Reglamento Europeo de IA: qué obliga a una pyme y desde cuándo

Introducción

El 2 de agosto de 2026 el Reglamento Europeo de Inteligencia Artificial pasó a su fase de aplicación general. Unos días antes, el 27 de julio, había entrado en vigor una reforma que aplaza una parte importante de sus obligaciones.

La combinación de ambas cosas ha producido un ruido considerable, y ha dejado circulando dos mensajes que son igual de falsos. Uno dice que desde este mes cualquier empresa que use inteligencia artificial está sujeta a un régimen de certificaciones y auditorías. El otro, más extendido últimamente, dice que como se ha aplazado todo, ya no hay nada de lo que preocuparse hasta 2027.

Ninguno de los dos es cierto. Lo que se aplazó fue un bloque concreto y bien delimitado, y lo que no se aplazó lleva aplicándose en algunos casos desde hace año y medio.

Este artículo separa una cosa de la otra. No es asesoramiento jurídico y no sustituye a un abogado, pero sí pretende que quien lo lea sepa exactamente qué preguntas hacerle.

La pregunta que hay que responder primero

Casi todas las confusiones vienen de saltarse este paso. El Reglamento no impone las mismas obligaciones a todo el mundo, sino que distingue papeles, y lo que a una empresa le corresponde depende por completo de cuál ocupe.

El Reglamento (UE) 2024/1689 define proveedor como quien desarrolla un sistema de inteligencia artificial, o hace que se desarrolle, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca, sea a título oneroso o gratuito. Y define responsable del despliegue como quien utiliza un sistema de inteligencia artificial bajo su autoridad, salvo que el uso sea una actividad personal de carácter no profesional (artículo 3, apartados 3 y 4).

La consecuencia práctica es importante y casi nunca se explica: la inmensa mayoría de las pymes son responsables del despliegue y no proveedores. Una asesoría que usa un asistente para redactar borradores, un taller que clasifica sus facturas con una herramienta comercial o una academia que resume las llamadas de sus comerciales están usando sistemas que ha desarrollado otro. Las obligaciones pesadas del Reglamento (documentación técnica, sistema de gestión de riesgos, evaluación de conformidad, marcado) recaen sobre el proveedor.

Hay una excepción que conviene conocer, porque es la trampa en la que se puede caer sin querer: si una empresa pone su nombre o su marca a un sistema de IA y lo comercializa, o si modifica sustancialmente la finalidad de uno existente, puede pasar a ser considerada proveedora con todo lo que eso implica. Usar una herramienta es una cosa; revenderla bajo marca propia es otra bastante distinta.

Lo que ya te obliga hoy si solo usas inteligencia artificial

Suponiendo el caso normal (una pyme que usa herramientas de terceros), hay dos obligaciones vivas. Solo dos, pero son reales.

Formación del personal, desde febrero de 2025

El artículo 4 establece un deber sobre la alfabetización en materia de inteligencia artificial del personal que opera estos sistemas. Es aplicable desde el 2 de febrero de 2025, o sea que no es una novedad de este verano: lleva año y medio en vigor y es probablemente la obligación más incumplida de todo el Reglamento, sobre todo porque muy pocas empresas saben que existe.

Aquí es donde la reforma de julio ha introducido un matiz que conviene entender bien, porque cambia la naturaleza del deber sin eliminarlo. El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, sustituye el artículo 4 completo. En su redacción original obligaba a garantizar un nivel suficiente de alfabetización. En la nueva, obliga a adoptar medidas para apoyar su desarrollo, y aclara expresamente que no se exige un nivel concreto a ninguna persona en particular.

Dicho en términos prácticos, ha pasado de ser una obligación de resultado a una de medios. Sigue siendo vinculante para todo responsable del despliegue, pero lo que se exige demostrar ya no es que la plantilla alcance un umbral determinado, sino que la empresa ha hecho algo razonable y proporcionado para formarla, teniendo en cuenta sus conocimientos previos y el contexto de uso.

Para una pyme, eso se traduce en algo perfectamente abordable: dejar constancia de una formación interna, de un documento de instrucciones de uso, de quién la recibió y de cuándo. Media mañana bien documentada cumple mejor que un curso caro sin registro.

Transparencia, desde este mes

El artículo 50 es el que ha entrado en aplicación general el 2 de agosto de 2026, y reparte deberes entre proveedores y responsables del despliegue.

Al proveedor le corresponde que los sistemas destinados a interactuar con personas informen de que se está tratando con una inteligencia artificial (salvo que resulte evidente para alguien razonablemente informado), y que los contenidos sintéticos que generan (audio, imagen, vídeo o texto) se marquen en un formato legible por máquina que permita detectar que son artificiales.

Al responsable del despliegue, que es el papel que aquí interesa, le corresponden tres cosas:

Primero, revelar que el contenido es artificial cuando se difundan ultrafalsificaciones, con excepciones para obras artísticas, creativas o satíricas, donde la revelación debe hacerse de forma que no arruine la obra.

Segundo, revelar que un texto ha sido generado o manipulado por inteligencia artificial cuando se publique con el fin de informar al público sobre asuntos de interés público. Hay una salvedad relevante para el uso empresarial habitual: si el contenido ha pasado por revisión editorial humana y alguien asume la responsabilidad editorial, no aplica.

Tercero, informar a las personas expuestas cuando se usen sistemas de reconocimiento de emociones o de categorización biométrica, cumpliendo además con la normativa de protección de datos.

Sobre el marcado de contenido generativo hay un régimen transitorio que conviene tener presente: los proveedores de sistemas ya presentes en el mercado antes del 2 de agosto de 2026 disponen de plazo hasta el 2 de diciembre de 2026 para cumplir con las obligaciones de marcado.

Lo que se ha aplazado, y por qué no es una amnistía

Aquí está el origen del malentendido más extendido de estas semanas.

El Ómnibus Digital retrasa la aplicación de las obligaciones sobre sistemas de alto riesgo, que era lo que originalmente debía aplicarse el 2 de agosto de 2026. El nuevo calendario queda así:

Los sistemas de alto riesgo autónomos, que son los del anexo III (biometría, empleo, educación, migración, acceso a servicios esenciales), pasan al 2 de diciembre de 2027.

Los sistemas de alto riesgo integrados en productos ya regulados por la legislación armonizada de seguridad, que son los del anexo I, pasan al 2 de agosto de 2028.

Los considerandos justifican el aplazamiento por el retraso en la disponibilidad de normas armonizadas, especificaciones comunes y autoridades nacionales, que amenazaba con hacer inviable una aplicación efectiva.

Conviene leer con precisión qué se ha movido y qué no. Lo aplazado son las obligaciones sustantivas del capítulo III sobre sistemas de alto riesgo. No se ha tocado el régimen de prohibiciones, ni las obligaciones de transparencia, ni el deber de formación, ni las normas sobre modelos de uso general que se aplican desde agosto de 2025.

Y una advertencia sobre cómo aprovechar el aplazamiento. Diciembre de 2027 parece lejos, pero si un sistema resulta ser de alto riesgo, adaptarlo no es un trámite administrativo: implica gestión de riesgos, documentación técnica, calidad de los datos, registro de actividad, supervisión humana y evaluación de conformidad. Eso no se improvisa en el último trimestre, y la experiencia con la protección de datos en 2018 sugiere bastante bien lo que ocurre cuando se deja para el final.

El caso que puede convertir a una pyme en alto riesgo sin que lo sospeche

Merece un apartado propio porque es, con diferencia, el más probable en una empresa pequeña.

El anexo III, en su punto 4, clasifica como de alto riesgo los sistemas destinados a emplearse en la contratación o selección de personas físicas, en particular para publicar anuncios de empleo dirigidos, analizar y filtrar solicitudes y evaluar candidatos. Y también los destinados a tomar decisiones que afecten a la relación laboral, como promociones o extinciones, a asignar tareas en función del comportamiento o de rasgos personales, o a supervisar el rendimiento y la conducta de los trabajadores.

Es decir: una pyme de quince personas que use una herramienta de inteligencia artificial para cribar currículos está utilizando un sistema de alto riesgo, aunque su intención fuese simplemente ahorrarse una tarde de lectura. Y lo mismo si emplea un sistema que puntúa el rendimiento de su equipo.

Lo que ha cambiado es cuándo le será exigible ese régimen, que ahora es diciembre de 2027 en lugar de este mes. Lo que no ha cambiado es que lo sea. Conviene saberlo ahora, entre otras cosas porque determina qué herramientas conviene contratar y con qué proveedor, y porque cambiar de sistema es mucho más barato antes de haberlo implantado que después.

Un matiz importante: aunque el régimen de alto riesgo se haya aplazado, el tratamiento de datos personales de candidatos y empleados sigue plenamente sujeto a la normativa de protección de datos desde siempre. El aplazamiento del Reglamento de IA no suspende el Reglamento General de Protección de Datos.

Lo que está prohibido, que no se ha movido

Desde el 2 de febrero de 2025 hay prácticas directamente prohibidas por el artículo 5, con independencia del tamaño de la empresa. Entre ellas están las técnicas subliminales o deliberadamente manipuladoras que mermen la capacidad de decidir, la explotación de vulnerabilidades por edad o discapacidad, la puntuación social, y el reconocimiento de emociones en el lugar de trabajo y en centros educativos, salvo excepciones tasadas por motivos médicos o de seguridad.

Esa última merece atención porque a veces se ofrece comercialmente envuelta en lenguaje de productividad o de clima laboral. Un sistema que analice el estado emocional de la plantilla a partir de su voz o de su expresión facial está, en principio, prohibido.

El Ómnibus Digital ha añadido dos prohibiciones nuevas, relacionadas con la generación de imágenes íntimas no consentidas y con material de abuso sexual infantil, aplicables tanto a proveedores cuando esa sea la finalidad prevista o razonablemente previsible, como a responsables del despliegue que usen sistemas con ese fin.

Las sanciones, y una regla que juega a favor de las pymes

El artículo 99 establece tres niveles. Las prácticas prohibidas del artículo 5 pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocio mundial anual. El incumplimiento de otras obligaciones, incluidas las de transparencia del artículo 50, hasta 15 millones o el 3 %. Facilitar información falsa o engañosa a las autoridades, hasta 7,5 millones o el 1 %.

Esas cifras son las que circulan en los titulares y las que generan más ansiedad de la que corresponde, porque se suele omitir la parte que importa a una empresa pequeña. Para el resto de operadores, la regla es que se aplica la cuantía mayor entre el importe fijo y el porcentaje. Para las pymes y las empresas emergentes, el propio artículo 99 invierte el criterio y dispone que se aplique la menor de las dos.

En una empresa con una facturación de tres millones de euros, la diferencia entre una y otra regla es la que hay entre noventa mil euros y quince millones. Sigue siendo dinero serio y no invita a la despreocupación, pero conviene tener la escala correcta antes de tomar decisiones movidas por el miedo.

Qué conviene hacer ahora

Nada de lo anterior exige un proyecto. Para una pyme que usa herramientas de terceros, lo razonable cabe en unas cuantas tareas concretas.

Hacer inventario. Qué herramientas con inteligencia artificial se están usando realmente, incluidas las que ha contratado un departamento por su cuenta y las que vienen incorporadas en programas que ya se tenían. Esta parte casi siempre depara sorpresas, porque muchas funciones se han añadido a productos existentes sin que nadie tomara una decisión al respecto.

Clasificar cada una por su papel y su riesgo. Somos responsables del despliegue en casi todo. Marcar en rojo cualquier uso relacionado con selección de personal, evaluación del rendimiento, biometría o acceso a servicios esenciales, que es donde aparece el alto riesgo.

Documentar la formación. Una sesión interna, unas instrucciones escritas de qué se puede y qué no se puede hacer con cada herramienta, y un registro de quién ha participado. Con la nueva redacción del artículo 4, esto es exactamente lo que se exige.

Revisar dónde se publica contenido generado. Si se publica texto generado por IA sobre asuntos de interés público sin revisión editorial humana, o si se difunden imágenes o vídeos manipulados, hay un deber de revelación que atender.

Mirar los contratos con los proveedores. Comprobar qué declaran sobre conformidad con el Reglamento, si marcan los contenidos que generan y quién responde de qué. Es más fácil negociarlo al contratar que después.

Errores frecuentes

Creer que se ha aplazado todo. Se ha aplazado el régimen de alto riesgo. La transparencia, la formación y las prohibiciones siguen su curso.

Pensar que esto va de empresas tecnológicas. El Reglamento se aplica a quien usa, no solo a quien desarrolla, y el deber de formación alcanza a cualquier empresa con personal que opere estos sistemas.

Suponer que usar una herramienta comercial exime de todo. Reduce mucho la carga, pero no la elimina: la formación, la transparencia y la elección responsable de proveedor siguen siendo del usuario.

Confundir este Reglamento con el de protección de datos. Son normas distintas que se aplican a la vez. Cumplir una no da cobertura sobre la otra, y el aplazamiento de una no afecta a la otra en absoluto.

Encargar una certificación que no existe. No hay un sello general de cumplimiento del Reglamento de IA que una pyme deba obtener por usar herramientas de terceros. Si alguien lo ofrece en esos términos, conviene desconfiar.

Conclusión

Para la mayoría de las pymes, el Reglamento Europeo de Inteligencia Artificial es bastante menos oneroso de lo que sugiere su reputación, y bastante más exigente que la lectura complaciente que circula desde el aplazamiento de julio.

Lo que hay que hacer hoy cabe en una frase: saber qué herramientas se usan, formar y documentar que se ha formado, avisar cuando corresponda avisar, y no tocar lo prohibido. Lo que hay que preparar con tiempo es un caso concreto y bastante común, que es el uso de inteligencia artificial en selección y gestión de personal, con horizonte en diciembre de 2027.

El aplazamiento no es un indulto, es margen. Y el margen se aprovecha decidiendo con criterio qué herramientas se contratan y con qué garantías, no aparcando el asunto hasta que vuelva a ser urgente.

Un último apunte, este de fondo. Las fechas de este artículo son las vigentes tras la reforma de julio de 2026, y ya se han movido una vez. Cualquier planificación que dependa de que no vuelvan a moverse es frágil por construcción. Lo que no se mueve, y es lo que de verdad conviene tener resuelto, es saber qué sistemas usa la empresa y para qué.

Referencias

Parlamento Europeo y Consejo. (2016). Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Diario Oficial de la Unión Europea. https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679

Parlamento Europeo y Consejo. (2024). Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican determinados actos legislativos de la Unión (Reglamento de Inteligencia Artificial). Diario Oficial de la Unión Europea. https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ:L_202401689

Parlamento Europeo y Consejo. (2026). Reglamento (UE) 2026/1744 por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 en lo relativo a la simplificación de la aplicación de las normas armonizadas en materia de inteligencia artificial (Ómnibus Digital sobre IA). Diario Oficial de la Unión Europea. https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ:L_202601744