Qué obligaciones de IA tiene una pyme española en 2026

A 19 de septiembre de 2026 una pyme española que utiliza IA debe separar cuatro preguntas: qué usos están prohibidos, qué medidas de alfabetización ha adoptado, si algún caso entra en las obligaciones de transparencia del artículo 50 y si utiliza sistemas que serán de alto riesgo. El Ómnibus digital de julio de 2026 cambió además el calendario del bloque de alto riesgo.

1. Alfabetización en IA: artículo 4

Desde el 2 de febrero de 2025, proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización en IA de su personal y de otras personas que operan sistemas en su nombre. Tras el Reglamento (UE) 2026/1744, el artículo 4 ya no exige garantizar un nivel individual específico, pero mantiene la obligación de adoptar medidas teniendo en cuenta conocimientos, experiencia, formación, contexto y personas afectadas.

No existe un temario oficial ni una duración obligatoria. Una formación adaptada al puesto es una medida clara y fácil de acreditar, junto con políticas, instrucciones y comunicaciones internas. Más detalle en nuestra guía del artículo 4.

2. Prácticas prohibidas: artículo 5

El Reglamento prohíbe determinados usos desde febrero de 2025. Entre ellos hay supuestos de manipulación dañina, determinadas categorizaciones biométricas, ciertas formas de puntuación social y reconocimiento de emociones en el trabajo y la educación, con las excepciones previstas por la norma.

Para una pyme, la pregunta no es memorizar la lista: es detectar si una herramienta que compras incorpora funciones de evaluación biométrica, emocional o de decisión sobre personas que nadie había revisado.

3. Transparencia: artículo 50

Desde el 2 de agosto de 2026 el artículo 50 es aplicable, pero no significa que toda publicación hecha con IA necesite un rótulo visible. El artículo distingue roles y supuestos:

• Los proveedores de sistemas destinados a interactuar directamente con personas deben diseñarlos para que informen de que se está interactuando con IA, salvo cuando sea evidente.
• Los proveedores de sistemas que generan contenido sintético deben marcar las salidas en formato legible por máquina, con las excepciones previstas.
• Los responsables del despliegue deben informar en sistemas de reconocimiento de emociones o categorización biométrica.
• Los responsables del despliegue deben divulgar los deepfakes y ciertos textos generados o manipulados que se publiquen para informar sobre asuntos de interés público; para estos textos existe excepción cuando hay revisión humana o control editorial y responsabilidad sobre la publicación.

Los sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para adaptarse al marcado técnico del artículo 50.2.

4. Alto riesgo: nuevo calendario

El Reglamento (UE) 2026/1744 aplazó la aplicación de las secciones 1, 2 y 3 del capítulo III: 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6.2 y Anexo III, y 2 de agosto de 2028 para los sistemas del artículo 6.1 y Anexo I.

Eso afecta, entre otros casos, a determinados usos en empleo, educación, servicios esenciales, biometría y productos regulados. Aplazado no significa irrelevante: RGPD, derecho laboral, consumo y otras normas pueden aplicar antes.

5. ¿Quién supervisa y sanciona en España?

AESIA está operativa y su estatuto contempla supervisión y, en su caso, sanción conforme a la normativa aplicable. El Reglamento europeo contiene el marco de sanciones. A 19 de septiembre de 2026, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que identifica autoridades y desarrolla el régimen sancionador nacional, continúa en fase de enmiendas en el Congreso.

Además, la supervisión es sectorial: según el asunto pueden intervenir AEPD, Banco de España, autoridades de consumo, Inspección de Trabajo u otros organismos.

Calendario resumido

Qué haría esta semana una pyme

• Crear un inventario de herramientas y casos de uso.
• Adoptar y documentar medidas proporcionadas de alfabetización para quienes usan IA.
• Revisar datos personales, confidencialidad y condiciones de cada proveedor.
• Comprobar si algún chatbot, deepfake, publicación de interés público o sistema biométrico entra en el artículo 50.
• Asignar un responsable y un procedimiento para autorizar nuevas herramientas.

Fuentes oficiales consultadas

• Reglamento (UE) 2024/1689 consolidado a 27/07/2026 (EUR-Lex).
• Reglamento (UE) 2026/1744 — Ómnibus digital sobre IA.
• Guías prácticas de AESIA para el cumplimiento del Reglamento de IA.