AI Act para pymes: qué obliga hoy y qué se aplazó a 2027
Si has leído algo sobre el AI Act este último año, es bastante probable que te hayan dado fechas equivocadas. No por mala fe: es que el calendario cambió en julio y buena parte de lo publicado no se ha actualizado.
El Reglamento (UE) 2026/1744, el llamado ómnibus digital, entró en vigor el 27 de julio de 2026 y movió las fechas más temidas. Los sistemas de alto riesgo del Anexo III, que según el texto original eran exigibles el 2 de agosto de este año, ahora lo son el 2 de diciembre de 2027. Los del Anexo I pasan a agosto de 2028.
Así que si alguien te está vendiendo una consultoría urgente porque «el alto riesgo entra este agosto», tiene la información caducada. Tienes año y pico más.
Qué te obliga hoy, si eres una pyme que usa IA
Antes de nada hay que saber qué eres. El reglamento distingue entre proveedor, que desarrolla un sistema y lo comercializa bajo su marca, y responsable del despliegue, que usa uno bajo su propia autoridad. Casi todas las pymes españolas son lo segundo: usan Copilot, un chatbot, un agente sobre sus datos, una herramienta de selección.
Siendo responsable del despliegue, y con el calendario ya movido, lo exigible hoy es corto:
- No incurrir en prácticas prohibidas. Vigente desde febrero de 2025. Aquí entran cosas que una pyme podría hacer sin darse cuenta, como inferir emociones de los empleados en el puesto de trabajo o hacer categorización biométrica por atributos protegidos.
- Alfabetización en IA. También desde febrero de 2025. Medidas razonables para que quien opera estas herramientas sepa lo que hace. El ómnibus lo suavizó: ya no hay que garantizar un nivel concreto por persona. Con una política de uso interna y algo de formación documentada cumples.
- Transparencia del artículo 50, aplicable desde el 2 de agosto. Te toca si publicas deepfakes, si difundes texto generado por IA sobre asuntos de interés público sin revisión editorial, o si usas reconocimiento de emociones.
Con una salvedad de calendario: lo que ya estaba en el mercado antes del 2 de agosto tiene hasta el 2 de diciembre de 2026 para cumplir el marcado de contenido generado por IA.
Y ya está. Toda la carpeta gorda de alto riesgo, con su supervisión humana, sus registros de seis meses y su documentación técnica, no es exigible hasta diciembre del año que viene.
La trampa que convierte a un usuario en proveedor
Este es el punto que más se pasa por alto, y el que más nos preguntan cuando alguien quiere montar un agente sobre sus datos.
El artículo 25 dice que pasas a ser proveedor, con todas las obligaciones que eso arrastra, si pones tu marca en un sistema de alto riesgo ajeno, si lo modificas sustancialmente, o si cambias la finalidad de un sistema que no era de alto riesgo de forma que pase a serlo.
Traducido: coger un modelo genérico y orientarlo a cribar currículums no te deja en el papel cómodo de usuario. Te convierte en proveedor de un sistema de alto riesgo. La buena noticia es que eso tampoco es exigible hasta diciembre de 2027. La mala es que si lo montas ahora sin pensarlo, en quince meses tendrás que rehacerlo con marcado CE, evaluación de conformidad y registro en la base de datos europea.
Hay un detalle del propio artículo 25 que conviene mirar: si tu proveedor ha dejado escrito en sus condiciones que su sistema no debe usarse para casos de alto riesgo y tú lo haces igual, se queda fuera del deber de cooperar contigo. Te tocará resolver la conformidad solo. Lee esas condiciones antes de diseñar nada.
Qué usos de pyme son alto riesgo
El Anexo III no lo tocó el ómnibus. Lo que más aparece en empresas normales:
Recursos humanos, con diferencia. Cribado automático de candidaturas, ranking de aspirantes, evaluación de desempeño, asignación algorítmica de turnos, monitorización de productividad. Si tu herramienta hace algo de esto, estás dentro.
Solvencia y seguros: evaluar la capacidad de pago de alguien o fijar precios en seguros de vida y salud. Estos dos, además, arrastran la evaluación de impacto en derechos fundamentales, que el resto de empresas privadas no tiene que hacer.
Educación: admisiones, evaluación de resultados y vigilancia de exámenes. Relevante para academias y formación.
Existe una salida en el artículo 6.3 para sistemas que solo hacen tareas procedimentales o preparatorias sin influir en la decisión. Pero tiene una excepción que la anula casi siempre en el caso de RRHH: si el sistema hace perfilado de personas, es de alto riesgo sin discusión posible. Y usar la salida obliga a documentar la evaluación antes y a registrarse igualmente.
Las multas: el titular engaña
Los 35 millones de euros o el 7 % de la facturación mundial que salen en todos los titulares son reales, pero no son tu caso.
El artículo 99.6 establece que para las pymes, incluidas las empresas emergentes, se aplica el importe menor de los dos, no el mayor. Para una empresa que factura dos millones, el techo por incumplir la transparencia del artículo 50 no son quince millones: es el 3 %, unos sesenta mil euros. Sigue doliendo, pero es otra conversación.
Un matiz que casi nadie menciona: la alfabetización en IA del artículo 4 no aparece en la lista de infracciones sancionables. No hay multa específica por no formar a tu plantilla, aunque sí puede pesar como agravante en cualquier otro expediente.
En España falta la pieza principal
Aquí hay que ser preciso porque circula bastante información equivocada.
El reglamento europeo exige que cada Estado tipifique las infracciones y atribuya la potestad sancionadora mediante una ley nacional. En España esa ley todavía no existe. El Proyecto de Ley Orgánica está en el Congreso desde mayo, en fase de enmiendas, sin ponencia ni votación. Sin norma publicada en el BOE no hay régimen sancionador operativo, por el principio de legalidad.
La AESIA existe, tiene sede en A Coruña y está trabajando, pero su designación formal como autoridad de vigilancia sigue condicionada a esa ley. En la última lista publicada por la Comisión, España aparece marcada como pendiente.
Un aviso sobre el proyecto de ley: prevé entrar en vigor al día siguiente de publicarse, sin periodo transitorio. Cuando salga, será exigible de inmediato. Conviene no esperar a verla en el BOE para empezar a mirar qué haces con la IA.
La obligación española que ya te aplica y no viene del AI Act
Esta se le escapa a casi todo el mundo porque no está en el reglamento europeo.
El artículo 64.4.d) del Estatuto de los Trabajadores, que llegó con la ley rider en 2021, obliga a informar al comité de empresa de los parámetros y reglas en que se basan los algoritmos que afectan a decisiones sobre condiciones de trabajo. Es derecho español vigente desde hace cinco años, ya ha generado sentencias, y aplica hoy.
Si tienes representación legal de los trabajadores y usas IA en recursos humanos, esa obligación te alcanza ahora, año y medio antes que la equivalente del reglamento europeo.
Dónde está la decisión difícil
Hacer la lista de herramientas que hay en la empresa es lo fácil, y casi siempre sale el doble de lo que la dirección creía. Lo que cuesta viene después, y son tres decisiones que se toman antes de construir nada.
La primera es si lo que quieres montar cae dentro del Anexo III o se queda fuera por poco. En selección y evaluación de personal la frontera es más estrecha de lo que parece, y el mismo sistema puede estar dentro o fuera según qué decida y quién decida después.
La segunda es si te vale la salida del artículo 6.3 o si el perfilado te la cierra. Esa valoración hay que dejarla documentada antes de poner el sistema en marcha, no cuando alguien pregunte.
Y la tercera es si el diseño que tienes en la cabeza te convierte en proveedor sin que te des cuenta. Acertar en eso mientras el sistema es un boceto cuesta una conversación. Corregirlo en 2027, con el sistema ya en producción y decisiones tomadas encima, cuesta rehacerlo.
Y antes de nada, las condiciones de los proveedores de IA que ya usas: ahí es donde aparecen las cláusulas que excluyen los usos de alto riesgo y que deciden con quién te quedas solo si algo sale mal.
Nada de esto es un proyecto grande hoy. Lo será si se deja para el final.
Nosotros no somos un despacho de abogados y esto no es asesoramiento jurídico: es lo que vemos al montar sistemas de IA en empresas y lo que comprobamos contra el texto consolidado del reglamento. Si estás diseñando algo que puede rozar el Anexo III y quieres contrastarlo antes de construirlo, escríbenos.
Fuentes
- Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026
- Reglamento (UE) 2026/1744, ómnibus digital sobre IA
- Guías de la AESIA