Cuando alguien oye «nueva ley europea sobre inteligencia artificial» imagina auditorías interminables, comités de cumplimiento y multas millonarias. Para la inmensa mayoría de las pymes españolas, no es así. Si tu equipo usa ChatGPT, Copilot, Gemini o cualquier otra IA en el día a día, el Reglamento europeo de IA (el «AI Act») ya te aplica, pero lo que te exige de verdad es mucho más sencillo de lo que parece.
El reglamento clasifica la IA en cuatro niveles de riesgo. Casi todo lo estricto (documentación técnica, evaluaciones de conformidad, registros europeos) es para quien construye sistemas de IA (OpenAI, Microsoft, Google) o para usos muy concretos y delicados. Una empresa que simplemente usa herramientas de IA ya construidas por otros, que es el 99 % de los casos, se considera implementador (en inglés, «deployer») y tiene muchas menos obligaciones que un proveedor.
En la práctica, para casi cualquier pyme española esto se reduce a dos obligaciones reales: formar a tu equipo en el uso de la IA, y avisar cuando hay una IA de por medio. Vamos por partes.
Primero, entiende dónde estás: las 4 categorías de riesgo
Todo lo que exige la ley depende de en qué categoría cae el uso que le das a la IA. No es lo mismo usar ChatGPT para redactar un email que usar una IA para decidir a quién contratas.
- Riesgo inaceptable (prohibido). Puntuar socialmente a personas, manipular decisiones sin que se den cuenta o leer las emociones de tus empleados en el trabajo. Si no haces nada de esto, y casi nadie lo hace, no te afecta.
- Riesgo alto (muy regulado). Sectores concretos: sanidad, infraestructuras críticas, educación y, ojo, selección y gestión de personal. Si no es tu caso, no te afecta directamente.
- Riesgo limitado (transparencia). Chatbots y contenido generado (texto, imagen, vídeo). Aquí entra casi cualquier pyme que use IA generativa.
- Riesgo mínimo (sin regulación específica). La mayoría del uso cotidiano: redactar, resumir, generar una imagen de uso interno. Aun así, la obligación de formación del artículo 4 aplica igualmente.
Obligación 1: formar a tu equipo en IA (artículo 4)
Vigente desde el 2 de febrero de 2025. Es la obligación con más antigüedad pendiente de las dos, así que si tu empresa usa IA y no tiene nada documentado, empieza por aquí.
Pero no es como te la imaginas. La ley no exige un curso concreto, ni un número de horas, ni un examen. Lo que pide es que tu empresa promueva que las personas que usan IA en su nombre (empleados y también colaboradores externos que trabajen con IA para ti) tengan un nivel suficiente de conocimiento sobre lo que están usando.
Esa formación debería cubrir, a nivel de usuario y no técnico: qué es la IA que usáis y cómo funciona; para qué se usa en tu empresa en concreto (redactar textos, atender clientes, analizar datos); y sobre todo qué puede salir mal. Por ejemplo, una IA generativa puede inventarse datos con total seguridad (se llama «alucinación») y hay que revisar lo que genera antes de darlo por bueno. Y tiene que estar ajustada al puesto: quien solo usa un chatbot para redactar necesita mucha menos formación que quien decide qué herramienta de IA se implanta en la empresa.
¿Hace falta un certificado? No. Basta con llevar un registro interno de las formaciones o iniciativas de orientación realizadas. Y cuidado: no existe ningún «certificado oficial de formador en IA» ni acreditación que un proveedor externo pueda venderte como obligatoria por ley.
Para demostrar que lo has hecho basta un registro interno sencillo: quién ha recibido formación, cuándo, sobre qué contenido y con qué material. Una o dos páginas por persona o departamento son suficientes. Hoy ningún organismo te lo va a pedir de forma proactiva, pero ante una inspección o una reclamación, tenerlo documentado es tu defensa.
Por ello, para agilizarlo y ayudarte, lo hacemos por ti.
Nota: una revisión europea de finales de 2025 suavizó la redacción del artículo 4, que pasó de «garantizar» un nivel de alfabetización a «apoyar su desarrollo». La obligación sigue viva y con la misma fecha; lo que cambia es que el listón se plantea de forma algo más flexible.
Obligación 2: avisar cuando hay IA de por medio (artículo 50)
Esta es la de fecha más reciente: entra en vigor el 2 de agosto de 2026. Se la conoce como obligación de transparencia y aplica a cualquier empresa, tenga o no sistemas de alto riesgo. Para una pyme se concreta en cuatro supuestos:
- Chatbots y asistentes virtuales. Si tu web tiene un chat que responde con IA, la persona tiene que saber que habla con una IA, y no con un humano, desde el primer mensaje. No vale esconderlo en la letra pequeña de las condiciones de uso.
- Contenido generado por IA. Si generas imágenes, audio, vídeo o texto con IA para marketing, redes o publicaciones, tiene que quedar marcado de forma detectable. La Comisión está desarrollando un distintivo estándar para toda la Unión Europea.
- Reconocimiento de emociones o categorización biométrica. Poco común en una pyme, pero existe en algunas herramientas de atención al cliente. Si detectas el estado de ánimo o características de las personas, tienes que avisar a quien está expuesto.
- Deepfakes y contenido de interés público. Si manipulas imagen, audio o vídeo de personas reales para que parezca auténtico, o publicas texto generado por IA sobre asuntos de interés público sin revisión editorial humana, hay que declararlo.
Para la mayoría, todo esto se reduce a los dos primeros: que el chatbot de la web avise de que es IA, y que el contenido de marketing generado con IA quede marcado como tal. Un matiz práctico: el marcado del contenido que ya estaba publicado antes de la fecha cuenta con unos meses de margen adicional (hasta finales de 2026), pero para lo nuevo conviene incorporarlo ya.
El caso que pilla a más pymes desprevenidas: IA en recursos humanos
Si usas alguna herramienta de IA para filtrar currículums, puntuar candidatos, decidir ascensos, repartir tareas según el «perfil» de cada empleado o evaluar su rendimiento, ojo: la ley lo clasifica automáticamente como alto riesgo, con obligaciones bastante más serias (gestión de riesgos, documentación técnica y supervisión humana garantizada).
Esto sorprende a muchas empresas porque bastantes herramientas de RRHH ya llevan IA integrada sin que el usuario final lo sepa. La parte tranquilizadora es que el grueso de esas obligaciones de alto riesgo se ha aplazado (aplican a finales de 2027), así que hay margen. La parte seria es que la clasificación ya existe: si es tu caso, este uso concreto merece una revisión específica, no solo el registro de formación.
¿Y si no cumples? Las multas
| Nivel | A qué aplica | Multa máxima |
|---|---|---|
| 1 (el más grave) | Prácticas prohibidas (riesgo inaceptable) | 35 M€ o 7 % de la facturación mundial |
| 2 (la mayoría de incumplimientos) | Incluye formación (art. 4) y transparencia (art. 50) | 15 M€ o 3 % de la facturación mundial |
| 3 | Dar información falsa a una autoridad | 7,5 M€ o 1 % de la facturación mundial |
Una regla que juega a tu favor: a una empresa grande se le aplica lo que sea más alto entre el importe fijo y el porcentaje; a una pyme, lo que sea más bajo. El reglamento reconoce de forma explícita que las sanciones deben tener en cuenta la viabilidad económica de una pyme. Y hoy por hoy ninguna autoridad española está sancionando a pymes por no tener un documento de formación en IA: el enfoque es de acompañamiento, no de sanción automática. Pero la obligación existe desde febrero de 2025, y documentarla es lo que te protege si algún día se pide.
Lo que la ley también te da: ayudas para pymes
El reglamento no es solo obligaciones: dedica una atención expresa a las pymes y prevé varias medidas de apoyo. Entre las más concretas:
- Espacios de pruebas (sandboxes) regulatorios: entornos para probar soluciones de IA con supervisión de la autoridad, con acceso prioritario y sin coste para pymes. España ya tiene el suyo, gestionado por la AESIA.
- Tasas reducidas si necesitas evaluaciones de conformidad.
- Documentación técnica simplificada para pequeñas y microempresas.
- Canales de consulta dedicados en cada país para resolver dudas sin coste.
Tu plan de acción en 5 pasos
- Haz un inventario. Qué herramientas de IA usa tu empresa hoy: ChatGPT, Copilot, chatbot de atención al cliente, herramientas de RRHH...
- Clasifica cada una. ¿Es solo una herramienta de uso general, genera contenido público, o decide sobre personas (clientes, empleados)?
- Documenta la formación de tu equipo. Quién sabe qué, cuándo se le explicó, qué riesgos conoce. Un documento breve por persona o departamento basta.
- Revisa tus chatbots y contenido generado. ¿Avisan de que son IA? ¿Marcáis el contenido generado en redes o marketing?
- Repite la revisión con cada herramienta nueva. Esto no es un trámite de una vez: es un hábito que entra cada vez que incorporas una IA nueva.
En Conficial hacemos estos dos pasos por ti: auditamos qué IA usa tu empresa y en qué categoría de riesgo cae, y montamos la formación de tu equipo junto con el registro documental que te cubre ante cualquier inspección. Si quieres quitarte esto de encima sin liarte, hablemos.
Preguntas frecuentes
¿La ley de IA aplica a mi pyme si solo usamos ChatGPT?
Sí. Aunque solo uséis herramientas ya construidas, sois «implementador» y tenéis dos obligaciones: formar al equipo (artículo 4) y avisar cuando hay IA de por medio (artículo 50). Las obligaciones duras son para quien fabrica la IA o para usos de alto riesgo.
¿Necesito un certificado de formación en IA?
No. La Comisión Europea confirma que no hace falta certificado. Basta con un registro interno de la formación dada. No existe ninguna acreditación oficial obligatoria por el artículo 4.
¿Desde cuándo tengo que cumplir?
La formación (artículo 4) es exigible desde el 2 de febrero de 2025. La transparencia (artículo 50) desde el 2 de agosto de 2026. Las obligaciones de alto riesgo se han aplazado a finales de 2027.
¿Qué multa me puede caer?
Los incumplimientos de formación y transparencia están en el tramo de hasta 15 M€ o el 3 % de la facturación. A una pyme se le aplica el importe más bajo de los dos, y las sanciones deben tener en cuenta su viabilidad económica.
Esta guía es información general y no sustituye el asesoramiento legal para tu caso concreto. Se basa en el Reglamento (UE) 2024/1689, las preguntas frecuentes de la Comisión Europea sobre el artículo 4 y el análisis de artificialintelligenceact.eu. Actualizada a agosto de 2026, incorporando las revisiones del paquete Omnibus.