RegTech

EU AI Act 2026: Cómo Cumplir si Eres una PYME en España

El Reglamento de Inteligencia Artificial de la Unión Europea lleva en vigor desde 2024 y su aplicación plena llega en agosto de 2026. Si eres una PYME española que usa chatbots, herramientas de IA para RRHH o cualquier sistema automatizado de decisión, necesitas saber exactamente qué categoría de riesgo te aplica y qué debes hacer. La mayoría de PYMEs están en riesgo limitado o mínimo. Pero confundirse puede salir muy caro.

¿Cuáles son las cuatro categorías de riesgo del AI Act y cuándo entran en vigor?

¿Cómo sé en qué categoría está el sistema de IA que usa mi empresa?

La clasificación depende de para qué se usa la IA, no de qué tecnología utiliza. La misma API de ChatGPT puede ser riesgo mínimo (redactar emails comerciales) o alto riesgo (cribar candidatos en un proceso de selección). Lo determinante es el caso de uso y su impacto potencial en las personas.

Chatbot de atención al cliente (FAQ, soporte): Riesgo limitado. Tu única obligación es informar al usuario de que está hablando con una IA. Si ya dices «Soy el asistente virtual de X», cumples. IgeraFincas, por ejemplo, se identifica siempre como IA al inicio de cada conversación, cumpliendo automáticamente este requisito del art. 50 del AI Act.

Filtros de spam o recomendadores de contenido: Riesgo mínimo. Sin obligaciones específicas del AI Act. RGPD puede aplicar si hay datos personales implicados.

IA para RRHH (cribado de CVs, ranking de candidatos, evaluación de rendimiento): Alto riesgo. Esto es lo que más sorprende a las PYMEs. Si usas Workday, HireVue, o cualquier herramienta de IA que evalúa candidatos o empleados, eres «desplegador» de un sistema de alto riesgo. Debes verificar que el proveedor tiene la documentación técnica y el marcado CE requeridos, y mantener registros de uso.

IA para concesión de crédito o scoring financiero: Alto riesgo. Si tu sistema evalúa la solvencia de clientes o decide automáticamente sobre préstamos, aplican todos los requisitos de alto riesgo: supervisión humana obligatoria, explicabilidad de decisiones, registro de logs.

¿Qué deben hacer las PYMEs con un chatbot de atención al cliente en 2026?

1. Verificar la categoría de riesgo: Determina exactamente para qué usas cada sistema de IA. ¿El chatbot toma decisiones que afectan derechos de las personas (acceso a servicios esenciales, crédito, empleo)? Si es solo un FAQ bot, es riesgo limitado.
2. Añadir identificación como IA: La obligación más básica del art. 50: «Hola, soy el asistente virtual de X». Si ya lo haces, cumples este requisito. IgeraLegal puede ayudarte a verificar que tu texto de identificación cumple con el estándar del regulador.
3. Verificar a tu proveedor de LLM: Si usas la API de OpenAI, Google o Anthropic, el proveedor es responsable de la conformidad del modelo base (GPAI). Tú eres «desplegador» y tu responsabilidad se limita al caso de uso específico que implementas.
4. Crear un inventario de sistemas de IA: Documenta todos los sistemas que tu empresa usa o desarrolla que puedan calificarse como IA bajo el AI Act (art. 3). Esto incluye cualquier sistema que procese datos para tomar o recomendar decisiones de forma automatizada.
5. Sistemas de RRHH con IA: Si usas IA para cribado de CVs, ranking de candidatos o evaluación de rendimiento, eres desplegador de un sistema de alto riesgo. Verifica que tu proveedor tiene el marcado CE y solicita su documentación técnica.

¿Qué es el calendario de entrada en vigor del AI Act?

El AI Act no entró en vigor de golpe. Tiene un calendario de aplicación por fases que muchas PYMEs desconocen:

¿Cómo afecta el AI Act a los proveedores de IA para administradores de fincas?

IgeraFincas, como proveedor de IA para administradores de fincas, opera en la categoría de riesgo limitado: es un chatbot de atención a propietarios que responde preguntas sobre estatutos y normativa. No toma decisiones vinculantes sobre derechos de personas, no evalúa candidatos, no gestiona crédito.

Las obligaciones que IgeraFincas cumple por diseño incluyen: identificación automática como IA al inicio de cada conversación (art. 50), opción de escalar a un humano cuando el propietario lo solicita, log completo de decisiones y conversaciones para auditoría, y política de privacidad transparente conforme al RGPD. Los administradores de fincas que usan IgeraFincas son «desplegadores» de un sistema de riesgo limitado, con obligaciones mínimas.

Preguntas frecuentes sobre el EU AI Act para PYMEs

¿El AI Act aplica a las PYMEs o solo a grandes empresas?

El AI Act aplica a todas las empresas que operen en la UE, sin importar su tamaño. Sin embargo, el Reglamento incluye disposiciones específicas para PYMEs y startups: acceso a sandbox regulatorio, soporte técnico de las autoridades nacionales, y simplificación de la documentación para sistemas de bajo riesgo.

¿Usar ChatGPT para redactar emails me obliga a cumplir el AI Act?

No de forma directa. Usar ChatGPT como herramienta de asistencia en la redacción es riesgo mínimo. No tienes obligaciones específicas del AI Act. OpenAI, como proveedor del modelo de propósito general (GPAI), tiene sus propias obligaciones ante el regulador. Tú eres usuario final, no desplegador ni desarrollador.

¿Qué es la AESIA y qué papel tiene?

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) es el organismo nacional designado para supervisar el cumplimiento del AI Act en España. Puede imponer sanciones, realizar auditorías y gestionar reclamaciones relacionadas con sistemas de IA que operen en territorio español.

¿Qué es el Registro UE de IA y quién debe registrarse?

El Registro UE de IA (EU AI Database) es obligatorio para proveedores y desplegadores de sistemas de IA de alto riesgo. Las PYMEs que solo usan chatbots de atención al cliente (riesgo limitado) no tienen obligación de registrarse en esta base de datos.

¿Qué pasa si mi proveedor de software de RRHH no tiene el marcado CE?

Como desplegador, tienes la obligación de verificar que los sistemas de alto riesgo que usas tienen la documentación de conformidad requerida. Si tu proveedor no puede demostrar conformidad con el AI Act, debes dejar de usar esa herramienta para las funciones de alto riesgo o arriesgarte a sanciones conjuntas.

¿IgeraLegal ayuda con el cumplimiento del AI Act?

Sí. IgeraLegal incluye un módulo de compliance para el AI Act que ayuda a las empresas a clasificar sus sistemas de IA, identificar obligaciones aplicables, y generar la documentación básica requerida para sistemas de riesgo limitado y alto riesgo. Disponible desde el plan Professional.