El 2 de agosto de 2026, el Reglamento de Inteligencia Artificial o AI Act entra en su fase de despliegue general. Dicho de otro modo, su cumplimiento pasa a ser obligatorio en España y en el resto de la UE, si bien algunos requisitos quedan aplazados hasta diciembre de 2027 por el Reglamento Omnibus Digital.
Por ello, en esta guía vamos a desgranar cómo cumplir la Ley de inteligencia artificial en pequeñas empresas, teniendo en cuenta los usos más frecuentes que las pymes hacen de esta tecnología, y con ejemplos concretos de diferentes sectores.
¿Qué obligaciones establece el AI Act para el uso de IA en empresas?
Usos y prácticas prohibidas
Están sujetas a una prohibición total debido a su amenaza para los derechos fundamentales:
- Manipulación cognitiva: Sistemas que utilicen técnicas subliminales para distorsionar el comportamiento humano.
- Puntuación social: Clasificación de personas por las administraciones públicas según su conducta social o perfil.
- Identificación o categorización biométrica remota: Uso en tiempo real en espacios públicos (salvo excepciones muy estrictas).
- Reconocimiento de emociones: Su uso en entornos laborales y educativos.
Sistemas de alto riesgo: El núcleo de las obligaciones
Afecta a sistemas que evalúan a personas (créditos, empleo, educación, justicia, biometría). Se debe cumplir con:
- Mitigación y control de sesgos: Obligación de utilizar datos de entrenamiento limpios, representativos y libres de sesgos discriminatorios.
- Supervisión humana obligatoria: Los sistemas deben diseñarse para que personas cualificadas puedan monitorizar, corregir o apagar la IA en cualquier momento.
- Registro de actividad (Logs): Trazabilidad automática de los eventos y decisiones para poder auditar el comportamiento de la IA.
Sistemas de riesgo limitado: Obligaciones de básicas de transparencia
Afectan a sistemas comunes como chatbots, generadores de imágenes o filtros de spam:
- Información al usuario: Notificar siempre que se está interactuando con una IA.
- Marcas de agua: Etiquetar obligatoriamente los contenidos sintéticos (deepfakes, textos informativos automáticos, audios generados).
Sin obligaciones
Videojuegos con IA, filtros de fotografía o correctores ortográficos no tienen obligaciones legales añadidas, aunque se fomenta la creación de códigos de conducta voluntarios.
¿Qué hacer para cumplir el AI Act en una pequeña empresa?
Analizar las herramientas de IA que usa la empresa y el nivel de riesgo que representan
Los estudios más recientes señalan que el 73% de las pymes no saben si utilizan sistemas IA de alto riesgo, y el 82% ni siquiera tienen un inventario de las herramientas que usan estas tecnología.
Lo más recomendable en este caso es acudir a ayuda especializada. Por ejemplo, compañías enfocadas en el compliance como Atico34 cuentan con su propio software para cumplir la Ley de Inteligencia Artificial, Atico34 AI Governance, una solución económica para pymes que además ofrece asesoramiento legal por parte de sus expertos en inteligencia artificial y protección de datos.
Crear el inventario y la política interna de alfabetización digital
Una vez completado el diagnóstico, la empresa debe formalizar la gestión de sus activos tecnológicos mediante un registro centralizado y confidencial de los programas que usa.
Esta documentación se debe respaldar con un programa de capacitación para la plantilla, un requisito legal que busca garantizar que los empleados utilicen la tecnología con criterios éticos de seguridad.
Aplicar las medidas de transparencia obligatorias
En la práctica, las empresas que utilicen asistentes virtuales o canales de atención automatizada deben configurar de forma obligatoria notificaciones claras que informen al usuario sobre la naturaleza del sistema.
También deben incluir marcas de agua o etiquetas legibles en cualquier contenido visual, escrito o sonoro generado de forma sintética.
Establecer la supervisión humana para sistemas de alto riesgo
Cuando los sistemas contratados intervienen en áreas críticas como la gestión de recursos humanos o la evaluación financiera, la pyme debe estructurar un protocolo de control interno riguroso.
Esto implica designar un profesional cualificado para auditar los resultados algorítmicos, asegurando de este modo que procesos de alta sensibilidad, como el descarte de currículums o la asignación de jornadas, requieran siempre de la validación humana antes de su aplicación definitiva, tal y como señala el artículo 14 del AI Act.
Revisar los contratos y realizar una auditoría de seguridad continua
Las pymes deben exigir a sus socios tecnológicos cláusulas de cumplimiento explícitas e inmunidad en el tratamiento de sus datos corporativos.
Se recomienda establecer un calendario de revisiones periódicas que garantice la seguridad del entorno digital cada vez que una nueva aplicación se integre en el flujo de trabajo diario.
Ejemplos prácticos: ¿Cómo se aplica en cada área de la empresa?
Atención al cliente y recepción
Si implementas asistentes de voz automáticos para gestionar reservas telefónicas en un restaurante u hotel, o si instalas un chatbot en la página web de un comercio para resolver dudas frecuentes, estás operando en la categoría de Riesgo Limitado.
La normativa exige cumplir estrictamente con el principio de transparencia: el sistema debe avisar al usuario mediante un mensaje claro o una locución de que está interactuando con una inteligencia artificial y no con un humano.
Recursos humanos y gestión de personal
Aquí el uso de IA se clasifica automáticamente como de Alto Riesgo, sin importar si gestionas dependientes de comercio, camareros o consultores.
Si utilizas plataformas para cribar currículums de candidatos, evaluar el rendimiento de la plantilla o diseñar los turnos de trabajo, la pyme está obligada por ley a establecer una supervisión humana activa. Un encargado debe monitorizar el algoritmo para evitar sesgos discriminatorios y garantizar que la IA nunca tome decisiones laborales críticas de forma autónoma.
Marketing y diseño comercial
El uso de herramientas de generación de contenido como Midjourney, ChatGPT o Claude para redactar textos publicitarios, programar código web o diseñar los fondos de los catálogos comerciales se encuadra de forma general en un Riesgo Mínimo o Limitado.
La obligación principal radica en la honestidad visual: si creas imágenes, audios o vídeos hiperrealistas que puedan inducir a error al consumidor haciéndose pasar por reales, tienes la obligación de etiquetarlos claramente como contenido generado por IA.
Operaciones, logística y compras
Los sistemas de IA destinados a tareas puramente operativas, como la optimización de rutas de reparto en tiempo real según el tráfico, la predicción de inventario para un comercio o el control de costes de las materias primas en una cocina, se sitúan en la categoría de Riesgo Mínimo.
Estos algoritmos procesan datos logísticos o numéricos que no influyen en las libertades ni amenazan los derechos fundamentales de las personas por lo que, en general, tu pyme puede seguir usando estas tecnologías con normalidad sin asumir obligaciones legales añadidas.
Seguridad y control de accesos
El reglamento veta la instalación de cámaras inteligentes o software de reconocimiento facial destinados a analizar el estado de ánimo y las emociones de los clientes ante un escaparate.
Tampoco se pueden usar sistemas biométricos privados para crear listas negras automatizadas de admisión en los locales.
