Ley de IA en Europa: qué obliga ya a tu pyme

La Ley de IA europea ya se aplica a tu pyme, y lo hace desde el 2 de agosto de 2026. La parte que afecta a casi cualquier empresa pequeña no es la de los sistemas peligrosos ni la de los grandes modelos: es mucho más simple y más barata de cumplir. Si tienes un chatbot en la web, tienes que avisar de que es una máquina. Si tu equipo usa herramientas de IA, tienes que formarlo. Poco más, por ahora.

El lío viene de que en 2026 pasaron dos cosas a la vez y mucha gente solo se enteró de una. Por un lado, el grueso del Reglamento entró en aplicación en agosto. Por otro, el llamado Ómnibus Digital aplazó una parte importante —la de los sistemas de alto riesgo— hasta finales de 2027. El resultado es que circulan artículos avisando de obligaciones que todavía no existen, y otros que dan por aplazado lo que sí está en vigor. Esta guía separa una cosa de la otra.

¿Qué obliga ya el Reglamento de IA desde agosto de 2026?

Tres bloques están vivos y son exigibles hoy. Ninguno requiere auditorías caras ni certificaciones para el uso normal que hace una pyme.

• Transparencia (artículo 50). Si una persona interactúa con un sistema de IA, tiene que saberlo. Aplica al chatbot de la web, al de WhatsApp y al asistente telefónico. También obliga a marcar como artificial el contenido generado por IA cuando puede confundirse con material real.
• Alfabetización en IA (artículo 4). Está en vigor desde febrero de 2025, antes incluso que el resto. Obliga a que quien usa estas herramientas en la empresa tenga formación suficiente para usarlas con criterio. Incluye a autónomos y microempresas.
• Prácticas prohibidas. Vigentes desde febrero de 2025. Son cosas que una pyme normal no hace: puntuación social de personas, reconocimiento de emociones en el trabajo o manipulación subliminal. Conviene leerlas una vez para descartarlas y olvidarse.

Lo que casi nadie cuenta es que la obligación de transparencia se cumple con una frase. No hace falta un aviso legal de tres párrafos ni una casilla de aceptación: basta con que quede claro, antes de escribir, que al otro lado hay un sistema automático.

¿Qué se aplazó hasta diciembre de 2027?

El Ómnibus Digital de IA se publicó en el Diario Oficial de la UE el 24 de julio de 2026 y entró en vigor tres días después. Movió las fechas de la parte más pesada del Reglamento, que es justo la que asustaba a las pymes que leían titulares sin entrar en el detalle.

Bloque	Fecha	¿Afecta a una pyme normal?
Prácticas prohibidas	En vigor desde feb. 2025	Sí, pero por descarte: casi ninguna las hace
Alfabetización en IA	En vigor desde feb. 2025	Sí, a todas las que usen IA
Transparencia (chatbots, contenido generado)	2 de agosto de 2026	Sí, si hay chat o contenido con IA
Alto riesgo del Anexo III	2 de diciembre de 2027	Solo en usos concretos: RR. HH., crédito, educación
Alto riesgo integrado en productos	2 de agosto de 2028	Solo fabricantes de máquinas, juguetes, ascensores

Dicho de otra forma: si el chatbot de tu web responde dudas de clientes, la fecha que te importaba era agosto de 2026 y ya pasó. Si además usas IA para filtrar currículums, entonces sí tienes una cita en diciembre de 2027, y esa merece prepararse con tiempo.

¿Usa tu pyme un sistema de IA de alto riesgo?

Es la pregunta que más ansiedad genera y la que más rápido se responde. El alto riesgo no depende de lo potente que sea la tecnología, sino de para qué se usa. Un mismo modelo puede ser de riesgo mínimo en un chat de atención al cliente y de alto riesgo decidiendo un despido.

Los usos del Anexo III que aparecen en una pyme, cuando aparecen, son casi siempre estos:

1. Selección de personal: cribar candidaturas, ordenar currículums o puntuar entrevistas con IA.
2. Decisiones sobre empleados: promociones, asignación de turnos o rescisiones basadas en una puntuación automática.
3. Evaluación de solvencia: decidir si se concede un aplazamiento de pago o una financiación.
4. Acceso a servicios esenciales o a formación reglada.

Si ninguno de esos cuatro casos describe lo que haces, no tienes un sistema de alto riesgo y el aplazamiento a 2027 es, para ti, una nota al pie. La automatización de facturas, el chat de la web, la redacción de textos o la clasificación de correos entran en la categoría de riesgo mínimo, donde la única exigencia real es la transparencia cuando hay una persona al otro lado.

Cómo avisar de que hay un chatbot sin espantar al visitante

Existe el miedo de que declarar el bot arruine la conversión. En la práctica ocurre lo contrario: el visitante que sabe que habla con una máquina hace preguntas más concretas y se enfada menos cuando la respuesta no es perfecta. Lo que genera desconfianza es descubrirlo a mitad de conversación.

Tres formas que cumplen y no molestan:

• En el saludo inicial: «Soy el asistente virtual de la empresa. Si prefieres hablar con una persona, dímelo y te paso.» Cumple, es corto y ofrece salida.
• En el nombre del propio widget: «Asistente virtual» en la cabecera del chat, visible en todo momento.
• Con una vía de escape real: un botón o una palabra que derive a una persona. No es obligatorio, pero es lo que convierte el aviso en confianza.

Lo que no cumple: llamar al bot con nombre de persona, ponerle foto de perfil humana y no aclararlo en ningún momento. Ahí es donde el Reglamento pone el dedo, porque es exactamente la confusión que quiere evitar. Si quieres ver cómo lo aplicamos en un asistente real, está explicado en nuestra página de agentes de IA y con más detalle en la guía sobre chatbots con IA para empresas.

¿Qué es la alfabetización en IA y a quién obliga?

El artículo 4 es el más ignorado y el más fácil de cumplir. Dice que quien despliega sistemas de IA debe procurar que su personal tenga un nivel suficiente de formación para entender qué hace la herramienta, dónde se equivoca y qué datos no se le deben dar. No exige un título ni un curso homologado.

Para una empresa de diez personas, cumplirlo de verdad se parece a esto:

• Una sesión corta explicando qué herramientas se usan y para qué.
• Una norma escrita sobre qué información no se pega nunca en una IA externa: datos de clientes, nóminas, contratos, código propio.
• Un recordatorio de que la IA se equivoca con seguridad aparente, y de que lo que sale hay que revisarlo antes de enviarlo.
• Constancia de que se ha hecho: una fecha, una lista de asistentes y el material. Sin registro, no hay forma de demostrarlo.

Ese último punto es el que marca la diferencia si algún día hay que justificar algo. La formación sin rastro documental, a efectos prácticos, no existe.

Qué hacer esta semana si usas IA en tu empresa

Una revisión honesta lleva menos de dos horas y cubre a la mayoría de pymes:

1. Inventaría. Escribe qué herramientas de IA se usan, quién las usa y con qué datos. Incluye las que nadie aprobó: la cuenta personal de un modelo de chat en el móvil de alguien del equipo también cuenta.
2. Clasifica. Marca cuáles tocan personas —selección, evaluación, crédito— y cuáles no. Las primeras van a la carpeta de 2027; las segundas, a la de transparencia.
3. Declara. Revisa que todo punto de contacto automático diga que lo es, en la primera frase.
4. Forma y anota. Una sesión, una norma de datos y un registro con fecha.
5. Revisa a tus proveedores. Si un tercero pone la IA, pídele por escrito qué modelo usa, dónde se procesan los datos y si sirven para entrenar. Esa respuesta también es tu documentación.

Sobre las sanciones conviene ser exacto y no alarmista: el Reglamento fija topes altos —los mayores, para prácticas prohibidas— pero establece que, en el caso de pymes y empresas emergentes, se aplica el importe menor entre la cifra fija y el porcentaje de facturación. Y las autoridades de vigilancia empezaron su labor en agosto de 2026, no antes.

Si prefieres que alguien revise contigo qué usáis y dónde está el riesgo real, eso es parte de lo que hacemos en los proyectos de inteligencia artificial: antes de automatizar nada, hay que saber qué hay. Puedes contarnos vuestro caso desde la página de contacto, o leer primero cómo elegir una empresa de IA para saber qué preguntas hacernos.

Esta guía explica el marco general con la información pública disponible en septiembre de 2026. No sustituye al asesoramiento jurídico: si tu caso toca selección de personal, crédito o datos sensibles, conviene revisarlo con un profesional.