Reglamento europeo de IA para pymes: guía a 01-11-2026

Ejemplo ilustrativo. El taller prepara un chatbot, un programa que conversa con los visitantes. Responde sobre horarios, ubicación y servicios con una lista aprobada. Si desconoce algo, deriva la consulta. Una persona confirma presupuestos y reservas; el programa no diagnostica averías ni compromete precios fuera del catálogo.

La decisión empieza antes de activarlo: quién lo ofrece, qué verá el cliente y quién revisa las respuestas.

En el Reglamento (UE) 2024/1689, también conocido como AI Act, el responsable del despliegue es quien utiliza un sistema bajo su autoridad en su actividad profesional. Si tu empresa usa una herramienta comprada, ese puede ser tu papel. También cuenta el trabajo de colaboradores que operan en tu nombre.

El proveedor desarrolla o encarga desarrollar un sistema y lo comercializa o pone en servicio con su nombre o marca. Una empresa puede tener ambos papeles. Comprar una suscripción no te convierte automáticamente en proveedor del modelo, el motor que genera las respuestas; encargar un sistema propio exige examinar cómo se ofrece y quién responde.

Que una persona firme la decisión final no elimina automáticamente el alto riesgo. El anexo III del Reglamento, la lista de usos que se consideran de alto riesgo, incluye analizar y filtrar solicitudes de empleo y evaluar la solvencia o puntuación crediticia de particulares (se excluye la detección de fraude financiero). El artículo 6.3 contempla excepciones condicionadas para ciertas tareas sin riesgo significativo ni influencia material en la decisión. Aun así, elaborar perfiles de personas mantiene la clasificación de alto riesgo.

En productos regulados, tampoco basta con que la IA esté dentro de un aparato: hay que examinar las condiciones del artículo 6.1. Entre ellas está que el producto deba someterse a una evaluación de conformidad por un tercero: una comprobación externa de los requisitos que debe satisfacer.

Si tu uso entra en alto riesgo, estas obligaciones se aplican desde el 02-12-2027 (02-08-2028 para los productos regulados). Quien utiliza el sistema debe seguir las instrucciones del proveedor, asignar la supervisión a personas con competencia y autoridad, vigilar el funcionamiento y actuar ante riesgos o incidentes. También debe conservar los registros automáticos que estén bajo su control durante un periodo adecuado, como mínimo seis meses, salvo que otra norma disponga otra cosa. Ese plazo es propio de este régimen: no obliga a guardar cualquier conversación durante ese tiempo.

El Reglamento no depende solo de dónde esté el fabricante. Alcanza a las empresas que usan sistemas de IA desde la UE y a determinados proveedores o usos de resultados de terceros países. Queda excluido el uso puramente personal y no profesional; el de tu negocio, no.

Instalar el programa en tu propio servidor tampoco te libra. El artículo 2.12 contempla una exclusión para determinados sistemas con licencias libres y abiertas, con límites para alto riesgo, prohibiciones y transparencia. Gratuito, alojamiento propio y licencia abierta describen cosas diferentes.

Además, si modificas sustancialmente un sistema de alto riesgo, o cambias la finalidad de otro para convertirlo en alto riesgo, puedes pasar a asumir las responsabilidades de proveedor. Revisa ese cambio concreto antes de dar por buenas las obligaciones de la instalación anterior.

Los siguientes son topes, no sanciones automáticas. El porcentaje se calcula sobre el volumen de negocios anual mundial total del ejercicio anterior. Si tu empresa no es pyme, se aplica el mayor de los dos límites; si lo es (incluidas las empresas emergentes), el menor. Para contar como pyme hay que cumplir la definición jurídica de la Recomendación 2003/361/CE, no basta con considerarse una empresa pequeña.

El artículo 4, sobre alfabetización, no figura en la lista específica del artículo 99.4. La Comisión remite a las normas nacionales para las medidas por su incumplimiento: no tener un curso no equivale por defecto a una práctica prohibida. El artículo 101 establece otro régimen para proveedores de modelos de propósito general, a cargo de la Comisión; comprar acceso a un asistente no te sitúa por sí solo en ese supuesto.

La Agencia Española de Supervisión de Inteligencia Artificial, AESIA, tiene sede en A Coruña. Su estatuto contempla supervisión, asesoramiento, concienciación y formación, además de inspección, comprobación y sanción conforme a la normativa aplicable. Convive con autoridades sectoriales y sus competencias. Puedes ampliar su papel en qué es AESIA.

Sus guías ofrecen recomendaciones prácticas para aplicar el Reglamento. No son vinculantes ni sustituyen la norma; leerlas no equivale a obtener una certificación general de tu empresa.

Para saber qué sanción podría aplicarse en España, hay que mirar también el desarrollo nacional. En junio de 2026 el proyecto de ley para el buen uso y la gobernanza de la IA seguía en tramitación y en octubre se disolvieron las Cortes; a 01-11-2026 no consta una ley final que cierre ese régimen. El Reglamento europeo es directamente aplicable igualmente: esa falta de desarrollo no hace desaparecer tus obligaciones, y los importes anteriores siguen siendo topes, no multas automáticas.