Reglamento Europeo de IA y su impacto en las pymes

La inteligencia artificial (IA) ya forma parte del día a día de muchas pymes españolas. Desde chatbots para atención al cliente hasta algoritmos que optimizan inventarios o apoyan decisiones financieras, la IA se ha consolidado como una herramienta estratégica.  

Con la aplicación de las normas a los modelos de IA de propósito general a partir del 2 de agosto de 2025 y la entrada en vigor plena del Reglamento Europeo de IA (Reglamento UE 2024/1689) desde el 2 de agosto de 2026, se activan obligaciones que afectan directamente al uso y comercialización de estas tecnologías. No obstante, el calendario continúa siendo progresivo. Las principales exigencias aplicables a los sistemas de alto riesgo se han aplazado hasta diciembre de 2027 o agosto de 2028, dependiendo del tipo de sistema.

Este es, por tanto, un momento clave para repasar las principales exigencias que los directivos de pymes deben conocer, no solo para cumplir con la ley, sino también para identificar cómo la IA puede convertirse en una palanca de innovación y crecimiento. 

Un marco legal que transforma profundamente el uso de la IA en pymes 

El Reglamento de IA es el primer marco legal integral sobre inteligencia artificial en el mundo y se aplica a cualquier sistema utilizado o comercializado en la UE, incluso si su proveedor está fuera de Europa. Esto incluye herramientas habituales como un CRM con funciones predictivas, un chatbot de soporte o una solución de scoring crediticio.
Fechas clave para las pymes: 

• 02/02/2025: aplicación de las primeras prácticas de IA prohibidas y de las obligaciones de alfabetización en IA.
• 02/08/2025: aplicación de las normas de gobernanza y de las obligaciones dirigidas a los proveedores de modelos de IA de propósito general.
• 02/08/2026: aplicación de las obligaciones de transparencia y comienzo de las funciones de supervisión y control por parte de las autoridades competentes.
• 02/12/2027: aplicación de las principales obligaciones correspondientes a los sistemas de alto riesgo incluidos en el anexo III, como determinados sistemas utilizados en selección de personal, educación, biometría o acceso a servicios esenciales.
• 02/08/2028: aplicación de las principales obligaciones correspondientes a los sistemas de alto riesgo integrados en productos sujetos a normativa europea específica

¿Qué son los modelos de IA de propósito general?
Son sistemas que no están diseñados para una tarea concreta, sino que pueden realizar de manera competente una amplia variedad de tareas distintas. Ejemplos son los grandes modelos de lenguaje desarrollados por compañías  como OpenAI (ChatGPT) o Google (Gemini), que pueden aplicarse a chatbots, generación de contenido o análisis de datos.
Desde agosto de 2025, los proveedores de estos modelos están sujetos a requisitos adicionales de documentación, transparencia, derechos de autor y, en determinados casos, seguridad. Estas obligaciones se dirigen principalmente a quienes desarrollan o comercializan los modelos. Para las pymes usuarias resulta conveniente verificar las condiciones de contratación, el tratamiento de la información introducida y las garantías ofrecidas por el proveedor, especialmente cuando la herramienta vaya a integrarse en un uso que pueda considerarse de alto riesgo.

Clasificación por riesgos y sus consecuencias 

La ley establece cuatro niveles, cada uno con ejemplos y requisitos distintos: 

▪  Riesgo inaceptable: prácticas expresamente prohibidas por considerarse una amenaza para la seguridad o los derechos fundamentales. Entre ellas se encuentran determinados usos de puntuación social, manipulación perjudicial del comportamiento, reconocimiento de emociones en entornos laborales o educativos y ciertos sistemas de identificación o categorización biométrica, con las excepciones previstas en el propio Reglamento.

▪  Alto riesgo: sistemas permitidos, pero sujetos a requisitos estrictos de evaluación, supervisión y seguridad. Incluye, entre otros, determinados sistemas para el filtrado de currículos en procesos de selección o algoritmos de evaluación crediticia o scoring financiero. Sus principales obligaciones específicas comenzarán a aplicarse en diciembre de 2027 o agosto de 2028, según el supuesto.

▪  Riesgo limitado: no requieren requisitos técnicos complejos, pero sí transparencia hacia los usuarios. Dentro de esta categoría podríamos encontrar los chatbots y asistentes conversacionales, que deben informar de que la interacción se produce con una IA cuando no resulte evidente, así como los deepfakes y determinados contenidos generados o manipulados artificialmente, que deben identificarse en los casos previstos por el Reglamento. Estas obligaciones de transparencia se aplican desde el 2 de agosto de 2026.

▪  Riesgo mínimo: uso libre sin obligaciones específicas en el Reglamento, aunque siguen aplicando otras leyes generales. Ejemplos: filtros anti-spam, recomendadores de productos en e-commerce, optimización de rutas logísticas o videojuegos con IA. 

Para las pymes, el reto está en identificar correctamente el nivel de riesgo de cada herramienta, ya que un sistema clasificado como alto riesgo puede implicar costes y procesos que desincentiven su uso. 

Obligaciones clave para las pymes como usuarias de IA 

La mayoría de las pymes actuarán como usuarias o, utilizando el término del Reglamento, como responsables del despliegue. El alcance de sus obligaciones dependerá del nivel de riesgo de los sistemas que utilicen y del uso concreto que hagan de ellos. Los sistemas de alto riesgo son los que concentran la mayor parte de las exigencias técnicas y de documentación. Sin embargo, incluso en los casos de riesgo limitado o mínimo, deben respetarse las prácticas prohibidas, las obligaciones de alfabetización y, cuando proceda, los deberes de transparencia.

Dentro de las obligaciones, se podrían destacar las siguientes: 

▪  Usar la IA siguiendo las instrucciones del proveedor, especialmente en sistemas de alto y riesgo limitado. 

▪ Garantizar una supervisión humana efectiva en las decisiones críticas cuando se trate de sistemas de alto riesgo y mantenerla como medida recomendable en el resto de los casos.

▪  Mantener registros de la actividad y notificar incidentes graves en sistemas de alto riesgo. 

▪  Verificar la calidad de los datos introducidos en el sistema para todos los niveles de riesgo. 

▪  Informar a empleados y clientes cuando corresponda, obligación especialmente relevante para los sistemas sujetos a requisitos de transparencia.

Modificar la IA o cambiar su finalidad puede convertir a la pyme en proveedora accidental, asumiendo las exigencias más estrictas del Reglamento. Por ejemplo, si una consultora de RRHH contrata una aplicación que utilice un modelo de propósito general (clasificado como riesgo limitado) y la adapta para crear una herramienta de preselección de candidatos para sus clientes (finalidad de alto riesgo), pasará de ser usuaria a proveedora de un sistema de alto riesgo. Este cambio supone un aumento significativo de responsabilidades y costes, que, si la empresa no cuenta con la capacidad técnica, jurídica o económica para gestionarlos, puede suponer la imposición de sanciones muy elevadas.  

Riesgos y sanciones 

Las sanciones por incumplimientos pueden alcanzar hasta 35 millones de euros o el 7 % de la facturación global en los casos relacionados con prácticas de IA prohibidas, y hasta 15 millones de euros o el 3 % en otros incumplimientos de las obligaciones del Reglamento. Los proveedores de modelos de IA de propósito general cuentan con un régimen sancionador específico, que puede alcanzar igualmente 15 millones de euros o el 3 % de su volumen de negocio mundial anual. En el caso de pymes y empresas emergentes, se aplicará, con carácter general, la cantidad menor entre el porcentaje de facturación y la cuantía fija.

Este marco sancionador, combinado con un sistema regulatorio muy exigente, podría provocar que algunas soluciones se retrasen en su lanzamiento o incluso desaparezcan del mercado europeo. Como consecuencia, las pymes podrían encontrarse en desventaja competitiva respecto a empresas de otras regiones con regulaciones más flexibles. 

Plan de acción para cumplir con el Reglamento 

Para que las pymes puedan adaptarse de forma práctica y aprovechar las oportunidades que la IA ofrece, se recomienda seguir estos pasos: 

1. Inventariar: elaborar una lista detallada de todas las herramientas y sistemas de IA que utiliza la empresa, incluyendo las integradas en otros softwares. 
2. Clasificar: categorizar cada herramienta según el nivel de riesgo definido por el Reglamento e identificar, desde ahora, si existen chatbots, asistentes, contenidos sintéticos u otros usos sujetos a obligaciones de transparencia.
3. Comunicar: contactar con los proveedores para confirmar su plan de cumplimiento, solicitar documentación y verificar el marcado CE en caso de sistemas de alto riesgo. 

A estas acciones se debe añadir un programa de formación interna o “alfabetización en IA”, que no solo contribuya a cumplir con una de las obligaciones del Reglamento, sino que también dote a los equipos de las competencias necesarias para identificar riesgos, aprovechar de forma segura las capacidades de la IA y generar valor para la organización.  

La formación puede convertirse en un motor de innovación, ayudando a que la IA no sea solo una exigencia legal, sino una palanca real de desarrollo y mejora. Designar un responsable interno que coordine el proceso de adaptación y lidere esta capacitación es clave para integrar la IA de manera estratégica en la pyme. 

Conclusión: Cumplir sin perder competitividad 

El Reglamento de IA obliga a las pymes a conocer las obligaciones que les corresponden en función de las herramientas utilizadas y del papel que asuman. Desde el 2 de agosto de 2026 ya resultan especialmente relevantes las obligaciones de transparencia y las funciones de supervisión, mientras que las principales exigencias relativas a los sistemas de alto riesgo se aplicarán a partir de diciembre de 2027 o agosto de 2028.

Para minimizar el impacto, es fundamental identificar las herramientas de IA utilizadas, revisar los usos que requieren información a clientes o empleados, confirmar las garantías de los proveedores y establecer protocolos internos que permitan un uso seguro, legal y sostenible.

Asimismo, la formación de los equipos en el uso y aplicación de la IA es clave no solo para prevenir incumplimientos, sino también para transformar esta tecnología en una oportunidad para mejorar la productividad, optimizar procesos y abrir nuevas líneas de desarrollo en la pyme. 

Artículo escrito por Alfonso Guillamón Palazón  

Confía en tu asesor, confía en Sector3 

Solicítanos más información sector3@sector3.es o contáctanos aquí