El AI Act europeo ya es una realidad que afecta a cualquier pyme que use IA para vender, atender clientes o tomar decisiones operativas. En este artículo práctico de Emilio Andrés Consulting explicamos, paso a paso, qué obligaciones aplicar a tu negocio, qué plazos tener en cuenta y medidas concretas para usar IA sin riesgos legales ni operativos.
Qué es el AI Act y calendario clave
El Reglamento (UE) 2024/1689 —conocido como AI Act— crea un marco europeo basado en el riesgo (prohibido, alto, limitado y mínimo) y persigue seguridad, transparencia y protección de derechos fundamentales. El texto se publicó en el Diario Oficial y el Reglamento entró en vigor el 1 de agosto de 2024; su aplicabilidad es escalonada y muchas obligaciones completas comenzaron a aplicarse a partir del 2 de agosto de 2026. Reglamento (UE) 2024/1689 (AI Act).
Paso 1 — Inventario rápido: ¿dónde usas IA?
Haz un inventario en 48–72 horas: lista herramientas (chatbots, asistentes comerciales, clasificación de leads, analítica predictiva, generadores de contenido) y para cada una anota proveedor, finalidad, datos que procesa y si toma decisiones automatizadas que afectan a clientes o empleados. Este mapa es la base para medir riesgo y obligaciones.
Paso 2 — Clasifica el riesgo y las obligaciones
Clasifica cada uso según el AI Act: soluciones de contratación, scoring crediticio o identificación biométrica suelen ser “alto riesgo” (mayores requisitos); chatbots o generadores de contenidos encajan en riesgos “limitados” por obligaciones de transparencia; algunas prácticas están prohibidas. Revisa también las obligaciones específicas para modelos general‑purpose (GPAI): ciertas obligaciones para GPAI entraron en aplicación previamente (2 de agosto de 2025) y exigen, entre otras cosas, medidas de seguridad y transparencia adicionales para proveedores. Obligaciones para modelos general‑purpose.
Paso 3 — Documentación mínima que debe tener una pyme
Aunque seas pequeño, la documentación reduce riesgo y demuestra diligencia ante una inspección. Documenta:
- Propósito y alcance de cada sistema IA.
- Fuentes de datos y criterios de calidad.
- Evaluación de riesgos (DPIA o evaluación similar para usos que afectan derechos).
- Registros de incidencias y cambios en modelos.
- Instrucciones de uso y controles humanos (human-in-the-loop).
Para las obligaciones de transparencia que aplican a sistemas interactivos o generadores de contenido (etiquetado de IA, información al usuario), la Comisión publicó guías prácticas que empiezan a aplicarse el 2 de agosto de 2026. Guías transparencia (Art. 50).
Paso 4 — Medidas prácticas y costes razonables
Acciones concretas para pymes (prioriza lo fácil y de alto impacto):
- Etiquetado: deja claro al usuario cuando está interactuando con IA (chatbot, respuesta generada, imagen sintética).
- Controles de calidad: muestrea 5–10% de outputs por semana en las etapas críticas (facturación, atención al cliente, ofertas comerciales).
- Contratos con proveedores: exige cláusulas sobre responsabilidad, trazabilidad de datos y apoyo para documentación técnica.
- Backups y versionado de modelos y datos para auditar decisiones.
- Plan corto de contingencia: cómo retirar o degradar un modelo si detectas sesgos o fallos.
Paso 5 — Si usas modelos grandes o servicios en la nube
Los proveedores de GPAI deben publicar, además, un resumen público del contenido de entrenamiento según una plantilla oficial; si trabajas con un proveedor que ofrece un modelo general‑purpose, pide esa publicación y comprueba que exista la Plantilla y nota explicativa (sumario de entrenamiento). Guardar ese comprobante en tus contratos reduce exposición.
Checklist rápido para una pyme (1 semana)
- Inventario de IA y clasificación de riesgo.
- Documento de propósito y datos para cada sistema.
- Cláusulas mínimas en contratos con proveedores.
- Registra muestras de outputs y notas de revisión semanal.
- Plan de acción ante incidencias (retirada, comunicación, remediación).
Recursos útiles
Consulta siempre la versión consolidada del Reglamento y las guías de la Comisión para interpretar obligaciones concretas: texto del AI Act en EUR-Lex y la página de la Comisión sobre el marco regulatorio. Para templates y guías prácticas sobre transparencia y resúmenes de entrenamiento revisa la documentación del AI Office.
Conclusiones
El AI Act pide más documentación, transparencia y control que antes, pero no está diseñado para bloquear a las pymes: con un inventario, una clasificación de riesgo y medidas prácticas (etiquetado, contratos, muestreo y registros) puedes seguir aprovechando la IA reduciendo riesgos legales y operativos. Si necesitas, en Emilio Andrés Consulting ofrecemos auditorías rápidas de cumplimiento para pymes y plantillas prácticas (inventario, cláusulas contractuales y formulario de DPIA adaptado). Actúa ya: el cumplimiento es una ventaja competitiva que protege a tu negocio y a tus clientes.
