Obligaciones de IA para tu pyme en 2026: lo que ya es exigible y lo que se aplazó

Si tu pyme ya usa IA —ChatGPT para redactar correos, Copilot en la oficina, un chatbot en la web, un agente que atiende clientes—, hoy tienes tres frentes legales abiertos. El RGPD, completo, desde el 25 de mayo de 2018. La obligación de formar a tu equipo en IA, desde el 2 de febrero de 2025. Y las reglas de transparencia del AI Act, en vigor desde el 2 de agosto de 2026. Lo que se aplazó es lo demás: las obligaciones de "alto riesgo" saltaron a diciembre de 2027 y agosto de 2028.

Ese último dato cambia la mitad de lo que has leído sobre el tema. El 27 de julio de 2026 entró en vigor el paquete Digital Omnibus, que corrigió el calendario del AI Act. Media internet sigue contando el calendario viejo. Este artículo trae el corregido, con la fuente oficial de la Comisión Europea al lado de cada fecha.

Y trae otra cosa que suele faltar: el punto de vista de quien usa la IA, no de quien la fabrica. Las obligaciones de IA para pymes no son las del proveedor que entrena modelos. Son las tuyas: formar a tu gente, avisar cuando habla una máquina, supervisar lo delicado y tratar bien los datos. Vamos a verlas una a una, con un autodiagnóstico por herramienta al final.

Tú no eres proveedor: eres responsable del despliegue

El AI Act no reparte las mismas obligaciones a todo el mundo. Reparte papeles. Y el primero que necesitas saber es cuál te toca a ti.

El proveedor es quien desarrolla el sistema y lo pone en el mercado: OpenAI, Microsoft, la empresa que te vende el chatbot. Sobre él cae el grueso del reglamento: documentación técnica, gestión de riesgos, evaluaciones. Nada de eso es tuyo.

El responsable del despliegue eres tú: la empresa que usa la herramienta en su día a día. Tus obligaciones son menos, pero son reales y algunas ya están en vigor: formar a quien usa la IA, avisar cuando el que habla es una máquina, seguir las instrucciones de uso del sistema y supervisarlo cuando la tarea lo pide.

Hay una tercera casilla: el uso personal. Si usas ChatGPT en casa para planear un viaje, el reglamento no va contigo. La frontera es la actividad profesional. En cuanto la herramienta trabaja para tu negocio, tu negocio tiene papel en la obra.

La consecuencia práctica es directa: "yo solo la uso" no te saca del reglamento. Te coloca en tu casilla. Y tu casilla tiene deberes concretos, con fechas concretas. Vamos con ellas.

Lo que ya es exigible hoy

Tres bloques están en vigor ahora mismo. No en 2027. Hoy.

• Alfabetización en IA (art. 4 del AI Act): en vigor desde el 2 de febrero de 2025
• Prácticas prohibidas (art. 5 del AI Act): en vigor desde el 2 de febrero de 2025
• Transparencia (art. 50 del AI Act): en vigor desde el 2 de agosto de 2026 — no se aplazó
• RGPD completo: en vigor desde el 25 de mayo de 2018

Fuente: Comisión Europea — Marco regulador del AI Act

Formar a tu equipo en IA es ley desde febrero de 2025

El artículo 4 del AI Act obliga a que el personal que usa sistemas de IA tenga un nivel suficiente de alfabetización en IA. Aplica a proveedores y a responsables del despliegue. O sea, a ti.

¿Qué significa "suficiente"? El reglamento no exige un máster ni un certificado oficial. Exige que quien usa la herramienta entienda qué hace, qué no sabe hacer y qué riesgos tiene: que se inventa datos con total seguridad en sí misma, que lo que pegas en ella sale de tu empresa, que sus respuestas se revisan antes de enviarlas a un cliente. El nivel se adapta al puesto: no necesita lo mismo quien redacta correos con IA que quien filtra currículums con ella.

En la práctica, para una pyme: una sesión de formación, una guía interna de uso y un registro de quién la recibió. Documentado. Si un día alguien pregunta, tienes algo que enseñar. Es la obligación más barata de cumplir de todo el reglamento, y la más ignorada.

Tu chatbot tiene que decir que es una máquina

El artículo 50 entró en vigor el 2 de agosto de 2026. Es la parte del AI Act que más pymes toca, y no se aplazó. Tres reglas te afectan:

• Si un sistema de IA habla con personas, las personas tienen que saberlo. Tu chatbot de atención se presenta como lo que es, salvo que sea evidente por el contexto. Un "soy el asistente virtual de..." en el primer mensaje resuelve la obligación.
• El contenido generado que parece real se declara. Imágenes, audio o vídeo generados o manipulados por IA que pasan por reales llevan etiqueta de contenido generado. Si publicas una imagen de producto creada por IA que parece una fotografía, decláralo.
• El texto generado que informa al público se declara, salvo que una persona lo haya revisado y tu empresa asuma la responsabilidad editorial. Si tu blog publica artículos escritos por IA sin que nadie los revise, hay que decirlo. Si los revisas y firmas, no.

Ninguna de las tres pide tecnología nueva. Piden honestidad etiquetada. Un aviso en el chatbot, una línea en el pie de la imagen, una revisión humana antes de publicar.

Las prohibiciones también van contigo

Desde el 2 de febrero de 2025 hay prácticas de IA directamente prohibidas: manipulación que causa daño, puntuación social de personas, y —esta importa en una pyme— sistemas que infieren las emociones de tus empleados en el puesto de trabajo. Si una herramienta te ofrece "medir el estado de ánimo de tu plantilla" analizando sus caras o sus mensajes, no es una función avanzada. Es una práctica prohibida en la UE.

La mayoría de pymes no se acerca a ninguna de estas prácticas. Pero conviene saber que existen, porque el software que las incluye se vende con etiquetas amables.

Lo que se aplazó: el calendario corregido tras el Digital Omnibus

Aquí está el dato que más artículos tienen mal. El calendario original del AI Act situaba el grueso de las obligaciones de alto riesgo en agosto de 2026, y las de la IA integrada en productos regulados en agosto de 2027. Ese calendario ya no existe.

El paquete Digital Omnibus, en vigor desde el 27 de julio de 2026, retrasó las dos fechas:

• Alto riesgo del Anexo III (selección de personal, crédito, educación...): se aplica desde el 2 de diciembre de 2027
• Alto riesgo del Anexo I (IA integrada en productos regulados): se aplica desde el 2 de agosto de 2028

Fuente: Comisión Europea — Marco regulador del AI Act

¿Qué es "alto riesgo"? El Anexo III lista los usos donde la IA decide sobre la vida de las personas: filtrar candidatos a un empleo, evaluar solvencia para dar crédito, puntuar exámenes, gestionar servicios esenciales como la energía o el agua. El Anexo I cubre la IA metida dentro de productos que ya tienen su propia regulación de seguridad: máquinas, juguetes, productos sanitarios.

Dos cosas que el aplazamiento no cambia. Una: aplazado no es cancelado. Si hoy filtras currículums con IA, tienes hasta diciembre de 2027 para que ese uso cumpla los requisitos de alto riesgo —supervisión humana, registros, uso conforme a las instrucciones del proveedor—. La fecha se movió; la obligación, no. Y dos: el RGPD ya aplica a ese filtro desde hace años. Una decisión totalmente automatizada que afecta a una persona —descartar un candidato sin que nadie lo mire— tiene límites por el artículo 22 del RGPD desde 2018. El aplazamiento del AI Act no te da vía libre: te da tiempo para la capa nueva, no exención de la vieja.

RGPD y AI Act a la vez: qué cubre cada uno

Son dos normas distintas, con dos autoridades distintas, y se aplican a la vez. No se sustituyen: se suman.

La distinción rápida: el RGPD mira el dato, el AI Act mira el sistema. Cuando tu agente de soporte responde a un cliente, el RGPD gobierna qué hace con su nombre, su correo y su historial; el AI Act gobierna que el cliente sepa que habla con una IA y que tu equipo esté formado para supervisarla. La misma conversación, dos capas.

Y las dos capas multan por separado. Estas son las cifras oficiales:

• Prácticas prohibidas de IA (AI Act): hasta 35 millones de euros o el 7% de la facturación mundial anual
• Resto de obligaciones del AI Act, incluida la transparencia: hasta 15 millones de euros o el 3%
• Dar información incorrecta a las autoridades (AI Act): hasta 7,5 millones de euros o el 1%
• Infracciones graves del RGPD: hasta 20 millones de euros o el 4%
• Resto de infracciones del RGPD: hasta 10 millones de euros o el 2%

Fuente: Reglamento (UE) 2024/1689, art. 99 y Reglamento (UE) 2016/679, art. 83

Un matiz que casi nadie cuenta y que va a tu favor: para pymes y empresas emergentes, el AI Act fija que la multa será el importe menor entre la cifra fija y el porcentaje (artículo 99.6). La regla general para las grandes es la contraria: el mayor de los dos. El reglamento castiga duro, pero no está diseñado para hundir a una pyme por un chatbot sin aviso.

Con todo, la lectura correcta de esa tabla no es el miedo. Es el orden de prioridades: lo prohibido, nunca; lo exigible hoy, hecho hoy; lo aplazado, agendado. Nosotros aplicamos ese mismo orden dentro del producto —dónde viven los datos, qué se registra, cuándo para el agente a pedir permiso— y lo contamos sin adornos en cómo tratamos los datos en Yaia.

Autodiagnóstico: qué usas y qué te toca cumplir

Coge la lista de herramientas de IA que usa tu empresa —las oficiales y las que tu equipo usa sin decírtelo— y pásala por estos cinco casos. Cubren casi cualquier pyme.

¿No sabes por dónde te aprieta más el zapato? Este test de 30 segundos te lo dice:

La ley española: AESIA y la ley de gobernanza de la IA

El AI Act es un reglamento europeo: aplica en España directamente, sin esperar a ninguna ley nacional. Pero España está construyendo su pieza propia, y conviene tenerla en el radar.

• AESIA, la agencia española de supervisión de la IA: actividad presencial en A Coruña desde el 14 de febrero de 2025
• Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA: aprobado en Consejo de Ministros el 26 de mayo de 2026
• Estado actual del proyecto: remitido al Congreso para su tramitación

Fuente: La Moncloa — Consejo de Ministros del 26 de mayo de 2026

La ley española no inventa obligaciones nuevas para ti: desarrolla el reglamento europeo, designa qué autoridades vigilan cada parte y coloca a la AESIA como pieza central de la supervisión. Lo que sí traerá es el régimen sancionador español: quién te abre expediente y cómo. Aún no está en vigor —es un proyecto en tramitación, sin fecha cerrada—, así que hoy tus obligaciones son las del AI Act y el RGPD que ya has visto.

El dato operativo: la vigilancia española ya existe. La AESIA trabaja desde A Coruña desde febrero de 2025, y la AEPD lleva años sancionando en materia de datos. Que la ley nacional esté en el Congreso no significa que nadie mire.

Errores frecuentes de las pymes

Seis errores que se repiten. Todos evitables esta misma semana.

• "Esto va solo con las tecnológicas." El AI Act reparte papeles, y el de responsable del despliegue es para cualquier empresa que use IA en su actividad. Una gestoría con ChatGPT tiene papel.
• "Hasta 2027 no tengo que hacer nada." El 2027 es solo para el alto riesgo. La formación es exigible desde 2025 y la transparencia desde agosto de 2026. Y el RGPD, desde 2018.
• "Mi proveedor ya cumple por mí." El proveedor cumple su parte. La tuya —formar, avisar, supervisar, tratar bien los datos— no se subcontrata. Se ejecuta en tu casa.
• "La formación puede esperar." Es la obligación más barata del reglamento: una sesión, una guía, un registro. Estar en vigor desde febrero de 2025 y seguir sin hacerla es la manera más tonta de estar en falta.
• "Pego los datos del cliente y ya." Cada texto que tu equipo pega en una herramienta de IA es un tratamiento de datos. Sin una regla escrita de qué se puede pegar y dónde, tienes una fuga esperando fecha.
• "Me guío por el artículo que leí en 2025." El Digital Omnibus movió el calendario en julio de 2026. Todo lo publicado antes cuenta fechas que ya no existen. Verifica contra la fuente oficial, no contra el primer resultado de Google.

Lo que esto significa para tu negocio

Cumplir las obligaciones de IA de tu pyme, hoy, es una lista corta: forma a tu equipo, haz que la IA se presente como IA, etiqueta el contenido generado que parece real y trata los datos como el RGPD manda desde 2018. Nada de eso requiere un departamento legal. Requiere una tarde y criterio.

La parte pesada del reglamento —la de alto riesgo— cae sobre los proveedores y llega en 2027 y 2028. Tu mejor jugada no es memorizar artículos: es elegir herramientas que ya cumplen de fábrica, para que tu lista de deberes se quede en la corta. Un agente que se presenta como IA, guarda los datos en la UE, registra lo que hace y para antes de lo irreversible te deja el cumplimiento casi hecho antes de empezar.

La pregunta con la que llegaste era qué te exige la ley por usar IA. Ya tienes la respuesta y cabe en una mano: formar, avisar, etiquetar, supervisar y tratar bien los datos. Todo lo demás, o es del proveedor o llega en 2027. Si el siguiente paso es decidir qué herramienta entra en tu equipo, empieza por entender la diferencia entre un chatbot y un agente de IA: uno habla, el otro ejecuta — y el que ejecuta es el que tiene que venir con el cumplimiento de fábrica.