La mayoría de guías sobre el Reglamento (UE) 2024/1689 que circulan por LinkedIn te aplican el checklist equivocado. Explican con detalle imposiciones de proveedor a empresas que jamás entrenarán un modelo, y omiten lo único que sí importa: qué obliga el AI Act a una pyme que sólo usa IA de terceros. Ese sesgo genera empresas gastando en compliance que no les toca y descuidando compromisos que sí les tocan desde febrero de 2025.
Trabajamos con empresas que integran ChatGPT, Copilot o Gemini en su día a día y llegan aterradas por artículos que hablan de marcado CE y evaluaciones de conformidad. Nada de eso les aplica. Lo que sí les aplica cabe en cuatro obligaciones concretas, y ese es el mapa que vamos a trazar aquí.
El reglamento europeo no distribuye las cargas por tamaño de la organización, sino por el rol que juega cada actor en la cadena. Entender esa diferencia es lo que separa a una empresa que cumple con una hoja de ruta razonable de otra que gasta miles de euros en asesoría innecesaria.
El síntoma: pymes cumpliendo obligaciones que no les corresponden
El patrón se repite. Recibimos consultas de empresas de 15 a 80 empleados que llegan con un dossier de imposiciones que han recopilado de tres o cuatro guías genéricas. Al revisarlo, el 70% de lo que creen que deben implementar no les aplica, y falta lo que sí. Es un desperdicio de tiempo y presupuesto que se corrige con una distinción básica.
La confusión entre proveedor, distribuidor y responsable del despliegue
El reglamento europeo define tres papeles principales. Proveedor: quien desarrolla o comercializa el sistema. Distribuidor: quien lo pone en el mercado en la cadena de suministro. Responsable del despliegue (deployer): quien utiliza el sistema bajo su propia autoridad. Una empresa que integra Copilot en su Microsoft 365 es deployer. No es proveedor de nada.
La confusión llega porque muchas guías traducen "operador" o "usuario" sin explicar que la figura del deployer tiene un régimen propio, mucho más ligero. Si tu pyme no entrena modelos ni los pone bajo su marca, olvida el capítulo del proveedor.
Por qué el 80% de las guías te aplican el checklist equivocado
Ocurre porque las primeras guías se escribieron pensando en grandes tecnológicas. Copiar y pegar ese contenido para pymes es más fácil que rehacer el análisis. Y así aparecen listas con 40 exigencias cuando la realidad legal para una empresa usuaria son cuatro bloques concretos.
La cosa es que el precio de aplicar el checklist equivocado no es solo dinero. Es que tu equipo se queme con un proyecto de compliance imposible y termine ignorándolo entero. Cuando llegue una inspección (y llegarán, aunque no mañana), habrá cero evidencia de lo que sí importaba.
La causa raíz: el reglamento asigna obligaciones por rol, no por tamaño
Este es el punto donde todo cambia. El Reglamento (UE) 2024/1689 no dice "las pymes tienen menos requisitos". Dice: "estas son las obligaciones del proveedor, estas las del deployer, estas las del distribuidor". Tu tamaño puede modular sanciones y facilitar sandboxes, pero no cambia qué te aplica.
Qué significa ser "responsable del despliegue" según el artículo 26
Este apartado detalla los deberes de dicho rol para sistemas de alto riesgo, y son bastante concretas. Uso conforme a las instrucciones del proveedor, supervisión humana efectiva, monitorización del funcionamiento, conservación de logs cuando estén bajo su control, informar a trabajadores afectados y realizar (cuando toque) evaluación de impacto en derechos fundamentales.
Fíjate en lo que NO dice: no exige documentación técnica del modelo, no exige gobierno de datos de entrenamiento, no exige marcado CE. Todo eso lo asume el proveedor.
Dónde encaja tu pyme si solo integra ChatGPT, Copilot o Gemini
Si utilizas herramientas generalistas de terceros bajo su marca y sin modificaciones sustanciales, eres responsable del despliegue de un sistema de propósito general integrado en tu operativa. La mayor parte de los usos habituales en pymes (redacción de correos, resúmenes, atención al cliente básica, generación de imágenes para marketing) no entra en alto riesgo del Anexo III.
¿Significa eso que no tienes obligaciones? No. Significa que tus compromisos son las cuatro que vamos a diseccionar, no las 30 que te pinta una guía mal calibrada.
Diagnóstico preciso: las 4 obligaciones que sí te aplican como usuaria
Una pyme que solo usa IA de terceros está obligada por el reglamento europeo a cumplir cuatro bloques concretos: garantizar alfabetización suficiente del personal, respetar las prácticas prohibidas del artículo 5, aplicar transparencia hacia terceros cuando genera contenido con IA, y ejercer supervisión humana efectiva si opera sistemas del Anexo III.
- Alfabetización en IA del personal (artículo 4, vigente desde febrero 2025).
- Respeto absoluto a las prohibiciones del artículo 5.
- Transparencia hacia terceros cuando se genera contenido con IA (artículo 50).
- Supervisión humana efectiva si el sistema cae en Anexo III (artículo 26).
Estas cuatro imposiciones aplican a la práctica totalidad de pymes que solo integran herramientas de terceros. Con distintos grados de exigencia según el uso concreto, pero todas están sobre la mesa.
Alfabetización en IA del personal (artículo 4, vigente desde febrero 2025)
Es la obligación más malinterpretada. Este artículo exige que proveedores y responsables del despliegue garanticen "en la medida de lo posible" un nivel suficiente de alfabetización en inteligencia artificial de su personal y cualquier persona que opere sistemas por su cuenta. Vigente desde el 2 de febrero de 2025.
Ojo con la letra pequeña. No dice "curso oficial de 40 horas". Dice nivel suficiente, adaptado al contexto y a las funciones de cada persona. Un comercial que usa Copilot para preparar propuestas necesita alfabetización distinta a la del responsable de RRHH que evalúa candidatos con apoyo de estos sistemas.
¿Qué esperamos ver en una inspección? Evidencia razonable: una formación interna documentada, materiales entregados, asistentes registrados. En pymes de 20-30 empleados, esto puede resolverse con una sesión de dos horas bien preparada y su acta correspondiente. Nada de estructuras universitarias.
Un matiz práctico. La formación bonificable FUNDAE es una vía cómoda para pymes: cumple el requisito, deja rastro documental y no consume caja. Lo usamos con clientes cuando la plantilla supera los 15 empleados y hay créditos disponibles.
Prohibiciones absolutas del artículo 5 que no puedes cruzar ni sin saberlo
Aplicable también desde el 2 de febrero de 2025. Este artículo lista prácticas prohibidas sin excepciones. Sanción máxima: 35 millones de euros o el 7% de la facturación mundial anual. El régimen sancionador más duro del reglamento.
¿Puede una pyme cruzar esta línea sin saberlo? Sí. Los usos prohibidos incluyen puntuación social, categorización biométrica por raza u orientación política o religiosa, reconocimiento de emociones en el trabajo o la educación (con excepciones médicas), y ciertos usos de identificación biométrica remota. Suenan lejanos, pero no lo son.
Un caso real que revisamos hace unos meses: una empresa del sector servicios había activado en una herramienta de videoentrevistas un módulo de "análisis emocional del candidato" que venía por defecto. Reconocimiento de emociones en contexto laboral. Prohibición absoluta. Se desactivó ese mismo día.
Transparencia hacia terceros cuando generas contenido con IA (artículo 50)
Aplicable desde el 2 de agosto de 2026. Obliga a informar cuando una persona interactúa con un sistema automatizado (chatbots, agentes virtuales) y a etiquetar contenido sintético generado o manipulado con estas herramientas (deepfakes, imágenes generadas, texto masivo destinado a informar al público sobre asuntos de interés general).
Traducido a la práctica en una pyme: si tienes un chatbot en la web, aviso claro de que el interlocutor es un sistema automatizado. Si publicas imágenes generadas con estas tecnologías en tus canales, indicación visible de que son sintéticas. No hace falta un pop-up dramático. Basta una nota discreta pero legible.
¿Aplica a los correos internos redactados con ChatGPT? No. La obligación se dirige al contenido que llega a terceros o al público, no al uso puramente interno como herramienta de productividad.
Supervisión humana si el sistema que usas cae en Anexo III
El Anexo III lista los sistemas de alto riesgo por área de aplicación: empleo (selección de personal, evaluación de rendimiento), educación (evaluación de alumnos), acceso a servicios esenciales (scoring crediticio, seguros), gestión de infraestructuras críticas, aplicación de la ley, migración y control fronterizo, administración de justicia.
Si tu pyme usa un sistema que hace scoring de candidatos o evalúa el rendimiento de empleados con estos algoritmos, ese sistema es probablemente de alto riesgo y el artículo 26 se te aplica con todo su peso. Supervisión humana efectiva, no simbólica. Alguien con formación y autoridad para intervenir la decisión.
Un ejemplo concreto para calibrar. Un ATS que ordena CV por palabras clave y deja la decisión final al reclutador, con criterios explicados: bajo riesgo de encaje en Anexo III. Un ATS que puntúa candidatos automáticamente y descarta los que caen por debajo de un umbral: alto riesgo casi seguro.
Tratamiento: cómo cumplir sin montar un departamento de compliance
Vamos con la parte útil. Estas son las tres piezas que sí funcionan en pymes reales, sin sobredimensionar la carga.
El inventario mínimo viable de sistemas de IA en uso
Una tabla en un documento compartido. Columnas: herramienta, proveedor, departamento que la usa, finalidad, tipo de dato tratado, riesgo estimado (bajo/medio/alto según Anexo III), responsable interno. Diez o quince filas suelen bastar para una organización de 30 personas.
El inventario cumple dos funciones. La primera, saber qué se usa. La segunda, tener un punto de partida para actualizar cuando entren o salgan sistemas.
Nosotros lo revisamos trimestralmente con los clientes. En dos revisiones el mapa se estabiliza y después bastan pequeños retoques.
Una política interna en una página que sí sirve
La típica política de 40 páginas no la lee nadie. Una hoja bien redactada, sí. Debe contener: qué herramientas están aprobadas y cuáles no, qué información confidencial no puede introducirse en sistemas de terceros, qué hacer si un output parece incorrecto, a quién avisar ante dudas, y un recordatorio de las prohibiciones del artículo 5 en lenguaje llano.
Total, que si tu política ocupa más de dos páginas, probablemente no está optimizada para uso real. La ley no exige un tomo. Exige que la organización tenga criterios claros y que el personal los conozca.
Evidencia documental razonable frente a una inspección
La AESIA es la autoridad española competente y sus inspecciones no van a pedirte un ERP dedicado al compliance. Van a pedir: inventario, política, formación entregada al personal (con firmas o registro de asistencia), medidas técnicas si aplican (limitaciones de acceso, filtros de contenido, etiquetados de contenido sintético).
La combinación que funciona con nuestros clientes es un expediente electrónico único con: inventario actualizado, política vigente firmada por dirección, actas de formación, capturas de configuraciones relevantes y un log de incidencias tratadas. Tres carpetas y un índice. No más.
Cuando este trabajo se sistematiza, encaja perfectamente en una plataforma de gobernanza de IA que centraliza inventario, políticas, formación y evidencias en un mismo espacio. No es imprescindible en una pyme de 15 personas; sí resulta útil en cuanto la plantilla o el número de herramientas escalan.
Lo que puedes ignorar sin miedo: compromisos que no son tuyos
Esta sección es tan importante como la anterior. Si sabes qué no te toca, dejas de gastar tiempo y dinero en compliance decorativo.
Marcado CE, evaluaciones de conformidad y registro europeo
El marcado CE en sistemas de alto riesgo lo pone el proveedor, no el usuario. Las evaluaciones de conformidad (con organismo notificado o autoevaluación según el caso) son responsabilidad del proveedor. El registro en la base de datos europea de sistemas de alto riesgo lo hace, salvo excepciones muy concretas, quien fabrica o comercializa.
¿Cuándo un deployer registra? Solo si es autoridad pública o entidad que actúa en su nombre, en un caso muy acotado del artículo 49. Una pyme privada normal, no. Punto.
Documentación técnica del modelo y gobierno de datos de entrenamiento
La documentación técnica del modelo (anexo IV para alto riesgo), la evaluación de riesgos del sistema en abstracto, las prácticas de gobierno de datos de entrenamiento, la robustez, precisión y ciberseguridad del sistema en sí: todo eso lo cumple el proveedor y lo entrega junto con las instrucciones de uso.
Tu obligación como usuaria es respetar esas instrucciones y no operar el sistema fuera del propósito para el que se ha certificado. No es reinventar la documentación técnica del proveedor.
La ecuación real para una pyme usuaria: cuatro bloques activos, un expediente sencillo, formación anual, y actualización del inventario cada tres o seis meses. Con eso cumples la parte del reglamento aplicable a tu figura. Todo lo demás que te vendan por encima de eso, revísalo con lupa antes de firmarlo.
Preguntas frecuentes
¿El AI Act afecta a las pymes?
Sí, pero no de forma uniforme. Afecta según el rol que juegue cada empresa (proveedor, distribuidor o responsable del despliegue), no según su tamaño. Una pyme que solo usa herramientas de terceros tiene un régimen mucho más ligero que quien desarrolla modelos, limitado a cuatro exigencias concretas.
¿Qué obligaciones tiene una empresa que solo usa ChatGPT?
Cuatro bloques: alfabetización de la plantilla (artículo 4), respeto absoluto de las prácticas prohibidas (artículo 5), transparencia hacia terceros si se genera contenido sintético (artículo 50) y supervisión humana efectiva si el uso concreto entra en Anexo III (artículo 26). El resto de la norma se dirige al proveedor de la herramienta.
¿Una pyme de menos de 50 empleados está obligada a cumplir el AI Act?
Sí. El reglamento no exime por tamaño. Contempla medidas proporcionales (documentación simplificada, acceso a sandboxes gratuitos) pero los requisitos aplicables a un deployer son las mismas para 5 empleados que para 500. Lo que cambia es la profundidad razonable de la evidencia, no la existencia de la obligación.
¿Cumplir con el RGPD basta para cumplir con el AI Act?
No. Son marcos complementarios pero distintos. El RGPD regula tratamiento de datos personales; el AI Act regula sistemas de inteligencia artificial con independencia de si tratan datos personales. Hay solapamientos (transparencia, evaluación de impacto) pero también obligaciones exclusivas del AI Act como la alfabetización o las prácticas prohibidas del artículo 5.
¿Qué pasa si mi pyme no cumple el AI Act?
Depende de qué obligación se incumpla. Las prácticas prohibidas del artículo 5 tienen sanción máxima de 35 millones de euros o el 7% de la facturación mundial anual. El incumplimiento de obligaciones de alto riesgo puede llegar a 15 millones de euros o el 3%. La AESIA es la autoridad española competente para supervisar y sancionar.