le pide qué

El Reglamento (UE) 2024/1689, el "Reglamento de Inteligencia Artificial", entró en vigor el 1 de agosto de 2024 y se aplica por fases. Distingue entre quien fabrica un sistema de IA (el proveedor: OpenAI, Anthropic, Google, la empresa que hace un chatbot y lo vende) y quien lo usa en su actividad (el responsable del despliegue: tú, cuando pones un chat en tu web o usas ChatGPT en la oficina). Casi todo el peso del reglamento cae en los fabricantes y en los sistemas de "alto riesgo". A quien usa herramientas de terceros para cosas normales le tocan dos obligaciones.

Primera obligación: formación mínima, desde el 2 de febrero de 2025

El artículo 4 pide a quien usa sistemas de IA que tome medidas para que su personal tenga "un nivel suficiente de alfabetización en materia de IA", según lo que cada uno haga con ella. No dice cuántas horas, no exige título ni examen, y no fija sanción propia; es una obligación de medios. Para una empresa de cinco personas que usa ChatGPT y un chat en la web, se cumple con una sesión de una o dos horas. Se cuenta qué hace la herramienta, qué no hay que meterle (datos de clientes, contraseñas, información de salud), cómo revisar lo que produce y a quién avisar si algo sale mal. Y se guarda un acta con fecha y asistentes por si alguien la pide.

Lo que hacemos nosotros: el taller "IA en tu empresa" incluye esa sesión con acta, y con cada asistente que montamos entregamos una hoja de una página para el equipo. No hace falta más, y quien te venda un curso de veinte horas "para cumplir el artículo 4" te está vendiendo el curso, no el cumplimiento.

Segunda obligación: avisar de que es una máquina, desde el 2 de agosto de 2026

El artículo 50 fija las obligaciones de transparencia. Para una pyme, la que importa es la primera: quien pone un sistema de IA a interactuar con personas tiene que hacer que sepan que hablan con una IA, salvo que sea evidente. En la práctica: el chat de tu web y el asistente de WhatsApp dicen en el primer mensaje algo como "Soy el asistente automático de Clínica Ejemplo; respondo con lo que hay en la web y, si no lo sé, te paso con una persona". Clara, al principio, en el idioma del cliente.

Hay tres cosas más en el artículo 50 que conviene saber, aunque casi nunca toquen a una pyme:

• Texto generado y publicado. Si publicas un texto escrito por IA "con el fin de informar al público sobre asuntos de interés público" (salud, derechos, consumo), tienes que decirlo, salvo que una persona lo haya revisado y asuma la responsabilidad editorial. Las descripciones de producto, los correos y las ofertas revisadas por alguien de tu empresa no llevan etiqueta.
• Imágenes, audio y vídeo. Los fabricantes tienen que marcar técnicamente lo que generan sus sistemas. Quien publica una "ultrasuplantación" (un vídeo o audio que hace parecer que alguien dijo o hizo algo) tiene que decir que es artificial. Retocar la luz o el fondo de una foto de producto no es eso.
• Reconocimiento de emociones y categorización biométrica. Hay que informar a la persona. En el trabajo y en la educación, además, está prohibido (ver más abajo).

La Comisión Europea propuso a finales de 2025 un paquete de simplificación ("Ómnibus digital") que ha aplazado las obligaciones de los sistemas de alto riesgo; no ha aplazado la transparencia del artículo 50, que se aplica desde el 2 de agosto de 2026 como estaba previsto.

Prohibido desde el 2 de febrero de 2025

El artículo 5 prohíbe unas cuantas prácticas. Las que podrían aparecer en una pyme sin darse cuenta: inferir emociones de empleados o alumnos con IA (algunos programas de control de productividad o de videollamada lo incluyen; hay que desactivarlo), la puntuación social de personas y la manipulación subliminal. Las multas por prácticas prohibidas son las más altas del reglamento: hasta 35 millones de euros o el 7 % de la facturación mundial, con el límite menor de los dos para pymes.

Alto riesgo: se aplaza y no te toca

Los sistemas de "alto riesgo" del anexo III (selección de personal, evaluación de empleados, acceso a crédito y seguros, educación, servicios esenciales, aplicación de la ley) tenían fecha del 2 de agosto de 2026. Con el Ómnibus pasan a diciembre de 2027. Los del anexo I (IA dentro de productos regulados, como máquinas o dispositivos médicos), a agosto de 2028. Esas obligaciones (gestión de riesgos, documentación técnica, supervisión humana, registro europeo, marcado CE) son para quien fabrica esos sistemas y, en menor medida, para quien los usa. Una pyme que usa un chatbot para contestar horarios, ChatGPT para redactar o una herramienta que lee facturas no está en el anexo III. Si usas IA para decidir a quién contratas o a quién das crédito, sí, y ahí conviene un abogado; nosotros no montamos nada de eso.

Quién vigila en España y qué falta por aprobar

La autoridad es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, junto con la Agencia Española de Protección de Datos en lo que toca a datos personales. La ley española que fija el régimen sancionador (el anteproyecto de ley de buen uso y gobernanza de la IA, aprobado por el Consejo de Ministros en marzo de 2025) sigue en tramitación en septiembre de 2026. Es decir: la obligación europea existe y es directamente aplicable, pero el detalle de quién multa, cuánto y con qué procedimiento en España todavía no está cerrado. Eso no quita la frase del chat. Sí invita a desconfiar de quien te hable de multas concretas.

El RGPD es lo que te obliga de verdad

Lo que más trabajo da en una pyme con un chat es el Reglamento de protección de datos de 2016, que no ha cambiado, y no el de IA. Las conversaciones del chat, los correos que clasifica una automatización y los documentos que lee una herramienta son datos personales. Hace falta una cláusula de privacidad que diga qué se hace con ellos y con qué proveedor. Hace falta un contrato de encargado de tratamiento con ese proveedor: Anthropic, OpenAI y Google lo ofrecen, y una herramienta sin contrato no se puede usar con datos de clientes. Y hacen falta un plazo de conservación y borrado y la anotación en tu registro de actividades. Y sentido común con lo que se le mete a una herramienta gratuita: un ChatGPT personal sin contrato no es sitio para el listado de clientes.

Qué hacemos con cada asistente que montamos

1. El aviso, de serie y sin botón para quitarlo. Primer mensaje: "Soy el asistente automático de…". En la web y en WhatsApp.
2. Los textos. Cláusula de privacidad de las conversaciones, política interna de uso de IA y registro de los sistemas que usa la empresa. Son los textos y avisos de IA: 149 €, incluidos en cualquier alta.
3. La hoja para el equipo. Una página: qué hace el asistente, qué no meterle, cómo revisar y a quién avisar. Con acta si se hace en el taller.
4. El contrato con el proveedor. Los textos pasan por la API del proveedor del modelo, con contrato de tratamiento de datos y sin uso para entrenar; las conversaciones se guardan noventa días y se borran. Te decimos cuál es y dónde procesa antes de firmar.

Humo, con nombre

• "Certificación AI Act" para un chatbot. No existe. El marcado CE y la evaluación de conformidad son para alto riesgo y para fabricantes.
• "Registro obligatorio de tu chat en la base de datos europea". La base de datos del artículo 71 es para sistemas de alto riesgo. Tu chat no va ahí.
• "Auditoría de cumplimiento del Reglamento de IA" a precio de auditoría. Para una pyme, la comprobación es: ¿el chat avisa? ¿hay acta de la sesión? ¿hay cláusula y contrato de tratamiento? Se hace en una hora.
• "Curso homologado" de alfabetización. El artículo 4 no homologa nada. Vale una sesión interna con acta.
• "Etiqueta obligatoria en todo lo que escribas con IA". Solo en textos publicados sobre asuntos de interés público sin revisión humana, y en ultrasuplantaciones.

Si tienes un chat en la web y no sabes si avisa, es tan sencillo como abrirlo y leer el primer mensaje. Si lo montamos nosotros, ya lo hace. Las dos obligaciones tienen guía propia con los textos para copiar: cómo avisar de que tu chat es una IA y la sesión de formación de una hora con su acta, y la política de uso de una página recoge lo que se firma en esa sesión. Si quieres saber qué más podría hacer la IA en tu negocio con precio, el test de un minuto te lo dice.