El Reglamento Europeo de IA (AI Act) afecta a más pymes de lo que sugiere la expresión «regulación de la IA». Puede que una pequeña empresa no entrene un modelo fundacional, pero sí puede utilizar IA en selección de personal, atención al cliente, procesamiento de documentos, decisiones de crédito o gestión de empleados. El reglamento distingue entre los proveedores, que desarrollan o comercializan sistemas, y los responsables del despliegue, que los utilizan de forma profesional, y las obligaciones dependen en gran medida del caso de uso.
Esta guía es un punto de partida práctico, no asesoramiento jurídico. Para las decisiones formales deben utilizarse las orientaciones oficiales de la Comisión Europea y el texto definitivo del reglamento, sobre todo porque el calendario de aplicación ha ido cambiando. A junio de 2026, la Comisión indica que las prácticas prohibidas y las obligaciones de alfabetización en IA se aplican desde el 2 de febrero de 2025, las normas para los modelos de IA de uso general desde el 2 de agosto de 2025, y que las normas de transparencia están previstas para agosto de 2026. Tras el acuerdo político de mayo de 2026 sobre simplificación, determinadas normas de alto riesgo para sistemas independientes están previstas para el 2 de diciembre de 2027 y las normas de alto riesgo para sistemas integrados en productos, para el 2 de agosto de 2028.
La idea central: regular el uso, no la palabra de moda
El reglamento utiliza una estructura basada en el riesgo. La mayoría de los usos cotidianos de la IA son de riesgo mínimo o limitado. Un filtro de spam y un asistente interno de redacción no reciben el mismo tratamiento que un sistema que decide si una persona obtiene un empleo, un préstamo o un servicio esencial.
Por tanto, la primera tarea de cumplimiento es un inventario: ¿qué sistemas se utilizan, con qué finalidad, con qué datos y a quién afectan sus resultados?
Cuatro niveles de riesgo en la práctica
Riesgo inaceptable
Ciertas prácticas están prohibidas, entre ellas la manipulación perjudicial, la puntuación social, algunas formas de categorización biométrica y el reconocimiento de emociones en lugares de trabajo y centros educativos. Estas prohibiciones se aplican desde febrero de 2025. Una pyme no debe dar por hecho que un producto comprado es automáticamente seguro de usar; quien lo despliega sigue teniendo que entender qué hace el producto.
Alto riesgo
Las categorías de alto riesgo incluyen determinados usos de la IA en empleo, educación, servicios esenciales, infraestructuras críticas, biometría, aplicación de la ley, migración y justicia. Una herramienta de selección que clasifica candidatos puede estar mucho más regulada que un chatbot que responde preguntas sobre productos.
Las obligaciones de alto riesgo pueden incluir gestión de riesgos, gobernanza de datos, registro de eventos, documentación técnica, supervisión humana, precisión, solidez y ciberseguridad. Las pymes deben obtener asesoramiento jurídico especializado antes de desarrollar o desplegar sistemas en estos ámbitos.
Riesgo de transparencia
Algunos sistemas están permitidos, pero deben ser transparentes. La Comisión pone los chatbots como ejemplo claro: las personas deben saber cuándo están interactuando con una máquina. Los contenidos generativos y las ultrafalsificaciones (deepfakes) también pueden activar requisitos de marcado o divulgación. La transparencia debe diseñarse en la interfaz desde el principio, no añadirse a posteriori.
Riesgo mínimo o nulo
La Comisión afirma que la gran mayoría de los sistemas de IA utilizados en la UE entran en esta categoría. Eso no elimina las obligaciones derivadas del RGPD, el derecho del consumo, el derecho laboral, los derechos de autor o los acuerdos de confidencialidad. «Riesgo mínimo según el AI Act» no significa «no hace falta gobernanza».
Qué significa la alfabetización en IA para una pequeña empresa
Las obligaciones de alfabetización en IA ya son aplicables. En la práctica, el personal debe comprender las capacidades y los límites de los sistemas que utiliza. Una presentación anual genérica no basta para todos los puestos. El personal de atención al cliente debe saber reconocer respuestas inventadas (alucinaciones) y las situaciones en las que hay que escalar. El personal de RR. HH. debe entender los sesgos y cuándo las recomendaciones automatizadas no deben sustituir al juicio humano. Los desarrolladores necesitan prácticas seguras de tratamiento de datos y de evaluación.
Mantén la formación proporcionada y registra qué se impartió, a quién y para qué herramientas.
Chatbots: el caso de uso habitual en las pymes
Un chatbot de cara al cliente no suele ser de alto riesgo por el mero hecho de usar IA. Sin embargo, sí necesita informar con claridad de ello, salvo que la interacción con la IA sea evidente por el contexto. Una implementación responsable también debería:
- identificarse como automatizada al inicio de la conversación;
- ofrecer una vía fiable para hablar con una persona;
- limitar las respuestas a conocimiento aprobado cuando proceda;
- evitar recopilar datos personales innecesarios;
- registrar fuentes y niveles de confianza para la revisión interna;
- definir reglas de conservación y eliminación de las conversaciones.
Estos controles mejoran el producto incluso cuando la ley no prescribe la interfaz exacta.
Una checklist de cumplimiento proporcionada para pymes
- Crea un inventario de IA. Incluye las funciones de IA integradas en productos SaaS.
- Registra la finalidad y las personas afectadas. El riesgo depende del contexto.
- Identifica tu papel. Las obligaciones de proveedor, responsable del despliegue, importador y distribuidor son distintas.
- Clasifica el caso de uso. Escala los usos relacionados con empleo, crédito, educación, salud y biometría.
- Documenta la supervisión humana. Define quién puede anular, detener o revisar el sistema.
- Añade avisos de transparencia. Deja claras la interacción con IA y los contenidos generados.
- Forma al personal. Adapta la alfabetización a las responsabilidades reales.
- Revisa a los proveedores. Solicita documentación, condiciones de seguridad, ubicación de los datos y avisos de cambios.
- Supervisa incidentes y calidad. La gobernanza continúa después del lanzamiento.
No trates el AI Act y el RGPD como el mismo proyecto
Los dos marcos se solapan, pero responden a preguntas distintas. El AI Act se centra en el riesgo de los sistemas y en las obligaciones de mercado. El RGPD se centra en los datos personales y los derechos de las personas. Un chatbot puede ser transparente según el AI Act y, aun así, recopilar datos personales excesivos según el RGPD. Una base jurídica válida para el tratamiento de datos no hace que un sistema de IA de alto riesgo cumpla automáticamente.
Gestiona la privacidad, la seguridad y la gobernanza de la IA como líneas de trabajo conectadas con responsables claros.
Construir para aportar evidencias, no solo funcionalidad
Un software de IA responsable debe permitir explicar qué modelo y qué versión del prompt produjeron un resultado, qué datos de origen se utilizaron, quién revisó el resultado y qué cambió con el tiempo. Los registros, los conjuntos de evaluación, los flujos de aprobación y las rutas de respaldo son funciones del producto. Incorporarlos después del despliegue es más lento y más caro.
FKT Software puede ayudar a las pymes a diseñar flujos de trabajo de IA con transparencia, revisión humana, auditabilidad y tratamiento seguro de datos desde el diseño. Consulta nuestros servicios de IA y automatización, nuestra información sobre privacidad y el resumen oficial del AI Act de la Comisión Europea.
Lecturas relacionadas: Automatización con IA para pymes europeas: ¿qué automatizar primero? y Planificar un proyecto de software a medida en Europa en 2026.