La respuesta directa: sí. Da igual si tu negocio es una asesoría de tres personas o una empresa con cien empleados. En cuanto usáis ChatGPT, Copilot, Gemini o cualquier otra herramienta con IA integrada, el Reglamento europeo de Inteligencia Artificial os alcanza. No es una cuestión reservada a los gigantes tecnológicos que fabrican los modelos.
El error más habitual: creer que el AI Act solo va con los que hacen IA
Cuando alguien oye hablar del Reglamento (UE) 2024/1689, lo primero que imagina son los laboratorios de OpenAI, los centros de datos de Google o los equipos de investigación de Microsoft. Tiene su lógica: son quienes construyen los sistemas.
Pero el texto regula dos figuras distintas. Los proveedores, que desarrollan y comercializan los modelos. Y los desplegadores (deployers), que son quienes los utilizan en su actividad profesional. Tu empresa pertenece a esta segunda categoría.
Si usáis ChatGPT para redactar propuestas, Copilot para resumir reuniones, un chatbot en la web para filtrar consultas o un CRM que puntúa clientes de forma automática, sois desplegadores. Y eso conlleva obligaciones propias, independientemente de las que tenga el proveedor del modelo.
Qué obliga concretamente para una pyme
No todo uso genera las mismas exigencias. La clave está en si la IA llega a interactuar con personas externas a tu organización o si su uso queda dentro del equipo.
Cuando la IA habla con tus clientes
El artículo 50 del AI Act no deja margen: si un sistema automatizado interactúa con personas —un asistente virtual en tu web, un chatbot de soporte, un sistema de respuesta automática por email— hay que informar a esas personas, con claridad y antes de que empiece la conversación, de que están tratando con una IA. No en los términos y condiciones. De forma visible y comprensible.
Esta obligación ya rige. Desde agosto de 2026.
Cuando la IA trabaja solo para vuestro equipo interno
Aquí el nivel de exigencia baja, pero no desaparece:
Necesitáis una política de uso de IA: un documento interno que deje claro qué herramientas están autorizadas, para qué finalidades y con qué restricciones.
El artículo 4 obliga a acreditar que las personas que trabajan con IA en la empresa tienen un nivel razonable de comprensión sobre cómo funcionan estas herramientas, qué limitaciones tienen y qué riesgos implican. No se exige ninguna certificación especial, pero sí dejar constancia de que esa formación existe.
Y cualquier decisión relevante que tome la IA —o que la IA influya— necesita supervisión humana documentada. No basta con que alguien la revise: hay que poder demostrarlo.
¿Y si solo uso Copilot para escribir emails más deprisa?
Ese caso cae en la categoría de riesgo mínimo. Las obligaciones adicionales son las más básicas del desplegador: política de uso y formación elemental documentada, nada más.
El salto de complejidad llega cuando la IA participa en decisiones que afectan a terceros. Algunos ejemplos donde el riesgo sube de categoría:
Filtrar o puntuar candidatos en procesos de selección. Clasificar clientes según su probabilidad de impago. Asignar incentivos o penalizaciones a empleados. Decidir qué contenido recibe cada usuario en una plataforma.
Estos usos caen en el Anexo III (alto riesgo), con obligaciones mucho más exigentes: documentación técnica detallada, registro en la base de datos de la UE, auditorías y evaluación de impacto en derechos fundamentales.
Lo que cambió en julio de 2026: el Digital Omnibus
El Reglamento (UE) 2026/1744 —conocido como Digital Omnibus— modificó en julio de 2026 varios plazos del AI Act. Si has leído guías publicadas antes de ese mes, probablemente manejas fechas ya obsoletas.
Los cambios concretos: las obligaciones del Anexo III (selección de personal, crédito, educación, entre otros) se mueven a diciembre de 2027. Las del Anexo I (IA en productos regulados: dispositivos médicos, maquinaria, etc.) se posponen a agosto de 2028.
Lo que el Digital Omnibus no toca y sigue aplicando desde agosto de 2026: las prohibiciones de IA de riesgo inaceptable, el artículo 50 sobre transparencia frente a usuarios, las obligaciones generales del desplegador y las reglas para modelos de propósito general (GPAI).
Dicho de otro modo: si tenéis un chatbot que atiende clientes, la obligación de informarles es ahora, no en 2027.
AESIA ya puede sancionar
La Agencia Española de Supervisión de la Inteligencia Artificial opera con plenas competencias desde agosto de 2026. Puede inspeccionar, requerir documentación y imponer sanciones. No es una institución en fase de rodaje.
Durante el primer trimestre de 2026 actuó de forma coordinada con la AEPD en varios expedientes sobre scoring crediticio y cribado de candidatos. En agosto de 2026 la AEPD sancionó a una entidad bancaria con 890.000 euros por utilizar un sistema de puntuación con IA que determinaba decisiones sin que los afectados conocieran la existencia del algoritmo.
Las multas máximas del AI Act alcanzan 35 millones de euros o el 7 % de la facturación global anual. Para una pyme, incluso una sanción mucho menor puede ser un problema de envergadura.
Por dónde empezar
El punto de partida es saber qué nivel de riesgo tenéis. Eso depende de tres cosas: qué herramientas de IA utilizáis, para qué las usáis y si sus resultados afectan directamente a personas ajenas a vuestra empresa.
En Adapta RGPD hemos desarrollado un test gratuito que en cinco preguntas os da vuestra clasificación de riesgo, las obligaciones concretas que os aplican y los plazos correspondientes. No hace falta conocer la regulación para completarlo.
Si el resultado muestra obligaciones pendientes, el módulo AI Act de Adapta RGPD cubre todo lo necesario: política de uso de IA, formación documentada, inventario de sistemas, cumplimiento del artículo 50 y seguimiento continuo desde el panel SIGNA360. El coste para pymes es de 199 €/año.
Preguntas frecuentes
¿Usar ChatGPT de vez en cuando obliga a cumplir el AI Act?
Sí, si el uso es en un contexto profesional. La frecuencia no determina si aplica o no. Aunque sea una vez por semana para redactar una propuesta, sois desplegadores y necesitáis al menos una política de uso y formación básica acreditada.
¿Necesitamos contratar a alguien especializado en AI Act?
En la mayoría de pymes con usos de riesgo bajo o limitado, no. Un servicio externo como el módulo AI Act de Adapta RGPD cubre lo necesario sin necesidad de incorporar perfiles internos.
¿Copilot de Microsoft ya cumple el AI Act y eso nos cubre a nosotros?
No. Microsoft ha publicado documentación sobre el cumplimiento de sus modelos, pero eso regula sus obligaciones como proveedor. Las vuestras como desplegadores son distintas y no se transfieren. Que el modelo esté documentado no significa que vuestro uso del modelo esté regulado.
¿Si ya tenemos el RGPD adaptado estamos cubiertos?
No. El RGPD y el AI Act son normas diferentes que se solapan en algunos puntos pero no se sustituyen. El cumplimiento de protección de datos es necesario, pero no suficiente si usáis IA en vuestra actividad.
