Ley de IA: plazos y obligaciones para empresas y pymes

Calendario de la Ley de IA tras el ómnibus de 2026

El Reglamento (UE) 2024/1689, conocido como Ley de IA o AI Act, se aplica por fases. En julio de 2026 la UE retrasó parte de los plazos: el Reglamento (UE) 2026/1744, llamado «Digital Omnibus on AI», se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026.

Todo lo fechado hasta el 2 de agosto de 2026 ya se aplica. Las dos últimas filas son las normas de alto riesgo aplazadas, que solo importan si usa IA para alguna finalidad sensible de las que enumera la norma.

Qué cambió el ómnibus de IA y qué no

El ómnibus es una reforma acotada que da más tiempo a la parte más exigente del reglamento, la IA de alto riesgo. Los sistemas autónomos del anexo III, como una IA que preselecciona candidatos o evalúa la solvencia, deben cumplir desde el 2 de diciembre de 2027 en lugar del 2 de agosto de 2026. La IA de alto riesgo integrada en productos regulados (anexo I) pasa del 2 de agosto de 2027 al 2 de agosto de 2028. Son fechas fijas.

No cambian las prácticas prohibidas ni la alfabetización en IA (desde el 2 de febrero de 2025), las normas para modelos de uso general (desde el 2 de agosto de 2025) ni la transparencia del artículo 50 (desde el 2 de agosto de 2026). El único alivio: el marcado del contenido de sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 tiene una transición hasta el 2 de diciembre de 2026.

Qué debe hacer ahora una pyme que usa IA

La mayoría de las pymes y autónomos no desarrollan IA: la usan, ya sea un chatbot en la web, una recepcionista telefónica con IA, un asistente de redacción o funciones de IA del CRM. Para ellos, la Ley de IA significa hoy transparencia con los clientes, alfabetización del equipo y no deslizarse sin darse cuenta hacia usos prohibidos o de alto riesgo.

Para una clínica dental con chatbot de citas, un hotel con atención telefónica por IA o una tienda online que redacta fichas con IA, los pasos 1, 2, 4 y 6 son por ahora todo el trabajo:

• 1. Haga inventario: chatbots, asistentes de voz y telefónicos, funciones de IA del CRM o del software de RR. HH., y herramientas que la plantilla usa por su cuenta, como generadores de texto o imágenes. Anote quién usa cada una y para qué.
• 2. Señale cada punto donde la IA habla directamente con clientes: chat, centralita atendida por IA, respuestas automáticas en mensajería. En todos hace falta un aviso claro.
• 3. Revise las imágenes, audios y vídeos con IA que publica: personas, lugares o hechos de apariencia real que no ocurrieron así deben señalarse como generados o manipulados artificialmente.
• 4. Forme al equipo: quien use estas herramientas debe saber qué hacen, dónde fallan y qué datos nunca deben introducirse. Es su obligación de alfabetización en IA.
• 5. Marque los usos sensibles: si una herramienta ayuda a decidir a quién se contrata, quién obtiene crédito, cómo se evalúa a un alumno o quién accede a un servicio esencial, trátela como posible alto riesgo de cara al 2 de diciembre de 2027.
• 6. Déjelo por escrito: una página con herramientas, avisos y formaciones basta para empezar y le servirá si alguien pregunta.

Chatbot y recepcionista telefónica con IA: el aviso del artículo 50

Desde el 2 de agosto de 2026, las personas deben ser informadas de que interactúan con un sistema de IA. El ómnibus no ha tocado esta obligación.

Formalmente, el artículo 50 reparte obligaciones entre el proveedor, que desarrolla y comercializa el sistema, y el responsable del despliegue, la empresa que lo usa. Pero sus clientes ven su web y oyen su centralita, no las del fabricante: compruebe que el aviso aparece donde ocurre la conversación.

Los expertos recomiendan un aviso visible al inicio, no escondido en la política de privacidad. Por ejemplo:

• Chat de la web: un primer mensaje como «Hola, soy el asistente de IA de la clínica. Puedo ayudarle a pedir o cambiar una cita. Escriba “persona” para hablar con alguien del equipo».
• Recepcionista telefónica con IA: un saludo como «Está hablando con el asistente automático de inteligencia artificial de la peluquería» antes de la primera pregunta.
• Mensajería: la misma frase en la primera respuesta automática.

Alfabetización en IA: obligatoria desde febrero de 2025

El artículo 4 obliga a proveedores y responsables del despliegue a garantizar que su personal, y quienes usan IA en su nombre, tengan un nivel suficiente de alfabetización en IA. Se aplica desde el 2 de febrero de 2025 y el ómnibus no la tocó.

Según la lectura habitual, no impone un temario ni un certificado concretos. En una pequeña empresa suele bastar un enfoque proporcionado con cuatro piezas:

• una sesión breve para cada usuario: qué hace la herramienta, dónde falla, cuándo debe revisar el resultado una persona;
• reglas claras sobre datos, por ejemplo nada de datos de salud, números de DNI ni contraseñas en herramientas de IA públicas;
• una persona responsable que mantiene la lista de herramientas y resuelve dudas;
• una nota fechada de quién se formó y cuándo, actualizada con cada herramienta nueva.

¿Cuándo un uso de la IA pasa a ser de alto riesgo?

Un sistema no es de alto riesgo por ser IA. Lo decide su finalidad: son de alto riesgo los usos que enumera el anexo III del reglamento, o la IA que actúa como componente de seguridad de un producto regulado (anexo I).

Para estos usos, las obligaciones de alto riesgo se aplican desde el 2 de diciembre de 2027. Van mucho más allá del aviso de transparencia y afectan al proveedor y a la empresa usuaria. Si tiene una herramienta de selección o de scoring, pregunte ya al proveedor cómo cumplirá y qué le pedirá a usted.

Ejemplo: una transportista de 30 empleados ordena las candidaturas de conductores con un módulo de IA. Eso es anexo III. Planificar rutas con IA, no.

Para una pyme usuaria de IA, los ámbitos del anexo III más probables son:

• Empleo y RR. HH.: IA que criba, filtra u ordena currículos y candidaturas, o que gestiona trabajadores, por ejemplo asignando tareas o evaluando el rendimiento.
• Crédito: IA que evalúa la solvencia de personas físicas o establece su calificación crediticia.
• Educación y formación: IA que corrige exámenes, evalúa a alumnos o decide admisiones.
• Acceso a servicios esenciales públicos y privados: por ejemplo, IA usada en la evaluación de riesgos de determinados productos de seguro.

Normalmente no es alto riesgo: chatbot de reservas y recepcionista con IA

La mayoría de los usos cotidianos de la IA en una pyme no figuran en el anexo III. Un chatbot que informa del horario y reserva citas, o una recepcionista con IA que responde preguntas frecuentes y toma recados, no realiza ninguna función de la lista. Tampoco redactar textos, traducir o resumir correos.

Eso no las deja fuera de toda norma: siguen sujetas a la transparencia del artículo 50, a la alfabetización en IA y a las prohibiciones, y el RGPD se aplica a los datos personales que traten.

La clasificación depende de la función, no del nombre del producto. Si el mismo asistente pasa a preseleccionar candidatos o a valorar si un cliente puede financiarse, vuelva a evaluarlo; los casos dudosos, con un asesor.

Sanciones, supervisión y apoyo a las pymes

La Ley de IA la aplican las autoridades nacionales de cada Estado miembro. El artículo 99 fija multas máximas escalonadas: el tramo más alto para las prácticas prohibidas y otros inferiores para el resto de infracciones, como dar información incorrecta a las autoridades.

Según varios comentarios jurídicos, a pymes y empresas emergentes se les aplica el menor entre el importe fijo y el porcentaje del volumen de negocio. Compruebe el artículo 99 antes de contar con ello.

También hay apoyo: según el artículo 58, los espacios controlados de pruebas para la IA, entornos de ensayo supervisados por las autoridades, son gratuitos para pymes y empresas emergentes, salvo costes excepcionales recuperables de forma proporcionada.

Esta guía es información general a fecha de octubre de 2026 y no constituye asesoramiento jurídico; consulte su caso con un abogado o con la autoridad nacional competente.