En muchas pymes, la inteligencia artificial ha entrado por varias puertas a la vez.
Marketing utiliza ChatGPT para preparar borradores; RR. HH. prueba una herramienta que ordena candidaturas; TI conecta un modelo externo con el chatbot de la web; y el equipo comercial presenta al cliente una función “con IA” dentro del producto.
Sobre el organigrama parecen cuatro usos de una misma tecnología. Para el Reglamento europeo de inteligencia artificial pueden ser cuatro situaciones distintas.
Para saber qué debe hacer una empresa, hay que responder primero a tres preguntas: qué uso realiza, qué papel ocupa en la cadena de valor y a quién puede afectar el sistema.
Lo esencial
Desde el 2 de agosto de 2026 se aplican, entre otras disposiciones, las obligaciones de transparencia del artículo 50 y comienza una fase más intensa de supervisión.
La alfabetización en IA y las prácticas prohibidas ya se aplicaban desde febrero de 2025.
Las reglas específicas de los sistemas de alto riesgo se han aplazado: diciembre de 2027 para los casos del anexo III y agosto de 2028 para los integrados en determinados productos regulados.
Agosto de 2026 no activa la misma obligación para todas las empresas
El Reglamento (UE) 2024/1689 organiza las obligaciones según el riesgo del sistema y el papel de cada actor. Una empresa puede ser responsable del despliegue —la entidad que utiliza un sistema bajo su autoridad—, proveedora, importadora o distribuidora. El término que el Reglamento emplea en inglés es deployer.
Esta distinción importa más que el tamaño de la empresa. Una pyme que proporciona a su plantilla acceso a un asistente de IA ya comercializado no se encuentra en la misma posición que otra que desarrolla un chatbot y lo comercializa bajo su propia marca.
Tampoco se analiza igual una ayuda para corregir estilo que una aplicación que filtra candidaturas o calcula la solvencia de una persona.
Por eso, antes de consultar la lista de obligaciones, conviene pasar cada caso por un triaje.
El triaje que aclara el Reglamento IA en pymes: usar, integrar o desarrollar
Verde: comprar o utilizar una herramienta de IA
Pensemos en una pyme que facilita a su plantilla licencias de ChatGPT, Copilot o una herramienta de traducción. Normalmente actúa como responsable del despliegue, no como proveedora del modelo.
La Comisión aclara que dar a los empleados acceso a un modelo de IA ya comercializado no convierte al empleador en proveedor.
En este escenario, conviene revisar al menos:
- Si su uso no encaja en una práctica prohibida;
- si el uso puede encajar en una práctica prohibida;
- qué información puede introducirse en la herramienta;
- cómo se protegen los datos personales y la información confidencial;
- qué controles existen sobre propiedad intelectual y seguridad;
- qué usos requieren supervisión humana;
- y qué herramientas utilizan realmente los distintos equipos.
El color verde no significa “sin obligaciones”. Indica que, si el uso es interno, auxiliar y de bajo riesgo, el Reglamento de IA no impone el mismo expediente técnico que a quien comercializa un sistema.
Ámbar: integrar IA en un servicio o producto propio
El nivel cambia cuando la empresa conecta un modelo de un tercero con un chatbot de atención, un recomendador, un software para clientes o un proceso automatizado. Aunque el modelo sea ajeno, la pyme puede estar creando un sistema de IA propio y ponerlo en servicio bajo su nombre.
Aquí hay que precisar:
- Cuál es la finalidad prevista;
- qué funciones puede ejecutar el sistema;
- si el usuario sabe que está interactuando con una IA;
- qué documentación y garantías aporta el proveedor del modelo;
- quién controla los datos, las instrucciones, los registros y las actualizaciones;
- si el sistema genera contenido sujeto a obligaciones de transparencia;
- si la empresa ha introducido cambios sustanciales o ha modificado la finalidad prevista.
El artículo 25 prevé, para sistemas de alto riesgo, que un distribuidor, importador, responsable del despliegue u otro tercero pueda convertirse en proveedor si pone su nombre o marca, introduce una modificación sustancial o cambia la finalidad prevista de modo que el sistema pase a ser de alto riesgo.
Por eso, “integramos un modelo externo” no es suficiente para determinar el papel jurídico de la empresa.
Rojo: desarrollar o comercializar IA bajo el nombre de la empresa
Una empresa que desarrolla un sistema, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio bajo su nombre, puede asumir el papel de proveedora.
En ese caso, el análisis debe comenzar mucho antes de la comercialización: finalidad prevista, clasificación de riesgo, documentación, transparencia, gestión de proveedores y controles aplicables.
Si el sistema interactúa directamente con personas, pueden existir obligaciones de informar al usuario de que está interactuando con una IA, salvo que resulte evidente. También existen obligaciones específicas para determinados contenidos generados o manipulados por IA.
Y cuando se trata de un sistema de alto riesgo, entran en juego requisitos adicionales relacionados, entre otros aspectos, con la gestión de riesgos, los datos, la documentación, los registros, la supervisión humana, la precisión, la solidez y la ciberseguridad.
Pero hay una cuestión importante en 2026: las fechas de aplicación de estas obligaciones específicas se han aplazado.
Tras la aprobación definitiva del AI Omnibus, las reglas de alto riesgo se aplicarán:
- 2 de diciembre de 2027: sistemas independientes de IA de alto riesgo.
- 2 de agosto de 2028: sistemas de IA de alto riesgo integrados en determinados productos regulados.
El aplazamiento concede más tiempo para adaptarse. No elimina la necesidad de analizar la clasificación del sistema ni convierte en irrelevante el trabajo de preparación.
Qué cambia realmente desde el 2 de agosto de 2026
| Fecha | Qué ocurre | Qué debería comprobar una pyme |
| 2 de febrero de 2025 | Comienzan a aplicarse las prácticas prohibidas y la alfabetización en IA. | Que ningún uso de la empresa incurra en prácticas prohibidas. |
| 2 de agosto de 2025 | Se aplican las obligaciones para proveedores de modelos de IA de uso general, con transiciones. | Solo afecta directamente a quien sea proveedor del modelo, no al mero comprador de licencias. |
| 2 de agosto de 2026 | Aplicación general de numerosas disposiciones y transparencia del artículo 50; la Comisión puede hacer cumplir plenamente obligaciones de modelos de uso general ya aplicables. | Chatbots, deepfakes, reconocimiento de emociones, categorización biométrica y textos de interés público; rol y evidencias. |
| 2 de diciembre de 2026 | Finaliza el periodo transitorio previsto para determinadas soluciones de marcado y detección de contenidos generados por IA en sistemas ya comercializados. | Comprobar el régimen transitorio aplicable a cada sistema. |
| 2 de diciembre de 2027 | Comienza la aplicación de las reglas específicas para sistemas independientes de alto riesgo. | Empleo, educación, acceso a servicios, biometría y otros casos enumerados. |
| 2 de agosto de 2028 | Reglas para IA de alto riesgo integrada en determinados productos regulados. | Revisar la interacción entre el Reglamento de IA y la legislación sectorial aplicable. |
¿Qué implica realmente la transparencia del artículo 50?
La novedad más visible de agosto de 2026 es la aplicación de determinadas obligaciones de transparencia del artículo 50.
Pero esto no significa que haya que colocar la etiqueta “creado con IA” en cualquier documento elaborado con ayuda de ChatGPT.
Las obligaciones dependen del tipo de sistema y del contenido generado o manipulado.
Entre otros supuestos, existen obligaciones relacionadas con informar a las personas cuando interactúan con determinados sistemas de IA, con hacer identificables determinados contenidos sintéticos y con informar sobre determinados deepfakes o contenidos de interés público generados o manipulados mediante IA. También existen excepciones y criterios específicos, por ejemplo, en determinados usos de edición o asistencia humana.
Por eso, la pregunta no debería ser simplemente:
“¿Usamos IA?”
Sino:
“¿Qué sistema utilizamos, para qué finalidad y qué obligación de transparencia puede aplicarle?”.
¿Una pyme que solo utiliza ChatGPT está afectada?
Sí, pero normalmente de forma limitada y proporcionada al uso.
Si la plantilla utiliza ChatGPT para traducir, resumir o preparar borradores internos, la empresa es responsable del despliegue.
En ese contexto, debería prestar especial atención a cuestiones como:
- Qué datos se introducen en la herramienta;
- qué información confidencial puede compartirse;
- cómo se revisan las respuestas;
- qué usos están permitidos y cuáles no;
- y qué otros requisitos legales pueden resultar aplicables, especialmente en materia de protección de datos, propiedad intelectual, confidencialidad o seguridad.
La empresa no se convierte por ello en proveedora de ChatGPT ni tiene que comprobar la documentación técnica del modelo como si lo hubiera desarrollado.
Tampoco debe etiquetar automáticamente cada correo o texto de marketing asistido por IA.
La situación cambia si publica un deepfake, difunde texto de interés público sin control editorial o integra la tecnología en un servicio propio.
La formación en IA que conviene poder demostrar
La Comisión ha explicado que no existe un formato único, un examen obligatorio ni la necesidad de obtener certificados individuales. La formación debe adaptarse al conocimiento del equipo, al sistema utilizado, al contexto y a las personas afectadas.
El texto aprobado del Digital Omnibus mantiene el deber de adoptar medidas que apoyen el desarrollo de la alfabetización, pero aclara que la empresa no tiene que garantizar un nivel concreto en cada individuo.
No necesita lo mismo:
- Una persona que utiliza IA para resumir reuniones;
- un técnico que integra un modelo mediante una API;
- una persona de RR. HH. que utiliza IA para apoyar procesos de selección;
- o un equipo de marketing que publica contenidos generados o manipulados mediante IA.
Por eso, más que acumular certificados, resulta útil mantener una trazabilidad de la formación y de las reglas internas de uso.
Por ejemplo:
- Inventario de herramientas y colectivos que las utilizan;
- política interna de uso de IA;
- guías específicas por función;
- fechas y asistentes a las sesiones;
- materiales utilizados;
- revisiones realizadas tras cambios de herramientas o normativa;
- y evidencias de las medidas adoptadas.
El objetivo no es demostrar que todo el mundo ha hecho un curso genérico.
Es poder explicar qué riesgos tiene cada uso y qué medidas ha adoptado la empresa para gestionarlos.
Quién debe liderar la revisión dentro de la pyme
El Reglamento no obliga a nombrar un “responsable de IA” ni a crear un comité específico para cumplir el artículo 4. Aun así, dejar el asunto repartido entre departamentos suele producir inventarios incompletos.
Una estructura proporcionada para una pyme puede ser:
- Dirección: define prioridades, asigna recursos y aprueba los criterios de gestión.
- Calidad o compliance: mantiene el inventario, coordina la revisión y conserva las evidencias.
- TI o responsable del producto: identifica herramientas, arquitectura, proveedores, integraciones y controles técnicos.
- HH.: coordina las necesidades de formación y revisa especialmente los usos relacionados con empleados y candidatos.
- Protección de datos y ciberseguridad: intervienen cuando existen datos personales, información sensible o riesgos específicos de seguridad.
Una persona puede coordinar varias funciones si cuenta con autoridad y apoyo. Lo importante es que cada sistema tenga un propietario, una finalidad documentada y una decisión de riesgo revisable.
¿La ISO 42001 demuestra el cumplimiento del Reglamento de IA?
La ISO/IEC 42001:2023 establece requisitos para implantar y mejorar un sistema de gestión de la inteligencia artificial.
Ayuda a ordenar política, responsabilidades, evaluación de riesgos e impactos, gestión de proveedores, ciclo de vida, seguimiento, auditoría y mejora continua.
Para una empresa que ya trabaja con ISO 9001 o ISO 27001, su estructura facilita la integración.
Sin embargo, implantar o certificar ISO 42001 no demuestra por sí solo el cumplimiento del Reglamento de IA. La norma organiza el sistema de gestión. El Reglamento exige, según el caso, clasificar sistemas, cumplir obligaciones concretas, elaborar documentación, aplicar medidas de transparencia o llevar a cabo evaluaciones de conformidad.
Son cosas relacionadas, pero no equivalentes.
Las normas armonizadas pueden tener un papel específico en la presunción de conformidad con determinados requisitos del Reglamento, pero una certificación ISO 42001 no genera automáticamente esa presunción.
La utilidad de ISO 42001 está, sobre todo, en proporcionar un método sistemático para gobernar la IA, mantener evidencias y revisar los riesgos de forma continua.
Un ejemplo: la misma IA, tres posiciones jurídicas distintas
Imaginemos una empresa de software.
Primero, su equipo utiliza un asistente contratado para resumir reuniones. La empresa utiliza una herramienta de un tercero y debe centrarse en el uso que hace de ella, los datos que introduce, los controles internos y los riesgos asociados.
Después, conecta un modelo externo con el soporte de su aplicación. Ahora debe analizar qué sistema ha construido, cuál es su finalidad, qué información recibe el usuario y qué papel desempeña la empresa respecto de ese sistema.
Por último, vende a otras empresas una herramienta que clasifica candidaturas.
Aquí el análisis cambia sustancialmente. Determinados usos de IA relacionados con el empleo aparecen entre los casos de alto riesgo del Reglamento. Aunque la aplicación de las obligaciones específicas de alto riesgo se haya aplazado, esperar hasta 2027 para empezar a definir responsabilidades, datos, supervisión y controles puede hacer mucho más costosa la adaptación.
La tecnología de base puede ser idéntica. Lo que cambia es la finalidad, la marca, el control y el efecto sobre las personas.
¿Tu empresa usa IA, la integra o también la desarrolla?
Esta es probablemente la primera pregunta que debería hacerse cualquier pyme en 2026.
No para crear inmediatamente un manual de cien páginas.
Sino para identificar qué usos existen realmente y cuáles requieren atención.
El siguiente paso: fijar el alcance antes de crear documentación
Una pyme no necesita comenzar con un manual de cien páginas. Una pyme puede empezar con algo mucho más sencillo:
- Inventariar las herramientas de IA que utiliza.
- Identificar quién las utiliza y para qué.
- Determinar el papel de la empresa en cada caso.
- Analizar si el uso puede estar sujeto a requisitos específicos.
- Priorizar los riesgos y las medidas necesarias.
- Documentar las decisiones y revisarlas cuando cambien las herramientas o sus usos.
De esa revisión saldrán las acciones reales: formación, cláusulas con proveedores, avisos de transparencia, controles técnicos, evaluación de impacto o preparación para el régimen de alto riesgo.
No todas las pymes necesitan lo mismo. Pero todas necesitan saber qué IA están utilizando.
En IDavinci acompañamos ese diagnóstico, diseñamos formación adaptada e implantamos un sistema de gestión conforme a ISO 42001 dentro de nuestro servicio de consultoría de normas ISO.
El punto de partida puede ser sencillo: identificar los usos de IA de la empresa, determinar cuáles conviene revisar primero y definir qué evidencias faltan antes de decidir si tiene sentido implantar o certificar un sistema de gestión.
¿Tu empresa sabe ya cuántas herramientas de IA utiliza y quién es responsable de cada una? Escríbenos y te ayudamos a detectarlo.
idavinci.es te informa que los datos de carácter personal que me proporciones rellenando el presente formulario serán tratados por IDAVINCI IMAGINA S.L. como responsable de esta web. Destinatarios: Los datos no se cederán a terceros salvo en los casos en que exista una obligación legal. En todo caso, los datos que nos facilitas están ubicados en sopeo de Protección de Datos. Derechos: Podrás ejercer tus derechos de acceso, rectificación, limitación y suprimir los datos en info@idavinci.es así como el derecho a presentar una reclamación ante una autoridad de control como se explica en la información adicional.
por 
