Ley de Inteligencia Artificial (AI Act) para empresas: qué te afecta y desde cuándo

Si tu empresa usa ChatGPT para redactar, tiene un chatbot en la web o filtra currículums con un software que incorpora IA, la Ley de Inteligencia Artificial de la UE ya te afecta. La buena noticia: para la mayoría de las pymes, cumplir es más sencillo de lo que parece, siempre que sepas qué parte te toca y desde cuándo.

La respuesta corta

• Qué es: el Reglamento (UE) 2024/1689, conocido como AI Act, Ley de IA o Reglamento Europeo de Inteligencia Artificial (RIA). Es directamente aplicable en toda la UE: no necesita una ley española para obligarte.
• A quién afecta: a quien desarrolla IA (proveedores) y a quien la usa en su trabajo (responsables del despliegue). Casi todas las pymes están en el segundo grupo.
• Qué te toca hoy: no usar prácticas prohibidas (desde febrero de 2025), formar a tu equipo (artículo 4) y, desde el 2 de agosto de 2026, avisar de que un chatbot es una IA y etiquetar ciertos contenidos generados con IA.
• Qué llega después: las obligaciones de alto riesgo, como la IA en selección de personal o en la concesión de crédito, se aplican desde el 2 de diciembre de 2027, tras el aplazamiento del Digital Omnibus.
• Quién lo supervisa en España: la AESIA, junto con la AEPD cuando hay datos personales. La ley española que iba a fijar las sanciones decayó en octubre de 2026 con la disolución de las Cortes.

¿Qué es la Ley de Inteligencia Artificial de la UE?

Es la primera norma general sobre inteligencia artificial del mundo. Se publicó en el Diario Oficial de la UE el 12 de julio de 2024 (texto en EUR-Lex) y entró en vigor el 1 de agosto de 2024, pero sus obligaciones se aplican por fases hasta 2028.

No regula la tecnología en abstracto, sino los usos. La misma herramienta puede no tener ninguna obligación si resume correos y ser de alto riesgo si decide a quién se entrevista para un puesto. Por eso la pregunta útil no es “¿uso IA?”, sino “¿para qué la uso?”.

Se aplica también a empresas de fuera de la UE si ponen sistemas de IA en el mercado europeo o si los resultados de su IA se usan en la UE.

Los cuatro niveles de riesgo, con ejemplos de empresa

Nivel	Qué significa	Ejemplos en una empresa	Desde cuándo
Prohibido	No se puede usar	Analizar las emociones de los empleados en el trabajo, puntuar a personas por su comportamiento social, manipular a clientes vulnerables	2 de febrero de 2025
Alto riesgo	Permitido con obligaciones estrictas	Filtrar currículums, evaluar el rendimiento de empleados, calcular la solvencia de un cliente, fijar primas de seguros de vida o salud	2 de diciembre de 2027 (anexo III)
Transparencia	Hay que avisar	Chatbots y agentes de voz, imágenes o vídeos que parecen reales, textos generados con IA publicados para informar al público	2 de agosto de 2026
Mínimo	Sin obligaciones específicas	Redactar correos, resumir reuniones, filtros de spam, traducir documentos internos	Solo el artículo 4 (formación)

La gran mayoría del uso de IA en una pyme está en el nivel mínimo o en el de transparencia. Pero basta un caso de alto riesgo, normalmente en recursos humanos, para que cambie todo.

Prácticas prohibidas (en vigor desde febrero de 2025)

La Comisión Europea enumera nueve prácticas prohibidas. Las que más pueden afectar a una empresa normal son:

• Reconocimiento de emociones en el trabajo y en la educación, salvo por motivos médicos o de seguridad. Un software que analiza el tono de voz de tus comerciales para “medir su estado de ánimo” está prohibido.
• Manipulación o engaño dañinos y explotación de vulnerabilidades (edad, discapacidad, situación económica) para influir en decisiones.
• Puntuación social: clasificar a personas por su comportamiento o rasgos personales con consecuencias injustas.
• Categorización biométrica para deducir datos como la orientación sexual, la religión o la afiliación sindical.
• Recopilación masiva de fotos de caras de internet o de cámaras para crear bases de reconocimiento facial.

El Digital Omnibus añadió una novena: los sistemas que generan imágenes sexuales de personas reales sin su consentimiento o material de abuso sexual infantil. Se aplica desde el 2 de diciembre de 2026.

Alto riesgo: atención a recursos humanos

El anexo III del Reglamento considera de alto riesgo, entre otros:

• Empleo: la IA para publicar ofertas dirigidas, filtrar candidaturas, evaluar candidatos, decidir ascensos o despidos, repartir tareas según rasgos personales o vigilar el rendimiento.
• Servicios esenciales: la IA que evalúa la solvencia o el scoring crediticio de personas, o que fija el precio de seguros de vida y salud.
• Educación: la IA que decide admisiones, corrige exámenes o vigila a alumnos durante una prueba.
• Biometría e infraestructuras críticas, entre otras áreas menos habituales en una pyme.

Si usas un sistema de alto riesgo comprado a un proveedor, tus obligaciones como empresa usuaria (artículo 26) serán, desde diciembre de 2027:

• Usarlo según las instrucciones del proveedor.
• Asignar supervisión humana a personas con formación y autoridad para corregirlo.
• Vigilar su funcionamiento y suspenderlo si detectas un riesgo.
• Guardar los registros que genera durante al menos seis meses.
• Informar a los representantes de los trabajadores y a la plantilla antes de usarlo en el trabajo.
• Informar a las personas sobre las que decide o ayuda a decidir.
• Hacer una evaluación de impacto de protección de datos cuando corresponda.

¿Eres proveedor o responsable del despliegue?

Es la distinción que más cambia tus obligaciones:

• Proveedor: quien desarrolla un sistema de IA (o lo encarga) y lo pone en el mercado o en servicio con su nombre. OpenAI, Microsoft o la empresa que te vende un software de selección son proveedores.
• Responsable del despliegue: quien usa un sistema de IA en su actividad profesional. Una inmobiliaria que usa ChatGPT o un hotel con un chatbot en la web son responsables del despliegue.

Casi todas las pymes son responsables del despliegue. Pero cuidado: puedes convertirte en proveedor de un sistema de alto riesgo sin darte cuenta si le pones tu marca, si lo modificas sustancialmente o si usas una herramienta general (como ChatGPT) para una finalidad de alto riesgo, por ejemplo, montar tu propio filtro de currículums. A partir de ahí, las obligaciones son mucho más exigentes.

Calendario completo del AI Act tras el Digital Omnibus

El Reglamento (UE) 2026/1744, el Digital Omnibus sobre IA, se publicó el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Aplazó el alto riesgo y suavizó el artículo 4. Este es el calendario actualizado:

Fecha	Qué se aplica
1 de agosto de 2024	Entra en vigor el Reglamento
2 de febrero de 2025	Prácticas prohibidas y alfabetización en IA (artículo 4)
2 de agosto de 2025	Obligaciones de los modelos de IA de uso general, gobernanza y régimen de sanciones
27 de julio de 2026	Entra en vigor el Digital Omnibus. El artículo 4 pasa a ser una obligación de medios
2 de agosto de 2026	Aplicación general: transparencia (artículo 50) y supervisión por la Oficina de IA y las autoridades nacionales
2 de diciembre de 2026	Marcado de contenido generado con IA (artículo 50.2) para sistemas que ya estaban en el mercado antes de agosto de 2026. Nueva prohibición sobre contenido sexual no consentido
2 de agosto de 2027	Modelos de uso general comercializados antes de agosto de 2025
2 de diciembre de 2027	Alto riesgo del anexo III: empleo, crédito, educación, biometría…
2 de agosto de 2028	Alto riesgo del anexo I: IA integrada en productos regulados (maquinaria, productos sanitarios, juguetes…)

Un detalle importante: los sistemas de alto riesgo que ya estén en el mercado antes de su fecha solo quedan sujetos si después se modifican de forma significativa (los usados por administraciones públicas, en todo caso, antes del 2 de agosto de 2030). Cómo encaja tu herramienta concreta en esa regla es algo que conviene confirmar con el proveedor.

Transparencia: chatbots y contenido generado con IA

Desde el 2 de agosto de 2026, el artículo 50 exige:

• Chatbots y agentes de voz: la persona debe saber que habla con una IA, como tarde en la primera interacción, salvo que sea evidente. Es una obligación de quien construye el sistema, pero si tu chatbot no lo dice, el problema es tuyo ante tus clientes.
• Contenido sintético: los proveedores de IA generativa deben marcar sus resultados (texto, imagen, audio, vídeo) de forma legible por máquina. Los sistemas que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026.
• Ultrasuplantaciones (deepfakes): si publicas imágenes, audio o vídeo generados con IA que parecen reales, debes indicarlo. En obras creativas o satíricas basta con una mención que no estropee la obra.
• Textos de interés público: si publicas textos generados con IA para informar al público, debes indicarlo, salvo que una persona los haya revisado y alguien asuma la responsabilidad editorial.
• Reconocimiento de emociones o categorización biométrica permitidos: hay que informar a las personas expuestas.

Para el marketing habitual de una pyme (un post de blog revisado por tu equipo, una imagen ilustrativa claramente artística), la obligación es limitada. Para un anuncio con una persona que parece real pero está generada con IA, no.

Modelos de IA de uso general: ¿te afectan?

Los modelos de IA de uso general (GPT, Claude, Gemini, Llama, Mistral…) tienen obligaciones propias desde el 2 de agosto de 2025: documentación técnica, información para quien construye sobre ellos, una política de derechos de autor y un resumen del contenido de entrenamiento. Los modelos más potentes, con “riesgo sistémico”, tienen además que evaluar y mitigar esos riesgos.

Estas obligaciones son de quien crea el modelo, no de quien lo usa. Si tu empresa usa ChatGPT o construye un agente sobre la API de un proveedor, no eres proveedor del modelo. Lo que sí te conviene es elegir proveedores que cumplan y pedirles la documentación cuando la necesites.

Multas: cuánto y a quién

Infracción	Multa máxima	Para pymes
Prácticas prohibidas	35 millones de euros o el 7% de la facturación mundial, lo que sea mayor	Lo que sea menor
Otras obligaciones (alto riesgo, transparencia del artículo 50)	15 millones o el 3%, lo que sea mayor	Lo que sea menor
Información incorrecta o engañosa a las autoridades	7,5 millones o el 1%, lo que sea mayor	Lo que sea menor
Proveedores de modelos de uso general (los impone la Comisión)	15 millones o el 3%, lo que sea mayor	—

Para las pymes y startups (artículo 99.6), se aplica la cifra más baja de las dos. El Omnibus extendió esa regla a las pequeñas empresas de mediana capitalización en las multas de los artículos 99.4 y 99.5, y pide a las autoridades que tengan en cuenta la viabilidad económica de las pymes al sancionar. El artículo 4 (formación) no tiene una multa propia en el Reglamento.

¿Quién lo supervisa en España? AESIA y la ley española

• La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), creada por el Real Decreto 729/2023 y con sede en A Coruña, es la autoridad de referencia para la IA en España y ha publicado guías prácticas para cumplir el Reglamento.
• La Oficina de IA de la Comisión Europea supervisa los modelos de uso general y, desde el Omnibus, también los sistemas que un proveedor construye sobre su propio modelo (con excepciones como la biometría) y los integrados en plataformas o buscadores en línea de muy gran tamaño.
• La AEPD sigue siendo competente cuando la IA trata datos personales, que es casi siempre.
• El proyecto de ley español ha decaído. El Consejo de Ministros aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que repartía la supervisión entre la AESIA, la AEPD y otras autoridades y fijaba las sanciones españolas. Se publicó en el Congreso en junio, pero la disolución de las Cortes el 6 de octubre de 2026 (elecciones el 29 de noviembre) lo dejó caducado antes de aprobarse. Tendrá que volver a presentarse en la nueva legislatura.

Lo que esto significa para ti: el Reglamento europeo se aplica igual, porque no depende de una ley española. Lo que queda pendiente es el detalle del régimen sancionador nacional y del reparto entre autoridades. No es un motivo para esperar: las obligaciones ya corren y la ley española, cuando llegue, se apoyará en ellas.

Los riesgos de pensar que “esto no va conmigo”

Esto es lo que vemos en empresas que no han revisado su uso de la IA:

• “No me aplica porque no desarrollo IA”. Si alguien en tu empresa usa IA para trabajar, eres responsable del despliegue. Eso ya implica formación (artículo 4) y, si atiendes a clientes con IA, transparencia.
• Herramientas de RRHH que pasan a ser de alto riesgo. Ese módulo “inteligente” de tu software de selección que ordena candidatos, o el análisis de productividad de tu plataforma de gestión, puede ser de alto riesgo. Si lo descubres en noviembre de 2027, no te dará tiempo a montar la supervisión humana, los registros y la información a la plantilla.
• Chatbots que no dicen que son una IA. Desde agosto de 2026 es una obligación de transparencia sancionable. Y un chatbot que se hace pasar por persona y se equivoca es un problema de reputación inmediato.
• Nadie sabe qué IA se usa. Sin inventario, no puedes clasificar riesgos ni responder a una inspección. Y la “IA en la sombra” (cuentas personales de ChatGPT con datos de clientes) suma un problema de RGPD.
• Equipo sin formar. El artículo 4 se aplica desde febrero de 2025. Si un empleado comete un error con IA, no poder demostrar que lo formaste deja a la empresa en peor posición.
• Tus clientes ya preguntan. Cuestionarios de proveedores, auditorías de clientes grandes y licitaciones públicas incluyen cada vez más preguntas sobre la política de IA, la formación y dónde se tratan los datos. Quedarte sin respuesta puede costarte un contrato antes que una multa.
• Construir sin pensar en el cumplimiento. Un agente sin registros de conversaciones, sin aviso de IA y sin forma de pasar el caso a una persona se puede rehacer, pero cuesta más que hacerlo bien desde el principio.

Trabajar con un equipo que construye y despliega IA teniendo en cuenta el Reglamento evita la mayoría de estos problemas desde el diseño: el aviso al usuario, los registros, la supervisión humana y la documentación salen de serie, no como un parche.

¿No sabes en qué nivel de riesgo está tu uso de la IA? Reserva una llamada gratuita y lo revisamos contigo.

Checklist del AI Act para una pyme

• Inventario: qué herramientas de IA se usan, quién las usa, para qué y con qué datos (incluidas las no aprobadas).
• Clasificación: marca cada uso como mínimo, transparencia, alto riesgo o prohibido. Revisa con especial cuidado RRHH, crédito y seguros.
• Prácticas prohibidas: confirma que nada analiza emociones de empleados ni puntúa personas.
• Rol: comprueba si en algún caso eres proveedor (marca propia, modificaciones, usos de alto riesgo construidos por ti).
• Formación (artículo 4): sesión general y por departamento, con registro de asistencia. Lo explicamos en nuestra guía del artículo 4 del AI Act.
• Política de uso de IA: herramientas aprobadas, datos prohibidos, revisión humana y a quién preguntar.
• Transparencia: tus chatbots y agentes de voz dicen que son una IA. Revisa cómo etiquetas imágenes y vídeos realistas generados con IA.
• Proveedores: pide a los proveedores de herramientas de RRHH o de crédito si su sistema es de alto riesgo y qué documentación te darán.
• Datos: contratos de tratamiento, procesamiento en Europa cuando haga falta y evaluación de impacto si la IA decide sobre personas. Más detalle en nuestra guía de IA y RGPD.
• Plan para diciembre de 2027: si tienes algún uso de alto riesgo, define ya quién lo supervisa, cómo se guardan los registros y cuándo informas a la plantilla.

Cómo lo hacemos en Aitomatik

Construimos agentes y automatizaciones con IA para pymes, y el Reglamento forma parte del diseño desde el primer día:

• Nuestros agentes dicen que son una IA. Tanto en el chat de la web como en WhatsApp o por teléfono, el usuario sabe desde el principio con quién habla, y puede pasar a una persona cuando hace falta. Si quieres saber cómo funciona un agente por dentro, lo explicamos en qué es un agente de IA.
• Guardamos y evaluamos cada conversación. Tenemos registro de qué preguntó el usuario, qué respondió el agente y qué hizo, y probamos cada cambio con conversaciones reales antes de ponerlo en marcha. Es buena práctica y, además, la base de cualquier supervisión.
• Datos en Europa para clientes europeos. Modelos procesados en la UE, sin retención de datos ni entrenamiento con ellos, y un modelo de respaldo de otro proveedor también en la UE.
• Formación para todo el equipo. En un grupo empresarial de Baleares hicimos el inventario de 8 departamentos y 75 procesos, formamos a toda la oficina con una política de uso clara y conectamos la IA a su ERP con acceso de solo lectura. El resultado: más de 1.600 horas al año liberadas. Lo contamos en el caso de éxito completo.

Si necesitas ayuda para ordenar el uso de la IA en tu empresa, empieza por nuestra consultoría en IA y automatización o por la formación en IA para empresas.

Preguntas frecuentes

¿Cuándo entra en vigor la Ley de IA en España? El Reglamento europeo entró en vigor el 1 de agosto de 2024 y se aplica directamente en España, por fases: prohibiciones y formación desde febrero de 2025, transparencia desde agosto de 2026 y alto riesgo desde diciembre de 2027 (anexo III) y agosto de 2028 (anexo I). La ley orgánica española que lo desarrollaba decayó con la disolución de las Cortes en octubre de 2026.

¿Se ha retrasado el AI Act? En parte. El Digital Omnibus aplazó las obligaciones de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, y dio hasta el 2 de diciembre de 2026 para marcar el contenido generado por sistemas que ya estaban en el mercado. Las prohibiciones, el artículo 4 y la transparencia de los chatbots no se han retrasado.

¿Afecta a pymes y autónomos? Sí. No hay umbral de tamaño: cualquier empresa o autónomo que use IA en su actividad profesional es responsable del despliegue. Las pymes tienen multas con un tope más bajo y algunas simplificaciones, pero las mismas obligaciones de base.

¿Usar ChatGPT en la empresa me obliga a algo? Para tareas como redactar o resumir, el uso es de riesgo mínimo: lo que te toca es formar a quien lo usa (artículo 4) y cuidar los datos que se introducen. Cambia si lo usas para decidir sobre personas, por ejemplo para filtrar candidatos, o si lo pones a hablar con tus clientes.

¿Se aplica a empresas de fuera de la UE? Sí, si ponen sistemas de IA en el mercado europeo o si los resultados de su IA se usan en la UE. Una empresa estadounidense que ofrece un chatbot a clientes europeos tiene que cumplir las obligaciones de transparencia.

¿Hay una ley de IA española además del Reglamento europeo? Ahora mismo, no aprobada. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA caducó con la disolución de las Cortes en octubre de 2026. La AESIA existe desde 2023 por real decreto y es la autoridad de referencia.

¿Quieres saber qué te toca a ti?

En una llamada revisamos contigo qué IA usa tu empresa, en qué nivel de riesgo está cada uso y qué hacer primero: formar al equipo, ajustar tus chatbots o preparar una herramienta de RRHH para 2027. Y si vas a construir un agente, lo hacemos cumpliendo desde el diseño. Reserva una llamada gratuita.

Esta guía es informativa y no constituye asesoramiento jurídico. Última revisión: 15 de octubre de 2026.