La respuesta directa: sí. Da igual si tu negocio es una asesoría de tres personas o una empresa con cien empleados. En cuanto usáis ChatGPT, Copilot, Gemini o cualquier otra herramienta con IA integrada, el Reglamento europeo de Inteligencia Artificial os alcanza. No es una cuestión reservada a los gigantes tecnológicos que fabrican los modelos.
El error más habitual: creer que el AI Act solo va con los que hacen IA
Cuando alguien oye hablar del Reglamento (UE) 2024/1689, lo primero que imagina son los laboratorios de OpenAI, los centros de datos de Google o los equipos de investigación de Microsoft. Tiene su lógica: son quienes construyen los sistemas.
Pero el texto regula dos figuras distintas. Los proveedores, que desarrollan y comercializan los modelos. Y los desplegadores (deployers), que son quienes los utilizan en su actividad profesional. Tu empresa pertenece a esta segunda categoría.
Si usáis ChatGPT para redactar propuestas, Copilot para resumir reuniones, un chatbot en la web para filtrar consultas o un CRM que puntúa clientes de forma automática, sois desplegadores. Y eso conlleva obligaciones propias, independientemente de las que tenga el proveedor del modelo.
Qué obliga concretamente para una pyme
No todo uso genera las mismas exigencias. La clave está en si la IA llega a interactuar con personas externas a tu organización o si su uso queda dentro del equipo.
Cuando la IA habla con tus clientes
El artículo 50 del AI Act no deja margen: si un sistema automatizado interactúa con personas —un asistente virtual en tu web, un chatbot de soporte, un sistema de respuesta automática por email— hay que informar a esas personas, con claridad y antes de que empiece la conversación, de que están tratando con una IA. No en los términos y condiciones. De forma visible y comprensible.
Esta obligación ya rige. Desde agosto de 2026.
Cuando la IA trabaja solo para vuestro equipo interno
Aquí el nivel de exigencia baja, pero no desaparece:
Conviene tener una política de uso de IA: un documento interno que deje claro qué herramientas están autorizadas, para qué finalidades y con qué restricciones.
El artículo 4 obliga a adoptar medidas para apoyar la alfabetización en IA de las personas que trabajan con ella en la empresa, teniendo en cuenta su rol y el contexto de uso. No se exige un nivel específico ni ninguna certificación, pero conviene dejar constancia de las medidas adoptadas.
Y cualquier decisión relevante que tome la IA —o que la IA influya— necesita supervisión humana documentada. No basta con que alguien la revise: hay que poder demostrarlo.
¿Y si solo uso Copilot para escribir emails más deprisa?
Ese caso cae en la categoría de riesgo mínimo. Las obligaciones son las más básicas: medidas de formación documentadas y, como buena práctica, una política de uso.
El salto de complejidad llega cuando la IA participa en decisiones que afectan a terceros. Algunos ejemplos donde el riesgo sube de categoría:
Filtrar o puntuar candidatos en procesos de selección. Clasificar clientes según su probabilidad de impago. Asignar incentivos o penalizaciones a empleados. Decidir qué contenido recibe cada usuario en una plataforma.
Estos usos caen en el Anexo III (alto riesgo), con obligaciones mucho más exigentes: documentación técnica detallada, registro en la base de datos de la UE, auditorías y evaluación de impacto en derechos fundamentales.
Lo que cambió en julio de 2026: el Digital Omnibus
El Reglamento (UE) 2026/1744 —conocido como Digital Omnibus— modificó en julio de 2026 varios plazos del AI Act. Si has leído guías publicadas antes de ese mes, probablemente manejas fechas ya obsoletas.
Los cambios concretos: las obligaciones del Anexo III (selección de personal, crédito, educación, entre otros) se mueven a diciembre de 2027. Las del Anexo I (IA en productos regulados: dispositivos médicos, maquinaria, etc.) se posponen a agosto de 2028.
Lo que el Digital Omnibus no aplaza: las prohibiciones de IA de riesgo inaceptable (desde febrero de 2025), las reglas para modelos de propósito general (desde agosto de 2025) y el artículo 50 sobre transparencia frente a usuarios (desde agosto de 2026). El artículo 4 se mantiene, aunque reformulado.
Dicho de otro modo: si tenéis un chatbot que atiende clientes, la obligación de informarles es ahora, no en 2027.
Quién vigila el AI Act en España
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad de vigilancia del mercado de IA en España. El régimen sancionador nacional está recogido en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Congreso el 12 de junio de 2026 y todavía en tramitación, así que las multas concretas dependerán de esa ley.
Las multas máximas del AI Act alcanzan 35 millones de euros o el 7 % de la facturación global anual. Para una pyme, incluso una sanción mucho menor puede ser un problema de envergadura.
Por dónde empezar
El punto de partida es saber qué nivel de riesgo tenéis. Eso depende de tres cosas: qué herramientas de IA utilizáis, para qué las usáis y si sus resultados afectan directamente a personas ajenas a vuestra empresa.
En Adapta RGPD hemos desarrollado un test gratuito que en cinco preguntas os da vuestra clasificación de riesgo, las obligaciones concretas que os aplican y los plazos correspondientes. No hace falta conocer la regulación para completarlo.
Si el resultado muestra obligaciones pendientes, el módulo AI Act de Adapta RGPD cubre todo lo necesario: política de uso de IA, formación documentada, inventario de sistemas, cumplimiento del artículo 50 y seguimiento continuo desde el panel SIGNA360. El módulo cuesta 79 €/año para autónomos y pymes con IA de riesgo bajo, y se suma al paquete base del RGPD.
Preguntas frecuentes
¿Usar ChatGPT de vez en cuando obliga a cumplir el AI Act?
Sí, si el uso es en un contexto profesional. La frecuencia no determina si aplica o no. Aunque sea una vez por semana para redactar una propuesta, sois desplegadores y conviene tener al menos una política de uso y medidas de formación documentadas.
¿Necesitamos contratar a alguien especializado en AI Act?
En la mayoría de pymes con usos de riesgo bajo o limitado, no. Un servicio externo como el módulo AI Act de Adapta RGPD cubre lo necesario sin necesidad de incorporar perfiles internos.
¿Copilot de Microsoft ya cumple el AI Act y eso nos cubre a nosotros?
No. Microsoft ha publicado documentación sobre el cumplimiento de sus modelos, pero eso regula sus obligaciones como proveedor. Las vuestras como desplegadores son distintas y no se transfieren. Que el modelo esté documentado no significa que vuestro uso del modelo esté regulado.
¿Si ya tenemos el RGPD adaptado estamos cubiertos?
No. El RGPD y el AI Act son normas diferentes que se solapan en algunos puntos pero no se sustituyen. El cumplimiento de protección de datos es necesario, pero no suficiente si usáis IA en vuestra actividad.
