Qué obligaciones de IA tiene una pyme española en 2026

En agosto de 2026 una pyme española tiene tres obligaciones vivas: formar a quien usa IA en la empresa, no incurrir en las prácticas prohibidas del artículo 5 y avisar cuando quien responde es una máquina o cuando el contenido lo ha generado una IA. Todo lo relativo a los sistemas de alto riesgo se aplazó a diciembre de 2027 y agosto de 2028. Si en tu empresa alguien usa ChatGPT, Copilot o un chatbot en la web, ya estás dentro de las tres primeras.

Qué te obliga hoy, en agosto de 2026

El Reglamento (UE) 2024/1689 no entró de golpe. Entra por tramos, y a día de hoy hay tres bloques aplicables más el régimen sancionador. Ninguno de los tres depende del tamaño de tu empresa: si tienes cuatro trabajadores y usas IA, te aplican igual que a una multinacional.

1. Formación en IA (artículo 4), desde el 2 de febrero de 2025

Quien usa sistemas de IA en su actividad debe adoptar medidas para apoyar la alfabetización en IA de su personal y de quien opere esos sistemas en su nombre. Eso incluye a becarios, a autónomos que trabajan para ti y a la persona que te lleva las redes. Tras el Ómnibus digital de 2026 la redacción del artículo 4 ya no exige garantizar un nivel individual concreto, pero la obligación de formar y de poder acreditarlo sigue vigente.

El Reglamento no fija un temario, ni horas, ni un examen oficial. Exige que la formación sea proporcional al uso real, al contexto y al perfil de cada persona. La consecuencia práctica es que puedes cumplir con una sesión bien enfocada, pero necesitas poder demostrarla: fecha, contenido, lista de asistentes y certificado nominal. Sin registro, para una inspección no ha ocurrido. Lo desarrollamos con más detalle en la guía del artículo 4.

2. Prácticas prohibidas (artículo 5), desde el 2 de febrero de 2025

Son usos vetados sin excepción ni permiso posible. La mayoría quedan lejos de una pyme normal —puntuación social, identificación biométrica remota con fines policiales, scraping masivo de rostros para bases de reconocimiento—, pero dos aparecen en empresas pequeñas más de lo que parece:

• Inferir emociones de tus empleados. Software de centralita, de videollamada o de productividad que puntúa el ánimo, el estrés o la actitud del trabajador. Prohibido en el trabajo y en la educación, salvo por motivos médicos o de seguridad.
• Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, creencias o vida sexual a partir de datos biométricos.

3. Transparencia (artículo 50), desde el 2 de agosto de 2026

Es la novedad de este mes y la que más pyme toca, porque afecta a lo que publicas. Cuatro deberes:

• Avisar de que se está interactuando con una IA, salvo que resulte evidente.
• Marcar el contenido sintético: imagen, audio, vídeo y texto generados con IA.
• Señalar los deepfakes: imagen o vídeo de personas reales manipulados o generados.
• Informar a las personas expuestas a reconocimiento de emociones o categorización biométrica.

Es una obligación de forma, no de fondo: puedes seguir usando IA para todo lo que usabas, solo tienes que decirlo. Cómo se redacta y dónde se coloca cada aviso está en la guía de etiquetado del artículo 50.

4. Régimen sancionador, desde el 2 de agosto de 2025

Ya hay autoridad y hay multas. En España vigila la AESIA. Los máximos del propio Reglamento son de hasta 35 millones de euros o el 7 % del volumen de negocio mundial para las prácticas prohibidas, y de hasta 15 millones o el 3 % para la mayoría del resto de incumplimientos. Son techos, no tarifas: la sanción se gradúa por gravedad, intención, reincidencia, daño causado y cooperación. Y el Reglamento contempla expresamente a las pymes, para las que se aplica el menor de los dos límites, no el mayor. Nadie va a cerrar una asesoría de doce personas por no tener un certificado de formación, pero el incumplimiento es real y acumulable con el del RGPD.

El calendario completo

Qué llega el 2 de diciembre de 2026

Es la fecha corta que casi nadie tiene en la agenda. Los sistemas de IA generativa que ya estaban en el mercado antes de agosto de 2026 tenían un transitorio para incorporar el marcado legible por máquina de sus salidas. Ese transitorio termina el 2 de diciembre de 2026.

El marcado técnico —metadatos, marca de agua, credenciales de contenido— lo pone el proveedor de la herramienta, no tú. Tu obligación sigue siendo el aviso visible. Pero hay algo que sí te toca y cuesta veinte minutos: escribir a los proveedores de las herramientas generativas que usas y preguntar si su salida incorpora ya ese marcado y en qué formato. Guarda la respuesta. Si mañana alguien discute el origen de una imagen tuya, esa respuesta es tu prueba.

Qué se aplazó con el Ómnibus digital

El paquete Ómnibus digital —Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026— retrasó el bloque más pesado del Reglamento, el de los sistemas de alto riesgo:

• Al 2 de diciembre de 2027, el Anexo III: recursos humanos y cribado de candidaturas, evaluación del desempeño, scoring crediticio, acceso a servicios esenciales, biometría y educación.
• Al 2 de agosto de 2028, el Anexo I: IA embebida en productos que ya llevan marcado CE, como maquinaria, productos sanitarios, juguetes o ascensores.

Lo que NO te aplica

• No eres proveedor de un sistema de alto riesgo por usar ChatGPT. Usar una herramienta te convierte en responsable del despliegue, que es una figura con obligaciones mucho más ligeras. Proveedor es quien desarrolla el sistema y lo pone en el mercado bajo su nombre. Solo pasas a proveedor si le pones tu marca a un sistema ajeno, lo modificas de forma sustancial o cambias su finalidad hacia un uso de alto riesgo.
• No necesitas la ISO/IEC 42001. Es una norma voluntaria de sistema de gestión. Ni el Reglamento la exige ni sustituye al cumplimiento. Para una empresa de 5 a 50 personas, el coste de certificarse rara vez tiene sentido; puede tenerlo si vendes a grandes cuentas o al sector público y te la piden en pliegos.
• No necesitas un comité de IA, ni un responsable de IA a tiempo completo, ni un delegado equivalente al del RGPD. El Reglamento no crea esa figura para las pymes. Basta con que alguien tenga el tema asignado por escrito.
• No necesitas evaluar el impacto sobre derechos fundamentales. Esa evaluación está prevista para responsables del despliegue de sistemas de alto riesgo en supuestos concretos, y en su mayoría son entidades públicas o de servicios esenciales.
• No necesitas registrarte en ninguna base de datos europea por usar herramientas de IA generativa en tu día a día.

El RGPD va en paralelo, y suele ser lo urgente de verdad

El Reglamento de IA regula el sistema. El RGPD regula los datos personales que metes dentro. Aplican a la vez y cumplir uno no cubre el otro. Lo que revisan en la práctica:

• Base jurídica para tratar datos personales con una herramienta de IA, e información a los interesados en tu política de privacidad.
• Contrato de encargado de tratamiento con el proveedor, y comprobación de si usa tus datos para entrenar sus modelos. Muchos planes gratuitos sí lo hacen; los de empresa suelen permitir desactivarlo.
• Transferencias internacionales, porque casi todos estos proveedores están fuera de la UE.
• Decisiones automatizadas con efecto jurídico o significativo sobre una persona: derecho a intervención humana y a explicación.
• Datos de salud, de menores o biométricos: aquí el listón sube mucho y conviene no improvisar.

El caso típico de pyme no es un sistema de alto riesgo. Es un empleado pegando el contrato de un cliente, un historial médico o una lista de morosos en un chat gratuito. Eso no es un problema de IA: es una brecha de datos.

Y tiene arreglo barato: quitar los datos identificativos del documento antes de subirlo. Anónimo IA lo hace dentro del navegador, sin que el archivo salga del equipo, y deja un manifiesto de qué se sustituyó que te vale como evidencia. Y para saber qué hace tu proveedor con lo que le pegas, el verificador de planes de IA compara ChatGPT, Gemini, Claude y Copilot plan por plan.

Los tres pasos de esta semana si no has hecho nada

En este orden y sin comprar nada todavía.

• Lunes: el inventario. Una hoja de cálculo con cinco columnas: herramienta, quién la usa, para qué, qué datos entran y con qué cuenta o contrato. Pregunta uno por uno, sin tono de auditoría. Van a aparecer herramientas que no sabías que se estaban usando, y esa es exactamente la información que necesitas.
• Miércoles: la formación y la política de una página. Convoca la sesión del artículo 4 y déjala documentada con lista y certificados. Escribe, en un folio, qué herramientas están permitidas, qué datos no se pegan nunca y quién decide en caso de duda. Que la firme la gente. Con eso tienes cubierto el artículo 4 y buena parte del riesgo real.
• Viernes: revisa lo que sale al exterior. Tu chatbot debe decir que es una IA. Las imágenes, vídeos, audios y textos publicados que haya generado una IA deben ir marcados. Repasa web, redes y newsletter de los últimos meses y corrige lo que quede vivo.

Si prefieres que esto salga hecho y documentado en tres días en lugar de en tres semanas, es exactamente lo que cubre nuestra auditoría de uso de IA: inventario, clasificación de usos, política interna y la formación obligatoria incluida. Precio cerrado, sin informes de ochenta páginas y sin venderte una certificación que no necesitas.