Si tu empresa usa ChatGPT, un chatbot de WhatsApp o cualquier herramienta con "IA" en la etiqueta, el Reglamento Europeo de Inteligencia Artificial (conocido como AI Act) ya te afecta, aunque no tengas ni un departamento de IA ni de legal. Y no es una amenaza lejana: la ley ya está en vigor y se aplica de forma progresiva desde 2024.
La buena noticia es que, para la inmensa mayoría de las pymes, cumplir no significa un proyecto de meses ni contratar un equipo nuevo. Significa saber qué usáis, documentarlo y aplicar un puñado de buenas prácticas. Aquí lo explicamos sin tecnicismos.
El AI Act es la primera ley integral del mundo sobre inteligencia artificial, aprobada por la Unión Europea. A diferencia del RGPD, que regula datos personales, el AI Act regula el uso de sistemas de IA en sí mismos: qué se puede automatizar, qué riesgos hay que declarar y qué prácticas están directamente prohibidas.
No hace falta que tu empresa "desarrolle" IA para estar dentro del reglamento. Basta con que la uses como parte de tu actividad — desde un asistente que redacta correos hasta un sistema que puntúa currículums — para tener obligaciones como "usuario" o "responsable de despliegue" (deployer, en la terminología del reglamento).
Aquí es donde la mayoría de las pymes se sorprenden. No hace falta un sistema sofisticado: cuentan igual el ChatGPT que usa tu equipo de marketing para redactar textos, el chatbot de atención al cliente en WhatsApp, las herramientas de generación de imágenes para publicidad, los sistemas de cribado de candidatos en selección de personal, o un asistente de voz que gestiona llamadas y agenda citas.
La clave no es la sofisticación de la herramienta, sino el uso que se le da y a quién puede afectar una decisión tomada (o apoyada) por esa IA.
El AI Act clasifica los sistemas de IA en niveles de riesgo: inaceptable (prohibido directamente, como la puntuación social), alto riesgo (selección de personal, acceso a crédito, entre otros, con obligaciones estrictas), riesgo limitado (chatbots y asistentes, con obligaciones principalmente de transparencia) y riesgo mínimo (la mayoría de los usos habituales en una pyme).
La mayoría de las herramientas que usa una pyme del día a día caen en riesgo limitado o mínimo, lo que significa obligaciones razonables: sobre todo, transparencia (que quede claro cuándo se interactúa con una IA) y trazabilidad de qué se usa y para qué.
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA) es el organismo español encargado de vigilar el cumplimiento del AI Act en España. Es real, ya está operativa, y tiene capacidad de inspección y de imponer sanciones en los casos que le corresponden.
Las multas previstas en el reglamento pueden llegar a ser muy elevadas para los incumplimientos más graves, aunque la propia norma prevé un trato proporcionado para pymes y startups. En la práctica, lo relevante no es el susto de una cifra, sino que, hoy, la mayoría de las pymes no tienen ni idea de qué IA usa realmente su equipo — y eso es precisamente lo primero que hay que corregir.
El primer paso siempre es el mismo: averiguar qué sistemas de IA usa realmente tu empresa, incluida la que nadie ha aprobado formalmente — lo que se conoce como "IA en la sombra". A partir de ahí, una política interna breve y un dossier de evidencias básico cubren la mayoría de los casos de una pyme.
En QuantumPYME hacemos justo eso: un Diagnóstico Express de cumplimiento AI Act, pensado para pymes, que identifica en días qué IA usa tu empresa y qué nivel de riesgo legal representa — sin venderte otra herramienta de IA más.
Cuéntanos qué te está costando más tiempo o qué te preocupa de tu seguridad. Te respondemos con una consultoría inicial, sin coste ni compromiso.