El cumplimiento del AI Act en empresas que solo usan IA, como la tuya, no es un proyecto de un año. Es un proceso de cinco pasos que te cabe en un mes y en una carpeta. Qué pide la ley ya te lo cuentan muchas listas. Lo que casi nadie te cuenta es lo que atasca a una pyme como la tuya: quién se encarga, qué documento sale de cada paso, qué guardas como prueba y en qué orden lo haces.
Cumplimiento del AI Act en empresas: que lo puedas enseñar
Imagina que diriges una empresa de quince personas y un lunes te llega un correo de tu asesoría: «hay que adaptarse al Reglamento de IA». Lo abres, ves artículos, anexos y plazos, y lo cierras. Te entiendo. Pero cumplir no es saberse el Reglamento. Es poder enseñar que hiciste lo que te tocaba.
Si tienes empleados, ya conoces la idea por la prevención de riesgos. Nadie te pregunta si sabes que hay que llevar casco. Te piden la hoja firmada de entrega de los equipos. Con la IA pasa igual: lo que cuenta es el papel que demuestra que se hizo.
Antes de empezar, una frase para situarte. Si en tu empresa se usa Claude, ChatGPT o Copilot para trabajar, eres responsable del despliegue (la empresa que usa la IA, no la que la fabrica). Qué te toca por ese papel está en obligaciones de IA para pymes y en normativa de IA para empresas. Aquí va cómo organizas el trabajo.
Quién se encarga, sin crear un cargo nuevo
La ley no te obliga a nombrar un «responsable de IA» como el delegado de protección de datos. Pero si nadie se encarga, no lo hace nadie. Vuelve a tu empresa de quince: el reparto que funciona es este.
- Tú decides y firmas. Apruebas la política de uso, eliges la herramienta y contratas el plan. Eres quien responde si algo sale mal.
- Una persona coordina. Seguramente quien ya te lleva la protección de datos o la administración. Mueve los papeles, pregunta y guarda la carpeta.
- Cada responsable de área aporta lo suyo. Sabe qué usa su gente y para qué, que es justo lo que hace falta en el primer paso.
- Un asesor externo, solo si hace falta. Si algún uso es de alto riesgo o si vendes un producto con IA dentro. Para usar un chat, no.
¿Por qué no lo lleva todo una sola persona? Porque nadie sabe qué IA usa tu equipo comercial mejor que quien lo dirige. La coordinadora pregunta; no adivina.
El proceso, en cinco pasos y en este orden
El orden importa más de lo que parece. Cada paso necesita lo que sale del anterior: no puedes formar a tu gente sin saber quién usa qué, ni escribir las reglas sin saber qué datos se están pegando.
Paso 1 · Saber qué IA se usa
Una encuesta corta a toda la plantilla: qué herramienta, para qué tarea, con qué cuenta y qué datos se pegan. Sin juzgar a nadie. Te van a salir tres o cuatro cuentas gratuitas que no sabías que existían, y es normal: la gente las usa porque le ahorran tiempo. Eso es información útil, no un problema.
Sale de aquí: el inventario, una hoja de cálculo con una fila por uso. Cómo hacerlo sin que parezca una auditoría, en inventario de IA en la empresa.
Paso 2 · Clasificar cada uso
A cada fila del inventario le haces cuatro preguntas. ¿Está prohibido? ¿Es de alto riesgo, es decir, decide sobre personas? ¿Lo ve un cliente o el público? ¿Lleva datos personales?
Casi todas te saldrán «no, no, no, a veces». Redactar la oferta de empleo con Claude es un uso normal. Que la IA elija qué currículos pasan es alto riesgo (y ahí cambia todo, lo vemos más abajo).
Sale de aquí: cuatro columnas más en el mismo inventario. No hace falta otro documento.
Paso 3 · Poner reglas y una cuenta de empresa
Con el inventario delante, se escriben las reglas. Dos folios: qué se puede meter, qué no, con qué cuenta y quién revisa lo que sale a un cliente. Tienes una plantilla de política de uso de IA.
A la vez contratas el plan de empresa de la herramienta elegida. ¿Por qué ahora y no antes? Porque el inventario te dice cuántas personas la necesitan. Las condiciones de ese plan incluyen el contrato de encargado (el documento en el que el proveedor se compromete a tratar tus datos solo para lo que le pides), que es la parte del RGPD e inteligencia artificial que más se olvida.
Sale de aquí: la política firmada por ti y comunicada al equipo, y las condiciones del plan guardadas en PDF.
Paso 4 · Formar por puesto y apuntarlo
El artículo 4 del Reglamento pide, desde el 2 de febrero de 2025, que la empresa adopte medidas para apoyar la alfabetización en IA de quien la usa. Tras el Ómnibus de julio de 2026, el texto deja claro que no se exige un nivel concreto a ninguna persona. Pero sí tienes que hacer algo, y adaptado al uso.
Tu administración no usa la IA igual que tu comercial, así que la formación va por puesto, con las reglas del paso 3 dentro. Y se apunta: quién, en qué, cuándo. Qué guardar exactamente, en registro de formación en IA.
Sale de aquí: el registro de formación y los certificados o justificantes de cada persona.
Paso 5 · Avisar donde toca
Desde el 2 de agosto de 2026 aplica el artículo 50. Si un cliente habla con un chatbot en tu web (el asistente de reservas, por ejemplo), tiene que saber que no es una persona. Si publicas imágenes realistas hechas con IA, se etiquetan.
El correo de impago que te ayudó a escribir Claude no lleva aviso. Tampoco el acta ni la propuesta.
Sale de aquí: una captura del aviso del chatbot con la fecha, y una línea en la política sobre qué se etiqueta.
La carpeta: documento, quién, evidencia y cuándo se revisa
Esta es la documentación del AI Act de una pyme que usa IA sin fabricarla. Te cabe en una carpeta compartida.
| Documento | Quién lo hace | Qué guardar como prueba | Cuándo se revisa |
|---|---|---|---|
| Inventario y clasificación | La coordinadora, con los responsables de área | La hoja con fecha y las respuestas de la encuesta | Cada año y cada vez que entra una herramienta nueva |
| Política de uso de IA | La coordinadora redacta; tú firmas | La versión firmada y el correo con el que se comunicó | Cada año o si cambia la herramienta |
| Condiciones del plan de empresa | Tú contratas | El PDF de las condiciones y del contrato de encargado | Cuando el proveedor las cambie |
| Registro de formación | La coordinadora | Quién, qué contenido, fecha y justificante | Con cada incorporación y cada cambio de puesto |
| Aviso de IA del chatbot | Quien lleva la web | Captura del aviso con fecha | Cuando se cambie el chatbot |
| Acta de revisión | Tú y la coordinadora | Una página: qué se revisó y qué cambió | Una vez al año |
Seis documentos, casi todos de una o dos páginas. El acta de revisión es la que convierte cinco papeles sueltos en un proceso: demuestra que alguien lo mira.
Si algún uso es de alto riesgo
Si en el paso 2 alguna fila te salió de alto riesgo, como filtrar currículos o evaluar a la plantilla, el proceso se alarga. Esas obligaciones aplican desde el 2 de diciembre de 2027 para los usos del anexo III, tras el aplazamiento del Ómnibus publicado en el BOE.
El artículo 26 del Reglamento de IA te pide cuatro cosas más. Usar el sistema según las instrucciones del proveedor. Poner a una persona con capacidad real de corregirlo. Guardar sus registros al menos seis meses. E informar a los representantes de los trabajadores y a las personas afectadas.
Cada una es un documento más, y aquí sí conviene hablar con quien te asesore. Si lo que haces es vender un producto con IA dentro, eres proveedor y el trabajo es otro: las guías de la AESIA están pensadas sobre todo para ese caso.
Lo que te pedirían y lo que nadie te exige
¿Cuándo sacarías la carpeta? Puede pedírtela la autoridad, que en España es la AESIA. Puede salir en una inspección por otro motivo. O puede pedírtela un cliente grande antes de firmar, que es lo más probable. Los requisitos del AI Act para una empresa que solo usa IA se demuestran con esos seis papeles.
Lo que nadie te exige: un sello que diga que cumples, una auditoría externa, un curso con horas mínimas o registrarte en la base de datos europea. El cumplimiento normativo de la inteligencia artificial, para quien usa un chat, es orden y constancia. Las multas existen y están en sanciones del AI Act, pero no son el argumento.
Cada norma nueva trae pegado el sello que la resuelve. Este no existe para quien usa un chat. Lo que existe es tu carpeta.
Cumplir el AI Act no es saberse el Reglamento: es poder enseñar la carpeta. Cinco pasos en orden, seis documentos cortos y alguien que la revise una vez al año.
Lo que hacemos
Nosotros nos ocupamos del paso 4, que es el que más cuesta hacer bien. Formamos a equipos de pymes en Claude, puesto a puesto, con las reglas de tu política dentro. Cada persona sale con su certificado (nombre, contenido y fecha) y tú con el registro. Cuéntanos cuántos sois y qué usáis en la página de empresas.
Si eres tú quien quiere empezar por su cuenta, Claude para principiantes es el primer paso. El calendario completo, con lo que cambió este verano, está en AI Act: qué te toca hacer. Esto es orientación práctica, no asesoramiento legal; para tu caso concreto, consúltalo con quien te lleve lo legal.
Preguntas frecuentes
¿Qué hay que hacer para cumplir el AI Act en una empresa?
Si la empresa usa IA sin fabricarla, cinco pasos en orden: saber qué IA se usa, clasificar cada uso, poner reglas con una cuenta de empresa, formar por puesto y avisar donde toca. Después, revisarlo una vez al año y guardar la prueba de cada paso.
¿Qué documentos hacen falta para cumplir el AI Act?
Para quien solo usa IA: el inventario con su clasificación, la política de uso firmada, las condiciones del plan de empresa, el registro de formación, la captura del aviso si hay chatbot y un acta de revisión anual. Casi todos de una o dos páginas.
¿Quién es el responsable del cumplimiento del AI Act en la empresa?
La empresa, como responsable del despliegue. La ley no crea un cargo obligatorio. Lo práctico es que quien dirige decida y firme y que una persona, a menudo quien ya lleva protección de datos, coordine y guarde la carpeta.
¿Cuánto se tarda en adaptarse al AI Act?
No hay una cifra oficial y depende de lo que uses. Para una pyme que solo usa asistentes de chat, nuestra propuesta es un paso por semana, con el primero y el tercero como los más largos. Si hay usos de alto riesgo, lleva más y conviene asesoramiento.
¿Cumplir el RGPD basta para cumplir el AI Act?
No. Se suman. El RGPD cubre los datos personales que pegas en la IA; el Reglamento de IA añade la formación del artículo 4, los avisos del artículo 50 y, si decides sobre personas, las obligaciones de alto riesgo. El contrato de encargado sirve para lo primero, no para lo segundo.