Ley de IA de la UE / Obligaciones
Qué tienes que hacer de verdad
La lista de acciones concreta, en orden, organizada por tu rol y tu nivel de riesgo, con estimaciones de esfuerzo honestas. Para la mayoría de las pequeñas empresas que solo usan herramientas de IA, es una lista corta y alcanzable, no un programa de cumplimiento.
De un vistazo
Obligaciones por rol y nivel de riesgo
Una herramienta rápida para escanear, no la explicación completa, que viene más abajo. La mayoría de las pequeñas empresas solo necesitan la columna de responsable del despliegue, y sobre todo las filas de riesgo mínimo y limitado.
| Nivel de riesgo | Si usas IA (responsable del despliegue) | Si construyes IA (proveedor) |
|---|---|---|
| Riesgo mínimo | Sin deberes específicos más allá de la buena práctica general. | Sin deberes específicos más allá de la seguridad normal del producto. |
| Riesgo limitado | Mantén el aviso de IA del proveedor; etiqueta el contenido generado por IA que publiques. | Incorpora el aviso de IA; para la IA generativa, marca las salidas como legibles por máquina. |
| Alto riesgo | Usa según las instrucciones del proveedor, mantén una supervisión humana competente, vigila y notifica los problemas, conserva los registros al menos seis meses, e informa a las personas afectadas. | Documentación técnica y evaluación formal de conformidad (desde el 2 de diciembre de 2027). |
| Prohibido | Prohibido por completo: no lo despliegues. | Prohibido por completo: no lo construyas ni lo vendas. |
Los responsables del despliegue del sector privado no tienen deber de registro en la base de datos de la UE; ese recae en los proveedores de sistemas de alto riesgo y en los organismos públicos.
¿No sabes qué columna eres? Comprueba primero si te afectaSi usas IA (la mayoría de las pymes)
Tus dos deberes, en lenguaje claro
Casi toda pequeña empresa es responsable del despliegue. En realidad solo hay dos cosas que saber, y una ya está vigente.
Alfabetización en IA (artículo 4), en vigor desde febrero de 2025
Se aplica a cualquier sistema de IA que tu personal use en el trabajo, no solo a los de alto riesgo. Proveedores y responsables del despliegue deben tomar medidas para apoyar la alfabetización en IA, teniendo en cuenta los conocimientos de las personas y el contexto de uso. No exige un nivel garantizado para ninguna persona. En la práctica, para una empresa pequeña, eso suele ser una orientación interna escrita o informal sobre un uso adecuado, incluidos los límites de las herramientas y qué datos es seguro compartir. Las potestades de ejecución ya se aplican, desde el 2 de agosto de 2026.
Avisos de transparencia (artículo 50), en vigor desde el 2 de agosto de 2026
Tu proveedor de IA, como proveedor, tiene que asegurarse de que los usuarios sepan que tratan con IA y etiquetar el contenido generado por IA. Tu tarea es no quitar ni ocultar el aviso que el proveedor incorporó en un chatbot de cara al cliente. Y si publicas contenido de imagen, audio o vídeo generado o manipulado por IA, el aviso para las personas de que 'esto se generó con IA' recae en ti, como quien difunde el contenido, no en el proveedor de IA. Este deber se aplica desde el 2 de agosto de 2026, y el Ómnibus Digital no lo aplazó.
Si construyes IA (menos pymes)
Casi seguro que no eres túCasi seguro que no eres tú
La mayoría puede saltarse esta parte. Si construyes o vendes un producto de IA, esta es su forma.
Productos de riesgo mínimo y limitado: deberes ligeros
Llevan sobre todo las mismas reglas de transparencia que los responsables del despliegue, y además, para los sistemas de IA generativa, el deber de marcar las salidas para que se reconozcan como generadas por máquina.
Productos de alto riesgo: los deberes exigentes, y solo para unos pocos
La documentación técnica, la evaluación formal de conformidad (una verificación independiente de que el sistema cumple las reglas) y el registro en la base de datos de la UE solo se aplican si tu producto es una de las ocho categorías de alto riesgo definidas. Esas obligaciones se aplican desde el 2 de diciembre de 2027 (o el 2 de agosto de 2028 para la IA integrada en productos ya regulados), según el Reglamento (UE) 2026/1744.
Modelos de IA de propósito general: una vía aparte
Si proporcionas un modelo de IA de propósito general, algo que no es habitual en una pyme, hay deberes aparte sobre documentación, resúmenes de los datos de entrenamiento y una política de derechos de autor, en vigor desde agosto de 2025.
Cuánto esfuerzo, con honestidad
El esfuerzo escala con el nivel
El trabajo no está repartido por igual. Para la mayoría de las pymes cae en los dos niveles de abajo, que son de verdad ligeros.
Alivio para las empresas más pequeñas
El reglamento es más suave contigo a propósito
Las empresas más pequeñas tienen ventajas reales y concretas. Las pymes y startups tienen acceso prioritario (y a menudo gratuito) a los espacios de pruebas regulatorios nacionales, tasas reducidas de evaluación de conformidad y una plantilla de documentación técnica simplificada pensada específicamente para las pequeñas y microempresas.
Las sanciones también están escaladas. Para una pequeña empresa, una multa se calcula usando la menor de las dos cifras, la cantidad fija en euros o el porcentaje de facturación, lo contrario de la regla que se aplica a las grandes empresas.
El Reglamento (UE) 2026/1744 extiende parte de este alivio a las pequeñas empresas de mediana capitalización. Pueden aportar la documentación técnica de forma simplificada, y los Estados miembros tienen en cuenta sus intereses y su viabilidad económica al fijar las sanciones.
Un punto de partida realista
Tres pasos, en orden
Consulta tu lista real
Haz el diagnóstico para obtener tus obligaciones reales en vez de las generales. Unos cinco minutos.
Escribe una nota breve de uso de IA
Cubre qué herramientas puede usar el personal y las reglas básicas de qué sí y qué no. Para la mayoría de los equipos pequeños, esto por sí solo cubre en buena parte el deber de alfabetización en IA.
Revisa tu IA de cara al cliente
Asegúrate de que cualquier chatbot o contenido generado por IA lleve un aviso visible de que la persona interactúa con IA, o de que el contenido se generó con IA. Los deberes de transparencia ya se aplican, desde el 2 de agosto de 2026.
Consigue tus obligaciones, no la lista general.
El diagnóstico convierte esta guía general en tu lista de acciones personal en unos cinco minutos. Gratis, 12 preguntas, sin necesidad de cuenta.
Preguntas frecuentes
¿Qué tengo que hacer ahora mismo?
Si usas IA en el trabajo, toma medidas para apoyar una comprensión básica de los límites de las herramientas (el deber de alfabetización en IA, en vigor desde febrero de 2025). No exige un nivel garantizado para ninguna persona. Comprueba que cualquier IA de cara al cliente esté claramente avisada. Los deberes de transparencia ya se aplican, desde el 2 de agosto de 2026. Para la mayoría de las pymes, una nota interna breve y una revisión rápida de tus herramientas de proveedor lo cubren.
¿Tengo que nombrar a alguien como un delegado de protección de datos, pero para la IA?
No. El reglamento no obliga a las pymes a nombrar a un 'responsable de IA' ni un equivalente del delegado de protección de datos. Lo que espera son medidas para apoyar a quienes usan la IA, y que alguien sea responsable de un uso sensato. No exige un nivel garantizado de alfabetización para ninguna persona. En un equipo pequeño puede ser sencillamente un propietario o un responsable.
Usamos un chatbot de un proveedor, no uno que construimos nosotros. ¿Quién es responsable?
El proveedor, como proveedor, es responsable de incorporar el aviso de 'estás hablando con una IA'. Tu deber como responsable del despliegue es no quitarlo ni ocultarlo. Si además publicas contenido generado por IA por tu cuenta, avisar de que es generado por IA es responsabilidad tuya.
¿Cuánto nos costará de verdad cumplir con esto?
Para la mayoría de las pequeñas empresas que solo usan herramientas de IA, casi nada más allá de un poco de tiempo: escribir una nota interna breve y comprobar que tus herramientas avisan del uso de IA. Los costes reales solo aparecen si construyes IA de alto riesgo, algo que afecta a muy pocas pymes. Para una cifra específica de tu caso, haz el diagnóstico gratuito o pregunta a tu consultora de ciberseguridad.
¿Qué pasa si nos equivocamos en algo?
Los deberes ya vigentes, como el de apoyar la alfabetización en IA, son obligaciones legales reales. A mediados de 2026 no se habían impuesto multas por falta de alfabetización, y las potestades formales de ejecución ya se aplican, desde el 2 de agosto de 2026. Las sanciones para las pymes se escalan a la menor de las dos cifras. Hacer un poco ahora sale mucho más barato que ponerse al día bajo presión.
Tu siguiente paso
¿Te afecta el Reglamento de IA?
Haz el diagnóstico gratuito y recibe un informe orientativo sobre tu exposición y por dónde empezar. Si trabajas con una consultora de ciberseguridad, compárteselo.
Esta página es información general, no asesoramiento legal. Para una respuesta específica de tu empresa, haz el diagnóstico gratuito o pregunta a tu consultora de ciberseguridad.