¿Qué es la ley IA y cómo afecta a las PyMEs en España?
La «ley IA» es el Reglamento (UE) 2024/1689, conocido como EU AI Act. Aplica directamente en España desde el 1 de agosto de 2024, con entrada progresiva: las prácticas prohibidas (Art. 5) y la alfabetización en IA (Art. 4) son aplicables desde el 2 de febrero de 2025, las obligaciones para modelos GPAI desde el 2 de agosto de 2025, y la supervisión activa por parte de AESIA desde el 2 de agosto de 2026. Las obligaciones para sistemas de alto riesgo, tras el acuerdo del Digital Omnibus de mayo de 2026, se aplican a partir del 2 de diciembre de 2027 (Anexo III) y del 2 de agosto de 2028 (Anexo I). Afecta a cualquier PyME que despliegue, comercialice o utilice sistemas de IA, sin importar el sector: comercio, sanidad, servicios profesionales, industria, RR. HH. o administración.
¿Cuáles son las obligaciones del EU AI Act para una PyME?
Una PyME tiene cinco grupos de obligaciones según su rol y los sistemas de IA que utilice. Art. 4: promover la alfabetización en IA de su personal. Art. 5: no usar sistemas de IA prohibidos. Art. 26: cumplir las instrucciones del proveedor cuando se despliegan sistemas de alto riesgo, mantener registros, asignar supervisión humana competente. Art. 50: informar a los usuarios cuando interactúan con un chatbot, etiquetar contenido generado por IA. Art. 27: realizar una FRIA si se despliegan sistemas de alto riesgo en sectores sensibles.
Mi PyME solo usa ChatGPT, ¿también estoy afectado?
Sí. El uso de asistentes de IA generalistas en la nube (ChatGPT, Copilot, Gemini, Claude) implica como mínimo dos obligaciones del Reglamento: el deber de medios para promover la alfabetización en IA del personal (Art. 4) y, si los chatbots interactúan con clientes, el deber de informar de que están hablando con una IA y de etiquetar el contenido generado (Art. 50). Además, el RGPD sigue aplicando: los datos introducidos en un asistente de nube pública pueden constituir transferencia internacional, lo que exige verificar la base jurídica y el contrato del proveedor.
¿Qué sanciones contempla el EU AI Act?
El régimen sancionador del Art. 99 establece tres tramos: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial por incumplir las prácticas prohibidas del Art. 5; hasta 15 millones o el 3 % por incumplir determinadas obligaciones de proveedores y responsables del despliegue (Art. 16, 26 y 50, entre otros); hasta 7,5 millones o el 1 % por suministrar información incorrecta a una autoridad. El Reglamento no fija una sanción específica para el Art. 4 (alfabetización), que se remite a cada Estado miembro. Para PyMEs y startups, el Art. 99.6 prevé que las multas se gradúen teniendo en cuenta su tamaño y el volumen de negocio. En España, la autoridad sancionadora es AESIA.
¿Cuándo empieza realmente la supervisión activa en España?
El calendario es escalonado. Prácticas prohibidas y alfabetización en IA son exigibles desde el 2 de febrero de 2025. Obligaciones para modelos GPAI desde el 2 de agosto de 2025. El 2 de agosto de 2026, las autoridades nacionales (en España, AESIA) obtienen las competencias de supervisión y ejecución, también sobre el Art. 4. Tras el acuerdo político del Digital Omnibus del 7 de mayo de 2026 (pendiente de adopción formal), las obligaciones para sistemas de alto riesgo se aplazan: Anexo III (sistemas autónomos) al 2 de diciembre de 2027 y Anexo I (productos regulados) al 2 de agosto de 2028.
¿Qué es la alfabetización en IA del Art. 4 y cómo se cumple?
El Art. 4 obliga a proveedores y responsables del despliegue a adoptar medidas para promover un nivel suficiente de alfabetización en IA de su personal. Tras el Digital Omnibus del 7 de mayo de 2026 está formulado como
deber de medios, no como obligación de resultado. Se cumple con una formación documentada que cubra el marco legal, los riesgos del uso, el RGPD aplicado a IA, la transparencia y las prácticas prohibidas. Freshlab ofrece una formación llave en mano por
20 € por participante con certificado y dossier firmado criptográficamente como evidencia ante una inspección. Más en
Formación Art. 4 RIA.
¿Qué prácticas de IA están prohibidas para una PyME (Art. 5)?
El Art. 5 prohíbe, también a las PyMEs: puntuación social de personas físicas, reconocimiento de emociones en el trabajo y la educación (salvo razones médicas o de seguridad), categorización biométrica para deducir raza, ideología, orientación sexual, religión o afiliación sindical, sistemas que explotan vulnerabilidades por edad o discapacidad, técnicas subliminales para distorsionar el comportamiento, identificación biométrica remota en tiempo real en espacios públicos. Una PyME que use software de RR. HH. con análisis de emociones por vídeo o voz incumple el Art. 5 desde el 2 de febrero de 2025.
¿Qué obligaciones tiene un responsable del despliegue (deployer) en el Art. 26?
Si su PyME despliega un sistema de IA de alto riesgo (RR. HH., scoring crediticio, seguros, educación, infraestructura crítica, justicia), el Art. 26 exige: seguir las instrucciones de uso del proveedor, encargar la supervisión humana a personas con la competencia y autoridad necesarias, controlar los datos de entrada cuando sean relevantes, conservar los logs generados durante al menos seis meses, informar al proveedor y al mercado de incidentes graves, notificar a las personas naturales afectadas por una decisión basada en IA de alto riesgo. En el ámbito laboral, además, informar a los representantes de los trabajadores antes de poner el sistema en servicio.
¿Cuándo es obligatoria una evaluación de impacto en derechos fundamentales (FRIA, Art. 27)?
El Art. 27 obliga a los responsables del despliegue que sean entidades de Derecho público, prestadores de servicios públicos y operadores privados de sectores sensibles (banca, seguros) a realizar una FRIA antes de poner en servicio un sistema de IA de alto riesgo. La FRIA describe los procesos de despliegue, el período de uso, las categorías de personas afectadas, los riesgos específicos sobre derechos fundamentales y las medidas de supervisión humana. El resultado se notifica a la autoridad de vigilancia. Una PyME que preste servicios para una administración pública o un banco puede tener que apoyar al cliente en la elaboración de su FRIA.
¿Qué obligaciones de transparencia tengo (Art. 50)?
El Art. 50 exige cuatro tipos de transparencia, aplicables desde el 2 de agosto de 2026. Si su web o app utiliza un chatbot que interactúa con personas físicas, debe informar de forma clara que están hablando con una IA. El contenido generado por IA (imágenes, audio, vídeo, texto significativo) debe estar marcado como tal de forma legible por máquina y, cuando proceda, también para el usuario. Los deepfakes deben etiquetarse explícitamente como contenido manipulado. Cuando se utilice un sistema de reconocimiento de emociones o categorización biométrica permitido, hay que informar a las personas expuestas.
¿Cómo encaja la IA local con el cumplimiento del AI Act?
Una infraestructura de IA local (LLM on-premise)
no exime del cumplimiento del Reglamento, pero simplifica varios bloques.
RGPD: al no transferir datos personales a un proveedor de nube extracomunitario, no hay base jurídica que justificar para una transferencia internacional.
Art. 4: la formación es la misma, sea cloud o local.
Art. 50: aplica igualmente al chatbot, sea local o no. Las ventajas reales de la IA local frente al AI Act son la
trazabilidad completa de los datos de entrada, los
logs íntegros bajo su control, la ausencia de Shadow-AI con datos sensibles, y la compatibilidad con la LOPDGDD y los criterios de la AEPD para datos especialmente protegidos. Más en
¿Qué es la IA Local?.
¿Qué pasa con los modelos GPAI si los uso en mi PyME?
Las obligaciones GPAI del Art. 53 y siguientes (documentación técnica, política de cumplimiento del derecho de autor, resumen del corpus de entrenamiento) recaen sobre el proveedor del modelo, no sobre la PyME que lo usa. Como deployer de una herramienta basada en GPAI (por ejemplo, ChatGPT, Copilot, Mistral), su responsabilidad es la de cualquier deployer: Art. 4, Art. 50 y RGPD. Si su PyME integra un modelo GPAI en un producto que comercializa, asume entonces obligaciones de proveedor sobre ese producto.