Reglamento de inteligencia artificial: qué debe hacer una pyme que usa IA en 2026

Una pyme que usa herramientas de IA es, para el Reglamento europeo de IA (Reglamento (UE) 2024/1689), un "responsable del despliegue". En 2026 eso le obliga, sobre todo, a promover la formación en IA de su personal, a no usar prácticas prohibidas y a cumplir los deberes de transparencia del artículo 50, aplicables desde el 2 de agosto de 2026. Si usa IA en ámbitos de alto riesgo, como la selección de personal, tiene obligaciones adicionales que, tras el Digital Omnibus, se aplican desde el 2 de diciembre de 2027.

Esta guía resume qué debe hacer una pyme, un despacho o una asesoría que usa IA en su día a día, con los plazos vigentes tras la reforma de julio de 2026. Es información general: para su caso concreto, consulte con un abogado especializado.

Proveedor o responsable del despliegue: en qué lado está su empresa

El Reglamento distingue varios papeles. Los dos que importan a una pyme son:

• Proveedor: quien desarrolla un sistema de IA y lo comercializa o pone en servicio con su nombre o marca.
• Responsable del despliegue: quien usa un sistema de IA bajo su propia autoridad en el ejercicio de una actividad profesional.

Si su empresa usa ChatGPT, Copilot, un asistente de redacción, un chatbot en su web o una herramienta que clasifica facturas, es responsable del despliegue. La mayoría de obligaciones técnicas (documentación, evaluación de conformidad, marcado CE) recaen en el proveedor.

Atención a un matiz: si su empresa encarga un sistema a medida y lo pone en servicio con su propio nombre, o modifica sustancialmente un sistema de alto riesgo, podría pasar a ser considerada proveedor. En ese caso conviene revisar el reparto de responsabilidades en el contrato.

Qué ha cambiado con el Digital Omnibus

En noviembre de 2025 la Comisión propuso un paquete de simplificación conocido como Digital Omnibus. La parte relativa a la IA ya es ley: el Reglamento (UE) 2026/1744 se adoptó el 8 de julio de 2026, se publicó en el Diario Oficial el 24 de julio y entró en vigor el 27 de julio de 2026.

Los cambios más relevantes para una pyme usuaria son:

• Alto riesgo aplazado. Las obligaciones para los sistemas de alto riesgo del anexo III (empleo, crédito, educación, entre otros) pasan a aplicarse el 2 de diciembre de 2027. Las de los sistemas integrados en productos regulados (anexo I), el 2 de agosto de 2028.
• Alfabetización en IA reformulada. El artículo 4 ya no exige "garantizar" un nivel suficiente de conocimientos, sino adoptar medidas para apoyar su desarrollo.
• Transparencia sin retraso. Las obligaciones del artículo 50 siguen aplicándose desde el 2 de agosto de 2026. Solo el marcado técnico de contenido generado, que corresponde a los proveedores, tiene un periodo transitorio hasta el 2 de diciembre de 2026 para sistemas ya comercializados antes del 2 de agosto de 2026.
• Nuevas prohibiciones. Se prohíben los sistemas que generan material de abuso sexual infantil o imágenes íntimas no consentidas de personas identificables.

Calendario vigente del Reglamento de IA

Obligación de alfabetización en IA (artículo 4)

Tras la reforma, el artículo 4 exige a proveedores y responsables del despliegue adoptar medidas para apoyar la alfabetización en IA de su personal y de quienes usan sistemas de IA en su nombre. Deben tener en cuenta los conocimientos técnicos, la experiencia y la formación de esas personas, el contexto de uso y a quién afectan los sistemas. La norma aclara que no obliga a garantizar un nivel concreto en cada persona.

En la práctica, para una pyme significa:

• Saber qué herramientas de IA usa su equipo y para qué.
• Explicar a cada persona los límites de esas herramientas: errores, datos que no deben introducirse, necesidad de revisar los resultados.
• Dejar constancia de las acciones realizadas: una sesión interna, una guía de uso, un registro de asistencia.

Prácticas prohibidas (artículo 5)

Aplicables desde febrero de 2025, prohíben, entre otros, los sistemas que manipulan a las personas con técnicas subliminales, la puntuación social, el reconocimiento de emociones en el lugar de trabajo o en centros educativos (salvo por motivos médicos o de seguridad) y la creación de bases de datos de reconocimiento facial mediante extracción indiscriminada de imágenes.

Pocas pymes usarán algo así de forma intencionada, pero conviene comprobarlo. Un ejemplo realista: una herramienta de "análisis del estado de ánimo" de los empleados en videollamadas podría encajar en la prohibición de reconocimiento de emociones en el trabajo.

Transparencia: chatbots y contenido generado (artículo 50)

Desde el 2 de agosto de 2026:

• Chatbots. Las personas deben saber que interactúan con un sistema de IA, salvo que sea evidente. El diseño corresponde al proveedor, pero si usted instala el chatbot en su web o en WhatsApp, asegúrese de que el aviso existe.
• Deepfakes. Si su empresa publica imágenes, audio o vídeo generados o manipulados con IA que parecen reales, debe indicarlo. En obras claramente creativas o satíricas, la obligación se limita a no estropear la obra.
• Textos de interés público. Si publica textos generados con IA para informar al público sobre asuntos de interés público, debe indicarlo, salvo que hayan pasado revisión humana y alguien asuma la responsabilidad editorial.
• Reconocimiento de emociones o categorización biométrica. Si usa estos sistemas (cuando no están prohibidos), debe informar a las personas expuestas.

La Comisión publicó en julio de 2026 unas directrices sobre el artículo 50 y un código de buenas prácticas sobre transparencia del contenido generado por IA, útiles para aterrizar estas obligaciones.

Casos de alto riesgo que afectan a pymes

El anexo III incluye usos que una pyme puede encontrarse sin darse cuenta:

• Empleo y recursos humanos: IA para publicar ofertas dirigidas, filtrar currículums, evaluar candidatos, decidir ascensos o despidos, asignar tareas según rasgos personales o evaluar el rendimiento.
• Crédito: IA para evaluar la solvencia o la puntuación crediticia de personas físicas (con excepción de la detección de fraude).
• Seguros: evaluación de riesgos y fijación de precios en seguros de vida y salud.
• Educación: admisión, evaluación o vigilancia en exámenes.

Si usa IA en estos ámbitos, desde el 2 de diciembre de 2027 el artículo 26 le exigirá, entre otras cosas, usar el sistema según las instrucciones del proveedor, asignar supervisión humana a personas con competencia y autoridad, controlar que los datos de entrada sean pertinentes, conservar los registros generados automáticamente y, en el caso del empleo, informar a los trabajadores y a sus representantes antes de ponerlo en marcha. Las personas afectadas por decisiones basadas en estos sistemas tendrán además derecho a una explicación.

Quién supervisa en España: la AESIA

En España, la autoridad de referencia es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. En ámbitos concretos actúan también otras autoridades, como la Agencia Española de Protección de Datos o el Banco de España.

El 26 de mayo de 2026 el Consejo de Ministros aprobó el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que adapta el Reglamento al ordenamiento español y concreta el régimen sancionador. A la fecha de esta guía sigue en tramitación en las Cortes.

Las multas máximas del Reglamento son de hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas, y de hasta 15 millones o el 3 % por otros incumplimientos. Para las pymes se aplica la cantidad menor de las dos.

Recuerde que el RGPD sigue plenamente vigente: casi cualquier uso de IA con datos de clientes o empleados es también un tratamiento de datos personales.

Lista de comprobación para una pyme

1. Haga un inventario de las herramientas de IA que usa la empresa, quién las usa y con qué datos.
2. Clasifique cada uso: uso general, transparencia (chatbot, contenido publicado) o posible alto riesgo (RR. HH., crédito).
3. Descarte prácticas prohibidas, en especial el reconocimiento de emociones de empleados.
4. Forme a su equipo y deje constancia: guía de uso interno y una sesión práctica.
5. Añada avisos de IA en chatbots y revise cómo etiqueta imágenes, vídeos o textos generados que publica.
6. Revise los contratos con proveedores: quién es proveedor, quién cumple cada deber y cómo se tratan los datos.
7. Prepare los usos de alto riesgo antes de diciembre de 2027: supervisión humana, registros e información a la plantilla.
8. Coordine con el RGPD: base jurídica, información, encargados del tratamiento y, si procede, evaluación de impacto.
9. Designe a un responsable interno que siga la evolución normativa y la ley española en tramitación.

Cómo lo hacemos en BL Diseno

En BL Diseno, cuando auditamos o implantamos IA en una empresa, empezamos por ese inventario y dejamos documentado qué sistema se usa, para qué y con qué avisos. No sustituye al asesoramiento jurídico, pero facilita mucho el trabajo de su abogado.