Regulación

Reglamento Europeo de IA: qué se aplica a una pyme, y cuándo

Actualizado a 10 de octubre de 2026. El Reglamento Europeo de IA (Reglamento (UE) 2024/1689, modificado en julio de 2026) clasifica los usos por nivel de riesgo. Una pyme que utiliza herramientas de IA tiene hoy una obligación general: adoptar medidas para que sus equipos comprendan estas herramientas, sin un nivel que garantizar ni un certificado que obtener. Algunas prácticas están prohibidas desde febrero de 2025 y, desde agosto de 2026, hay que señalar los contenidos manipulados («deepfakes») que se difunden. La mayoría de los usos ofimáticos no conllevan ninguna otra obligación. Los usos de alto riesgo, como la criba de candidaturas, el acceso al crédito o la vigilancia de los empleados, tendrán obligaciones reforzadas a partir del 2 de diciembre de 2027 y merecen un examen específico antes de cualquier despliegue.

A quién afecta

Proveedor o responsable del despliegue

El Reglamento distingue dos funciones.

El proveedor desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado con su propio nombre. Es el caso de los fabricantes de software.
El responsable del despliegue utiliza un sistema de IA bajo su propia autoridad, en un contexto profesional. El uso personal no profesional no está contemplado.

Una pyme que compra una herramienta de IA o se suscribe a ella es casi siempre responsable del despliegue. La mayoría de las obligaciones más exigentes recaen en el proveedor.

Hay una excepción importante para las pymes. Usted pasa a ser proveedor de un sistema de alto riesgo si pone su nombre en él, si lo modifica de forma sustancial o si cambia su finalidad hasta convertirlo en un sistema de alto riesgo (artículo 25).

Calendario

Qué se aplica, fecha a fecha

Calendario de aplicación del Reglamento Europeo de IA
Fecha	Qué se aplica	A quién afecta
1 de agosto de 2024	Entrada en vigor del Reglamento	—
2 de febrero de 2025	Prácticas prohibidas (art. 5). Medidas de alfabetización en IA (art. 4)	Todos
2 de agosto de 2025	Modelos de IA de uso general, gobernanza, sanciones	Proveedores de modelos, Estados
27 de julio de 2026	Entrada en vigor del Ómnibus (Reglamento 2026/1744). Artículo 4 aligerado	Todos
2 de agosto de 2026	Transparencia (art. 50): deepfakes, determinados textos publicados	Proveedores y responsables del despliegue
2 de diciembre de 2026	Nuevas prohibiciones: contenidos íntimos no consentidos de una persona identificable, material de abuso sexual infantil	Todos
2 de diciembre de 2027	Sistemas de alto riesgo del anexo III (contratación, crédito, etc.)	Proveedores y responsables del despliegue
2 de agosto de 2028	Sistemas de alto riesgo integrados en productos regulados (anexo I)	Proveedores y responsables del despliegue

Las fechas de 2027 y 2028 son fijas. No dependen de la publicación de las normas técnicas.

En la práctica

Lo que debe hacer una pyme que utiliza IA

Saber qué herramientas se utilizan.
El Reglamento no exige un inventario como tal. Pero solo puede aplicar los puntos siguientes a herramientas que conoce.
Adoptar medidas para que sus equipos comprendan estas herramientas (art. 4).
Esto se aplica a sus empleados y a las personas que las utilizan en su nombre, como un proveedor de servicios. Una sesión de sensibilización, una norma de uso escrita o una formación específica son ejemplos. No se exige ningún certificado. Basta con un registro interno de las medidas adoptadas.
Comprobar que ningún uso está prohibido (art. 5).
Un ejemplo útil en la empresa: el reconocimiento de emociones en el lugar de trabajo está prohibido, salvo por motivos médicos o de seguridad.
Señalar lo que debe señalarse (art. 50).
Una imagen, un audio o un vídeo manipulados que usted difunda deben señalarse como generados o manipulados. Un texto publicado para informar al público sobre asuntos de interés público también, salvo que lo haya revisado una persona que asuma su responsabilidad editorial.
Identificar los usos de alto riesgo antes del 2 de diciembre de 2027.
Vea la sección siguiente.

Alto riesgo

Los usos de alto riesgo

El anexo III enumera los ámbitos afectados. Para una pyme, tres son los más habituales:

Contratación: difusión segmentada de ofertas de empleo, criba de candidaturas, evaluación de candidatos.
Gestión del personal: decisiones de ascenso o despido, asignación de tareas según rasgos personales, seguimiento del rendimiento y del comportamiento.
Servicios financieros: evaluación de la solvencia o calificación crediticia (salvo detección de fraude), fijación de precios de seguros de vida y salud.

Los demás ámbitos son la biometría, las infraestructuras críticas, la educación, el acceso a servicios públicos y de emergencia, la actuación policial, la migración y la justicia.

A partir del 2 de diciembre de 2027, el responsable del despliegue de un sistema de este tipo debe, en particular (art. 26):

utilizarlo conforme a las instrucciones de uso del proveedor;
encomendar la supervisión humana a personas competentes, formadas y con la autoridad necesaria;
velar por la pertinencia de los datos de entrada, si los controla;
vigilar el funcionamiento, suspender el uso en caso de riesgo y notificar los incidentes graves;
conservar los registros generados automáticamente durante al menos seis meses;
informar a los representantes de los trabajadores y a los empleados afectados antes de la puesta en servicio en el lugar de trabajo;
informar a las personas afectadas por una decisión tomada o asistida por el sistema;
cooperar con las autoridades competentes.

Estos usos merecen un examen específico antes de cualquier despliegue. Si ya utiliza un software de recursos humanos o de crédito que integra IA, pregunte desde ahora a su proveedor de software si lo considera incluido en el anexo III y en qué fecha estarán disponibles sus instrucciones de uso.

Sanciones

Los importes máximos de las multas

Los importes máximos fijados por el Reglamento (art. 99) son:

prácticas prohibidas: 35 millones de euros o el 7 % del volumen de negocios mundial anual;
otras obligaciones, incluidas las del responsable del despliegue y la transparencia: 15 millones de euros o el 3 %;
información inexacta facilitada a las autoridades: 7,5 millones de euros o el 1 %.

Para una gran empresa, se aplica el mayor de los dos importes. Para una pyme o una empresa emergente, el menor. Desde julio de 2026, las sanciones también pueden consistir en un apercibimiento o en una medida no pecuniaria, y los Estados deben tener en cuenta la viabilidad económica de las pymes.

El artículo 4 no figura en ninguna de estas listas. No tiene un importe máximo europeo. Su posible sanción depende del Derecho nacional.

Acompañamiento

Lo que Optim-AI puede hacer

El diagnóstico de dos días identifica las herramientas de IA que ya se utilizan en la empresa.
La auditoría cartografía los usos reales, incluidos los que no se han declarado, y señala los que podrían estar incluidos en el anexo III.
Las normas de uso de la IA, entregadas con el plan de contramedidas, están redactadas para que las lean sus equipos y listas para incorporarse al reglamento interno. Constituyen una constancia escrita de las medidas adoptadas.
La misión de familiarización es una misión independiente, con un informe escrito, los materiales presentados y un breve cuestionario de evaluación antes y después de la sesión, para medir lo que ha cambiado. Es una de las medidas posibles en virtud del artículo 4, no la única.

Optim-AI no es un despacho de abogados. Para un uso de alto riesgo, el análisis jurídico final corresponde a su asesor jurídico.

Preguntas frecuentes

Las preguntas de los directivos

¿Utilizar Copilot o ChatGPT convierte a mi pyme en usuaria de un sistema de alto riesgo?

Por lo general, no. Un asistente de redacción o de síntesis no está incluido en el anexo III. Lo está si lo utiliza para una finalidad que figura en él, por ejemplo cribar candidaturas. Usted sigue sujeto al artículo 4 y, si difunde deepfakes, al artículo 50.

¿Hay que formar a todos los empleados y obtener un certificado?

No. Desde el 27 de julio de 2026, el Reglamento exige adoptar medidas para apoyar la alfabetización en IA, sin un nivel que garantizar. La Comisión precisa que no es necesario ningún certificado. Las medidas se adaptan a las personas y a las herramientas. Conserve una constancia escrita de ellas.

¿Debo señalar los textos redactados con IA?

Solo los textos publicados para informar al público sobre asuntos de interés público, y solo si no han sido objeto de una revisión humana bajo la responsabilidad editorial de una persona. Un boletín comercial o una ficha de producto no entran, en principio, en esta categoría.

Nuestro software de recursos humanos criba los currículos. ¿Qué hacemos ahora?

Este tipo de herramienta está incluido en el anexo III. Las obligaciones del responsable del despliegue se aplican a partir del 2 de diciembre de 2027. Hasta entonces, pida al proveedor del software su posición y sus instrucciones de uso, designe a la persona que supervisará la herramienta y prevea la información a los representantes de los trabajadores.

¿Se arriesga una pyme a una multa de 35 millones de euros?

Ese importe máximo se refiere a las prácticas prohibidas. Para una pyme, se aplica el menor de los dos importes previstos, y la autoridad puede limitarse a un apercibimiento.

Fuentes

Los textos consultados

Página actualizada a 10 de octubre de 2026. Los artículos se han leído en la versión consolidada a 27 de julio de 2026, publicada por la Comisión Europea.