Ley de IA: qué obliga de verdad a una empresa pequeña

Este artículo resume la norma y cita los artículos concretos para que puedas comprobarlos. No es asesoramiento jurídico: si tu caso es dudoso, consúltalo con un abogado especializado.

Qué norma es y en qué punto está

La norma es el Reglamento (UE) 2024/1689, conocido como Reglamento de IA o AI Act. Entró en vigor el 1 de agosto de 2024, pero no se aplicó de golpe: sus obligaciones van entrando por tramos hasta 2028.

Ese calendario se modificó hace poco. El Reglamento (UE) 2026/1744, aprobado el 8 de julio de 2026 y publicado en el Diario Oficial el 24 de julio, es lo que se conoce como Ómnibus digital sobre IA. Su propia exposición de motivos explica el porqué: el retraso en elaborar las normas técnicas y en montar los organismos nacionales había generado «una carga normativa mayor de la esperada».

Traducido: Bruselas llegó tarde a preparar el terreno y movió las fechas. Ese detalle importa, porque buena parte de lo que se contaba en 2024 sobre lo que pasaría en agosto de 2026 ya no es cierto.

Lo que sí empezó a aplicarse el 2 de agosto

Lo que entró ese día son las obligaciones de transparencia del artículo 50, y se resumen en una idea sencilla: que nadie confunda a una máquina con una persona, ni un contenido fabricado con uno real. Son cuatro supuestos.

Sistemas que hablan con personas. Quien fabrica un sistema pensado para interactuar directamente con gente tiene que diseñarlo de forma que se note que es IA. Y el propio artículo añade una excepción que se cita poco: no hace falta avisar «cuando resulte evidente desde el punto de vista de una persona razonablemente informada, atenta y perspicaz».

Contenido generado por IA. El fabricante de un sistema generativo debe marcar lo que produce en un formato legible por máquina, de modo que se pueda detectar. Es una obligación técnica, de marca de agua y metadatos, y recae en quien construye el modelo.

Reconocimiento de emociones y categorización biométrica. Quien lo usa debe informar a las personas expuestas.

Ultrasuplantaciones y textos de interés público. Quien publica imágenes, audio o vídeo que suplantan a alguien tiene que hacerlo constar. Y con el texto, ojo al enunciado exacto, porque es donde más se exagera.

El malentendido más repetido: «hay que etiquetar todo lo escrito con IA»

Es falso, y basta con leer el artículo 50.4. La obligación sobre texto se refiere al que «se publique con el fin de informar al público sobre asuntos de interés público». No a cualquier texto: a contenido informativo de interés público, que es la categoría en la que entra una noticia, no la descripción de un producto ni un correo comercial.

Y aunque estuvieras en ese supuesto, el mismo apartado exime cuando el contenido «haya sido sometido a un proceso de revisión humana o de control editorial y cuando una persona física o jurídica tenga la responsabilidad editorial por la publicación».

Es decir: si escribes con ayuda de IA, lo revisas y respondes de lo publicado, no tienes que poner ningún distintivo. La norma persigue las granjas de contenido automático sin nadie detrás, no a quien usa un modelo como herramienta y luego firma el resultado.

Lo que se aplazó, que es justo lo que asustaba

Aquí está el cambio grande del Ómnibus. Las obligaciones duras —evaluación de riesgos, documentación técnica, supervisión humana, sistemas de gestión de calidad— son las del capítulo III, y afectan a los llamados sistemas de alto riesgo. Estaban previstas para el 2 de agosto de 2026 y se han movido:

Esto importa mucho si usas IA para cribar currículos, para puntuar solicitudes de crédito o para evaluar a alumnos, porque son usos del anexo III. Siguen siendo de alto riesgo y seguirán exigiendo un trabajo serio, pero tienes hasta diciembre de 2027 en lugar de haber llegado tarde este agosto.

El Ómnibus además reescribió el artículo 4, el de la alfabetización en IA. Antes obligaba a «garantizar» un nivel de alfabetización del personal; ahora dice que hay que «adoptar medidas para apoyar» su promoción, y aclara expresamente que la obligación «no exige que los proveedores o los responsables del despliegue garanticen un nivel específico». Pasó de resultado exigible a esfuerzo razonable, y el propio texto explica que la versión anterior creaba carga «en particular para las pequeñas empresas».

Entonces, ¿te afecta o no?

Depende de en qué papel estés. La norma distingue entre el proveedor, que fabrica o comercializa el sistema, y el responsable del despliegue, que simplemente lo usa en su actividad. Casi todas las pymes están en el segundo grupo, y ahí las obligaciones son bastante más cortas.

Sobre el chatbot conviene una precisión, porque es la duda más frecuente. Diseñar el sistema para que se identifique es obligación del proveedor, o sea de la herramienta que has contratado. Aun así, la forma de configurarlo es tuya, y avisar cuesta una línea: basta con que el primer mensaje diga que quien responde es un asistente automático y que se puede hablar con una persona. Además de cumplir, evita la incomodidad de que alguien se dé cuenta a los cinco mensajes.

Las multas: por qué la cifra del titular no es la tuya

Los titulares hablan de 35 millones de euros o del 7 % de la facturación mundial. Es verdad que el artículo 99.3 recoge esas cifras, pero son para quien incumple las prohibiciones del artículo 5: puntuación social de ciudadanos, manipulación subliminal, identificación biométrica remota en tiempo real por la policía. Ninguna empresa normal está haciendo eso.

Para el artículo 50, que es el que puede tocarte, el artículo 99.4 fija hasta 15 millones o el 3 %. Y entonces llega el apartado que casi nunca se cita, el 99.6: en el caso de las pymes, la multa «podrá ser por el porcentaje o el importe […] según cuál de ellos sea menor».

La diferencia es enorme. Para una empresa grande se aplica la cifra mayor; para una pyme, la menor. Con una facturación de 600.000 €, el 3 % son 18.000 € como tope teórico máximo, no quince millones. Y el artículo 99.1 añade que las sanciones deben ser proporcionadas y tener en cuenta «los intereses de las pymes, incluidas las empresas emergentes, así como su viabilidad económica».

Ese tope, además, es el máximo de una horquilla, no la multa que le cae a quien se equivoca una vez. Contar el techo como si fuera el precio de un despiste es exactamente lo que produce la desinformación de la que hablábamos.

Y en España, ¿quién vigila esto?

La autoridad es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. En materia de datos personales sigue mandando la Agencia Española de Protección de Datos.

Hay un matiz relevante. El reglamento europeo es directamente aplicable y no necesita que España lo traslade, pero el artículo 99.1 encarga a cada Estado fijar su propio régimen de sanciones. El proyecto de ley que hace eso —el de buen uso y gobernanza de la inteligencia artificial— fue aprobado por el Consejo de Ministros el 26 de mayo de 2026 y sigue en tramitación parlamentaria mientras escribimos esto.

De modo que las obligaciones existen y son exigibles, pero el aparato sancionador nacional todavía se está montando. No es una invitación a ignorar la norma; es un motivo para ordenar las cosas con calma en lugar de contratar una auditoría de urgencia.

Qué haríamos nosotros esta semana

No hace falta montar nada complicado. Con una tarde tienes de sobra para dejar esto ordenado y no volver a pensar en ello.

Apunta qué herramientas de IA usáis y para qué. Un folio basta. Sirve para cumplir y, sobre todo, sirve para saberlo: mucha gente descubre aquí que tiene tres suscripciones que hacen lo mismo.

Mira si alguna toca decisiones sobre personas: contratar, despedir, conceder o denegar algo. Si la respuesta es sí, tienes hasta diciembre de 2027, pero conviene saberlo ya.

Revisa que tu chatbot se presente como lo que es. Un minuto de configuración.

Y dedica un rato a explicar a tu equipo qué hace y qué no hace la herramienta que usan. Eso es la alfabetización del artículo 4 en su versión actual, y además evita el problema de verdad, que no es la multa: es alguien pegando datos de clientes en un chat público porque nadie le dijo que no lo hiciera.

Fuentes

Todo lo anterior sale de estos textos, por si quieres comprobarlo:

Reglamento (UE) 2024/1689, artículos 4, 5, 50 y 99.
Reglamento (UE) 2026/1744, Ómnibus digital sobre IA, que modifica el artículo 113 y las fechas.
Directrices de la Comisión Europea sobre el artículo 50, de 20 de julio de 2026.