AI Act para pymes: qué te exige la ley de IA si usas ChatGPT en tu empresa

"Multas de hasta 35 millones de euros." Es el titular que más circula sobre la ley europea de inteligencia artificial. Es cierto, y para una pyme que usa ChatGPT para escribir correos es casi irrelevante: ese tope es para las prácticas prohibidas, y a una pyme se le aplica siempre el importe más bajo de cada tramo.

Lo que la ley sí te pide, si tu empresa usa IA y no la fabrica, es poco y bastante concreto. Además, en julio de 2026 se reformó y una parte se suavizó. Muchas de las guías que vas a encontrar todavía no lo cuentan, así que aquí va la versión actualizada a octubre de 2026.

Una advertencia antes de empezar: yo formo equipos, no doy asesoría legal. Esto te sirve para entender qué te toca y por dónde empezar. Si tu caso tiene aristas, que lo mire tu asesoría.

Lo primero: ¿desarrollas IA o la usas?

El reglamento (el famoso AI Act, Reglamento UE 2024/1689) reparte las obligaciones según el papel que tengas. El proveedor es quien crea el sistema de IA y lo pone en el mercado: OpenAI con ChatGPT, Microsoft con Copilot, la empresa que te vende un programa de selección de personal. A ellos les toca la parte gruesa.

Si tu empresa usa esas herramientas en su trabajo, el reglamento te llama responsable del despliegue. El nombre es poco simpático, pero el papel es mucho más ligero. Casi todas las pymes están aquí. Y si usas ChatGPT a título personal, fuera del trabajo, el reglamento ni siquiera se aplica a ese uso.

Lo que te aplica hoy si usas ChatGPT, Copilot o Gemini

Si no usas la IA para decidir sobre personas (eso lo vemos en el siguiente apartado), lo que te toca son tres cosas.

1. Formar a tu equipo

Es el artículo 4, en vigor desde febrero de 2025. En julio de 2026 la reforma (el Reglamento UE 2026/1744) lo suavizó: ahora tienes que tomar medidas para apoyar la formación en IA de quien la usa en tu empresa, teniendo en cuenta lo que sabe cada persona y para qué la usa, sin garantizar un nivel concreto.

La guía de preguntas de la Comisión Europea lo baja a tierra: no hace falta ningún certificado, basta con un registro interno de la formación, y fiarse solo de las instrucciones de la herramienta suele quedarse corto. Pone de ejemplo a quien usa ChatGPT para redactar anuncios o traducir, que debería conocer riesgos como las alucinaciones. El detalle de qué formación tiene sentido para cada perfil lo tienes en la guía de formación en IA para empresas.

2. No hacer nada de lo prohibido

El artículo 5 prohíbe desde febrero de 2025 una lista de usos: manipular a la gente con técnicas subliminales, aprovecharse de su edad o su situación económica, puntuar socialmente a las personas o deducir rasgos sensibles a partir de datos biométricos, entre otros. La mayoría no tiene nada que ver con una pyme.

La que sí puede pillarte desprevenido es el reconocimiento de emociones en el trabajo. Está prohibido usar IA para inferir las emociones de tus empleados, salvo por motivos médicos o de seguridad. Eso incluye cosas que se venden como "analítica": medir el estado de ánimo de los agentes de un centro de atención telefónica o puntuar las emociones de un candidato en una entrevista por vídeo.

Y desde el 2 de diciembre de 2026 se suman dos prohibiciones nuevas: usar IA para generar imágenes íntimas o sexuales de una persona identificable sin su consentimiento, y para generar material de abuso sexual infantil.

3. Avisar de lo que publiques hecho con IA, cuando toque

Las obligaciones de transparencia del artículo 50 se aplican desde agosto de 2026. La de avisar a la gente de que está hablando con una IA recae sobre todo en el proveedor, que tiene que diseñar el chatbot para que lo diga. Si pones uno en tu web, comprueba que lo hace.

Lo que te toca a ti como usuario es más estrecho. Si publicas un deepfake (una imagen, un audio o un vídeo que hace pasar por real a alguien o algo que no lo es), tienes que decir que está generado con IA. Y si publicas textos hechos con IA para informar al público sobre asuntos de interés general, también, salvo que una persona los haya revisado y responda de ellos. Un artículo de tu blog que has escrito con ayuda de ChatGPT y has revisado tú no entra aquí.

Cuándo pasas a "alto riesgo"

La cosa cambia si usas IA para tomar decisiones que afectan a personas en ciertos ámbitos. El reglamento los llama sistemas de alto riesgo, y los que más pueden tocar a una pyme son estos:

• Selección de personal: filtrar o puntuar currículums, evaluar candidatos, dirigir ofertas de empleo.
• Gestión de la plantilla: decidir ascensos o despidos, repartir tareas según rasgos o comportamiento, evaluar el rendimiento.
• Crédito y seguros: evaluar la solvencia de personas o calcular primas de seguros de vida y salud.
• Educación: admisiones, evaluación del aprendizaje o vigilancia de exámenes.

Ojo con la frontera. Pedirle a ChatGPT que te ayude a redactar una oferta de empleo no es alto riesgo. Usar una herramienta que filtra y puntúa los currículums que recibes, sí.

Si estás en ese caso, desde el 2 de diciembre de 2027 (la reforma lo retrasó) tendrás que usar el sistema según sus instrucciones, poner a supervisarlo a personas con formación y autoridad para corregirlo, vigilar que funciona bien, guardar sus registros al menos seis meses, avisar antes a la representación de los trabajadores y a la plantilla afectada, e informar a las personas sobre las que el sistema ayuda a decidir. Queda tiempo, pero yo no esperaría al último trimestre de 2027 para enterarme de qué herramienta usa mi departamento de personas.

El calendario, actualizado

Con la reforma de julio, las fechas quedan así:

Multas: lo que de verdad te puede pasar

El artículo 99 fija tres tramos. El más alto, hasta 35 millones o el 7% de la facturación mundial, es para las prácticas prohibidas. La mayoría de incumplimientos, incluidos los de transparencia y los de usuarios de alto riesgo, van hasta 15 millones o el 3%; dar información falsa a las autoridades, hasta 7,5 millones o el 1%.

El matiz que se come casi todo el miedo: para las pymes se aplica la cantidad más baja de cada par. Si tu empresa factura un millón de euros, el techo por incumplir la transparencia es el 3% de ese millón, no 15 millones. La reforma de julio añadió además que las sanciones pueden ser advertencias o medidas sin multa, y que hay que tener en cuenta los intereses de las pymes.

La formación del artículo 4 ni siquiera aparece en esa lista de multas: el reglamento deja a cada país decidir cómo se sanciona. Y aquí viene la parte española. El proyecto de ley que iba a fijar el régimen de sanciones en España lo aprobó el Gobierno en mayo de 2026, pero estaba aún en el Congreso cuando las Cortes se disolvieron el 6 de octubre, y con la disolución decae. Habrá que esperar al nuevo Gobierno para que lo vuelva a presentar.

Aun así, te afecta. El reglamento europeo se aplica directamente y sus obligaciones están en vigor; lo que falta en España es concretar quién sanciona y cómo. Mi lectura es que tienes una ventana tranquila para ponerte al día, y que desperdiciarla sería una mala idea.

Qué hacer esta semana

Para una pyme que usa IA en el día a día, esto es lo que yo haría, en este orden:

El inventario es el paso que más luz da. Casi siempre aparecen herramientas que nadie había autorizado, y por eso conviene hacerlo con una encuesta anónima, como cuento en el post sobre shadow AI, donde también tienes una plantilla de política de uso en una página. La formación, si tu empresa tiene plantilla, se puede pagar con el crédito de Fundae.

¿Y la AESIA?

La Agencia Española de Supervisión de la Inteligencia Artificial tiene sede en A Coruña y su estatuto se aprobó en 2023. Está llamada a ser la autoridad que vigile el cumplimiento del reglamento en España, y la Comisión Europea ya la señala como punto de contacto del país. Pero su designación formal dependía de la ley que acaba de decaer, así que por ahora su papel sancionador está en el aire.

Mientras tanto, lo que toca datos personales lo sigue vigilando la Agencia Española de Protección de Datos con el RGPD, que no ha cambiado.

Lo que pide la ley es lo que te convenía hacer igual

Me da la sensación de que el AI Act asusta más de lo que pide. Para una pyme que usa IA, se resume en tener a la gente formada y saber qué herramientas se usan y para qué. Y en no cruzar un puñado de líneas rojas. Son justo las cosas que hacen que la IA te ahorre tiempo en lugar de darte disgustos.

La formación para empresas te deja eso hecho y documentado, y es bonificable. Y si tu caso tiene IA en selección de personal o en decisiones sobre clientes, lo vemos con calma en una consultoría.