La Unión Europea fue la primera del mundo en aprobar una normativa completa sobre inteligencia artificial: el Reglamento (UE) 2024/1689, conocido como Ley de IA o AI Act. Entró en vigor el 1 de agosto de 2024 y se aplica por fases. Desde el 2 de agosto de 2026 ya rige la mayor parte de sus normas, y muchas pymes que usan ChatGPT, chatbots o herramientas de imagen se preguntan si les afecta.
La respuesta corta: sí, aunque para la mayoría de pequeñas empresas las obligaciones son asumibles. En este artículo te explicamos qué exige ya, qué se ha aplazado tras la reforma de julio de 2026 y qué pasos concretos conviene dar.
Un enfoque basado en el riesgo
Table of Contents
La Ley de IA no prohíbe la inteligencia artificial ni regula todas las herramientas por igual. Clasifica los sistemas según el riesgo que suponen para la seguridad y los derechos de las personas, como explica el Parlamento Europeo:
- Riesgo inaceptable: usos prohibidos en la UE.
- Alto riesgo: sistemas que pueden afectar a derechos fundamentales o a la seguridad, como los que se usan para seleccionar personal, evaluar la solvencia de una persona o en productos regulados como dispositivos médicos. Tienen requisitos estrictos.
- Riesgo de transparencia: chatbots, contenido generado por IA o ultrafalsificaciones (deepfakes). La obligación principal es informar.
- Riesgo mínimo: la mayoría de herramientas del día a día, como filtros de spam o correctores, sin obligaciones específicas.
Qué usos están prohibidos
Desde el 2 de febrero de 2025 están prohibidas, entre otras, estas prácticas:
- Manipular el comportamiento de las personas con técnicas subliminales o aprovechando sus vulnerabilidades (edad, discapacidad o situación social o económica).
- La puntuación social de personas según su comportamiento o sus características personales.
- El reconocimiento de emociones en el trabajo y en centros educativos, salvo por motivos médicos o de seguridad.
- Crear bases de datos de reconocimiento facial recopilando imágenes de internet o de cámaras de forma indiscriminada.
- La categorización biométrica para deducir datos sensibles, como la ideología o la orientación sexual.
- La identificación biométrica remota en tiempo real en espacios públicos por parte de las fuerzas de seguridad, salvo excepciones muy limitadas.
Una pyme difícilmente hará algo así de forma intencionada, pero conviene revisarlo si usas herramientas de análisis de vídeo, de control de empleados o de perfilado de clientes.
El calendario actualizado tras el Ómnibus digital
En julio de 2026 la UE aprobó el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, publicado en el Diario Oficial el 24 de julio. Esta reforma aplaza las obligaciones de los sistemas de alto riesgo, pero mantiene el resto del calendario. Así quedan las fechas clave:
- 1 de agosto de 2024: entrada en vigor del reglamento.
- 2 de febrero de 2025: se aplican las prohibiciones y la obligación de alfabetización en IA.
- 2 de agosto de 2025: obligaciones para los modelos de IA de uso general y régimen de sanciones.
- 2 de agosto de 2026: aplicación general del reglamento, incluidas las obligaciones de transparencia.
- 2 de diciembre de 2026: fin del periodo transitorio para que los sistemas generativos ya comercializados marquen su contenido como generado por IA.
- 2 de diciembre de 2027: obligaciones de los sistemas de alto riesgo en ámbitos como empleo, educación o acceso a servicios financieros (antes previstas para agosto de 2026).
- 2 de agosto de 2028: obligaciones de alto riesgo para la IA integrada en productos regulados, como maquinaria o dispositivos médicos.
Es importante no confundirse: el aplazamiento solo afecta al alto riesgo. Las prohibiciones, la alfabetización y la transparencia siguen plenamente vigentes.
¿Proveedor o usuario? Tu papel importa
La ley distingue entre quien desarrolla o comercializa un sistema de IA (el proveedor) y quien lo utiliza en su actividad profesional (el responsable del despliegue). La mayoría de pymes son lo segundo: usan herramientas de terceros como asistentes de redacción, chatbots o generadores de imágenes.
Si además has creado o personalizado tu propio sistema y lo ofreces a otros con tu nombre, podrías tener también obligaciones de proveedor. En ese caso, conviene revisarlo con más detalle.
Qué tiene que hacer una pyme que usa IA
1. Formar a su equipo (alfabetización en IA)
Desde febrero de 2025, las empresas que usan sistemas de IA deben adoptar medidas para que su personal tenga un conocimiento suficiente sobre cómo funcionan, sus riesgos y sus límites. No exige un título concreto, pero sí formación proporcionada al uso que se hace. Lo recomendable es documentarla.
2. Avisar cuando un cliente habla con una IA
Si tienes un chatbot o un asistente virtual en tu web o en WhatsApp, las personas deben saber que están interactuando con una inteligencia artificial, salvo que resulte evidente. Un mensaje claro al inicio de la conversación es suficiente en la mayoría de casos.
3. Etiquetar las ultrafalsificaciones
Si publicas imágenes, vídeos o audios generados o manipulados con IA que parecen reales (por ejemplo, una persona que nunca dijo lo que aparece en el vídeo), debes indicar que se trata de contenido artificial. Lo mismo ocurre con textos generados por IA que se publican para informar al público sobre asuntos de interés general, salvo que hayan pasado por revisión humana y alguien asuma la responsabilidad editorial.
4. Revisar si algún uso es de alto riesgo
Si usas IA para filtrar currículos, evaluar empleados o decidir sobre el crédito de tus clientes, ese uso puede considerarse de alto riesgo. Aunque las obligaciones llegan en diciembre de 2027, conviene identificarlo ya y preguntar a tu proveedor cómo piensa cumplir.
5. Cuidar la protección de datos
La Ley de IA se suma al Reglamento General de Protección de Datos, no lo sustituye. Antes de introducir datos de clientes o empleados en una herramienta de IA, revisa dónde se procesan y con qué garantías.
Las sanciones
Las multas son elevadas: pueden llegar a 35 millones de euros o el 7 % de la facturación mundial por usar prácticas prohibidas, y hasta 15 millones o el 3 % por incumplir otras obligaciones. Para las pymes se aplica la cantidad menor de las dos. Aun así, el objetivo para una pequeña empresa no debería ser el miedo a la sanción, sino usar la IA con criterio y transparencia.
¿Y en España?
En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es el organismo encargado de supervisar el uso de la IA. Además, el Gobierno aprobó en 2026 un proyecto de ley orgánica para adaptar el reglamento europeo, que debe tramitarse en las Cortes. Conviene seguir su evolución, porque concretará el régimen sancionador en nuestro país.
Checklist rápida para tu pyme
- Haz un inventario de las herramientas de IA que usáis en la empresa y para qué.
- Define tu papel en cada una: usuario o proveedor.
- Descarta usos prohibidos, sobre todo en control de empleados y análisis de imágenes de personas.
- Revisa tu chatbot y añade un aviso claro de que es una IA.
- Establece una norma para etiquetar imágenes, vídeos y audios generados con IA.
- Forma al equipo y guarda constancia de esa formación.
- Señala los usos de alto riesgo para prepararlos antes de diciembre de 2027.
Si quieres ver ejemplos prácticos de cómo aplicar la IA en tu negocio con control y supervisión, te recomendamos nuestro artículo sobre inteligencia artificial para empresas y automatización.
Este artículo tiene carácter informativo y refleja la normativa publicada a 26 de octubre de 2026. Para tu caso concreto, consulta con un asesor especializado.
¿Quieres aplicarlo en tu negocio? En Marketing A Empresas ayudamos a autónomos y pymes a convertir su presencia digital en clientes. Consulta nuestros servicios de marketing digital o solicita una auditoría gratuita de tu web y te diremos por dónde empezar.
