Pregunta rápida: ¿cuántas herramientas de inteligencia artificial se usan hoy en tu empresa? La respuesta habitual es «una, ChatGPT». La respuesta real suele ser siete u ocho, porque cuenta el traductor que usa la comercial, el corrector del gestor, el resumen automático de las videollamadas, el chatbot de la web y la función de IA que tu programa de facturación activó en una actualización sin preguntarte.
Ninguna de esas cosas está mal. El problema es otro: nadie lo ha escrito en ningún sitio. No hay una lista, no hay una norma interna, no hay constancia de que al equipo se le haya explicado qué puede y qué no puede meter ahí dentro.
Y desde hace unos meses eso ya no es solo desorden. El reglamento europeo de inteligencia artificial obliga a cualquier empresa que use IA, por pequeña que sea, a poder demostrar que ha hecho algo al respecto. Este artículo explica qué es exigible hoy, qué se ha aplazado, y cómo documentar el uso de la inteligencia artificial en tu pyme con cuatro documentos y ni uno más. Con una plantilla al final para copiar y pegar.
Qué te obliga ya y qué se ha aplazado
El reglamento europeo de IA (el Reglamento UE 2024/1689, lo que todo el mundo llama AI Act) no entró en vigor de golpe: tiene un calendario escalonado. Y en julio de 2026 ese calendario se reescribió con el llamado Ómnibus Digital, el Reglamento UE 2026/1744, publicado el 24 de julio y en vigor desde el 27.
La prensa lo contó como «Bruselas retrasa la ley de la IA». Es verdad a medias, y la mitad que no es verdad es justo la que te afecta a ti.
Lo que ya es exigible
La alfabetización en IA (artículo 4), desde el 2 de febrero de 2025. No se ha aplazado. Dice, en román paladino, que si tu empresa usa sistemas de IA tienes que tomar medidas para que la gente que los maneja sepa lo que está manejando. Aplica a proveedores y a usuarios profesionales, sin umbral de tamaño: un autónomo con ChatGPT entra.
El Ómnibus sí cambió una cosa importante aquí, y conviene entenderla porque juega a tu favor. La redacción original obligaba a garantizar un nivel suficiente de alfabetización; la nueva obliga a adoptar medidas que la apoyen, teniendo en cuenta el contexto de uso. Es decir: ha pasado de ser una obligación de resultado a una obligación de medios. Ya no tienes que demostrar que cada persona de tu plantilla ha alcanzado un nivel; tienes que demostrar qué hiciste. Y eso solo se demuestra de una forma: por escrito.
La transparencia (artículo 50), desde el 2 de agosto de 2026. Esta es la que pilla desprevenida a mucha pyme con web, porque se cumple o no se cumple en la propia página:
- Si tienes un chatbot atendiendo a tus clientes, la persona tiene que saber que está hablando con una máquina. No vale el nombre de pila simpático y nada más.
- Si publicas imágenes, audio o vídeo generados o manipulados con IA, hay que indicarlo.
- Si usas IA para reconocimiento de emociones o categorización biométrica, hay que informar a las personas afectadas.
Para los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 hay un periodo transitorio hasta el 2 de diciembre de 2026 para etiquetar sus resultados. Es decir, dentro de un mes.
Lo que sí se ha aplazado
Las obligaciones duras —evaluaciones de conformidad, documentación técnica, sistemas de gestión de riesgos— son las de los sistemas de alto riesgo, y esas se han movido:
- Sistemas del anexo III (empleo, educación, servicios esenciales, biometría, migración): al 2 de diciembre de 2027.
- Sistemas integrados en productos regulados (maquinaria, sanitarios, juguetes): al 2 de agosto de 2028.
Aquí está el malentendido que hay que deshacer: casi ninguna pyme usa IA de alto riesgo. Lo que se aplazó es lo que no te afectaba. Lo que te afecta —formar al equipo y ser transparente— sigue en pie y además lleva vigilándose desde agosto de 2026.
| Fecha | Qué pasa | ¿Te afecta si eres una pyme? |
|---|---|---|
| 2 feb 2025 | Alfabetización en IA (art. 4) | Sí, ya está en vigor |
| 2 ago 2026 | Transparencia (art. 50) y supervisión de las autoridades | Sí, ya está en vigor |
| 2 dic 2026 | Fin del transitorio para etiquetar contenido de IA generativa | Sí, si publicas contenido generado con IA |
| 2 dic 2027 | Alto riesgo, anexo III | Solo si haces cribado de currículums, scoring o similar |
| 2 ago 2028 | Alto riesgo integrado en productos | Solo si fabricas productos regulados |
¿Y la ley española?
Aquí hay una situación curiosa que merece la pena conocer. España preparó su propia Ley Orgánica para el buen uso y la gobernanza de la IA, aprobada por el Consejo de Ministros el 26 de mayo de 2026 y remitida al Congreso en junio. Era la norma que iba a designar a la AESIA como autoridad supervisora y a fijar las multas en territorio español.
Ese proyecto decayó. El Real Decreto 806/2026, publicado en el BOE el 6 de octubre, disolvió las Cortes y convocó elecciones para el 29 de noviembre de 2026; las nuevas cámaras se constituyen el 23 de diciembre. Los proyectos de ley que estaban en tramitación se caen con la disolución, así que la ley española de IA vuelve a empezar de cero con el próximo Congreso.
Y ahora la parte que importa: eso no te libra de nada. El reglamento europeo es de aplicación directa, no necesita que España lo transponga. Lo que está en el aire es el régimen sancionador nacional, no la obligación. Confiar en que no hay ley española para no hacer nada es exactamente el tipo de cálculo que sale caro cuando la ley llega, porque entonces llega con fechas de aplicación que ya pasaron.
Paso 1: el inventario de herramientas de IA que ya usas
Es el documento más aburrido y el que más sorpresas da. Consiste en una tabla con una fila por herramienta. En la mitad de las empresas en las que lo hemos hecho, ha aparecido al menos una herramienta que la dirección no sabía que se estaba usando.
Cuatro columnas bastan:
- Herramienta y para qué se usa. «Copilot, para redactar correos comerciales».
- Quién la usa. Por puesto, no por nombre.
- Qué datos entran ahí. Esta es la columna crítica. ¿Solo texto genérico? ¿Nombres de clientes? ¿Facturas? ¿Currículums?
- Quién la paga y cuánto. Aprovecha el viaje: casi siempre aparecen suscripciones duplicadas o de gente que ya no está. Lo contamos en detalle en los costes ocultos de la IA para una pyme.
Para hacerlo bien hay que preguntar al equipo directamente y dejar claro que no es una cacería. Si la gente intuye que admitir que usa una herramienta va a traer problemas, el inventario te saldrá precioso y falso.
Si todavía estás decidiendo qué herramientas tiene sentido usar, antes que cuáles documentar, puede ayudarte nuestra selección de herramientas de IA generativa para pymes.
Paso 2: la política interna de uso de IA
Es el documento central, y no tiene por qué ocupar más de dos folios. Una política de veinte páginas que nadie lee cumple menos que una de dos que todo el mundo ha firmado.
Lo que no puede faltar:
| Apartado | Qué tiene que dejar claro |
|---|---|
| Herramientas aprobadas | Cuáles sí y cuáles no. Y a quién se pide permiso para añadir una nueva |
| Qué no se introduce nunca | Datos personales de clientes, datos de salud, credenciales, información bajo acuerdo de confidencialidad, código propietario |
| Revisión humana | Nada generado por IA sale de la empresa sin que una persona lo revise y lo asuma |
| Usos prohibidos | Decisiones sobre personas (selección, evaluación, despidos) sin supervisión; suplantar a alguien; generar contenido engañoso |
| Transparencia hacia fuera | Cuándo hay que avisar al cliente de que hay IA detrás |
| A quién se avisa si algo sale mal | Una persona con nombre y un canal. Sin esto, los incidentes no se reportan |
| Fecha y versión | Parece una tontería y es lo que convierte el documento en prueba |
Esa última fila es más importante de lo que parece. Una política sin fecha no demuestra cuándo adoptaste las medidas, y toda la obligación del artículo 4 va justamente de eso.
Paso 3: acreditar que el equipo sabe lo que maneja
Aquí es donde más gente se bloquea, porque se imagina un plan de formación caro. No hace falta. Lo que la norma pide son medidas proporcionadas al contexto, y en una empresa de ocho personas una medida proporcionada puede ser una sesión de hora y media.
Lo que sí hace falta es que quede rastro. Un registro con tres columnas —fecha, contenido tratado, quién asistió— y los materiales guardados. Si además la gente firma que ha leído la política de uso, ya tienes cubierto el expediente.
Contenido mínimo razonable de esa sesión: qué es y qué no es la IA generativa, por qué se inventa cosas con total aplomo, qué pasa con lo que escribes en el cuadro de texto, y los tres o cuatro casos concretos de vuestro día a día en los que sí conviene usarla.
Paso 4: qué registrar cuando la IA toca datos de clientes
En cuanto una herramienta de IA procesa datos personales, dejas de estar solo en el terreno del reglamento de IA y entras también en el del RGPD, que lleva con nosotros desde 2018 y ese sí tiene multas plenamente operativas en España.
Lo que toca revisar:
- El registro de actividades de tratamiento. Si usas IA para algo que trata datos personales, ese tratamiento debería figurar ahí.
- El contrato de encargado de tratamiento con el proveedor de la herramienta. Las versiones de empresa lo ofrecen; las gratuitas, habitualmente no.
- Dónde se procesan los datos y si se usan para entrenar modelos. En los planes de pago suele poder desactivarse; en los gratuitos, a menudo no.
- La información a los interesados. Si en tu web atiende un sistema de IA, tu política de privacidad debería decirlo.
Cuando los datos son especialmente sensibles y ninguna de estas garantías convence, la alternativa es no sacarlos de casa: es de lo que va la IA privada para empresas, con modelos que funcionan en infraestructura propia.
Plantilla mínima de política de uso de IA
Copia esto, cambia lo que esté entre corchetes, repártelo y haz que lo firmen. Es un punto de partida honesto, no un sustituto del asesoramiento jurídico si tu caso tiene aristas.
Política de uso de inteligencia artificial — [Nombre de la empresa]
Versión 1.0 — [fecha] — Responsable: [nombre y cargo]
1. Para qué sirve este documento. Establece cómo usamos herramientas de inteligencia artificial en [empresa] y qué límites tiene ese uso. Afecta a toda la plantilla y a los colaboradores externos que trabajen en nuestro nombre.
2. Herramientas aprobadas. Solo se pueden usar con fines profesionales las herramientas de la lista aprobada: [lista]. Para incorporar cualquier otra hay que pedirlo a [responsable] antes de usarla, aunque sea gratuita.
3. Información que nunca se introduce. Queda prohibido introducir en estas herramientas: datos personales de clientes, proveedores o empleados; datos de salud, económicos o de menores; contraseñas o claves de acceso; información cubierta por acuerdos de confidencialidad; documentación interna no publicada.
4. Revisión humana. Ningún contenido generado con IA se envía a un cliente, se publica ni se usa para tomar una decisión sin que una persona lo haya revisado. Quien lo firma, lo asume: la responsabilidad del resultado es de la persona, no de la herramienta.
5. Usos prohibidos. No se usará IA para tomar decisiones sobre personas sin supervisión humana (selección, evaluación o despido), para suplantar la identidad de nadie, ni para generar contenido que pueda inducir a error sobre su origen.
6. Transparencia. Cuando un cliente interactúe con un sistema automático lo indicaremos de forma clara. El contenido audiovisual generado o modificado con IA que publiquemos se identificará como tal.
7. Incidencias. Si alguien detecta un uso indebido, un resultado erróneo con consecuencias o una posible filtración de información, lo comunica a [responsable] por [canal] el mismo día.
8. Formación. [Empresa] formará a las personas que usen estas herramientas y dejará registro de cada sesión. Esta política se revisa al menos una vez al año.
He leído y entiendo esta política: [nombre, fecha y firma]
Los tres fallos que vemos más a menudo
Confundir aplazamiento con exención. El titular del verano fue que Europa retrasaba la ley. Lo que se retrasó fue el alto riesgo. La parte que afecta a una pyme normal no solo no se aplazó: desde agosto de 2026 hay autoridades vigilando su cumplimiento.
Escribir la política y no repartirla. Nos hemos encontrado políticas impecables guardadas en una carpeta compartida que nadie había abierto. Un documento que el equipo no ha leído no acredita absolutamente nada, y además no evita el único riesgo que de verdad te va a doler: que alguien pegue el listado de clientes en un chat gratuito.
Olvidar la web. La obligación de transparencia se incumple casi siempre en el mismo sitio: un chatbot que no dice que es un chatbot, o fotos generadas con IA en la página de equipo. Es lo más fácil de arreglar y lo más visible desde fuera, incluido desde fuera por un competidor molesto.
Preguntas frecuentes
¿Esto aplica a una empresa de cinco personas?
Sí. El reglamento europeo no fija un umbral de tamaño para la obligación de alfabetización ni para las de transparencia. Lo que sí tiene en cuenta es el contexto: a una empresa pequeña se le exigen medidas proporcionadas a su tamaño y a su uso de la IA, no un departamento de cumplimiento.
¿Hace falta documentarlo si solo usamos ChatGPT para redactar correos?
Sí, aunque en ese caso basta con poco: el inventario, una política breve y constancia de que al equipo se le ha explicado qué no debe escribir ahí. El esfuerzo es de una tarde.
¿Qué multas hay en España ahora mismo?
El régimen sancionador específico de IA está pendiente: el proyecto de ley que lo fijaba decayó al disolverse las Cortes en octubre de 2026. Pero el RGPD sigue plenamente vigente, y la mayoría de los incidentes reales de IA en una pyme son, en el fondo, incidentes de protección de datos.
¿Vale con un curso online para cumplir el artículo 4?
Un curso ayuda y es una buena prueba documental, pero por sí solo no cumple. La obligación es adoptar medidas adecuadas al uso que tú haces de la IA, así que la formación debería hablar de vuestras herramientas y de vuestros casos, no ser genérica.
¿Con qué frecuencia hay que revisar todo esto?
Una vez al año como mínimo, y además cada vez que incorporéis una herramienta nueva o que una que ya usáis active funciones de IA. Lo segundo pasa más de lo que parece y casi nunca se avisa por adelantado.
Por dónde empezar a documentar la IA en tu pyme
Si tuvieras que hacer una sola cosa esta semana, haz el inventario. Es la que menos cuesta, la que más información da y la que convierte todo lo demás en un trámite: con la lista delante, la política se escribe en una tarde y la sesión con el equipo se prepara sola.
Y si prefieres no empezar de cero, en nuestra consultoría de inteligencia artificial hacemos exactamente este recorrido: levantamos el inventario real, dejamos la política escrita y adaptada a tu actividad, revisamos la web para que la parte de transparencia esté cubierta y formamos al equipo. Sin vender humo y sin un plan de cumplimiento de cincuenta páginas que nadie va a leer.