Cuando se habla del Reglamento Europeo de Inteligencia Artificial (conocido como AI Act), la imagen que suele venir a la cabeza es la de multinacionales como OpenAI, Google o Microsoft rindiendo cuentas ante Bruselas. Esa idea es solo parcialmente cierta, y el matiz importa: buena parte de las obligaciones del Reglamento no recaen sobre quién desarrolla la IA, sino sobre quién la usa en su actividad diaria. Y ahí es donde entran, de lleno, miles de pequeñas y medianas empresas españolas.
Muchas de ellas ni siquiera son conscientes de que ya están dentro del ámbito de aplicación de la norma. Basta con generar propuestas comerciales con Copilot, resumir documentos con ChatGPT, tener un chatbot en la web o usar herramientas de selección de personal con IA para quedar sujeto a determinadas obligaciones.
A continuación resumimos las cinco cuestiones que toda pyme debería tener claras antes de que avance el calendario regulatorio.
1. El calendario se ha movido, pero no hay margen para relajarse
El Parlamento Europeo y el Consejo han aprobado recientemente el llamado Digital Omnibus, que retrasa la entrada en vigor del régimen de los sistemas de IA de alto riesgo: los sistemas autónomos del Anexo III pasan a diciembre de 2027, y los integrados en productos regulados, a agosto de 2028.
Ese aplazamiento no debe leerse como una tregua general. El 2 de agosto de 2026 siguen activándose obligaciones que afectan directamente a las pymes, en particular las de
transparencia frente a usuarios y clientes. El retraso responde a que ni los estándares técnicos ni los organismos de vigilancia estaban preparados a tiempo, no a que el contenido de la norma vaya a suavizarse.
2. Si usas una herramienta de IA, eres responsable aunque no la hayas creado
El Reglamento distingue entre el proveedor (quien desarrolla y comercializa el sistema) y el usuario profesional o deployer (la empresa que lo emplea en su actividad). La inmensa mayoría de las pymes españolas se sitúan en esta segunda categoría, y tienen obligaciones propias que no desaparecen por el hecho de contratar una licencia de pago.
Dicho de otra forma: que tu proveedor de software cumpla la normativa no te exime de nada. La empresa sigue siendo responsable de cómo usa esas herramientas puertas adentro.
3. La obligación que casi nadie conoce (y que ya está en vigor)
Desde febrero de 2025, el artículo 4 del Reglamento exige que cualquier organización que use sistemas de IA garantice que su personal cuenta con un nivel adecuado de alfabetización en la materia: que conozca los riesgos, las limitaciones y las buenas prácticas de las herramientas que maneja.
No se trata de formar ingenieros de IA, sino de fijar unas reglas mínimas sobre qué información puede introducirse en estas herramientas, qué controles deben existir y quién supervisa los resultados. En la práctica, esta es hoy la obligación que más pymes incumplen sin saberlo, porque el uso de la IA se ha extendido en las plantillas de forma espontánea, sin protocolo ni formación detrás.
4. El riesgo real no suele ser un ciberataque, sino la rutina diaria
La mayoría de los incidentes no vienen de un ataque sofisticado, sino de gestos cotidianos: un empleado que pega un listado de clientes en una IA gratuita para redactar un informe, otro que introduce un contrato confidencial para resumirlo, un tercero que sube datos financieros para montar una presentación.
En segundos, información sensible sale del control de la empresa y pasa a tratarse en sistemas externos. Las consecuencias pueden tocar a la vez la confidencialidad del negocio, la normativa de protección de datos y, ahora también, el AI Act.
5. Las sanciones son reales, y no solo económicas
Las multas del Reglamento están entre las más elevadas del marco sancionador europeo: hasta 35 millones de euros o el 7 % de la facturación mundial en los supuestos más graves, y hasta 15 millones o el 3 % en el caso de los sistemas de alto riesgo. Existen criterios de proporcionalidad para pymes y startups, pero eso no elimina el riesgo, que además puede traducirse en la retirada de sistemas del mercado, la prohibición de su uso o la exclusión de concursos públicos.
Cómo empezar a adaptarse
La adaptación al AI Act no es un proyecto que se improvise en dos semanas. Un buen punto de partida suele incluir:
- Inventariar qué herramientas de IA se usan realmente en la empresa (muchas veces hay más de las que se piensa).
- Clasificarlas según su nivel de riesgo.
- Revisar los contratos con los proveedores de estas herramientas.
- Establecer protocolos internos claros sobre qué datos pueden introducirse en cada sistema.
- Formar al equipo para cumplir con la obligación de alfabetización en IA del artículo 4.
En 4DLegal ayudamos a pymes a hacer justamente esto: desde el diagnóstico inicial de las herramientas de IA en uso hasta la formación en alfabetización en IA exigida por el Reglamento, pasando por la adaptación de políticas internas y contratos con proveedores. Si quieres saber en qué punto está tu empresa, podemos revisarlo contigo.