AI Act 2026: Obligaciones, Plazos y Sanciones para las Pymes (Guía Operativa)
Lectura 11 min · AstraLoop Studio
Si usas ChatGPT para redactar correos comerciales, tienes un chatbot en la web o un sistema que filtra currículums en un proceso de selección, el AI Act ya te afecta. No es un problema exclusivo de las grandes tecnológicas. El Reglamento UE 2024/1689 (el nombre oficial del AI Act) impone obligaciones también a quien se limita a utilizar sistemas de inteligencia artificial, no solo a quien los desarrolla. Y la fecha que debes marcar en el calendario es el 2 de agosto de 2026.
El problema es que hasta ahora el AI Act lo han explicado casi solo despachos de abogados y blogs de compliance, en abstracto: artículos, considerandos, definiciones. Útil para entender el marco, inútil cuando tienes que decidir qué hacer el lunes por la mañana. Esta guía hace lo contrario. Traduce la norma en acciones operativas para una pyme, con plazos, prioridades y lo que realmente necesitas. Si estás definiendo tu estrategia en este ámbito, parte de nuestra guía completa de consultoría de IA para empresas, que recoge todo el panorama, gobernanza incluida.
Una aclaración necesaria: este es un contenido informativo, no un asesoramiento legal. Para la clasificación formal de tus sistemas y para las obligaciones específicas de tu sector necesitas el criterio de un profesional. Aquí te damos el mapa para llegar preparado, sin partir de cero.
Qué es el AI Act y por qué también afecta a tu pyme
El AI Act es el primer reglamento orgánico del mundo sobre inteligencia artificial. Es un reglamento, no una directiva: se aplica directamente en todos los Estados miembros, sin necesidad de leyes nacionales de transposición. En Italia, la autoridad de supervisión será la ACN (Agencia para la Ciberseguridad Nacional) junto con la AgID, mientras que el Garante para la Protección de Datos Personales sigue siendo competente en materia de privacidad, un ámbito que a menudo se entrelaza con el uso de la IA.
Lo que se le escapa a muchos empresarios es esto: la norma distingue entre quien desarrolla un sistema de IA (el "proveedor", provider) y quien lo usa en su propia actividad (el "responsable del despliegue", o deployer). La mayoría de las pymes entra en la segunda categoría. Usas un CRM con scoring automático de leads, una herramienta que genera textos, un software de videovigilancia inteligente, un asistente para el reclutamiento: eres un deployer, y tienes obligaciones propias, independientes de las del proveedor.
La lógica de todo el reglamento es la clasificación por riesgo. No todos los sistemas de IA se tratan igual: las obligaciones crecen con el riesgo que el sistema supone para los derechos de las personas.
Las 4 categorías de riesgo del AI Act (dónde te sitúas tú)
Este es el concepto operativo más importante. Antes de hablar de plazos, tienes que entender en qué franja caen tus sistemas, porque de ahí se deriva todo lo demás.
| Categoría de riesgo | Ejemplos | Qué implica para ti |
|---|---|---|
| Riesgo inaceptable (prohibido) | Social scoring, manipulación subliminal, reconocimiento de emociones en el trabajo, scraping masivo de rostros | Prohibidos desde el 2 de febrero de 2025. Si los usas, los apagas. Punto. |
| Alto riesgo | IA para selección de personal, evaluación de la solvencia crediticia, gestión de trabajadores, sistemas en el ámbito sanitario o en infraestructuras críticas | Obligaciones exigentes: supervisión humana, transparencia, documentación, registros, evaluación. Aquí hace falta asesoramiento específico. |
| Riesgo limitado | Chatbots, generadores de texto e imágenes, deepfakes, asistentes conversacionales | Obligaciones de transparencia: informar al usuario de que está hablando con una IA y etiquetar los contenidos sintéticos. |
| Riesgo mínimo | Filtros antispam, IA en videojuegos, sistemas de recomendación básicos | Sin obligaciones específicas más allá de las buenas prácticas. Aquí está la inmensa mayoría de las herramientas habituales. |
La buena noticia es que la mayoría de las pymes usa herramientas de riesgo mínimo o limitado. La mala es que muchas usan al menos un sistema de alto riesgo sin saberlo. El caso más frecuente es el reclutamiento. Si un software filtra, ordena o valora a los candidatos según el currículum, es casi seguro que estás en la franja de alto riesgo, con todas las obligaciones que conlleva. Lo mismo ocurre con quien evalúa la solvencia crediticia de los clientes.
Por eso el primer paso concreto no es "leer el reglamento", sino mapear los sistemas de IA que ya usas y clasificarlos. Es exactamente el trabajo de una auditoría interna estructurada: inventariar, clasificar, detectar las brechas. Sin esta fotografía, cualquier discusión sobre obligaciones y plazos se queda en lo teórico.
Los plazos del AI Act: el calendario real
El AI Act no entró en vigor de golpe. Tiene una aplicación escalonada. Estas son las fechas que realmente cuentan para ti.
| Fecha | Qué entra en vigor | Impacto para la pyme |
|---|---|---|
| 2 de febrero de 2025 | Prohibición de las prácticas de riesgo inaceptable y obligación de alfabetización en IA (art. 4) | Ya en vigor. La obligación de formar al personal ya está activa hoy. |
| 2 de agosto de 2025 | Obligaciones para los modelos de uso general (GPAI), gobernanza y autoridades nacionales | Afecta a los proveedores de modelos. Indirecto para ti, pero define quién supervisa. |
| 2 de agosto de 2026 | Aplicación general del reglamento, incluidas las normas sobre sistemas de alto riesgo y las obligaciones de transparencia | La fecha clave. A partir de aquí la mayoría de las obligaciones son plenamente exigibles. |
| 2 de agosto de 2027 | Obligaciones para los sistemas de alto riesgo integrados en productos ya regulados (maquinaria, dispositivos médicos y similares) | Relevante para quien fabrica bienes con IA incorporada. |
Traducción práctica: ya tienes una obligación activa (la alfabetización en IA, de la que hablamos a continuación) y tienes un plazo firme al 2 de agosto de 2026 para estar al día con el grueso de las obligaciones. No es tiempo infinito. Un proceso serio de evaluación, corrección de brechas y formación requiere varios meses, y hay que encajarlo entre el resto de prioridades operativas.
La obligación que casi nadie tiene en cuenta: la alfabetización en IA (art. 4)
Aquí está el punto más infravalorado de toda la norma. El artículo 4 del AI Act obliga a proveedores y usuarios a garantizar un nivel suficiente de alfabetización en materia de IA entre su personal y cualquiera que opere los sistemas por cuenta de la empresa. Y esta obligación ya está en vigor desde el 2 de febrero de 2025, no desde 2026.
¿Qué significa esto en la práctica? Si tu empresa usa herramientas de IA, las personas que las manejan deben tener competencias adecuadas para comprender su funcionamiento, riesgos, límites y oportunidades, de forma proporcionada a su puesto y al contexto de uso. No hace falta convertir la centralita en un científico de datos. Hace falta que quien usa la IA sepa qué está usando, qué datos puede o no puede introducir, cómo reconocer un resultado erróneo y cuándo detenerse.
El dato real es contundente: el 73% de las empresas señala la formación y el upskilling en IA como prioridad, pero solo el 22% tiene programas estructurados. La mayoría incumple técnicamente una obligación ya activa. Y esto se conecta con otro problema serio, la llamada Shadow AI: se estima que entre el 68% y el 76% de los empleados usa herramientas de IA a escondidas, sin política ni control, con riesgos directos para el RGPD y el AI Act (piensa en datos confidenciales pegados en una herramienta de consumo). Un programa de alfabetización sirve también para gobernar este fenómeno, antes de que se convierta en un incidente.
La buena noticia es que la alfabetización en IA es la obligación más fácil de cumplir y la que más rendimiento da, porque además te pone en condiciones de usar mejor las herramientas. Un proceso estructurado de adopción de la IA en la pyme empieza precisamente aquí: primero las personas, después los procesos.
Sanciones: cuánto arriesgas realmente
Las cifras impresionan, pero hay que leerlas bien. El AI Act prevé tres tramos de sanciones administrativas:
- Hasta 35 millones de euros o el 7% de la facturación mundial anual (se aplica el importe más alto) por incumplir las prohibiciones sobre prácticas de riesgo inaceptable.
- Hasta 15 millones de euros o el 3% de la facturación por incumplir las obligaciones sobre sistemas de alto riesgo, transparencia y otras obligaciones.
- Hasta 7,5 millones de euros o el 1,5% de la facturación por comunicar información inexacta o engañosa a las autoridades.
Dos matizaciones que reducen el pánico pero no la urgencia. Primera: el reglamento prevé expresamente que para las pymes y las startups se aplique el tope más bajo entre la cifra fija y el porcentaje, y que las sanciones sean proporcionadas. No te va a caer una multa de 35 millones si facturas 800.000 euros. Segunda: las autoridades deben tener en cuenta el tamaño, la buena fe y las medidas adoptadas. Una empresa que ha hecho una evaluación y ha puesto en marcha la formación está en una posición radicalmente distinta a la de una que lo ha ignorado todo.
El riesgo concreto para una pyme, por tanto, no es tanto la sanción monetaria catastrófica. Es otra cosa: litigios con clientes o empleados por decisiones automatizadas, bloqueo de un sistema en producción, daño reputacional, problemas en concursos o en due diligence cuando un cliente grande te exige la conformidad. La conformidad se está convirtiendo en un requisito comercial, no solo legal.
¿Quieres saber cuáles de tus herramientas de IA entran en las obligaciones del AI Act y qué hacer antes del 2 de agosto de 2026? Solicita una evaluación operativa: te entregamos el mapa de tus sistemas, las brechas que cerrar y un plan de formación conforme a la norma.
La hoja de ruta operativa en 5 pasos para llegar preparado al 2 de agosto de 2026
Basta de teoría. Esta es la secuencia concreta que tiene sentido para una pyme. Es la misma lógica que una buena estrategia de automatización con IA: primero entiendes lo que tienes, después actúas.
1. Inventario y clasificación (semanas 1-3)
Haz el inventario de cada herramienta de IA en uso, tanto las oficiales como las que el personal usa de manera informal. Para cada una anota qué hace, qué datos trata, quién la usa y en qué proceso. Después clasifica cada sistema en las cuatro franjas de riesgo. Este es el entregable fundamental, la fotografía de la que parte todo lo demás.
2. Análisis de brechas (semanas 3-5)
Para cada sistema clasificado, compara el estado actual con las obligaciones de su franja. Los sistemas de alto riesgo (a menudo reclutamiento o crédito) son la prioridad absoluta: ahí hacen falta supervisión humana documentada, información a los interesados, registros y evaluaciones. Los sistemas de riesgo limitado requieren sobre todo medidas de transparencia: avisar de que hay una IA de por medio y etiquetar los contenidos generados.
3. Medidas correctoras (meses 2-4)
Pon en marcha las correcciones: actualiza las políticas de privacidad e IA, introduce el "human-in-the-loop" donde falte, apaga o sustituye las herramientas que no puedas poner en regla, formaliza una política interna sobre el uso de la IA (que es también el remedio contra la Shadow AI).
4. Alfabetización del personal (en paralelo, meses 1-4)
Pon en marcha el proceso de formación exigido por el art. 4, calibrado por puesto: básico para todos, avanzado para quien gestiona sistemas sensibles. Documenta quién ha hecho qué, porque la trazabilidad forma parte de la conformidad.
5. Seguimiento continuo (a partir del mes 4)
La conformidad no es un proyecto con final. Cada nueva herramienta debe clasificarse antes de entrar en producción. Nombra un responsable interno de IA, mantén actualizado el registro de sistemas y revísalo periódicamente. Es el mismo principio que rige el mantenimiento de la ciberseguridad: se sostiene en el tiempo.
Errores típicos que hay que evitar
- Pensar "no desarrollo IA, así que no me afecta". Falso: como usuario tienes obligaciones propias, el art. 4 en primer lugar.
- Ignorar la Shadow AI. Si los empleados usan herramientas no inventariadas, tienes sistemas sin clasificar y datos potencialmente expuestos. Es el agujero más común.
- Tratar el AI Act como un trámite puntual. Cada nueva herramienta reabre la clasificación.
- Delegarlo todo en el despacho de abogados sin la parte operativa. El dictamen jurídico te dice qué debes hacer, pero alguien tiene que traducirlo en cambios en procesos, herramientas y formación. Hace falta quien conecte las dos cosas.
- Esperar al verano de 2026 para empezar. Una evaluación con correcciones y formación requiere meses. Quien empieza en junio llega tarde.
La conformidad con el AI Act, bien mirada, no es solo un coste. Es la ocasión para hacer por fin el inventario de tus herramientas de IA, entender qué usas realmente, eliminar el ruido y usar la IA de forma más consciente y más productiva. Es la primera pieza de un proceso de adopción con sentido, no el obstáculo. Si no sabes por dónde empezar, la guía sobre cómo empezar con la IA en la empresa te da el punto de partida correcto.
En resumen
El AI Act te afecta aunque "solo" uses herramientas de IA. La fecha clave es el 2 de agosto de 2026, pero la obligación de alfabetización (art. 4) ya está activa desde febrero de 2025. Las sanciones teóricas llegan a 35 millones de euros, pero para las pymes se aplica el tope más favorable y la proporcionalidad: el riesgo real es comercial y operativo. La jugada correcta es empezar ya con una evaluación, clasificar tus sistemas, corregir las brechas y formar a las personas. Operativo, no abstracto.
Preguntas frecuentes
¿El AI Act se aplica a mi pyme si solo uso ChatGPT o un chatbot?
Sí. Incluso quien se limita a usar herramientas de IA (el deployer) tiene obligaciones propias. Con ChatGPT o un chatbot normalmente caes en riesgo limitado con obligaciones de transparencia, pero sobre todo ya estás sujeto a la obligación de alfabetización del personal (art. 4), en vigor desde el 2 de febrero de 2025.
¿Cuál es el plazo principal del AI Act para las pymes?
El 2 de agosto de 2026 es la fecha de aplicación general del reglamento, cuando se vuelve plenamente exigible la mayoría de las obligaciones, incluidas las normas sobre sistemas de alto riesgo y transparencia. La obligación de alfabetización y las prohibiciones sobre prácticas vetadas, sin embargo, ya están en vigor desde el 2 de febrero de 2025.
¿A cuánto ascienden las sanciones del AI Act?
Hasta 35 millones de euros o el 7% de la facturación mundial por las prácticas prohibidas, y hasta 15 millones o el 3% por las obligaciones sobre sistemas de alto riesgo y transparencia. Para pymes y startups el reglamento prevé el tope más bajo y sanciones proporcionadas al tamaño y a las medidas adoptadas.
¿Qué significa la obligación de alfabetización en IA del artículo 4?
Significa garantizar que quien usa herramientas de IA en la empresa tenga competencias suficientes para comprender su funcionamiento, riesgos y límites, de forma proporcionada al puesto. No hace falta formar a expertos técnicos, sino dar a cada persona las nociones para usar la IA con criterio. Ya es obligatorio desde febrero de 2025.
¿Cómo sé si un sistema de IA mío es de alto riesgo?
Los casos más frecuentes en una pyme son los programas de selección de personal (filtrado y evaluación de currículums) y los sistemas de evaluación de solvencia crediticia. Si una herramienta toma o apoya decisiones que afectan a los derechos de las personas en estos ámbitos, es muy probable que sea de alto riesgo. La clasificación formal debe hacerse siempre caso por caso.
¿Por dónde conviene empezar para ponerse al día?
Por el inventario y la clasificación de todos los sistemas de IA ya en uso, incluidos los informales de los empleados (Shadow AI). De esta fotografía se derivan el análisis de brechas, las medidas correctoras y el plan de formación. Esperar al verano de 2026 es arriesgado: un proceso completo requiere varios meses.
No dejes la conformidad con el AI Act para el último momento. Hablemos: analizamos tus sistemas, los clasificamos por riesgo y construimos juntos la hoja de ruta hacia el 2 de agosto de 2026, formación incluida.