Ley de IA: cómo afecta a las pymes que solo la usan

Qué es el reglamento europeo de IA y desde cuándo se aplica

Lo que se llama «ley de IA» es el Reglamento (UE) 2024/1689, una norma europea que se aplica directamente en España, sin esperar a una ley nacional. Se publicó el 12 de julio de 2024 y entró en vigor veinte días después, pero sus obligaciones llegan por tramos.

Un aviso importante: el 8 de julio de 2026 se aprobó el Reglamento (UE) 2026/1744, conocido como «ómnibus digital sobre IA», que retrasó las fechas del alto riesgo y suavizó la obligación de formación. Muchos artículos que encontrarás en internet siguen con el calendario anterior. El vigente, según el artículo 113 ya modificado, es este:

En España existe la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), que se presenta como el organismo público encargado de garantizar el uso ético y seguro de la IA y tiene en su web un apartado de guías.

Quién eres para la ley: el que hace la IA o el que la usa

El reglamento reparte las obligaciones según el papel de cada uno. Los dos que importan a una pyme están en el artículo 3:

• Proveedor: quien desarrolla un sistema de IA, o lo encarga, y lo pone en el mercado con su nombre o su marca.
• Responsable del despliegue: quien usa un sistema de IA bajo su propia autoridad en una actividad profesional.

Cartonajes Ribera, una fábrica de embalajes con cuarenta y cinco empleados, usa un asistente para redactar correos y otro programa para planificar turnos. No ha desarrollado ninguno. Es responsable del despliegue, como la gran mayoría de las pymes.

Los niveles de riesgo, con ejemplos de pyme

El reglamento no habla de «niveles» con esa palabra, pero se entiende mejor así, de más a menos exigente:

• Prohibido (artículo 5). Ejemplo cercano: un sistema que infiera las emociones de la plantilla en el lugar de trabajo, salvo por motivos médicos o de seguridad. También las técnicas manipuladoras y la puntuación de personas por su comportamiento social.
• Alto riesgo (artículo 6 y anexos). Usos permitidos pero con obligaciones serias. Ejemplo: un programa que filtra currículos.
• Con obligaciones de transparencia (artículo 50). Ejemplo: un chat que habla con clientes, o una imagen manipulada que parece real.
• El resto. Redactar un correo, resumir un informe, contestar dudas internas. El reglamento no les pone obligaciones específicas, aparte de la alfabetización.

Qué es un uso de alto riesgo y cuáles pueden darse en una pyme

Cuando se busca «IA de alto riesgo en pymes», la respuesta está en el anexo III, que enumera los ámbitos. Los que más cerca le quedan a una empresa pequeña:

• Empleo. Sistemas para contratar o seleccionar personas: publicar anuncios dirigidos, analizar y filtrar solicitudes, evaluar candidatos. Y sistemas para decidir sobre condiciones de trabajo, ascensos o despidos, repartir tareas según rasgos personales o vigilar y evaluar el rendimiento.
• Solvencia. Sistemas para evaluar la solvencia de personas físicas o darles una calificación crediticia, salvo los de detección de fraude.
• Educación y formación. Sistemas que deciden la admisión o evalúan resultados de aprendizaje.

Hay matices. El artículo 6 prevé que un sistema del anexo III no se considere de alto riesgo si, por ejemplo, solo hace una tarea de procedimiento limitada o prepara una evaluación que hará una persona. Pero si elabora perfiles de personas físicas, siempre lo es. Esa frontera no la decide un artículo de blog: si usas IA con candidatos o con empleados, consúltalo. Lo contamos desde el lado del equipo en Flipa para recursos humanos.

Qué te toca si solo la usas

1. No usarla para lo prohibido

Las prohibiciones del artículo 5 se aplican desde febrero de 2025 y alcanzan también a quien usa el sistema, no solo a quien lo fabrica.

2. Ayudar a tu equipo a entenderla

El artículo 4, en su redacción de 2026, pide a proveedores y responsables del despliegue que adopten medidas para apoyar la alfabetización en IA de su personal, teniendo en cuenta sus conocimientos y el uso que se hace. El texto aclara que no exige garantizar un nivel concreto a cada persona. En la práctica: explicar cómo funciona la herramienta, en qué se equivoca y qué norma hay.

3. Ser transparente cuando toca

El artículo 50 pone dos deberes a quien usa la IA: avisar de que una imagen, un audio o un vídeo es una ultrasuplantación, y avisar de que un texto publicado para informar al público sobre asuntos de interés público se ha generado con IA, salvo que lo haya revisado una persona y alguien asuma la responsabilidad editorial. Que un chat avise de que es una IA es obligación de diseño de quien lo fabrica; a ti te toca comprobar que el tuyo lo hace.

4. Si el uso es de alto riesgo, las obligaciones del artículo 26

Se aplicarán desde el 2 de diciembre de 2027. Entre otras: usar el sistema según sus instrucciones, encargar la supervisión humana a personas con competencia y autoridad, vigilar su funcionamiento, conservar los registros al menos seis meses, informar a los trabajadores y a sus representantes antes de usarlo en el trabajo, e informar a las personas sobre las que se decide.

El reglamento prevé multas (artículo 99). Para las pymes establece que cada multa se calcule por el porcentaje o por el importe, el que resulte menor. No damos cifras: están en el texto.

¿Y una política de uso de IA?

No hemos encontrado en el reglamento un artículo que obligue a una empresa que solo usa IA de bajo riesgo a tener un documento con ese nombre. Pero una política de uso de IA en la empresa, escrita y corta, es la forma más sencilla de cumplir con el artículo 4 y de que el equipo sepa a qué atenerse. Más abajo puedes montar el borrador de la tuya.

Qué pasa con la protección de datos

Es otra norma y sigue aplicando entera. El propio reglamento de IA dice, en su artículo 2, que no afecta al Reglamento General de Protección de Datos. Si lo que le das a una IA incluye datos personales, las reglas de siempre siguen ahí. La Agencia Española de Protección de Datos tiene guías sobre IA, y nosotros una guía práctica sobre los riesgos de usar ChatGPT en la empresa.

Errores habituales

• Creer que no te afecta porque no desarrollas IA. Usarla ya te da un papel en el reglamento.
• Creer que te afecta todo. La mayor parte de las obligaciones son para proveedores y para usos de alto riesgo.
• Fiarte de un calendario anterior a julio de 2026.
• Mirar la herramienta en vez del uso. El mismo asistente es inocuo redactando un correo y delicado ordenando candidatos.

Cuándo no basta con esta guía

Consulta a un profesional si usas IA para seleccionar o evaluar personas, para decidir sobre crédito o precios a particulares, si fabricas un producto que lleva IA dentro o si vendes a otros una herramienta con tu marca. En esos casos puedes ser algo más que alguien que la usa.