Reglamento Europeo de IA para pymes: qué te obliga y qué no

Cada vez que aparece una nueva normativa europea, la reacción de la pyme es la misma: o pánico («esto nos va a costar una fortuna») o negación («eso es para las grandes»). Con el Reglamento Europeo de IA, las dos reacciones fallan. Ni te obliga a montar un departamento de cumplimiento, ni puedes ignorarlo si usas IA con clientes o empleados. La clave está en entender qué te aplica de verdad.

(Esto no es asesoramiento jurídico: es una guía para saber por dónde empezar y cuándo llamar a quien corresponda.)

La idea central: se regula por riesgo, no por tecnología

El Reglamento no dice «la IA es peligrosa». Clasifica los usos por el riesgo que suponen para las personas. El mismo tipo de tecnología puede ser irrelevante en un caso y estar muy vigilada en otro. Lo que importa no es qué modelo usas, sino para qué lo usas.

• Riesgo inaceptable: usos prohibidos (por ejemplo, puntuar socialmente a las personas). Simplemente no se pueden hacer.
• Alto riesgo: usos sensibles —selección de personal, concesión de crédito, ciertos ámbitos— con obligaciones fuertes de supervisión y documentación.
• Riesgo limitado: sobre todo obligación de transparencia (avisar de que se está interactuando con una IA o de que un contenido es generado).
• Riesgo mínimo: la mayoría de usos de oficina. Prácticamente sin obligaciones específicas.

Qué te obliga de verdad si eres una pyme

La mayoría de las pymes se mueven en riesgo mínimo o limitado. Ahí, las obligaciones son razonables:

• Transparencia: si un cliente habla con un chatbot, debe saber que es una IA. Si publicas contenido generado, en ciertos casos hay que indicarlo.
• Supervisión humana en las decisiones que afectan a personas: una IA puede ayudar a filtrar currículums, pero la decisión con impacto real necesita una persona detrás.
• Saber qué usas: tener claro qué herramientas de IA hay en la empresa, para qué, y con qué datos. Sin este inventario no puedes demostrar nada.

Qué NO te obliga (y te habían asustado con ello)

No necesitas un comité de ética, ni auditorías externas continuas, ni parar tus herramientas actuales, si tus usos son de riesgo mínimo. Usar un asistente para redactar correos o resumir reuniones no te convierte en un operador de IA de alto riesgo. El error caro es el contrario: aplicarte a ti mismo obligaciones de alto riesgo que no te tocan, y frenar el negocio por miedo.

El Reglamento no premia al que menos IA usa. Premia al que sabe qué usa, para qué, y puede demostrarlo. Eso, además, es buena gestión con o sin normativa.

Dónde está el riesgo real para una pyme

El problema no suele ser el uso vistoso, sino el invisible: el comercial que pega datos de clientes en una herramienta gratuita, el departamento que usa IA para preseleccionar candidatos sin supervisión, la información sensible viajando a sitios sin control. Nada de eso aparece en un organigrama, pero todo eso es exactamente lo que la normativa —y el RGPD antes que ella— te pide vigilar.

Los tres pasos para cumplir sin agobios

1. Inventaría: haz la lista real de qué IA se usa en tu empresa, oficial y no oficial, y para qué. 2. Clasifica: marca cada uso por nivel de riesgo. La mayoría caerá en mínimo; los pocos sensibles (personas, crédito, datos) son los que hay que mirar de cerca. 3. Documenta y supervisa: en los usos que afectan a personas, deja constancia de que hay control humano y transparencia.

¿Qué fechas debes tener en el calendario?

El Reglamento no entra en vigor de golpe: se despliega por fases, y cada fase activa obligaciones distintas. Lo relevante para una pyme es saber qué le aplica ya y qué viene después.

• Desde febrero de 2025 — prohibidas las prácticas de riesgo inaceptable (manipulación, puntuación social). Si no las usabas, nada cambia.
• Desde agosto de 2025 — obligaciones para modelos de IA de uso general. Afecta sobre todo a proveedores; a ti como usuario, indirectamente.
• Desde agosto de 2026 — el grueso: transparencia, supervisión humana y las obligaciones de los sistemas de alto riesgo. Esta es la fecha que a una pyme le importa.
• Hasta 2027 — plazos extendidos para sistemas de alto riesgo integrados en productos regulados.

La lectura práctica: el tiempo de "ya lo miraré" se ha acabado. Lo que hagas este año es lo que te encontrará la fecha de aplicación plena.

¿Qué sanciones hay (y cuáles te podrían tocar)?

Las multas del Reglamento asustan sobre el papel: hasta 35 millones de euros o el 7 % de la facturación global para las infracciones más graves. Pero conviene leerlas con calma.

• Prácticas prohibidas: hasta 35 M€ o el 7 % de facturación. Casi imposible que una pyme caiga aquí sin saberlo.
• Incumplir obligaciones de alto riesgo: hasta 15 M€ o el 3 %. Aplica si usas IA en selección de personal o crédito sin supervisión ni documentación.
• Información incorrecta a las autoridades: hasta 7,5 M€ o el 1 %.

El Reglamento prevé expresamente sanciones proporcionadas para pymes: se aplica el porcentaje o el fijo, el que resulte MENOR. El riesgo real de una pyme no es la multa millonaria: es la inspección incómoda, el cliente corporativo que te exige cumplimiento para contratarte, y el coste de arreglar deprisa lo que pudiste ordenar con calma.

¿Cómo afecta a cada área de tu empresa?

• Recursos humanos: el área más sensible. Filtrar currículums o evaluar desempeño con IA es alto riesgo: exige supervisión humana documentada. Si tu software de RRHH "puntúa" candidatos, pregunta a tu proveedor cómo cumple.
• Atención al cliente: chatbots = transparencia. El cliente debe saber que habla con una máquina. Un aviso claro basta; ocultarlo es infracción directa.
• Marketing: contenido generado con IA en general no exige etiquetado, pero los deepfakes y la publicidad que simula personas reales sí. Y el RGPD sigue mandando sobre los datos que usas para segmentar.
• Administración y finanzas: scoring de clientes y decisiones de crédito con IA entran en alto riesgo. Automatizar conciliaciones o previsiones internas, en cambio, es riesgo mínimo.

Checklist mínima para estar tranquilo

1. Inventario de herramientas de IA en uso, oficiales y no oficiales, con qué datos tocan. 2. Clasificación por riesgo de cada uso (la mayoría: mínimo). 3. Transparencia activada donde toca: chatbots identificados, contenido sensible etiquetado. 4. Supervisión humana documentada en decisiones sobre personas. 5. Una página que resuma todo lo anterior, con un responsable con nombre. Eso es lo que enseñarás si alguien pregunta.

Preguntas frecuentes

¿El Reglamento Europeo de IA aplica a mi pyme aunque solo use ChatGPT?

Sí, pero con obligaciones mínimas. Usar asistentes de IA para redactar o resumir es riesgo mínimo: no exige documentación específica. Te aplica la transparencia si publicas contenido sensible generado y, siempre, el RGPD sobre los datos que introduces.

¿Necesito contratar un delegado de IA o un consultor para cumplir?

No es obligatorio. Para usos de riesgo mínimo basta con inventario, criterio y transparencia. Contratar ayuda externa compensa cuando usas IA en decisiones sobre personas (RRHH, crédito) o quieres dejarlo auditable de una vez.

¿Qué pasa si uso una herramienta de un proveedor que no cumple?

La responsabilidad se reparte: el proveedor responde por el sistema y tú por el uso que haces de él. En la práctica: pide a tus proveedores su documentación de cumplimiento y guarda el rastro. Si el proveedor no puede dártela, es una señal.

¿La ley de inteligencia artificial española es distinta del Reglamento europeo?

El Reglamento es directamente aplicable en toda la UE, sin necesidad de ley nacional. España añade la estructura de supervisión (AESIA) y podrá desarrollar aspectos concretos, pero las obligaciones que te afectan salen del texto europeo.

Ninguno de los tres exige un presupuesto de gran empresa. Exige orden — el mismo orden que, casualmente, hace que la IA rinda mejor. Cumplir el Reglamento y usar bien la IA no son dos proyectos: son el mismo, mirado desde dos ángulos.