Las obligaciones de IA para pymes son menos de las que parece. Si en tu empresa alguien usa ChatGPT, Claude o Copilot para redactar, resumir o contestar correos, el Reglamento europeo de IA te afecta, pero como quien usa la herramienta, no como quien la fabrica. Aquí tienes la lista práctica: las tres cosas que te tocan hoy, las que solo llegan si haces algo concreto, lo que no te toca aunque te lo vendan y por dónde empezar.
Primero, qué eres: la empresa que usa la IA, no la que la fabrica
Imagina que llevas una gestoría de doce personas. Un martes te enteras de que la persona que lleva las nóminas redacta desde hace meses los avisos a clientes con Claude. No lo has decidido tú ni has firmado nada, pero desde ese momento tu empresa está dentro del Reglamento de IA. Te explico en qué papel.
El Reglamento reparte las obligaciones según lo que hace cada uno. Quien desarrolla la herramienta, como OpenAI o Anthropic (la empresa que hace Claude), es el proveedor. Quien la usa en su trabajo es el responsable del despliegue. Tu gestoría está en el segundo grupo.
Pasa como con un coche. El fabricante responde de que los frenos funcionen y de pasar la homologación. Tú, que conduces, respondes de tener carné y de conducir con cabeza. Documentar el modelo, evaluarlo y registrarlo le toca al fabricante. A ti te toca lo del carné.
Dos detalles que sorprenden. No hay umbral de tamaño: si fueras tres personas en vez de doce, estarías dentro igual. Y lo único que queda fuera es el uso personal (la receta del domingo, no el correo del lunes al cliente).
Las obligaciones de IA para pymes que ya aplican hoy
Son tres, y solo dos vienen del Reglamento de IA. La tercera es de siempre, pero con la IA es la que más disgustos da. Vuelve a tu gestoría y mira cada una con esa persona delante.
Formar a quien la usa. Lo dice el artículo 4 y se aplica desde el 2 de febrero de 2025. Tienes que tomar medidas para que esa persona, y quien más la use, sepa lo que necesita para su puesto: qué puede pegar y qué no, que la herramienta se inventa datos con toda seguridad y que lo que sale se revisa antes de enviarlo.
El 27 de julio de 2026 entró en vigor el Ómnibus digital, el Reglamento (UE) 2026/1744 que retoca el de IA. Suavizó la redacción de este artículo y ahora deja claro que no se exige un nivel concreto por persona ni un título. Pero la obligación sigue ahí, y lo sensato es poder enseñar qué hiciste. Qué cuenta y qué no, en el artículo 4 del Reglamento de IA.
Avisar de que es una IA, cuando toca. Es el artículo 50, en vigor desde el 2 de agosto de 2026. Te toca si un cliente habla con un asistente automático en tu web o en WhatsApp: tiene que saber que no es una persona. También si publicas imágenes o vídeos realistas hechos con IA, o textos sobre asuntos de interés público que nadie ha revisado y firmado.
¿Y el correo de impago que te ha ayudado a escribir Claude esta mañana? Ese no lleva aviso. Tampoco la propuesta comercial ni el acta de la reunión. El aviso es para quien podría creer que habla con una persona o que algo es real cuando no lo es.
Cuidar los datos personales. Esto no es del Reglamento de IA, sino del RGPD, que lleva aplicándose desde 2018. Cada vez que la de nóminas pega el nombre de un cliente o una nómina en Claude, está pasando datos a otra empresa. Con una cuenta gratuita y personal, la suya, no hay contrato que lo cubra.
La salida tiene dos caminos. Una cuenta de empresa, con contrato de encargado (el documento que firma el proveedor cuando trata datos por ti), o quitar los nombres antes de pegar. Qué se puede meter y qué no, en datos confidenciales e IA en la empresa.
La lista: qué te toca, desde cuándo y qué tener hecho
Si solo vas a guardar una cosa de este artículo, que sea esta tabla: las obligaciones del AI Act para una pyme que usa un asistente de texto.
| Obligación | Desde | Te toca si… | Qué tener hecho |
|---|---|---|---|
| Formar (art. 4) | 2 feb 2025 | Alguien usa IA en el trabajo | Formación adaptada al puesto y constancia de quién la hizo |
| Avisar de que es IA (art. 50) | 2 ago 2026 | Tienes chatbot o publicas imágenes, vídeos o textos de IA | El aviso en el chatbot; la etiqueta o la revisión firmada en lo publicado |
| Datos personales (RGPD) | 2018 | Se pegan datos de clientes o empleados | Cuenta de empresa con contrato, o anonimizar; unas reglas escritas |
| No usar lo prohibido (art. 5) | 2 feb 2025 | Siempre | Nada, si no usas IA para leer las emociones de la plantilla ni para puntuar a personas |
Si además vendes IA o la usas para decidir sobre personas, los requisitos son más. Están ordenados por papel en cumplimiento del AI Act en empresas.
Lo que solo te toca si haces algo concreto
Aquí entra el famoso «alto riesgo», que es lo que asusta en los titulares. ¿Te afecta? Casi seguro que no. Te cuento por qué.
Alto riesgo no depende de la herramienta, sino de para qué la usas. Piensa en que abres una vacante y te llegan 80 currículos. Redactar la oferta con Claude no es alto riesgo. Que la IA decida a cuáles de los 80 llamas, sí. Lo mismo con evaluar el rendimiento de tu plantilla o decidir a quién le concedes un crédito.
Esas obligaciones piden supervisión humana, informar a los afectados y guardar registros. Empiezan el 2 de diciembre de 2027 para los usos del anexo III. Para la IA que va dentro de productos regulados, como maquinaria o productos sanitarios, el 2 de agosto de 2028. Las dos fechas son del Ómnibus, cuyo texto está publicado en el BOE.
Si estás pensando en usar IA para filtrar esos 80 currículos, pregunta antes a quien te lleve lo laboral. Y si vas a poner un asistente que conteste a clientes, lo que tiene que decir está en chatbot con IA en tu web.
Lo que no te toca, aunque alguien te lo quiera vender
Busca «obligaciones AI Act» y te lloverán ofertas. Seguro que ya te ha llegado algún correo con un plazo en rojo. Algunas venden como obligatorio algo que la ley no pide a quien solo usa un chat. Esto no te toca:
- Un sello o título que diga que cumples. No existe para quien usa IA. Lo que sirve es la constancia de que formaste a tu gente.
- Registrarte en la base de datos europea. Es para proveedores y para ciertos usos de alto riesgo.
- Un responsable de IA obligatorio. Alguien tiene que ocuparse, pero la ley no crea un cargo como el delegado de protección de datos.
- Una auditoría externa o la ISO 42001. Pueden tener sentido en una empresa grande; a ti la ley no te las exige.
- Un curso de un número de horas concreto. La ley pide formación adecuada al uso, no un mínimo de horas.
Cada norma nueva trae pegado el sello que la resuelve. Este no existe, y quien te lo venda como obligatorio te está vendiendo otra cosa.
Las obligaciones de una pyme que usa IA caben en una tabla y en un mes. Lo difícil no es cumplirlas: es separar lo que la ley te pide de lo que alguien quiere venderte.
Por dónde empezar: un mes, cuatro pasos
¿Y cómo pasas de la tabla a tenerlo hecho? Con cuatro pasos, uno por semana, sin montar un proyecto. Sigue con tu gestoría de doce:
- Semana 1 · Saber qué se usa. Pregunta sin juzgar quién usa IA, cuál y con qué cuenta. Te van a salir tres o cuatro cuentas gratuitas además de la de nóminas, y es normal: la gente la usa porque le ahorra tiempo. Cómo hacerlo, en inventario de IA en la empresa.
- Semana 2 · Una herramienta y unas reglas. Elige una, contrata su plan de empresa y escribe dos folios: qué se pega, qué no, quién revisa. Tienes plantilla de política de uso.
- Semana 3 · Formar por puesto. No todos usan la IA igual: quien lleva las nóminas no hace lo mismo que quien lleva los clientes.
- Semana 4 · Guardar la constancia. Quién se formó, en qué y cuándo. Una hoja de cálculo te basta.
Si tienes chatbot, el aviso de que es una IA va antes que todo lo demás, porque se arregla en diez minutos. El calendario completo, con lo que cambió este verano, en AI Act: qué te toca hacer, y el panorama general en normativa de IA para empresas.
Lo que hacemos
Nosotros nos ocupamos de la parte de formar. Formamos a equipos de pymes en Claude, puesto a puesto, con ejercicios sobre tus propios documentos. Cada persona sale con su certificado (nombre, contenido y fecha) y tú con el registro de quién se formó. Cuéntanos cuántos sois y qué usáis en la página de empresas.
Si eres tú quien quiere empezar por su cuenta, sin esperar a la empresa, Claude para principiantes es el primer paso. La autoridad que vigila en España es la AESIA. Esto es orientación práctica, no asesoramiento legal; para tu caso concreto, consúltalo con quien te lleve lo legal.
Preguntas frecuentes
¿El AI Act afecta también a las pymes?
Sí. El Reglamento de IA no tiene umbral de plantilla ni de facturación: si alguien usa IA en el trabajo, tu empresa está dentro como responsable del despliegue. Lo que cambia para las pymes es el tope de las multas y algunas simplificaciones, no las obligaciones básicas.
¿Es obligatorio formar a los empleados en IA?
Sí, desde el 2 de febrero de 2025. Tienes que tomar medidas para que quien usa IA tenga la formación que su uso requiere. No se exige un nivel concreto por persona ni un título, pero conviene poder enseñar qué formación diste y a quién.
¿Tengo que pagar un curso de inteligencia artificial a mi equipo?
La ley no te obliga a comprar un curso concreto ni a cumplir un número de horas. Pide medidas adecuadas al uso que hace cada persona. Puede ser una formación externa o una interna bien hecha, siempre que quede constancia.
Si uso ChatGPT para redactar, ¿tengo que avisar?
En correos, propuestas o actas, no. El aviso es obligatorio si un cliente habla con un chatbot, si publicas imágenes o vídeos realistas hechos con IA, o si publicas textos de interés público que nadie ha revisado y firmado.
¿Pueden multar a una pyme por el Reglamento de IA?
Sí, hay régimen sancionador y en España vigila la AESIA. Para las pymes se aplica el menor de los dos topes previstos. El escenario realista no es una gran multa, sino una inspección por otro motivo en la que te pidan la constancia de la formación o el aviso del chatbot.