Ley de IA para pymes: qué te obliga de verdad en 2026
Casi ninguna pyme tiene que registrar nada. Pero desde el 2 de agosto de 2026 hay obligaciones en vigor, el Ómnibus Digital cambió varias y la ley española está en camino. Qué te aplica, qué no y cómo dejarlo resuelto en una tarde.
Sesión gratuita online · lunes 19 de octubre a las 11:00
IA en tu empresa: lo que ya exige la ley europea (y lo que no). 45 minutos para pymes: formación obligatoria del equipo, transparencia, datos personales y cinco usos que ahorran horas. Con justificante de asistencia.
Reservar plaza gratisRespuesta corta: la «ley de IA» que afecta a una pyme es el Reglamento europeo de Inteligencia Artificial (más la ley española que lo desarrolla, todavía en el Congreso). Si tu empresa usa herramientas de IA (ChatGPT, un copiloto, un asistente en la web), no tienes que inscribirte en ningún registro europeo. Lo que sí te aplica: tomar medidas para que tu equipo sepa usar la IA (artículo 4), avisar cuando alguien habla con una máquina o ve contenido generado con IA (artículo 50) y no usar prácticas prohibidas. Y conviene tener un inventario interno de la IA que usáis: no lo exige ningún registro, pero es tu mejor prueba si alguien pregunta.
Por qué casi nadie tiene que registrar nada
La base de datos de la UE existe, pero está pensada para quien fabrica y vende sistemas de alto riesgo y, en algunos casos, para organismos públicos que los usan. Alto riesgo significa cosas como cribar currículums, decidir créditos, dispositivos médicos o infraestructuras críticas.
Usar una herramienta de terceros para redactar correos, resumir documentos o atender consultas no es eso. En el lenguaje del reglamento eres responsable del despliegue, no proveedor, y tus obligaciones son muchas menos. Para el 95 % de las pymes, la respuesta a «¿me tengo que dar de alta en algún sitio?» es no.
Una excepción a vigilar: si usas IA para seleccionar personal, evaluar a empleados o decidir sobre clientes (crédito, seguros), entras en terreno de alto riesgo. Ahí sí hay obligaciones serias, aunque su aplicación se ha aplazado (ver el calendario).
Qué cambió con el Ómnibus Digital (julio de 2026)
El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital de IA, se publicó en el Diario Oficial el 24 de julio de 2026 y está en vigor desde el 27 de julio. Para una pyme, los cambios que importan son tres:
- La alfabetización en IA se suaviza. Antes había que «garantizar un nivel suficiente» de alfabetización. Ahora hay que tomar medidas que apoyen la alfabetización del personal, y el propio texto aclara que no obliga a garantizar un nivel concreto de cada persona. Sigue siendo una obligación, pero razonable: formar y poder demostrarlo.
- El alto riesgo se aplaza. Los sistemas del Anexo III (selección de personal, crédito, educación, biometría…) pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. La IA integrada en productos regulados (Anexo I), al 2 de agosto de 2028.
- Nueva prohibición: los sistemas que generan desnudos o imágenes íntimas no consentidas y material de abuso infantil. No afecta a un uso empresarial normal, pero conviene saberlo.
Lo nuevo desde el 2 de agosto de 2026: avisar y etiquetar
Desde esa fecha se aplica el artículo 50 del Reglamento, el de transparencia, y ya hay régimen sancionador. El Ómnibus Digital aplazó el alto riesgo, pero no esto. En la práctica, para una pyme:
| Si usas IA para… | Tienes que… | Cómo se hace |
|---|---|---|
| Atender por chat en la web o por WhatsApp | Que la persona sepa que habla con una IA | Que el asistente se presente: «Soy el asistente virtual de…» |
| Coger el teléfono (recepcionista con IA) | Lo mismo, desde el primer momento de la llamada | Una frase al descolgar |
| Publicar imágenes, vídeo o audio creados con IA que parezcan reales | Indicar que son artificiales | Un aviso visible («imagen generada con IA») y, si la herramienta lo permite, la marca de agua digital |
| Publicar textos sobre asuntos de interés público escritos con IA | Indicarlo, salvo que una persona los haya revisado y responda de ellos | Revisión humana con firma, o aviso |
| Redactar correos, ofertas o informes internos | Nada nuevo | Basta con tu revisión y tus normas internas |
Lo más habitual en una pyme es lo primero: un chat o un WhatsApp con IA que no se presenta como tal. Es lo más fácil de arreglar y lo primero que conviene revisar.
¿Y la ley española de IA?
España está tramitando la Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Su función principal es adaptar el Reglamento europeo a España: para la pyme que solo usa IA, lo que hay que hacer sigue siendo lo de esta guía. Lo que sí hace es fijar quién inspecciona (la AESIA, con otras autoridades según el sector) y cómo se sanciona; entre las infracciones que contempla está, precisamente, no etiquetar el contenido generado con IA.
Estado a octubre de 2026: el proyecto se publicó en el Boletín de las Cortes en junio de 2026 y está en tramitación parlamentaria. Mientras tanto, lo que obliga ya es el Reglamento europeo, que se aplica directamente.
El calendario que te afecta
| Fecha | Qué empieza a aplicarse | ¿Te afecta como pyme usuaria? |
|---|---|---|
| 2 feb 2025 | Prácticas prohibidas y alfabetización en IA (art. 4) | Sí: formar al equipo |
| 2 ago 2025 | Normas para los modelos de propósito general (los de OpenAI, Google, Anthropic…) | No directamente: es para quien los fabrica |
| 2 ago 2026 | Aplicación general, transparencia (art. 50) y régimen sancionador | Sí: avisar (ya en vigor) |
| 2 dic 2026 | Marcado de contenido generado con IA para sistemas ya en el mercado | Solo si generas contenido sintético para publicar |
| 2 dic 2027 | Sistemas de alto riesgo del Anexo III | Solo si usas IA para personal, crédito, etc. |
| 2 ago 2028 | IA en productos regulados (Anexo I) | Solo fabricantes |
En España supervisa la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña). Las multas máximas del reglamento son muy altas, de hasta 35 millones o el 7 % de la facturación para las prácticas prohibidas, pero para pymes se aplica la cifra menor de las dos y lo razonable es esperar requerimientos antes que sanciones por un despiste de buena fe.
Lo que sí te aplica, explicado sin jerga
Alfabetización en IA (artículo 4)
Si en tu empresa se usa IA, tienes que tomar medidas para que quien la usa entienda qué hace, dónde se equivoca y qué no debe meter dentro. No dice «haz un curso de X horas»: dice que tomes medidas adecuadas al uso que le dais. En la práctica: formación proporcionada, unas normas internas y constancia escrita de ambas cosas.
Es la obligación más ignorada y también la más útil: casi todos los problemas serios que hemos visto en empresas vienen de alguien usando una herramienta que no entendía.
Transparencia (artículo 50)
- Si una persona habla con una máquina (un asistente de WhatsApp, un chat en la web), tiene que saberlo. Basta con que el asistente se presente como asistente.
- Si publicas imágenes, audio o vídeo generados o manipulados con IA que puedan pasar por reales, hay que indicarlo.
Prácticas prohibidas
Manipular a personas aprovechando sus vulnerabilidades, puntuar socialmente, reconocer emociones de empleados en el trabajo o hacer identificación biométrica masiva. Ninguna pyme normal está ahí, pero el reconocimiento de emociones en el trabajo sí aparece en algunas herramientas de «productividad»: ojo al contratarlas.
Cómo documentar la IA en tu pyme (el inventario)
Aunque no tengas que registrar nada fuera, sí conviene tener un registro dentro. No solo por la ley: no puedes controlar lo que no sabes que existe, y en casi todas las empresas donde entramos aparece IA que la dirección no sabía que se estaba usando.
Con una hoja de cálculo y estas columnas vas sobrado:
| Columna | Ejemplo | Por qué importa |
|---|---|---|
| Herramienta y plan | ChatGPT Business | El plan decide si entrenan con tus datos |
| Quién la usa y para qué | Comercial: borradores de ofertas | Distingue el uso puntual del proceso crítico |
| Qué datos entran | Nombres y precios de clientes | Si hay datos personales, entra el RGPD |
| Quién revisa lo que sale | La persona que envía la oferta | «Nadie» no es una respuesta válida |
| ¿Habla con clientes? | No | Si sí, hay que avisar (art. 50) |
| Formación recibida | Taller interno, 12/09/2026 | Es tu prueba del artículo 4 |
Acompáñalo de media página de normas: qué herramientas están permitidas, qué datos no se meten nunca y quién decide. Tienes una plantilla lista en la política de uso de IA para tu empresa.
Checklist para cumplir en una tarde
- Haz el inventario de arriba. Pregunta al equipo, no lo supongas.
- Pasa las cuentas personales a cuentas de empresa donde haya datos de clientes.
- Escribe las normas internas y compártelas.
- Forma al equipo y guarda constancia: fecha, contenido y asistentes.
- Revisa que tus asistentes se presenten como asistentes.
- Comprueba que tu política de privacidad refleja lo que hacéis. Más detalle en IA y RGPD.
Lo que NO tienes que hacer
- No tienes que inscribirte en ningún registro europeo por usar ChatGPT o un copiloto.
- No necesitas ningún certificado ni sello.
- No hace falta un comité de ética ni un documento de cien páginas.
- No tienes que dejar de usar IA mientras te organizas.
Fuentes: Reglamento (UE) 2024/1689 (artículos 4 y 50); proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG, junio de 2026) de Inteligencia Artificial y Reglamento (UE) 2026/1744 (Ómnibus Digital de IA), publicado en el DOUE el 24/07/2026; comunicación de la Comisión Europea «AI Omnibus enters into force».
\nSi quieres dejarlo hecho con ayuda, mira IA en Regla: auditoría del uso de IA, política, transparencia y formación con registro, y la guía paso a paso de auditoría de IA en la empresa.
¿Buscas la visión general del reglamento (niveles de riesgo, calendario completo y multas)? Está en AI Act: qué es y qué cambia para las empresas.
Preguntas frecuentes
¿Qué es la ley de IA y cómo afecta a las pymes?
Es el Reglamento europeo de Inteligencia Artificial, que se aplica directamente en España (y una ley española que lo desarrolla, en tramitación). A una pyme que usa IA le pide tres cosas: formar a quien la usa (artículo 4), avisar cuando alguien habla con una IA o ve contenido generado con IA (artículo 50) y no usar prácticas prohibidas. No tiene que registrarse en ningún sitio.
¿Qué tiene que hacer una pyme desde el 2 de agosto de 2026?
Cumplir la transparencia del artículo 50: que sus chats, WhatsApp o asistentes telefónicos con IA se presenten como tales y etiquetar las imágenes, vídeos o audios generados con IA que puedan parecer reales. Desde esa fecha también se puede sancionar.
¿Hay una ley española de inteligencia artificial?
Sí, el proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, en tramitación en el Congreso desde junio de 2026. Adapta el Reglamento europeo a España, fija quién supervisa (AESIA) y el régimen de sanciones; para una pyme que usa IA, las obligaciones siguen siendo las del Reglamento.
¿Tengo que registrar la IA que usa mi empresa?
No, si solo usas herramientas de IA de terceros como ChatGPT o un asistente en la web. El registro en la base de datos de la UE es para quien fabrica o comercializa sistemas de alto riesgo y para algunos usos del sector público. Lo recomendable es llevar un inventario interno de la IA que usáis.
¿Qué obligaciones tiene una pyme con el Reglamento de IA en 2026?
Tomar medidas de alfabetización en IA para el personal (artículo 4), informar a las personas cuando interactúan con un sistema de IA o ven contenido generado con IA (artículo 50) y no usar prácticas prohibidas. Si usa IA para selección de personal o decisiones de crédito, las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027.
¿Qué cambió el Ómnibus Digital de IA?
El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, suavizó la obligación de alfabetización (ahora hay que tomar medidas que la apoyen, sin garantizar un nivel concreto), aplazó las obligaciones de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, y prohibió los sistemas que generan imágenes íntimas no consentidas.
¿Quién supervisa el Reglamento de IA en España?
La AESIA, Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. Puede inspeccionar y sancionar desde el 2 de agosto de 2026, junto con otras autoridades sectoriales como la AEPD en lo relativo a datos personales.
¿Cómo documento la IA que usamos en la empresa?
Con un inventario sencillo: herramienta y plan, quién la usa y para qué, qué datos entran, quién revisa el resultado, si interactúa con clientes y qué formación ha recibido el equipo. Se completa con unas normas internas de uso y constancia de la formación.
¿Te avisamos de las novedades?
Un correo cuando haya algo que te afecte: bases del bono de IA, ayudas que abren o cambios en la ley de IA. Nada más.