AI Act para pymes: guía práctica para cumplir paso a paso

---

Última actualización: 28 de julio de 2026.

El AI Act también afecta a las pymes.

Una pequeña empresa no queda fuera del Reglamento Europeo de Inteligencia Artificial por tener pocos trabajadores, facturar poco o utilizar herramientas desarrolladas por otras compañías.

Una asesoría que utiliza ChatGPT para preparar documentos, una tienda con un chatbot, una agencia que genera imágenes, una clínica que transcribe consultas o una empresa que filtra currículums mediante IA pueden estar sometidas a distintas obligaciones.

Sin embargo, no todas las empresas necesitan realizar los mismos trámites.

Las medidas aplicables dependen principalmente de:

• Qué sistemas de inteligencia artificial utiliza la empresa.
• Para qué los utiliza.
• Si desarrolla la tecnología o utiliza una herramienta externa.
• Si el sistema interactúa con clientes.
• Si trata datos personales.
• Si genera contenido destinado al público.
• Si evalúa a personas o influye en decisiones importantes.
• Si puede ejecutar acciones de forma autónoma.
• Del sector en el que opera.

Esta guía explica cómo puede una pyme organizar el cumplimiento del AI Act paso a paso, evitando tanto ignorar los riesgos como implantar una estructura innecesariamente compleja.

AI Act para pymes: resumen en 30 segundos

Una pyme que utiliza inteligencia artificial debería realizar, como mínimo, estas acciones:

1. Identificar todas las herramientas de IA utilizadas.
2. Definir para qué se utiliza cada una.
3. Determinar si la empresa es proveedora o responsable del despliegue.
4. Comprobar que no se realizan prácticas prohibidas.
5. Clasificar inicialmente el nivel de riesgo.
6. Revisar el tratamiento de datos personales.
7. Evaluar a los proveedores.
8. Crear unas normas internas de uso.
9. Formar al personal.
10. Informar a clientes y usuarios cuando sea necesario.
11. Mantener supervisión humana.
12. Registrar errores, cambios e incidentes.

Las obligaciones de alfabetización en IA y las prohibiciones principales se aplican desde el 2 de febrero de 2025. Las obligaciones de transparencia del artículo 50 comienzan a aplicarse el 2 de agosto de 2026. Tras la reforma aprobada en julio de 2026, las obligaciones principales de los sistemas de alto riesgo del anexo III se han aplazado hasta el 2 de diciembre de 2027 y las de sistemas integrados en productos regulados hasta el 2 de agosto de 2028.

¿Se aplica el AI Act a una pequeña empresa?

Puede aplicarse aunque la empresa no desarrolle inteligencia artificial.

El Reglamento diferencia entre varios operadores. Para la mayoría de las pymes, las figuras más relevantes son el proveedor y el responsable del despliegue.

Pyme responsable del despliegue

Una empresa actúa normalmente como responsable del despliegue cuando utiliza un sistema de IA desarrollado por otra organización dentro de su actividad profesional.

Por ejemplo:

• Utiliza ChatGPT para preparar textos.
• Instala un chatbot de atención al cliente.
• Emplea un programa para transcribir reuniones.
• Genera imágenes para campañas publicitarias.
• Utiliza IA para analizar ventas.
• Incorpora un asistente de redacción a sus programas.
• Clasifica solicitudes mediante una herramienta externa.
• Utiliza IA para ayudar a seleccionar candidatos.

Esta será la situación más habitual entre las pequeñas empresas.

Pyme proveedora de un sistema de IA

Una empresa puede convertirse en proveedora cuando:

• Desarrolla un sistema de IA.
• Encarga su desarrollo y lo comercializa bajo su nombre.
• Ofrece una herramienta de IA con su propia marca.
• Modifica sustancialmente un sistema existente.
• Cambia la finalidad prevista de un sistema.
• Integra un modelo externo dentro de un producto propio y asume su comercialización.

Un proveedor puede tener obligaciones mucho más amplias que una empresa que se limita a utilizar una herramienta externa.

Una empresa puede tener varios papeles

Una pyme puede ser responsable del despliegue de ChatGPT y, al mismo tiempo, proveedora de un chatbot que ofrece a sus clientes.

Por eso no debe clasificarse únicamente a la empresa. Debe analizarse cada sistema y cada uso por separado.

¿Las pymes están exentas del AI Act?

No existe una exención general para pequeñas empresas.

Las pymes pueden beneficiarse de medidas de apoyo, documentación simplificada en determinados supuestos, reducción proporcional de algunas tasas y acceso prioritario a espacios controlados de pruebas.

Sin embargo, continúan sujetas a las obligaciones que correspondan a su papel y al riesgo de sus sistemas. La normativa prevé medidas específicas para facilitar el cumplimiento de pymes y empresas emergentes, pero no elimina las reglas de transparencia, alfabetización, protección de datos o prácticas prohibidas.

¿Qué obligaciones del AI Act ya afectan a las pymes?

1. Prácticas de inteligencia artificial prohibidas

Desde el 2 de febrero de 2025 se aplican las prohibiciones del artículo 5.

Entre ellas se encuentran determinadas prácticas relacionadas con:

• Manipulación deliberada o engañosa.
• Explotación de vulnerabilidades.
• Puntuación social.
• Creación indiscriminada de bases de reconocimiento facial.
• Reconocimiento de emociones en el trabajo o la educación, salvo excepciones limitadas.
• Determinadas formas de categorización biométrica.
• Algunos usos de identificación biométrica remota.

No significa que cualquier sistema persuasivo, biométrico o emocional esté automáticamente prohibido. Cada prohibición contiene condiciones concretas.

Una pyme que utilice IA en recursos humanos, educación, seguridad, publicidad personalizada o atención a personas vulnerables debería revisar especialmente este apartado.

2. Alfabetización en inteligencia artificial

El artículo 4 exige que proveedores y responsables del despliegue adopten medidas para apoyar el desarrollo de la alfabetización en IA de las personas que utilizan estos sistemas en su nombre.

Tras la reforma de julio de 2026, sigue existiendo una obligación real, pero no se exige garantizar un nivel específico idéntico para todo el personal.

Las medidas deben adaptarse a:

• Los conocimientos previos.
• La experiencia.
• La formación.
• El sistema utilizado.
• La finalidad.
• Los riesgos.
• Las personas sobre las que se aplica.

La obligación puede afectar a empleados, colaboradores, contratistas y otras personas que utilizan sistemas de IA bajo la organización de la empresa.

Una empresa cuyos trabajadores utilizan ChatGPT para traducir textos o preparar publicidad también debe explicar riesgos concretos como las respuestas inventadas o inexactas. La Comisión Europea confirma expresamente este ejemplo.

¿Es obligatorio contratar un curso?

No necesariamente.

La empresa puede combinar:

• Formación interna.
• Guías de uso.
• Sesiones prácticas.
• Vídeos.
• Casos reales.
• Pruebas de comprensión.
• Protocolos.
• Recordatorios periódicos.
• Formación especializada para funciones de mayor riesgo.

Limitarse a enviar las instrucciones del proveedor puede ser insuficiente cuando el uso de la herramienta presenta riesgos relevantes.

¿Hace falta un certificado?

No.

La Comisión señala que no se necesita un certificado específico. La organización puede conservar un registro interno de las formaciones y demás iniciativas adoptadas. Tampoco es obligatorio crear un cargo específico de responsable de IA para cumplir el artículo 4.

3. Transparencia ante clientes y usuarios

Desde el 2 de agosto de 2026, el artículo 50 establece obligaciones para determinados sistemas interactivos y contenidos generados mediante IA.

Una pyme puede verse afectada cuando:

• Utiliza un chatbot.
• Emplea un asistente telefónico con voz artificial.
• Publica un deepfake.
• Utiliza reconocimiento de emociones.
• Utiliza categorización biométrica.
• Publica automáticamente textos sobre asuntos de interés público.
• Desarrolla sistemas que generan contenido sintético.

Cuando una persona interactúa directamente con una IA debe ser informada, salvo que resulte evidente por las circunstancias.

Además, los deepfakes deben identificarse y determinados textos generados mediante IA deben etiquetarse cuando informen al público sobre asuntos de interés público y no hayan pasado por una revisión humana sustantiva.

Consulta nuestra guía completa sobre el artículo 50 del AI Act para revisar estas obligaciones.

4. Protección de datos

El AI Act no sustituye al Reglamento General de Protección de Datos.

Cuando una herramienta de IA trata datos personales, la empresa debe analizar:

• Qué datos utiliza.
• Para qué se utilizan.
• Qué base jurídica permite el tratamiento.
• Quién actúa como responsable.
• Qué proveedores intervienen.
• Dónde se almacenan los datos.
• Durante cuánto tiempo se conservan.
• Cómo pueden ejercer sus derechos las personas.
• Si existen decisiones automatizadas.
• Si es necesaria una evaluación de impacto.

La empresa que decide utilizar una solución de IA no puede trasladar toda la responsabilidad al proveedor ni alegar desconocimiento técnico. La AEPD señala que quien decide realizar el tratamiento debe seleccionar diligentemente la solución, exigir información y valorar si resulta adecuada para la finalidad concreta.

Cuando el tratamiento pueda suponer un riesgo elevado para los derechos y libertades de las personas, puede ser necesaria una Evaluación de Impacto en Protección de Datos antes de iniciar el tratamiento.

También debe aplicarse el principio de minimización: los datos han de ser adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida.

¿Qué debe hacer una pyme para cumplir el AI Act?

Paso 1. Crear un inventario de sistemas de IA

El primer paso no es contratar un abogado ni redactar una política de veinte páginas.

Es averiguar qué utiliza realmente la empresa.

El inventario debería incluir:

• Nombre de la herramienta.
• Proveedor.
• Departamento.
• Finalidad.
• Personas que la utilizan.
• Datos introducidos.
• Personas afectadas.
• Resultados generados.
• Decisiones en las que interviene.
• Acciones que puede ejecutar.
• Responsable interno.
• Fecha de incorporación.
• Próxima revisión.
• Nivel inicial de riesgo.

No deben registrarse únicamente las herramientas compradas oficialmente.

También hay que detectar el Shadow AI: aplicaciones que los trabajadores utilizan por iniciativa propia sin conocimiento o autorización de la empresa.

Algunos ejemplos:

• Cuentas personales de ChatGPT.
• Extensiones del navegador.
• Transcriptores de reuniones.
• Generadores de presentaciones.
• Herramientas para resumir documentos.
• Aplicaciones de edición de imágenes.
• Asistentes incluidos en programas de oficina.
• Bots conectados a WhatsApp o redes sociales.

Sin inventario no es posible saber qué obligaciones afectan a la empresa.

Paso 2. Definir la finalidad de cada herramienta

No basta con anotar:

Utilizamos inteligencia artificial para mejorar la productividad.

Debe describirse una finalidad concreta:

El departamento comercial utiliza una herramienta generativa para preparar primeros borradores de correos, que son revisados por un trabajador antes de enviarse.

Otro ejemplo:

El chatbot responde preguntas sobre horarios, envíos y devoluciones utilizando exclusivamente la información publicada en la web.

La finalidad permite determinar:

• Qué datos son necesarios.
• Quién debe utilizar la herramienta.
• Qué respuestas están autorizadas.
• Qué riesgos existen.
• Qué controles hacen falta.
• Cuándo debe intervenir una persona.

Paso 3. Designar una persona responsable

Una pyme no necesita crear necesariamente un departamento de inteligencia artificial.

Sí debería existir alguien encargado de:

• Mantener el inventario.
• Revisar nuevas herramientas.
• Coordinar la formación.
• Actualizar las normas internas.
• Recibir comunicaciones de errores.
• Revisar a los proveedores.
• Conservar las evidencias.
• Coordinarse con protección de datos, seguridad o dirección.

La persona responsable no tiene que resolver por sí sola todas las cuestiones jurídicas o técnicas. Su función es evitar que las herramientas se incorporen sin control ni seguimiento.

Paso 4. Determinar el papel de la empresa

Para cada sistema debe indicarse si la pyme actúa como:

• Responsable del despliegue.
• Proveedora.
• Importadora.
• Distribuidora.
• Fabricante de un producto que incorpora IA.

En protección de datos también habrá que determinar si actúa como:

• Responsable del tratamiento.
• Corresponsable.
• Encargada del tratamiento.

Los papeles del AI Act y del RGPD no son equivalentes. Una empresa puede ser responsable del despliegue conforme al AI Act y responsable del tratamiento conforme al RGPD.

Paso 5. Comprobar las prácticas prohibidas

Antes de estudiar si un sistema es de alto riesgo, hay que verificar que el uso no se encuentra prohibido.

Debe prestarse especial atención cuando la herramienta:

• Intenta alterar el comportamiento de personas.
• Se dirige a menores.
• Se dirige a personas vulnerables.
• Analiza emociones.
• Utiliza biometría.
• Clasifica personas mediante características sensibles.
• Realiza vigilancia.
• Recopila imágenes faciales.
• Evalúa conductas o perfiles sociales.

Si existe alguna duda razonable, no debería desplegarse hasta realizar un análisis especializado.

Paso 6. Clasificar el riesgo

El AI Act utiliza una estructura basada en niveles de riesgo.

Riesgo mínimo

Ejemplos habituales:

• Filtros de correo no deseado.
• Herramientas de organización.
• Predicciones de inventario sin efectos sobre personas.
• Sistemas internos de productividad.

Normalmente no tienen obligaciones específicas amplias, aunque pueden seguir afectadas por RGPD, seguridad, propiedad intelectual o contratos.

Riesgo de transparencia

Puede incluir:

• Chatbots.
• Asistentes conversacionales.
• Contenidos sintéticos.
• Deepfakes.
• Sistemas de reconocimiento de emociones permitidos.
• Determinados textos generados por IA.

Requieren analizar las obligaciones del artículo 50.

Alto riesgo

Puede incluir sistemas utilizados para:

• Selección y evaluación de trabajadores.
• Acceso a educación.
• Evaluación de estudiantes.
• Crédito.
• Seguros de vida y salud.
• Acceso a servicios esenciales.
• Determinados usos biométricos.
• Justicia.
• Migración.
• Infraestructuras críticas.
• Productos sanitarios y otros productos regulados.

Que una herramienta se utilice en uno de estos sectores no significa automáticamente que sea de alto riesgo. Debe analizarse la finalidad y la influencia real del sistema.

Las obligaciones principales de los sistemas del anexo III se aplicarán desde el 2 de diciembre de 2027 y las correspondientes a sistemas integrados en productos regulados desde el 2 de agosto de 2028.

Paso 7. Evaluar al proveedor

Antes de contratar una herramienta de IA, conviene solicitar información sobre:

• Empresa que presta el servicio.
• Modelos utilizados.
• Finalidad prevista.
• Limitaciones.
• Uso de las entradas y conversaciones.
• Entrenamiento de los modelos.
• Ubicación de los datos.
• Transferencias internacionales.
• Subencargados.
• Plazos de conservación.
• Medidas de seguridad.
• Gestión de incidentes.
• Eliminación y exportación.
• Registros disponibles.
• Documentación del AI Act.
• Cambios de versión.
• Posibilidad de desactivar funciones.

No debería elegirse un proveedor únicamente por el precio o por la facilidad de instalación.

La empresa debe comprobar que la herramienta sea adecuada para el uso real que pretende hacer de ella.

Paso 8. Crear una política interna de IA

La política debe ser comprensible y estar relacionada con las herramientas reales de la empresa.

Debería regular:

• Herramientas autorizadas.
• Procedimiento para solicitar nuevas aplicaciones.
• Usos permitidos.
• Usos prohibidos.
• Datos que no pueden introducirse.
• Información confidencial.
• Propiedad intelectual.
• Revisión humana.
• Contenido generado.
• Transparencia.
• Atención al cliente.
• Comunicación de errores.
• Incidentes de seguridad.
• Responsabilidades.
• Formación.
• Revisión periódica.

Una política que prohíbe todo uso no suele ser realista. Puede provocar que los trabajadores sigan utilizando IA de forma oculta.

Resulta más eficaz establecer herramientas aprobadas, límites claros y canales para consultar dudas.

Puedes utilizar nuestro generador de políticas internas de IA como punto de partida.

Paso 9. Formar al personal

No todo el personal necesita la misma formación.

Nivel básico

Para cualquier persona que utilice herramientas generativas:

• Qué es la IA.
• Qué herramientas están autorizadas.
• Riesgo de respuestas inventadas.
• Protección de datos.
• Información confidencial.
• Propiedad intelectual.
• Necesidad de revisión humana.
• Cómo comunicar un error.

Nivel funcional

Para personas que utilizan IA en marketing, atención al cliente, recursos humanos o administración:

• Riesgos de su caso de uso.
• Límites de la herramienta.
• Transparencia.
• Sesgos.
• Validación de resultados.
• Procedimientos internos.
• Conservación de evidencias.

Nivel avanzado

Para responsables, desarrolladores y supervisores:

• Clasificación de riesgos.
• Obligaciones del AI Act.
• Evaluación de proveedores.
• Protección de datos.
• Seguridad.
• Supervisión humana.
• Pruebas.
• Gestión de incidentes.

Debe conservarse un registro de:

• Contenidos impartidos.
• Fecha.
• Personas asistentes.
• Modalidad.
• Material utilizado.
• Actualizaciones.

Paso 10. Revisar la transparencia

Una pyme debe comprobar si necesita informar de:

• La interacción con un chatbot.
• El uso de una voz artificial.
• Un avatar generado mediante IA.
• Un deepfake.
• Un texto publicado automáticamente.
• Un sistema de reconocimiento de emociones.
• Un sistema de categorización biométrica.
• Una decisión automatizada.
• Un tratamiento de datos personales.

No existe un único aviso válido para cualquier herramienta.

La información debe adaptarse a la finalidad, al canal y a las personas afectadas.

Paso 11. Mantener supervisión humana

La intervención humana debe ser efectiva.

Una persona responsable debería poder:

• Revisar resultados.
• Detectar errores.
• Rechazar recomendaciones.
• Interrumpir el sistema.
• Corregir información.
• Atender una reclamación.
• Revisar una decisión.
• Desactivar permisos.
• Revertir una acción cuando sea posible.

Pulsar automáticamente un botón de aprobación no constituye una supervisión real.

Cuanto mayor sea el impacto sobre las personas, más cualificada e independiente debe ser la revisión.

Paso 12. Registrar errores e incidentes

La empresa debe disponer de un canal para comunicar situaciones como:

• Respuestas inventadas.
• Filtraciones.
• Accesos indebidos.
• Resultados discriminatorios.
• Uso de herramientas no autorizadas.
• Contenido engañoso.
• Decisiones incorrectas.
• Operaciones ejecutadas por error.
• Vulnerabilidades.
• Incumplimientos contractuales del proveedor.

El registro debería incluir:

• Fecha.
• Sistema afectado.
• Descripción.
• Personas afectadas.
• Datos implicados.
• Medida inmediata.
• Responsable.
• Investigación.
• Corrección.
• Necesidad de notificación.
• Fecha de cierre.

Documentos básicos para una pyme

Una pequeña empresa que utilice IA de forma habitual debería disponer progresivamente de:

1. Inventario de sistemas de IA.
2. Ficha de finalidad de cada herramienta.
3. Clasificación inicial de riesgos.
4. Política interna de uso.
5. Registro de formación.
6. Evaluación de proveedores.
7. Contratos y condiciones revisadas.
8. Protocolo de revisión humana.
9. Registro de errores e incidentes.
10. Registro de versiones y cambios.
11. Avisos de transparencia.
12. Evidencias de las pruebas realizadas.

No todos los documentos necesitan ser extensos.

Una microempresa puede mantener una documentación sencilla, siempre que refleje las decisiones reales y permita demostrar qué medidas se han implantado.

Qué no necesita necesariamente una pyme

Una pequeña empresa no necesita automáticamente:

• Contratar un responsable de IA a tiempo completo.
• Obtener un certificado de alfabetización.
• Realizar una evaluación de conformidad.
• Registrar todos sus sistemas en una base europea.
• Elaborar documentación técnica de alto riesgo.
• Contratar una auditoría externa anual.
• Etiquetar cualquier texto creado con ayuda de ChatGPT.
• Prohibir todas las herramientas generativas.
• Crear un comité formal de gobernanza.

Estas medidas pueden ser necesarias en casos concretos, pero no se aplican por el simple hecho de utilizar IA.

Ejemplos prácticos

Autónomo que utiliza ChatGPT

Un profesional utiliza ChatGPT para preparar borradores de correos y publicaciones.

Debería:

• Evitar introducir datos confidenciales.
• Revisar cada resultado.
• Conocer el riesgo de errores.
• Comprobar las condiciones del servicio.
• Establecer qué usos admite.
• Aplicar medidas de alfabetización.

Normalmente no necesitará una estructura compleja de alto riesgo.

Tienda online con chatbot

Además de las medidas anteriores, debería:

• Informar de que el usuario habla con una IA.
• Revisar la privacidad.
• Controlar precios y devoluciones.
• Mantener actualizada la base de conocimiento.
• Permitir atención humana.
• Registrar errores.
• Limitar los permisos del chatbot.

Consulta nuestra guía sobre chatbots de IA en empresas.

Agencia de marketing

Debería revisar:

• Derechos de propiedad intelectual.
• Uso de imágenes de personas.
• Deepfakes.
• Etiquetado de contenido.
• Revisión editorial.
• Datos de clientes.
• Herramientas autorizadas.
• Responsabilidad sobre publicaciones.

Empresa que filtra currículums

El riesgo es mucho mayor.

Debe analizar:

• Si el sistema se considera de alto riesgo.
• Qué datos utiliza.
• Posibles sesgos.
• Decisiones automatizadas.
• Supervisión humana.
• Información a candidatos.
• Evaluación de impacto.
• Documentación del proveedor.
• Formación especializada.

No debería desplegarse sin una evaluación específica.

Plan básico de 30, 60 y 90 días

Primeros 30 días

• Identificar herramientas.
• Detectar Shadow AI.
• Nombrar una persona responsable.
• Definir finalidades.
• Bloquear usos claramente inaceptables.
• Revisar herramientas que tratan datos sensibles.
• Comunicar unas normas provisionales.

Antes de 60 días

• Completar el inventario.
• Clasificar riesgos.
• Revisar proveedores.
• Aprobar una política interna.
• Implantar formación básica.
• Preparar avisos de transparencia.
• Definir la revisión humana.

Antes de 90 días

• Probar los sistemas.
• Crear un registro de incidentes.
• Documentar evidencias.
• Revisar contratos.
• Actualizar privacidad.
• Establecer una revisión periódica.
• Preparar medidas adicionales para usos de mayor riesgo.

Genera un plan inicial para tu pyme

Utiliza la herramienta que encontrarás a continuación para identificar las prioridades de tu empresa.

El generador analiza:

• Cómo utiliza la IA.
• Si trata datos personales.
• Si interactúa con clientes.
• Si evalúa personas.
• Si genera contenidos.
• Qué controles ya se han implantado.

A partir de las respuestas crea un plan orientativo de 30, 60 y 90 días.

1. Papel y usos de la empresa

¿Qué relación tiene tu empresa con la IA? ¿Para qué utiliza la empresa la inteligencia artificial?

Puedes marcar varias opciones. Productividad, redacción, traducción o resúmenes Marketing, imágenes, vídeos o redes sociales Chatbot o atención al cliente Selección o evaluación de trabajadores Crédito, seguros o acceso a servicios esenciales Educación o evaluación de estudiantes Salud, diagnóstico o seguridad Automatización de acciones u operaciones

2. Personas, datos y decisiones

¿El sistema utiliza datos personales de clientes, trabajadores u otras personas? Sí No No lo sabemos

¿La IA interactúa directamente con clientes, usuarios o ciudadanos? Sí No No lo sabemos

¿Publicáis textos, imágenes, vídeos o voces generados mediante IA? Sí No No lo sabemos

¿La IA evalúa personas o influye en decisiones importantes sobre ellas? Sí No No lo sabemos

¿Puede ejecutar acciones como pagos, devoluciones, reservas o cambios de cuenta? Sí No No lo sabemos

3. Controles implantados

¿Disponéis de un inventario de herramientas y sistemas de IA? Sí Parcialmente No

¿Existe una política interna que regule el uso de la IA? Sí Parcialmente No

¿Las personas que utilizan IA han recibido formación o instrucciones específicas? Sí Parcialmente No

¿Se han revisado la privacidad, seguridad y condiciones de los proveedores? Sí Parcialmente No

¿Existe revisión humana de los resultados o decisiones relevantes? Sí Parcialmente No

¿Existe un procedimiento para registrar errores, filtraciones o incidentes? Sí Parcialmente No

Preguntas frecuentes sobre el AI Act para pymes

¿El AI Act se aplica a empresas con uno o dos trabajadores?

Sí. El tamaño no determina por sí solo si se aplica el Reglamento. Lo importante es el sistema utilizado, la finalidad y el papel de la empresa.

¿Una empresa que solo utiliza ChatGPT debe hacer algo?

Sí. Como mínimo debería controlar qué información se introduce, establecer normas de uso, revisar los resultados y adoptar medidas de alfabetización adaptadas a sus trabajadores.

¿Es obligatorio tener una política de inteligencia artificial?

El AI Act no impone de forma general un documento denominado exactamente “política de IA”. Sin embargo, una política es una de las formas más eficaces de organizar y demostrar las medidas implantadas.

¿Es obligatorio crear un inventario?

No existe una obligación general denominada literalmente “inventario de IA” para cualquier pyme. Sin embargo, resulta difícil clasificar riesgos, formar al personal y demostrar el cumplimiento sin saber qué herramientas se utilizan.

¿Hace falta nombrar un responsable de IA?

No existe una obligación general equivalente al delegado de protección de datos. No obstante, conviene asignar responsabilidades internas para evitar que el cumplimiento quede sin propietario.

¿Es obligatorio formar a todos los empleados?

Deben adoptarse medidas de alfabetización para las personas que operan o utilizan sistemas de IA en nombre de la empresa. El contenido puede variar según sus funciones y nivel de riesgo.

¿Hace falta un certificado de formación?

No. La Comisión Europea indica que puede conservarse un registro interno de la formación y otras iniciativas adoptadas.

¿Una pyme debe etiquetar todo el contenido creado con IA?

No. Las obligaciones dependen del tipo de contenido, de su finalidad, de si constituye un deepfake y de si existe una revisión humana sustantiva.

¿Utilizar un programa conocido garantiza el cumplimiento?

No. Que una herramienta sea popular o esté desarrollada por una gran compañía no garantiza que su configuración y utilización concreta sean adecuadas para la empresa.

¿Puede una pyme esperar hasta 2027 para actuar?

No. Aunque las obligaciones principales de los sistemas de alto riesgo se hayan aplazado, las prácticas prohibidas y la alfabetización ya se aplican, y las reglas de transparencia comienzan el 2 de agosto de 2026.

¿Cuánto cuesta cumplir el AI Act?

Depende del uso de la IA. Una microempresa con herramientas de productividad puede comenzar con un inventario, unas normas internas y formación básica. Una empresa que evalúa personas, trata datos sensibles o desarrolla sistemas necesitará recursos especializados.

Conclusión

El cumplimiento del AI Act para una pyme no debería empezar con una gran cantidad de documentos.

Debe empezar con cuatro preguntas:

1. ¿Qué herramientas utilizamos?
2. ¿Para qué las utilizamos?
3. ¿A quién pueden afectar?
4. ¿Qué controles necesitamos?

Una pequeña empresa que conoce sus herramientas, limita sus usos, forma al personal, revisa a los proveedores y mantiene supervisión humana ya habrá construido una base mucho más sólida que una organización con políticas extensas que nadie aplica.

El objetivo no es frenar la utilización de la inteligencia artificial, sino utilizarla sin perder el control sobre los datos, las decisiones y la relación con clientes y trabajadores.

---

Aviso: Este contenido tiene una finalidad exclusivamente informativa y divulgativa. No constituye asesoramiento jurídico. Las obligaciones concretas dependen del sistema, la finalidad, el sector, los datos tratados y el papel de cada organización.