Reglamento Europeo de IA para pymes: qué te obliga y qué no

Cada vez que aparece una nueva normativa europea, la reacción de la pyme es la misma: o pánico («esto nos va a costar una fortuna») o negación («eso es para las grandes»). Con el Reglamento Europeo de IA, las dos reacciones fallan. Ni te obliga a montar un departamento de cumplimiento, ni puedes ignorarlo si usas IA con clientes o empleados. La clave está en entender qué te aplica de verdad.

(Esto no es asesoramiento jurídico: es una guía para saber por dónde empezar y cuándo llamar a quien corresponda.)

La idea central: se regula por riesgo, no por tecnología

El Reglamento no dice «la IA es peligrosa». Clasifica los usos por el riesgo que suponen para las personas. El mismo tipo de tecnología puede ser irrelevante en un caso y estar muy vigilada en otro. Lo que importa no es qué modelo usas, sino para qué lo usas.

• Riesgo inaceptable: usos prohibidos (por ejemplo, puntuar socialmente a las personas). Simplemente no se pueden hacer.
• Alto riesgo: usos sensibles —selección de personal, concesión de crédito, ciertos ámbitos— con obligaciones fuertes de supervisión y documentación.
• Riesgo limitado: sobre todo obligación de transparencia (avisar de que se está interactuando con una IA o de que un contenido es generado).
• Riesgo mínimo: la mayoría de usos de oficina. Prácticamente sin obligaciones específicas.

Qué te obliga de verdad si eres una pyme

La mayoría de las pymes se mueven en riesgo mínimo o limitado. Ahí, las obligaciones son razonables:

• Transparencia: si un cliente habla con un chatbot, debe saber que es una IA. Si publicas contenido generado, en ciertos casos hay que indicarlo.
• Supervisión humana en las decisiones que afectan a personas: una IA puede ayudar a filtrar currículums, pero la decisión con impacto real necesita una persona detrás.
• Saber qué usas: tener claro qué herramientas de IA hay en la empresa, para qué, y con qué datos. Sin este inventario no puedes demostrar nada.

Qué NO te obliga (y te habían asustado con ello)

No necesitas un comité de ética, ni auditorías externas continuas, ni parar tus herramientas actuales, si tus usos son de riesgo mínimo. Usar un asistente para redactar correos o resumir reuniones no te convierte en un operador de IA de alto riesgo. El error caro es el contrario: aplicarte a ti mismo obligaciones de alto riesgo que no te tocan, y frenar el negocio por miedo.

El Reglamento no premia al que menos IA usa. Premia al que sabe qué usa, para qué, y puede demostrarlo. Eso, además, es buena gestión con o sin normativa.

Dónde está el riesgo real para una pyme

El problema no suele ser el uso vistoso, sino el invisible: el comercial que pega datos de clientes en una herramienta gratuita, el departamento que usa IA para preseleccionar candidatos sin supervisión, la información sensible viajando a sitios sin control. Nada de eso aparece en un organigrama, pero todo eso es exactamente lo que la normativa —y el RGPD antes que ella— te pide vigilar.

Los tres pasos para cumplir sin agobios

1. Inventaría: haz la lista real de qué IA se usa en tu empresa, oficial y no oficial, y para qué. 2. Clasifica: marca cada uso por nivel de riesgo. La mayoría caerá en mínimo; los pocos sensibles (personas, crédito, datos) son los que hay que mirar de cerca. 3. Documenta y supervisa: en los usos que afectan a personas, deja constancia de que hay control humano y transparencia.

Ninguno de los tres exige un presupuesto de gran empresa. Exige orden — el mismo orden que, casualmente, hace que la IA rinda mejor. Cumplir el Reglamento y usar bien la IA no son dos proyectos: son el mismo, mirado desde dos ángulos.