Si tienes una pyme o trabajas por tu cuenta, seguro que has oído que existe una ley europea de inteligencia artificial, que las multas llegan a 35 millones de euros y que «hay que cumplirla». Lo que casi nadie explica es a quién se aplica de verdad y qué hay que hacer ya.
La buena noticia: si usas ChatGPT, Claude o Canva en tu día a día, cumplir el AI Act no es un proyecto de seis meses con abogados. Es un inventario, un par de avisos, algo de formación y un papel que demuestre que lo has hecho. La mala: hay una obligación vigente desde febrero de 2025 de la que mucha gente no ha oído hablar.
¿Qué es el AI Act y qué se aplica ya?
El AI Act es el Reglamento (UE) 2024/1689, la primera ley europea que regula la IA según el riesgo. Entró en vigor en agosto de 2024 y se aplica por fases. Si usas IA en tu negocio, eres «responsable del despliegue». Las obligaciones más pesadas recaen en los proveedores, es decir, en quienes fabrican las herramientas.
Este es el calendario a octubre de 2026:
- Febrero de 2025: prácticas prohibidas y alfabetización en IA (artículo 4).
- Agosto de 2026: transparencia (artículo 50). Hay que avisar de que se habla con una IA y de que un contenido es sintético.
- Diciembre de 2027 y agosto de 2028: obligaciones de alto riesgo, aplazadas por el Ómnibus Digital, el Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026 (resumen de White & Case).
Aplazar no es cancelar: lo previsto para este agosto sigue en el calendario, solo que más tarde.
¿Cómo cumplir la ley de IA en mi empresa? Checklist de 7 pasos
- Haz un inventario de las herramientas de IA que se usan en tu negocio, también las que usa tu equipo por su cuenta. Una hoja de cálculo basta: herramienta, para qué, quién y qué datos entran.
- Clasifica cada uso por riesgo. Redactar o traducir es riesgo mínimo. Un chatbot de atención al cliente entra en transparencia. Filtrar currículums, evaluar a empleados o valorar la solvencia de alguien es alto riesgo: está aplazado, pero conviene saberlo antes de contratar la herramienta.
- Descarta las prácticas prohibidas: manipulación subliminal, puntuación social, reconocimiento de emociones de empleados. Casi ningún negocio pequeño se acerca a eso, pero comprobarlo lleva cinco minutos.
- Forma a tu equipo. El artículo 4 pide medidas para que quien maneja IA tenga un nivel suficiente de alfabetización. No hay horas fijadas ni certificado oficial; guarda lo que hagas, sea una sesión, una guía interna o una lista de asistentes. El Ómnibus suavizó la redacción, pero no quitó la obligación.
- Avisa cuando toque. Si tienes un chatbot, quien escribe debe saber que habla con una IA. Si publicas imágenes, audio o vídeo generados que puedan confundirse con algo real, indica que son artificiales.
- Cuida los datos personales. El AI Act no sustituye al RGPD: antes de pegar datos de clientes en una herramienta, averigua qué hace con ellos.
- Documenta y revisa. Una persona responsable, el inventario guardado y la formación anotada. Una recomendación mía, no del reglamento: revisarlo cada seis meses.
Si ningún uso de la IA en tu empresa entra en alto riesgo, no tienes que registrar nada ante ninguna autoridad ni sacar ningún certificado.
¿Qué multas hay y cómo está la ley en España?
El reglamento prevé hasta 35 millones de euros o el 7 % de la facturación por prácticas prohibidas, y hasta 15 millones o el 3 % por otras infracciones graves, como incumplir la transparencia. Para las pymes se aplica la cifra más baja de las dos.
En España, el proyecto de Ley Orgánica de gobernanza de la IA, que convierte a la AESIA en autoridad principal, sigue en tramitación en el Congreso según las fuentes que he consultado. Todavía no hay un cauce sancionador nacional completo, pero las obligaciones europeas ya están vigentes.
Mi opinión
Lo más sensato de la ley me parece el artículo 4, justo el que menos se menciona. Dice, en el fondo, que usar una tecnología sin entenderla es un riesgo. No habla de herramientas, habla de personas.
Una herramienta que nadie del equipo entiende es un problema mucho antes de que llegue ninguna multa. El inventario te lo hace una tarde cualquiera; la formación es lo que cambia cómo trabaja la gente.
Preguntas rápidas sobre el AI Act en pymes
Sí, en parte. Si usas IA en tu actividad profesional, el reglamento te considera «responsable del despliegue». Eso significa que te afectan, como mínimo, la prohibición de ciertas prácticas, la obligación de alfabetización en IA del artículo 4 y las normas de transparencia. Las obligaciones más pesadas, las de los sistemas de alto riesgo, solo aplican si usas la IA para cosas como seleccionar personal, evaluar a empleados o decidir sobre créditos.
Por fases. Las prácticas prohibidas y la alfabetización en IA se aplican desde el 2 de febrero de 2025, las normas para modelos de uso general desde el 2 de agosto de 2025 y la transparencia del artículo 50 desde el 2 de agosto de 2026. Las obligaciones de alto riesgo se aplazaron al 2 de diciembre de 2027 (sistemas del anexo III) y al 2 de agosto de 2028 (IA integrada en productos regulados).
El reglamento prevé hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas, y hasta 15 millones o el 3 % por otras infracciones graves, como incumplir las obligaciones de transparencia. Para pymes se aplica la cifra más baja de las dos. En España, el cauce sancionador nacional depende de una ley orgánica que, según las fuentes consultadas, sigue en tramitación en el Congreso.
El artículo 4 obliga a quien usa IA en su actividad a tomar medidas para que las personas que la manejan tengan un nivel suficiente de alfabetización en IA. No fija un número de horas ni exige un certificado oficial, pero conviene poder demostrar lo que has hecho: una sesión de formación, una guía interna, una lista de asistentes.
El Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026, aplazó las obligaciones de alto riesgo a diciembre de 2027 y agosto de 2028, dio hasta el 2 de diciembre de 2026 para el marcado técnico de contenidos a los sistemas comercializados antes del 2 de agosto de 2026 y suavizó la redacción de la obligación de alfabetización. Las prácticas prohibidas y la mayor parte de la transparencia siguen igual.
Este artículo es divulgativo y no sustituye el asesoramiento jurídico; la información está al día a octubre de 2026. ¿Quieres formar a tu equipo para cumplir con el artículo 4 o repasar tu inventario de herramientas? Cuéntame tu caso.