Ley de inteligencia artificial: qué obliga ya a tu pyme

Si usas ChatGPT para redactar correos, un chatbot en tu web o una herramienta que resume facturas, el Reglamento europeo de inteligencia artificial te afecta. Poco, en la mayoría de casos. Pero te afecta desde hace tiempo, y en 2026 han cambiado varias fechas que circulan mal.

Vamos con lo que dice la norma a 15 de octubre de 2026.

Una norma europea que ya se aplica

La ley de inteligencia artificial de la que todo el mundo habla es el Reglamento (UE) 2024/1689. Es un reglamento, no una directiva: se aplica directamente en España, sin esperar a que el Gobierno apruebe nada.

Entró en vigor el 1 de agosto de 2024 y se aplica por fases. Dos de esas fases ya han pasado:

Desde	Qué se aplica
2 de febrero de 2025	Las prácticas prohibidas y la obligación de alfabetización en IA
2 de agosto de 2025	Las normas para los modelos de propósito general (los de OpenAI, Anthropic, Google…) y el régimen de sanciones
2 de agosto de 2026	Las obligaciones de transparencia del artículo 50

La tercera fila es la que más afecta a una pyme normal, y ya está en vigor.

Lo que cambió en julio de 2026

El 24 de julio de 2026 se publicó el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA. Entró en vigor el 27 de julio y retoca el calendario y varias obligaciones. Lo importante para ti:

El alto riesgo se aplaza. Los sistemas de alto riesgo del anexo III, que eran para el 2 de agosto de 2026, pasan al 2 de diciembre de 2027. Los que van integrados en productos regulados (anexo I), al 2 de agosto de 2028.
La transparencia no se aplaza. Sigue en el 2 de agosto de 2026. Solo hay un margen hasta el 2 de diciembre de 2026 para que los sistemas generativos que ya estaban en el mercado antes de esa fecha marquen su contenido como artificial.
La alfabetización en IA se mantiene, reescrita: no fija un nivel concreto y la Comisión publicará ejemplos prácticos.
Las pymes, y ahora también las pequeñas empresas de mediana capitalización, tienen trato propio: documentación técnica simplificada, sistemas de gestión proporcionados y multas con el tope más bajo.

Si has leído que «el AI Act se ha aplazado», es verdad solo para el alto riesgo. Lo demás sigue en pie.

Qué te toca si solo usas herramientas de IA

La mayoría de pymes no desarrollan IA: la usan. En el lenguaje del reglamento son «responsables del despliegue». Para ese uso cotidiano hay dos cosas que mirar.

Formación suficiente de quien la usa. El artículo 4 pide que el personal que maneja sistemas de IA tenga una alfabetización suficiente, según su trabajo y el riesgo del uso. No hace falta un título. Hace falta poder demostrar que tu equipo sabe qué hace la herramienta, en qué falla y qué datos no debe meter en ella. Una sesión interna y una nota de qué se explicó y a quién sirven de punto de partida.

Transparencia hacia tus clientes. Desde el 2 de agosto de 2026:

Si pones un chatbot en tu web o en WhatsApp, la persona tiene que saber que está hablando con un sistema de IA, salvo que sea evidente.
Si publicas imágenes, audio o vídeo generados o manipulados con IA que parecen reales (un «deepfake»), tienes que decir que son artificiales.
Si publicas textos generados con IA para informar al público sobre asuntos de interés general, también, salvo que una persona los haya revisado y alguien asuma la responsabilidad editorial.

Para el blog de tu empresa revisado por ti, o para una foto de producto retocada, el riesgo práctico es bajo. Para un chatbot que no dice que es un chatbot, no.

Cuándo puede tocarte el alto riesgo

El alto riesgo no va de qué herramienta usas, sino de para qué. El anexo III incluye usos que una pyme sí puede tener, por ejemplo:

Filtrar currículums o puntuar candidatos en un proceso de selección.
Evaluar el rendimiento de los trabajadores o decidir ascensos y despidos con ayuda de un sistema.
Evaluar la solvencia de personas para darles crédito.
Decidir el acceso a servicios esenciales.

Si usas algo así, tienes hasta el 2 de diciembre de 2027 para cumplir las obligaciones de quien despliega un sistema de alto riesgo: usarlo según las instrucciones, supervisión humana, registros y, en muchos casos, informar a las personas afectadas. Nuestro consejo es no esperar a 2027 para saber si estás en este grupo. Basta con una lista de dónde usáis IA y para qué.

Lo que está prohibido desde 2025

Hay usos que no se pueden hacer en ningún caso desde el 2 de febrero de 2025. A una pyme le suelen quedar lejos, pero conviene conocerlos: manipular a las personas con técnicas subliminales, aprovecharse de su vulnerabilidad, puntuarlas socialmente o deducir emociones en el trabajo o en centros educativos, salvo por motivos médicos o de seguridad. El Ómnibus añade la prohibición de crear desnudos o contenido sexual realista de personas identificables sin su consentimiento.

Las multas, y por qué no hay que entrar en pánico

El artículo 99 fija multas de hasta 35 millones de euros o el 7 % de la facturación mundial por usar prácticas prohibidas, y de hasta 15 millones o el 3 % por incumplir la mayoría de las demás obligaciones. Para las pymes se aplica la cifra más baja de las dos, no la más alta.

Esas cifras son los techos. Lo que de verdad protege a una pyme es tener hecha la lista de usos, la formación documentada y los avisos de transparencia puestos.

¿Y la ley española?

España tiene desde 2023 una autoridad de supervisión propia, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña.

Lo que no tiene todavía es la ley que concreta aquí las sanciones y el reparto de competencias. El Gobierno aprobó el proyecto de ley orgánica para el buen uso y la gobernanza de la IA el 26 de mayo de 2026, pero el proyecto decayó cuando el Real Decreto 806/2026 disolvió las Cortes el 6 de octubre y convocó elecciones para el 29 de noviembre. Tendrá que volver a tramitarse en la nueva legislatura.

Ojo con leer esto como «en España no se aplica». El reglamento europeo se aplica igual. Lo que falta es la pieza nacional.

Qué haríamos nosotros esta semana

Haz la lista. Cada herramienta de IA que usáis, quién la usa y para qué. Un documento compartido vale.
Marca lo que puede ser alto riesgo. Si algo toca selección de personal, evaluación de trabajadores o crédito, señálalo y revísalo antes de 2027.
Pon los avisos. Que tu chatbot diga que es un asistente automático, y etiqueta las imágenes o vídeos generados que puedan parecer reales.
Documenta la formación. Una sesión con el equipo sobre qué hace cada herramienta y qué datos no se meten en ella, y una nota de quién asistió.

Si después de la lista ves que la IA os está ahorrando poco o mal, ahí ya no es una cuestión legal. Es de cómo la estáis usando, y es justo lo que hacemos.

Este artículo es informativo y no sustituye al asesoramiento jurídico. Las fechas, artículos y normas citados se comprobaron el 15 de octubre de 2026 con el Diario Oficial de la UE, el BOE y el resumen del Reglamento Ómnibus publicado por Cuatrecasas. Si usas IA para decisiones sobre personas, consulta con un abogado antes de 2027.

Fuentes

Diario Oficial de la UE — Reglamento (UE) 2024/1689, de 13 de junio de 2024, de Inteligencia Artificial
BOE (DOUE) — Reglamento (UE) 2026/1744, de 8 de julio de 2026, Ómnibus digital sobre IA
Cuatrecasas — Se publica el Reglamento Ómnibus digital sobre IA (resumen de los cambios y nuevas fechas)
ICAB — Real Decreto 806/2026, de 5 de octubre, de disolución de las Cortes y convocatoria de elecciones