Usas ChatGPT para redactar correos, Copilot dentro de Office y quizá un chatbot en la web. Y ahora oyes que hay una ley europea de inteligencia artificial con multas millonarias. Respira. Casi todo lo que asusta de esa ley no va contra una pyme que usa herramientas de terceros: va contra quien las fabrica. Este artículo separa lo que de verdad te toca de lo que no.
Qué es el Reglamento de IA y a quién apunta
El Reglamento (UE) 2024/1689, conocido como AI Act, es la primera norma europea que regula la inteligencia artificial. Está en vigor desde el 1 de agosto de 2024 y se aplica por fases hasta 2027 (texto oficial en EUR-Lex).
La idea clave para una pyme: el Reglamento reparte obligaciones según tu papel. La mayor parte del peso recae en el proveedor, es decir, quien desarrolla y pone en el mercado el sistema de IA (OpenAI, Microsoft, Google). Tú, que solo usas la herramienta para tu trabajo, eres un responsable del despliegue (deployer), y tus obligaciones son muchas menos y mucho más ligeras.
Dicho de otro modo: no tienes que auditar cómo se entrenó ChatGPT ni certificar su seguridad. Eso es problema de OpenAI.
Lo que ya te obliga hoy
Desde el 2 de febrero de 2025 hay dos obligaciones que sí aplican a cualquier empresa, incluida la tuya:
- Alfabetización en IA (artículo 4). Debes procurar que las personas que usan IA en tu nombre tengan un nivel suficiente de conocimiento para usarla con criterio: saber qué puede inventarse el modelo, qué datos no conviene meterle y cómo revisar lo que produce. No exige un curso oficial ni un certificado. Una sesión interna documentada y unas normas escritas cumplen el espíritu de la norma.
- Prácticas prohibidas (artículo 5). Hay usos de IA vetados en toda la UE: manipulación subliminal, puntuación social, categorización biométrica de personas por características sensibles, o inferir emociones de trabajadores salvo excepciones muy tasadas. La mayoría de pymes no hace nada de esto, pero conviene comprobar que ninguna herramienta de recursos humanos o de videovigilancia que uses cruza esa línea.
Estas dos son las únicas obligaciones del Reglamento plenamente exigibles a día de hoy para el uso ordinario de IA en una empresa.
Lo que entra el 2 de agosto de 2026
La fecha que importa marcar en el calendario es el 2 de agosto de 2026. Ese día pasa a aplicarse el grueso del Reglamento, y para una pyme lo relevante es el artículo 50, el deber de transparencia:
- Si generas contenido con IA que pueda confundirse con algo real (texto publicado, imágenes, audio, vídeo), en ciertos casos hay que informar de que es contenido generado o manipulado con IA.
- Si tienes un chatbot que atiende a personas, estas deben poder saber que están hablando con una máquina y no con un humano.
El reparto exacto de quién avisa (tú o tu proveedor) tiene matices, y ahí es donde conviene tener criterio escrito antes de esa fecha, no después.
Lo que casi seguro NO te aplica
Aquí está la parte que las consultoras del miedo no te cuentan:
- No eres un sistema de alto riesgo por usar ChatGPT. Los sistemas de alto riesgo del Anexo III son cosas como IA que decide sobre acceso a educación, a empleo o a servicios esenciales. Usar un asistente para redactar no te mete en esa categoría. Ojo: si montas tu propio sistema de IA para cribar currículums de forma automatizada, ahí sí podrías entrar. El cambio de uso es lo que dispara el riesgo, no la herramienta.
- No tienes que registrar tu empresa en ningún organismo por usar IA de oficina.
- No hay hoy una multa española de IA esperándote. La ley española que desarrollará el régimen sancionador todavía es un anteproyecto en tramitación. Ver más abajo.
Entonces, ¿quién te puede sancionar hoy?
La amenaza real e inmediata para una pyme no es la IA: son los datos personales. Si tu equipo mete datos de clientes, nóminas o información sensible en una IA pública sin control, el riesgo es la Agencia Española de Protección de Datos (AEPD) por la vía del RGPD, que sí tiene régimen sancionador vigente y activo.
El proyecto de ley española de gobernanza de la IA, que designará a la AESIA como autoridad y fijará las multas nacionales, aún no está aprobado. Cuando lo esté, cambiará el panorama, pero a día de hoy no es exigible.
Qué hacer esta semana, en concreto
No necesitas una consultora de miles de euros para estar en regla con lo que hoy exige la norma. Con esto cubres lo esencial:
- Haz una lista de todas las herramientas de IA que se usan en la empresa, incluidas las que alguien usa por su cuenta (el llamado shadow AI).
- Escribe una política de uso de IA de una página: qué se puede meter en una IA pública y qué no, quién es responsable de revisar los resultados.
- Documenta una breve sesión de alfabetización con tu equipo.
- Marca el 2 de agosto de 2026 y revisa antes tus avisos de transparencia si publicas contenido con IA o tienes chatbot.
Si quieres esto hecho y personalizado con tus herramientas y tus datos, sin jerga y con cada afirmación citada a su artículo, ese es exactamente el dossier de Reglia. Y si de momento solo quieres los documentos base listos para rellenar, el Kit de cumplimiento cubre ese primer paso.
Este artículo es información general y no constituye asesoramiento jurídico. Reglia no es un despacho de abogados.