Guía
Ley de IA para pymes: qué te obliga de verdad (y qué no)
El 2 de agosto de 2026 entraron en vigor las obligaciones de transparencia del reglamento europeo de inteligencia artificial. Desde entonces circulan bastantes correos y llamadas avisando de multas millonarias a empresas de cinco personas.
Esta guía es lo contrario de eso. Te explica qué dice el reglamento que te aplica a ti, qué no te aplica aunque te lo cuenten, y qué se resuelve en una tarde. La mayoría de pymes tienen menos trabajo por delante del que les están vendiendo.
Qué es la ley de IA y por qué te afecta aunque tú no "hagas IA"
La norma se llama Reglamento (UE) 2024/1689 y casi todo el mundo la conoce como AI Act o ley de IA. Es un reglamento europeo, así que se aplica directamente en España sin necesidad de que nadie lo traspase a una ley española.
La confusión más común es pensar que va dirigida a quien fabrica inteligencia artificial. No: distingue entre quien desarrolla un sistema de IA y quien lo usa en su actividad profesional. Si en tu negocio alguien usa un asistente de IA para redactar correos, resumir documentos o atender clientes, estás en el segundo grupo.
La otra idea que conviene quitarse de encima: el reglamento no clasifica empresas, clasifica usos. La misma herramienta puede ser un uso de riesgo mínimo en un caso y de alto riesgo en otro. Lo que importa es para qué la usas tú.
Las obligaciones que ya están vivas, con sus fechas
El reglamento no entró en vigor de golpe: se despliega por fases. Estas son las dos que ya afectan a una pyme normal y las que importan hoy:
| Qué | Desde cuándo | A quién |
|---|---|---|
| Alfabetización en IA (art. 4) | 2 de febrero de 2025 | Cualquier empresa que use IA en su actividad |
| Transparencia (art. 50) | 2 de agosto de 2026 | Quien use chatbots o genere contenido con IA |
Las obligaciones de los llamados sistemas de alto riesgo —selección de personal, scoring crediticio, biometría, educación, infraestructuras críticas— tienen un calendario propio y posterior, y prácticamente ninguna pyme de servicios, comercio, hostelería o taller cae ahí. Si alguien te dice que sí, pídele que te señale el punto exacto del anexo del reglamento donde encaja tu caso.
Si tu empresa usa IA para escribir, resumir, atender o clasificar, tienes dos obligaciones. No quince.
Obligación 1: avisar de que es una IA (artículo 50)
Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50. En lenguaje de negocio se resumen en tres ideas:
- Si una persona habla con un chatbot o un asistente de voz, tiene que poder saber que no está hablando con un humano.
- Si publicas imagen, vídeo o audio generado o manipulado con IA que pueda parecer real, hay que señalarlo.
- Si usas sistemas de reconocimiento de emociones o categorización biométrica, hay que informar a las personas afectadas.
Para la inmensa mayoría de negocios esto se traduce en una sola tarea concreta: revisar el chat de tu web y tu WhatsApp. Si contesta un bot, tiene que decirlo. No hace falta un banner, ni un pop-up, ni un texto legal largo: basta con que se identifique como asistente virtual al empezar la conversación, o con una línea pequeña bajo el campo de escritura.
Lo desarrollamos paso a paso, con ejemplos de cómo redactar ese aviso sin espantar al cliente, en el artículo sobre cómo avisar de que tu chatbot es una IA.
Obligación 2: que tu equipo sepa lo que está usando (artículo 4)
Esta es la que más empresas tienen sin resolver, porque lleva vigente desde febrero de 2025 y ha pasado desapercibida. El artículo 4 exige que quien despliega sistemas de IA garantice un nivel suficiente de alfabetización en IA del personal que los usa.
Lo relevante es cómo está redactada la exigencia: hay que tener en cuenta los conocimientos técnicos, la experiencia, la formación previa y el contexto de uso de cada persona. Según las fuentes que analizan el texto, eso implica que un curso genérico igual para toda la plantilla se queda corto: la formación se ajusta al puesto y al riesgo del sistema que cada uno maneja.
No existe un temario oficial ni un certificado obligatorio. Lo que sí conviene es guardar evidencia: qué se impartió, a quién, cuándo y con qué contenido, en una proporción razonable al uso que hacéis de la IA.
Está desarrollado, con qué guardar y cómo enfocarlo según el tamaño del equipo, en el artículo sobre la formación en IA que tu empresa ya está obligada a dar.
Sanciones: lo que se dice y lo que conviene matizar
Aquí es donde más ruido hay. Las cifras que circulan son reales, pero se citan casi siempre a medias. El reglamento articula distintos topes según la gravedad —las fuentes consultadas citan los tramos de 35 M€/7 %, 15 M€/3 % y 7,5 M€/1 % de facturación anual mundial— y para el incumplimiento de las obligaciones de transparencia el tramo aplicable es el de hasta 15 millones de euros o el 3 %.
Y ahora el matiz que casi nadie añade: para pymes y empresas emergentes el reglamento prevé umbrales ajustados, de forma que se aplica el importe menor de los dos, no el mayor. Sobre una pyme, el porcentaje de su facturación real es una cifra muy distinta del titular de los 15 millones.
Si alguien te vende un servicio enseñándote solo el número grande, ya sabes qué parte del texto no te ha leído.
Sobre cuándo empieza a haber inspecciones de verdad, las fuentes que siguen la tramitación apuntan a que la actividad sancionadora relevante llegará a partir de la segunda mitad de 2026 y sobre todo durante 2027. Eso no es una excusa para no hacer nada: es margen para hacerlo bien y sin pagar precios de urgencia.
Qué añade España: AESIA y la ley de gobernanza
El reglamento europeo se aplica solo, pero cada país designa quién vigila y cómo sanciona. En España el organismo es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña y en funcionamiento desde 2023.
Además, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA fue aprobado por el Consejo de Ministros el 26 de mayo de 2026 y está en tramitación parlamentaria desde junio de 2026. Consolida a la AESIA como autoridad de vigilancia de mercado y punto de contacto único ante la Comisión Europea.
Checklist de diez minutos para saber por dónde andas
Coge un papel y responde. Para esta parte no necesitas a nadie:
Si de las cinco respuestas te salen una o dos tareas, es un rato de trabajo. Si te salen las cinco, no es una urgencia legal, pero sí una conversación que merece la pena tener con alguien que lo haya hecho antes.
Los artículos que desarrollan esta guía
Formación en IA obligatoria
El artículo 4 del reglamento europeo lleva vigente desde febrero de 2025 y ha pasado desapercibido. Qué exige, a quién, y por qué un curso genérico para toda la plantilla se queda corto.
→ Leer el artículoAvisar de que es una IA
El artículo 50 del reglamento europeo ya se aplica. La buena noticia: se resuelve con una línea de texto bien puesta. La mala: hay quien está vendiendo packs de cumplimiento por esto.
→ Leer el artículo¿La IA sustituirá a mi equipo?
Los medios la responden con titulares de fin del mundo y los proveedores la esquivan. Vamos a responderla de frente: qué desaparece, qué no, y dónde está la única línea que la ley marca en rojo.
→ Leer el artículoPreguntas frecuentes sobre la ley de IA en una pyme
¿Me afecta si solo usamos ChatGPT para escribir correos?
Sí, pero de forma limitada. El uso profesional de un asistente de IA activa la obligación de alfabetización del artículo 4: quien lo usa debe entender qué hace la herramienta, qué límites tiene y qué datos puede o no puede meter en ella. No activa las obligaciones de transparencia del artículo 50, salvo que ese contenido se publique como si fuera real sin señalarlo.
Tengo un chatbot en la web. ¿Tengo que quitarlo?
No. Solo tiene que quedar claro que es un sistema automático y no una persona. Basta con que se presente como asistente virtual o con una línea discreta junto al chat. La obligación es informar, no renunciar a la herramienta.
¿Necesito contratar a un abogado para esto?
Para una pyme que usa IA de forma corriente, normalmente no. Las dos obligaciones vivas se resuelven revisando qué usáis, poniendo un aviso donde toca y formando al equipo. Si tratáis datos personales sensibles o usáis IA para tomar decisiones sobre personas, ahí sí conviene asesoramiento jurídico específico.
¿Qué pasa si no hago nada?
A corto plazo, probablemente nada visible: las fuentes que siguen la tramitación sitúan la actividad sancionadora relevante a partir de 2027. El problema real es otro: si un cliente o un competidor señala que tu chatbot se hace pasar por una persona, la conversación empieza desde una posición mala y sin margen para arreglarlo con calma.
¿Sirve un curso online genérico para cumplir el artículo 4?
Ayuda, pero por sí solo se queda corto. La norma pide tener en cuenta el contexto de uso y el perfil de cada persona. Un curso igual para todos, sin relación con lo que cada uno usa en su puesto, es difícil de defender como formación suficiente si algún día hay que justificarla.
¿Esto tiene algo que ver con el RGPD?
Son normas distintas que se solapan mucho en la práctica. La ley de IA regula el sistema; el RGPD regula los datos personales que le metes. En una pyme, casi siempre la parte del RGPD es la que tiene consecuencias antes y más caras.
Fuentes consultadas
- Reglamento (UE) 2024/1689 — texto en EUR-Lex · fuente oficial
- ECIJA — Los nuevos requisitos de transparencia entran en vigor el 2 de agosto · consultado 26-08-2026
- LetsLaw — Las tres obligaciones del Reglamento de IA que entran en vigor a la vez · consultado 26-08-2026
- Economist & Jurist — Ley Orgánica de IA: España aterriza el AI Act con AESIA y sanciones · consultado 26-08-2026
- La Moncloa — El Gobierno regula la inteligencia artificial (Consejo de Ministros) · 26-05-2026
- AESIA — Agencia Española de Supervisión de la Inteligencia Artificial · fuente oficial