Guía · Normativa y automatización
Usas IA en tu empresa: esto es lo que la ley te obliga a hacer desde agosto
Calendario de aplicación del Reglamento (UE) 2024/1689. La fecha que ya hemos pasado — agosto de 2026 — es la que más afecta al día a día de una pyme.
El 2 de agosto de 2026 pasó sin titulares en la mayoría de pymes españolas. Fue, sin embargo, la fecha en la que el Reglamento Europeo de Inteligencia Artificial entró en su fase más relevante para cualquier empresa que use IA en su operativa diaria: obligaciones de transparencia, etiquetado de contenido generado artificialmente y requisitos completos para los sistemas clasificados como de alto riesgo.
Si tu empresa tiene un chatbot en la web, genera textos o imágenes con IA, usa una herramienta que criba currículums o ha automatizado parte de su atención al cliente, esto te afecta. Y probablemente te afecta desde hace más tiempo del que crees.
Lo que vas a encontrar en esta guía
- Qué obliga ya hoy a una pyme española
- Quién puede sancionarte realmente (y el matiz que casi nadie cuenta)
- Cómo clasificar tus herramientas por nivel de riesgo
- El problema silencioso: la IA que ya usa tu equipo sin que lo sepas
- Plan de cumplimiento realista para una pyme
- Por qué automatizar bien te acerca al cumplimiento, no te aleja
- Preguntas frecuentes
1. Qué obliga ya hoy a una pyme española
Conviene separar dos planos que se mezclan constantemente en los titulares. Por un lado está el AI Act europeo, el Reglamento (UE) 2024/1689, que es de aplicación directa: rige en España sin necesidad de que el Parlamento español apruebe nada. Por otro está el proyecto de ley orgánica española, que no crea obligaciones nuevas, sino que designa autoridades, regula procedimientos y concreta el régimen sancionador nacional.
Las obligaciones que hoy pesan sobre tu empresa vienen del primero. Y las tres que más afectan a una pyme normal son estas:
Alfabetización en IA (vigente desde febrero de 2025)
El artículo 4 del reglamento obliga a que las personas que usan sistemas de IA en tu empresa tengan un nivel suficiente de conocimiento sobre ellos: qué hacen, qué limitaciones tienen y cómo interpretar sus resultados. No exige un título ni un curso concreto, pero sí que puedas demostrar que has hecho algo. Lleva más de un año y medio vigente.
Transparencia con el usuario (desde agosto de 2026)
Si una persona interactúa con un sistema de IA, tiene derecho a saberlo. Esto afecta de lleno al chatbot de tu web, a las respuestas automáticas de WhatsApp y a cualquier asistente que atienda a clientes. La solución es sencilla: un aviso claro y la posibilidad de pasar a hablar con una persona.
Etiquetado del contenido generado con IA (desde agosto de 2026)
El contenido sintético que pueda inducir a confusión sobre su autenticidad debe identificarse como tal. Si tu empresa genera imágenes, vídeos o textos con IA que podrían pasar por reales, entra aquí.
2. Quién puede sancionarte realmente (y el matiz que casi nadie cuenta)
Aquí es donde la mayoría de artículos sobre este tema se queda a medias, y donde conviene ser preciso.
Has leído mil veces las cifras: multas de hasta 35 millones de euros o el 7% de la facturación mundial. Son reales y están en el artículo 99 del reglamento. Pero hay un matiz importante: para que una autoridad española imponga esas sanciones concretas hace falta una norma nacional con rango de ley que tipifique las infracciones y atribuya la competencia sancionadora. Ese proyecto de ley orgánica sigue en tramitación parlamentaria; el plazo de enmiendas se cerró a comienzos de septiembre de 2026 y el texto aún no está aprobado.
Conclusión apresurada que mucha gente saca: "entonces todavía no me puede pasar nada". Y es justo la conclusión equivocada.
Dicho de otro modo: el debate sobre si la AESIA puede multar hoy o dentro de unos meses es interesante para un despacho de abogados, pero irrelevante para tu decisión operativa. Si usas IA sobre datos personales sin base legal clara y sin informar, ya hay quien puede sancionarte. Y cuando el régimen nacional termine de desplegarse, llegarás con año y medio de incumplimiento acumulado en lugar de con tus deberes hechos.
3. Cómo clasificar tus herramientas por nivel de riesgo
El reglamento no trata igual a todos los sistemas. Clasifica por el riesgo que supone su uso, no por lo sofisticada que sea la tecnología. Esta es la lectura práctica para una pyme:
La mayoría de automatizaciones internas de una pyme caen en la base de la pirámide. El salto a "alto riesgo" suele venir por decisiones sobre personas.
| Uso habitual en una pyme | Nivel | Qué te toca hacer |
|---|---|---|
| Automatizar el traspaso de datos entre CRM, email y hojas de cálculo | Mínimo | Nada específico del AI Act, más allá del RGPD de siempre |
| Chatbot o respuestas automáticas a clientes | Limitado | Avisar de que es un sistema automático y ofrecer vía humana |
| Generar imágenes o textos publicables con IA | Limitado | Etiquetar el contenido que pueda confundirse con real |
| Cribar currículums o evaluar el rendimiento del equipo | Alto | Supervisión humana, documentación y evaluación de impacto |
| Scoring crediticio o de riesgo asegurador | Alto | Requisitos completos del capítulo de alto riesgo |
Fíjate en el patrón: la línea que separa "esto es rutina" de "esto es alto riesgo" casi nunca es la tecnología. Es si el sistema toma o condiciona decisiones sobre personas. Automatizar el envío de una factura no tiene nada que ver con automatizar a quién llamas para una entrevista.
4. El problema silencioso: la IA que ya usa tu equipo sin que lo sepas
En prácticamente todos los diagnósticos de procesos que hacemos aparece lo mismo. La empresa dice que "todavía no usa IA", y media hora después descubrimos que alguien de administración pega borradores de correos en un asistente conversacional, que marketing genera imágenes de producto con una herramienta generativa, y que alguien del equipo comercial resume llamadas con una aplicación que nadie ha aprobado formalmente.
Eso es lo que en el sector se llama shadow AI: uso real de inteligencia artificial que no aparece en ningún inventario, que nadie ha evaluado y sobre el que no hay ninguna instrucción. Desde el punto de vista normativo es el peor escenario posible, porque combina dos cosas: estás obligado igual, y no tienes ni idea de sobre qué.
5. Plan de cumplimiento realista para una pyme
Nadie con veinte empleados va a montar un departamento de gobernanza de IA, y tampoco hace falta. Esta es la secuencia que tiene sentido, ordenada por relación entre esfuerzo e impacto:
- Inventaría lo que ya usáis, incluido el shadow AI. Sin esto, todo lo demás es teoría.
- Clasifica cada herramienta según la tabla de arriba. En una pyme típica, casi todo cae en riesgo mínimo o limitado, y eso es una buena noticia que conviene confirmar por escrito.
- Marca las que tocan datos personales. Ahí se activan también las obligaciones del RGPD, que son las que hoy tienen autoridad plenamente operativa detrás.
- Añade los avisos de transparencia donde toque: chatbot, respuestas automáticas, contenido generado. Suele ser trabajo de una tarde.
- Documenta la formación que has dado al equipo, aunque sea una sesión interna de una hora con su acta y su lista de asistentes. Lo importante es que exista evidencia.
- Define quién supervisa qué. Un nombre y apellidos por cada sistema relevante, aunque sea la misma persona para todos.
- Revísalo cada seis meses, porque tanto las herramientas como la normativa se mueven.
Con esos siete pasos, una pyme con uso ordinario de IA está en una posición razonable. No perfecta — la perfección normativa no existe — pero sí defendible si alguien pregunta.
6. Por qué automatizar bien te acerca al cumplimiento, no te aleja
Hay una idea equivocada rondando: que toda esta regulación es un motivo para frenar la automatización. En nuestra experiencia ocurre exactamente lo contrario, y tiene una explicación bastante lógica.
Un proceso manual disperso — cada persona haciendo las cosas a su manera, con las herramientas que le parecen, sin registro de nada — es imposible de auditar. No puedes decir quién decidió qué, ni con qué datos, ni quién lo revisó, porque esa información nunca existió.
Un proceso automatizado bien diseñado, en cambio, deja rastro por construcción: qué entró, qué hizo el sistema, con qué criterio, quién lo validó y cuándo. Esa trazabilidad es justamente la evidencia que la normativa te pide. No es un efecto secundario feliz: es consecuencia directa de haber ordenado el proceso antes de automatizarlo.
El riesgo normativo no está en usar inteligencia artificial. Está en usarla sin saber dónde, para qué y bajo la supervisión de quién.
Por eso, en PrismIA el primer paso de cualquier proyecto nunca es elegir herramienta. Es mapear el proceso real: qué ocurre hoy, quién lo toca, qué datos se mueven y dónde se toman las decisiones. Ese mapa sirve para automatizar con criterio y, de paso, es el punto de partida del inventario que la normativa te va a exigir de todas formas.
Si quieres profundizar en cómo funciona ese mapeo, lo explicamos en detalle en nuestro artículo sobre por qué el orden importa al automatizar y en el de cómo saber si un proceso está listo para automatizarse.
7. Preguntas frecuentes
¿El AI Act se aplica a las pymes o solo a grandes empresas?
Se aplica a cualquier empresa que desarrolle o use sistemas de IA, sin umbral mínimo de tamaño. Lo que cambia según el tamaño es la proporcionalidad de lo exigido, no la existencia de la obligación.
¿Puede la AESIA multarme hoy por el AI Act?
En el momento de escribir esta guía, la ley orgánica española que tipifica infracciones y atribuye competencias sancionadoras sigue en tramitación, por lo que el régimen sancionador nacional específico del AI Act aún no está plenamente desplegado. Pero por los mismos usos de IA sí pueden sancionarte hoy la AEPD vía RGPD, la Inspección de Trabajo o las autoridades de consumo.
Tengo un chatbot en la web. ¿Qué tengo que hacer exactamente?
Informar de forma clara al usuario de que está hablando con un sistema automático y ofrecer una vía para contactar con una persona. Es una obligación de transparencia, no una prohibición: puedes seguir usándolo con total normalidad.
¿Automatizar procesos con IA me complica el cumplimiento?
Si se hace de forma ordenada, lo simplifica. Una automatización bien documentada genera exactamente el rastro de evidencias que la normativa espera. El problema nunca es automatizar: es hacerlo sin dejar constancia de qué hace el sistema y quién lo supervisa.
¿Por dónde empiezo si no he hecho nada todavía?
Por el inventario. Sin saber qué herramientas de IA se usan realmente en tu empresa, cualquier política que escribas será papel mojado. Es también el primer paso de cualquier diagnóstico de procesos serio.
¿Sabes exactamente qué procesos de tu empresa dependen ya de la IA?
Nuestro diagnóstico gratuito mapea tus procesos reales, calcula cuánto te cuestan hoy y deja identificado dónde interviene la automatización. El punto de partida tanto para mejorar como para cumplir.
Hacer diagnóstico gratuitoAviso: esta guía tiene carácter divulgativo y refleja el estado de la normativa en septiembre de 2026. No constituye asesoramiento jurídico. La ley orgánica española que desarrolla el AI Act seguía en tramitación parlamentaria en el momento de publicarse, por lo que plazos y cifras pueden variar. Para decisiones con efectos legales, consulta el texto oficial y a un profesional del Derecho especializado.