AI Act: qué obliga realmente a una pyme española
La mayoría de empresas no desarrollan IA: la usan. Esa diferencia cambia por completo lo que el Reglamento Europeo de IA les exige. Aquí está lo que sí aplica a una pyme y lo que no, sin alarmismo y sin lenguaje jurídico innecesario.
Proveedor o usuario: la distinción que lo decide todo
El Reglamento separa a quien desarrolla y comercializa un sistema de IA (proveedor) de quien lo utiliza en su actividad (responsable del despliegue). Si tu empresa usa un asistente comercial o un agente que clasifica correo, estás en el segundo grupo, con obligaciones muy inferiores.
Pasas a ser proveedor si pones tu nombre a un sistema de IA y lo ofreces a terceros, o si modificas sustancialmente uno existente y lo comercializas.
Las obligaciones que sí aplican a casi cualquier empresa
- Alfabetización en IA: el personal que usa estas herramientas debe tener formación suficiente sobre su funcionamiento y sus límites.
- Transparencia con las personas: si un cliente interactúa con un sistema automático, debe poder saberlo.
- Supervisión humana en las decisiones que afectan a personas: selección de personal, evaluación, acceso a servicios.
- No usar prácticas prohibidas: puntuación social, inferencia de emociones en el trabajo, manipulación del comportamiento.
Lo que se considera alto riesgo (y probablemente no te aplica)
El alto riesgo se concentra en usos concretos: criba de currículos y decisiones laborales, acceso a crédito o seguros, educación, infraestructuras críticas y componentes de seguridad de productos. Un agente que redacta informes internos o clasifica facturas no entra ahí.
Si tu caso sí entra, la carga sube: gestión de riesgos, calidad de datos, registro de eventos y evaluación de conformidad. Conviene saberlo antes de construir, no después.
La documentación mínima que deberías tener
- Inventario de sistemas de IA en uso, con responsable de cada uno.
- Política interna de uso de IA: qué datos se pueden introducir y cuáles no.
- Registro de la formación impartida al equipo, con fechas y asistentes.
- Trazabilidad de lo que ejecutan los agentes: quién lo lanzó, con qué datos y qué devolvió.
- Cláusula informativa cuando hay interacción automática con clientes.
Por qué conviene resolverlo al montar el primer agente
Documentar a posteriori cuesta el triple y obliga a reconstruir decisiones que nadie recuerda. Si la política de uso, el inventario y la trazabilidad se definen mientras se diseña el primer agente, el cumplimiento sale casi gratis y además mejora el propio sistema: obliga a tener claro qué datos toca y quién responde de él.