La normativa de IA para empresas no es una ley: son cuatro, y os afectan desde el día en que alguien del equipo usa Claude, ChatGPT o Copilot para trabajar. No hace falta ser una tecnológica ni tener cincuenta empleados. Aquí tenéis el mapa de esas cuatro normas, las obligaciones que ya aplican tras el Ómnibus de julio de 2026, quién vigila y lo que nadie os exige, aunque os lo quieran vender.
Normativa de IA para empresas: cuatro normas, no una ley
Cuando alguien dice «la ley de IA», casi siempre piensa en una sola norma. En realidad son cuatro, y cada una mira una cosa distinta.
Pasa lo mismo con el coche de empresa. Está el código de circulación, está el seguro y está el convenio de quien conduce. Nadie elige cuál cumplir: se aplican todas a la vez, cada una a lo suyo. Con la IA, igual.
| Norma | Qué regula | Os toca si… |
|---|---|---|
| Reglamento Europeo de IA, el AI Act | Cómo se fabrica y cómo se usa la IA: formar al equipo, avisar de que es IA, usos prohibidos | Alguien usa IA en el trabajo. Es decir, casi seguro |
| RGPD, protección de datos | Qué pasa con los datos personales que le dais a la IA | Pegáis nombres, nóminas, currículums o datos de clientes |
| Ley española de IA: el proyecto caducó en octubre de 2026 | Quién vigila en España y cómo se sanciona | Todavía no se aplica; el Reglamento europeo, sí |
| Estatuto de los Trabajadores, artículo 64.4.d | Informar a la representación de la plantilla de los algoritmos que deciden sobre el trabajo | Un programa decide turnos, contrataciones o evaluaciones y tenéis comité o delegados |
La regla general: las dos primeras os tocan a casi todos. Las otras dos dependen de lo que hagáis con la IA.
Y para saber qué os pide la primera, el Reglamento, hay una pregunta previa que casi nadie se hace. ¿Qué papel tenéis vosotros? Te lo cuento, porque de esa respuesta cuelga todo lo demás.
Primero, qué sois: la empresa que usa la IA, no la que la fabrica
El Reglamento reparte las obligaciones según el papel de cada uno. Está el proveedor, que es quien fabrica o vende el sistema (Anthropic, la empresa que hace Claude; OpenAI, la de ChatGPT). Y está el responsable del despliegue, que es el nombre técnico de quien lo usa en su trabajo.
Una gestoría que redacta comunicaciones con Claude es responsable del despliegue. Un despacho que resume contratos con ChatGPT, también. Volviendo al coche: el fabricante responde de los frenos; vosotros, de conducir con carné.
¿Por qué importa? Porque las obligaciones pesadas son del proveedor: la documentación técnica, la evaluación de conformidad, el registro en la base de datos europea. Las vuestras son pocas y concretas. Los requisitos del AI Act para empresas, rol por rol, están en cumplimiento del AI Act en empresas.
Las obligaciones legales de IA para empresas que ya aplican
Para una empresa que usa IA, las obligaciones en vigor son tres, más una lista de usos prohibidos. Vamos una a una, cada una con su ejemplo.
Formar a quien usa la IA, desde el 2 de febrero de 2025. Es el artículo 4 del Reglamento. Tras el Ómnibus de julio de 2026 (la reforma que retocó el Reglamento), dice que las empresas «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal.
Traducido: tomar medidas para que quien usa IA sepa usarla. El mismo artículo aclara que no exige «un nivel específico de alfabetización en materia de IA de ninguna persona en particular». No hay examen oficial que aprobar, pero sí algo que poder enseñar. El texto está en el Reglamento (UE) 2026/1744 publicado en el BOE, y lo explicamos entero en el artículo 4 del Reglamento de IA.
Avisar de que es IA, desde el 2 de agosto de 2026. Es el artículo 50. Si un cliente escribe al chat de reservas de vuestra web, tiene que saber que le contesta una máquina. En cambio, un correo que redactáis con ayuda de Claude y firmáis vosotros no necesita aviso. Los detalles del chatbot con IA, aparte.
Cuidar los datos personales, como siempre. No es del Reglamento de IA, sino del RGPD, y es la que más disgustos da. Pegar la nómina de alguien en una cuenta personal de ChatGPT es pasar datos a una empresa con la que no tenéis contrato. La salida es una cuenta de empresa o anonimizar. Más en RGPD e inteligencia artificial.
No usar la IA para lo prohibido, desde febrero de 2025. Son usos vetados a todo el mundo: puntuar a las personas por su comportamiento, manipularlas o reconocer sus emociones en el trabajo (salvo por motivos médicos o de seguridad). Una pyme que redacta y resume no se acerca, pero conviene saber que existen.
Esas cuatro, con lo que tenéis que tener hecho y un plan de un mes, están en obligaciones de IA para pymes. Aquí seguimos con el mapa.
Las fechas, tras el Ómnibus de julio de 2026
Si leísteis algo sobre el AI Act hace un año, seguramente decía que casi todo se aplicaba el 2 de agosto de 2026. Era verdad entonces. Pero el 27 de julio de 2026 entró en vigor el Ómnibus digital, el Reglamento (UE) 2026/1744, y movió una parte.
| Fecha | Qué se aplica | Estado |
|---|---|---|
| 2 febrero 2025 | Formación del personal, artículo 4, y usos prohibidos | En vigor |
| 2 agosto 2025 | Autoridades nacionales y régimen de sanciones | En vigor |
| 2 agosto 2026 | Transparencia, artículo 50: avisar de que es IA | En vigor |
| 2 diciembre 2026 | Marcar el contenido de los generadores que ya estaban en el mercado | Pendiente |
| 2 diciembre 2027 | Alto riesgo del anexo III: empleo, crédito, educación | Aplazado |
| 2 agosto 2028 | Alto riesgo del anexo I: productos ya regulados, como maquinaria | Aplazado |
Lo que se movió es el alto riesgo: usos tasados como cribar currículums, evaluar a empleados o decidir un crédito. Lo que no se movió, y conviene leerlo dos veces, es lo que os toca a casi todos: formar, avisar y cuidar los datos. El calendario completo, en AI Act.
Y aquí entra la cuarta norma, la laboral. Si un programa decide turnos, contrataciones o evaluaciones, la representación de la plantilla tiene derecho a que le expliquéis «los parámetros, reglas e instrucciones» en que se basa. Lo dice el Estatuto de los Trabajadores en su artículo 64.4.d.
Pensad en la hoja de cálculo con IA que reparte los turnos del almacén. Si el comité pregunta cómo decide, hay que poder contestar. Y eso se aplica ya, sin esperar a 2027.
¿Te avisamos del próximo artículo?
Publicamos uno nuevo cada día, de lunes a sábado. Te mandamos el título, dos líneas y el enlace: en cuanto sale o en un resumen los lunes. Te das de baja con un clic.
Quién vigila en España, y la ley que falta
La autoridad es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial. Vigila el uso de la IA en cualquier empresa, no solo en las tecnológicas. Para los datos personales sigue estando la de siempre: la AEPD.
Lo que falta es la ley española. El Gobierno aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, y llegó al Congreso en junio. Caducó el 6 de octubre, al disolverse las Cortes: tendrá que volver a presentarse. Reparte competencias entre autoridades y fija cómo se sanciona. Qué añade, en la ley de inteligencia artificial en España.
¿Esperamos a que se apruebe, entonces? No, y el porqué es sencillo. Un reglamento europeo se aplica directamente, sin que España tenga que copiarlo en una ley propia (a diferencia de una directiva, que sí hay que trasponer).
La ley española ordena quién vigila y cómo, pero lo que os obliga ya está escrito en el Reglamento. Cuánto, a quién y cómo se sanciona, sin alarmismo, en sanciones del AI Act.
Lo que la normativa no os exige (y alguien os intentará vender)
Cada vez que sale una norma, sale detrás quien la vende. Estas son cosas que os pueden ofrecer como obligatorias y que ninguna de las cuatro normas pide a una empresa que solo usa IA:
- Un certificado oficial del AI Act con sello del Estado. No existe.
- Un proveedor de formación homologado por ningún organismo.
- Un número mínimo de horas de formación, ni la misma para toda la plantilla.
- Registrar en algún sitio que usáis ChatGPT o Claude. El registro europeo es para sistemas de alto riesgo.
- Una auditoría externa o una norma ISO para usar un chat en la oficina.
Cada norma nueva trae pegado su sello para cumplirla. Este no existe, y quien os lo venda como obligatorio os está vendiendo otra cosa.
Lo que sí os toca: formación adecuada a lo que hace cada persona, porque no usa igual la IA quien redacta correos que quien filtra currículums. Y poder enseñar qué se hizo, cuándo y con quién.
De toda la normativa de IA, lo que ya os obliga y depende solo de vosotros es que quien usa la IA sepa usarla. Es también lo único de la lista que mejora el trabajo del lunes.
Lo que hacemos
Nosotros hacemos la parte de la formación, y lo decimos claro porque la vendemos. Formación en Claude por puesto, con ejercicios sobre vuestras tareas, un certificado por persona con nombre, contenido y fecha, y el registro de quién completó qué. Es lo que podéis enseñar si alguien os pregunta por el artículo 4.
Si queréis una propuesta para vuestro equipo, contadnos cuántos sois en la página de empresas. Si eres una persona que quiere empezar por su cuenta, el primer paso es Claude para principiantes. Esto es orientación práctica, no asesoramiento legal.
Preguntas frecuentes
¿Qué leyes regulan la inteligencia artificial en España?
El Reglamento Europeo de IA, que se aplica directamente; el RGPD cuando hay datos personales; y normas sectoriales como el Estatuto de los Trabajadores si la IA decide sobre el trabajo. La ley española de IA no existe todavía: el proyecto caducó en octubre de 2026 con la disolución de las Cortes.
¿Es lo mismo el AI Act que la ley española de IA?
No. El AI Act es el Reglamento europeo y ya obliga a las empresas españolas. La ley española, cuando se apruebe (el primer proyecto caducó en octubre de 2026), decidirá qué autoridades vigilan y cómo se sanciona, pero no cambiará lo que os pide el Reglamento.
¿Se ha aplazado el AI Act?
Solo la parte de alto riesgo: el Ómnibus de julio de 2026 la movió al 2 de diciembre de 2027 para el anexo III y al 2 de agosto de 2028 para el anexo I. La formación del personal, los usos prohibidos y la obligación de avisar de que es IA no se aplazaron.
¿Qué requisitos del AI Act tiene que cumplir una pyme que solo usa ChatGPT o Claude?
Tres, más una lista de usos prohibidos: formar a quien usa la IA (artículo 4), avisar de que es una IA cuando un cliente habla con un chatbot (artículo 50) y no usarla para lo prohibido. Los requisitos de alto riesgo, como la documentación técnica o el registro europeo, son del proveedor o de quien usa la IA para decidir sobre personas, y se aplazaron a 2027.
¿Necesito un abogado para cumplir la normativa de IA?
Para usar herramientas como Claude o ChatGPT en tareas de oficina, no. Con formación documentada, una política de uso y cuidado con los datos se cubre lo exigible. Hace falta asesoría si desarrolláis IA propia o la usáis para seleccionar personal o decidir sobre clientes.