AI Act y PYMES: lo que debe hacer para cumplir antes de agosto de 2026

Cuando se habla de cumplimiento del AI Act (Reglamento UE 2024/1689), las grandes empresas tecnológicas suelen acaparar el debate. Las PYMES tienden a pensar que esta regulación no les afecta — o todavía no. Es un error que puede salir caro.

El 2 de agosto de 2026, las obligaciones entran en vigor para los sistemas de IA de alto riesgo y los requisitos de transparencia. Una PYME que utilice un software de RRHH con IA, una herramienta de scoring crediticio, un chatbot de atención al cliente o un sistema de selección automatizada es — lo sepa o no — un desplegador en el sentido del AI Act. Las obligaciones se le aplican.

PYMES y AI Act: ¿de quién estamos hablando exactamente?

El AI Act distingue dos roles principales:

• El proveedor: la entidad que desarrolla y comercializa un sistema de IA
• El desplegador: la entidad que utiliza un sistema de IA en el marco de una actividad profesional

La gran mayoría de las PYMES son desplegadoras. No han desarrollado el modelo de IA que utilizan — se han suscrito a un SaaS, integrado una herramienta en su CRM o conectado una API. Pero eso no las exime. El Artículo 26 del reglamento define sus obligaciones con precisión.

Algunas PYMES son también proveedoras: las que desarrollan y comercializan software con IA integrada. En ese caso, los requisitos son considerablemente más exigentes (documentación técnica conforme al Anexo IV, marcado CE, registro en la base de datos de la UE). Este artículo se centra en el escenario más frecuente: la PYME desplegadora.

Paso 1 — Realice un inventario de sus sistemas de IA

No puede cumplir con lo que no ha identificado. La primera acción concreta es elaborar un inventario exhaustivo de todos los sistemas de IA utilizados en su organización:

• Software de RRHH con puntuación automatizada (selección, evaluación del desempeño)
• Herramientas de relación con el cliente que incorporen un chatbot o IA generativa
• Sistemas de scoring crediticio o análisis financiero
• Herramientas de vigilancia o análisis del trabajo de los empleados
• Cualquier solución SaaS que mencione "IA", "machine learning" o "predictivo" en su documentación

Para cada herramienta identificada, anote: el nombre del proveedor, la función exacta de la IA, los datos tratados y las personas afectadas.

Paso 2 — Clasifique los riesgos

Una vez elaborado el inventario, clasifique cada sistema según los niveles de riesgo del AI Act:

• Riesgo inaceptable (prohibido): puntuación social generalizada, manipulación subliminal, ciertos usos biométricos
• Alto riesgo (Anexo III): IA en selección de personal, gestión de empleados, acceso a servicios esenciales, educación
• Riesgo limitado: chatbots, herramientas generativas, deepfakes — se aplican obligaciones de transparencia (Artículo 50)
• Riesgo mínimo: filtros de spam, recomendaciones de contenido — sin obligaciones específicas

La clasificación determina la intensidad de sus obligaciones. Una herramienta de cribado de CVs por IA entra en la categoría "alto riesgo" (Anexo III, sección 4): los requisitos aplicables son sustanciales.

Paso 3 — Cumpla sus obligaciones como desplegador

Para los sistemas clasificados como de alto riesgo, el Artículo 26 exige a los desplegadores:

• Supervisión humana efectiva: las decisiones importantes producidas por el sistema deben poder ser revisadas, impugnadas y corregidas por un humano competente. Este control debe ser real, no meramente formal.
• Conservación de registros: debe conservar los registros automáticos generados por el sistema de IA conforme a sus obligaciones legales, para garantizar la trazabilidad en caso de litigio o inspección.
• Uso conforme a las instrucciones del proveedor: no puede desviar el sistema de su uso previsto. Si el proveedor limita ciertos usos en su documentación, esos límites son vinculantes para usted.
• Información a las personas afectadas: toda persona sujeta a una decisión tomada o influenciada por un sistema de IA de alto riesgo debe ser informada (Artículo 50 y Artículo 26(6)).
• Evaluación de impacto sobre los derechos fundamentales (Artículo 27): obligatoria para los organismos públicos y ciertos operadores de servicios esenciales. Compruebe si se aplica a su sector.

Paso 4 — Gestione la transparencia para todos los demás sistemas

Aunque ninguno de sus sistemas esté clasificado como de alto riesgo, el Artículo 50 se aplica a todas las herramientas que interactúan con personas o generan contenido:

• Un chatbot desplegado en su sitio web debe informar claramente al usuario de que está hablando con una IA
• Una herramienta de generación de contenido (textos, imágenes, vídeos) debe indicar que el contenido es generado por IA
• Cualquier contenido de síntesis de voz que imite una voz humana debe identificarse como tal

Estas obligaciones de transparencia son frecuentemente subestimadas por las PYMES, pero son aplicables desde el 2 de agosto de 2026, cualquiera que sea el nivel de riesgo del sistema.

Paso 5 — Dialogue con sus proveedores SaaS

Como desplegador, tiene el derecho — y la responsabilidad — de verificar que las herramientas que utiliza son conformes. Formule estas preguntas concretas a sus proveedores:

• ¿Su sistema está clasificado como de alto riesgo conforme al AI Act?
• ¿Dispone de documentación técnica conforme al Anexo IV?
• ¿Qué datos de entrenamiento se utilizaron y cómo están documentados?
• ¿Qué mecanismos de supervisión humana proporciona a sus clientes?
• ¿Está registrado en la base de datos de la UE para sistemas de alto riesgo?

Un proveedor que no pueda responder a estas preguntas supone un riesgo de cumplimiento para su organización. Esto debe quedar reflejado en sus contratos.

¿Qué arriesga si no hace nada?

El AI Act establece un régimen de sanciones progresivo:

• Hasta 35 millones de euros o el 7 % de la facturación mundial por prácticas prohibidas (Artículo 99(1))
• Hasta 15 millones de euros o el 3 % de la facturación mundial por incumplimiento de las obligaciones relativas a sistemas de alto riesgo
• Hasta 7,5 millones de euros o el 1 % de la facturación mundial por proporcionar información inexacta a las autoridades

Para las PYMES, el reglamento prevé explícitamente que las autoridades de supervisión tengan en cuenta el tamaño de la organización y los recursos disponibles. Pero no existe exención automática: una PYME no puede ignorar la normativa — solo puede beneficiarse de una aplicación proporcional.

¿Por dónde empezar concretamente?

La buena noticia: no necesita un equipo jurídico dedicado para comenzar. Tres acciones bastan para poner en marcha el proceso:

1. Inventario — enumere todas sus herramientas SaaS y pregúntese si cada una incluye un componente de IA
2. Clasificación — para cada herramienta identificada, determine su nivel de riesgo conforme al Anexo III
3. Documentación — empiece a registrar sus decisiones, procesos de supervisión e intercambios con sus proveedores

Estos tres pasos pueden completarse en pocos días. Constituyen la base de cualquier expediente de cumplimiento sólido — y la prueba, en caso de inspección, de que actuó de buena fe antes de la fecha límite.

El diagnóstico AI Act de AiActo le guía a través de esta clasificación y genera automáticamente los primeros elementos de su expediente de cumplimiento, adaptados a su perfil de desplegador o proveedor.