Cumplir el AI Act siendo pyme se ordena en seis pasos: inventariar los sistemas de IA, clasificarlos por riesgo, formar a la plantilla, redactar la política interna, conservar evidencias y revisar los contratos con proveedores. La formación es la medida central para aplicar el artículo 4 y reducir los errores del equipo.
Las obligaciones concretas de una pyme que usa inteligencia artificial son cuatro: garantizar que su personal tiene un nivel suficiente de formación en IA (artículo 4, aplicable desde el 2 de febrero de 2025); no emplear ninguna de las prácticas prohibidas del artículo 5; informar cuando una interacción o un contenido los genera una máquina (artículo 50, desde el 2 de agosto de 2026); y, si alguno de sus sistemas entra en el Anexo III, cumplir el paquete reforzado de los sistemas de alto riesgo. Los seis pasos de esta guía son la forma de llegar a ellas.
La creencia más extendida entre responsables de pymes es que el Reglamento (UE) 2024/1689 afecta sólo a empresas grandes o a desarrolladoras de IA. No es así. Si tu pyme paga ChatGPT, tiene Copilot integrado en Microsoft 365 o usa cualquier herramienta con IA detrás de un CRM, tu empresa es responsable del despliegue a efectos del Reglamento. Y eso significa obligaciones propias, evidencia documental que conservar y, desde el 2 de agosto de 2026, una autoridad supervisora con capacidad sancionadora real.
He escrito antes sobre la obligación de alfabetización del artículo 4, sobre el calendario actualizado de obligaciones hasta 2028 y sobre el caso particular de la IA en Recursos Humanos y el alto riesgo del Anexo III. Este post es distinto: es la secuencia operativa que conecta todo lo anterior. El checklist canónico que un CEO o un responsable de compliance puede entregar a su equipo el lunes y tener cerrado en tres semanas, sin más documentos de apoyo que los que ya hemos publicado.
Claves en 30 segundos
- El AI Act se aplica a tu pyme aunque sólo uses herramientas de terceros como ChatGPT, Copilot o Gemini.
- No hay umbral mínimo de empleados: el artículo 4 obliga desde el 2 de febrero de 2025.
- El Ómnibus, ya adoptado, amplía algunos plazos de alto riesgo hasta diciembre de 2027 y agosto de 2028.
- Como orientación de Iacta Studio, una pyme media puede organizar la primera fase en unas 25-40 horas internas.
- El artículo 99 contempla multas de hasta el 3 % para determinadas infracciones de operadores; el artículo 4 puede sancionarse conforme al régimen nacional.
¿Qué significa «cumplir el AI Act» para una pyme?
Cumplir el AI Act, para una pyme española que no desarrolla IA propia, significa cumplir las obligaciones del responsable del despliegue previstas en el Reglamento. Si llegas sin contexto previo, conviene empezar por el AI Act explicado para empresas y volver luego a esta checklist. Es decir: usar la IA de forma documentada, formar a quien la maneja, vigilar el riesgo del caso de uso concreto y conservar evidencia razonable de todo lo anterior.
El Reglamento se construye sobre cuatro niveles de riesgo: prohibido, alto riesgo, riesgo limitado y riesgo mínimo. Cada nivel tiene un paquete distinto de obligaciones. La mayoría de las pymes operan en riesgo limitado o mínimo (chatbots de atención, generación de texto, asistentes de productividad). Pero hay categorías que se cuelan en alto riesgo casi por accidente: cribado automatizado de currículos, evaluación de empleados con IA, scoring de clientes, biometría en control de acceso. Esto está literalmente en el Anexo III del Reglamento y conviene leerlo antes de afirmar que tu pyme no está afectada.
La formación es la medida central para cumplir la obligación de alfabetización y reducir los errores del equipo. Su eficacia aumenta cuando se conecta con un inventario de herramientas, criterios internos de uso y evidencias documentales. Así, el curso se convierte en la primera capa de un sistema de gobernanza proporcionado al tamaño y a los riesgos de la pyme.
Checklist de 6 pasos para cumplir el AI Act en tu pyme
Esta es la secuencia diseñada para pymes sin departamento legal interno, para que la dirección pueda asignarla a una persona responsable con tres semanas por delante.
1. Inventariar todos los sistemas de IA que usa la empresa
El primer paso es saber qué tienes. Sin inventario, todo lo demás es decoración.
Bloquea una mañana con tu responsable de IT y de RRHH. Lista todas las herramientas con IA en uso, incluidas las que entran por la puerta de atrás: transcriptores de reuniones, asistentes de correo, plugins de navegador, IA dentro del CRM, generadores de imagen del equipo de marketing, módulos de análisis de RRHH. Cada herramienta entra al inventario con cinco campos: nombre, proveedor, finalidad concreta, responsable interno, datos que procesa. Una hoja de cálculo basta.
Lo que casi siempre aparece en este paso es shadow IA: herramientas que están funcionando en la empresa sin que la dirección sepa que están ahí. Ese es justamente el riesgo que el AI Act intenta cerrar. Si el inventario te sale con quince herramientas y sólo conocías cinco, has descubierto el problema en el primer paso. Y has hecho lo más importante. Si quieres profundizar el ángulo, escribimos sobre esto en Shadow AI: el riesgo invisible que ya está dentro de tu empresa.
2. Clasificar cada sistema por nivel de riesgo
Con el inventario delante, toca aplicar la lógica del Reglamento. Pregúntate, sistema por sistema:
- ¿Está en la lista de prácticas prohibidas del artículo 5? (Manipulación, social scoring, reconocimiento emocional en el trabajo, scraping masivo de imágenes faciales.) Si la respuesta es sí, fuera del día uno.
- ¿Está en alguno de los ocho ámbitos del alto riesgo del Anexo III? (Educación, empleo, servicios esenciales públicos y privados, aplicación de la ley, migración, justicia, biometría, infraestructuras.) Si la respuesta es sí, te aplica el régimen reforzado del Capítulo III.
- ¿El sistema interactúa con personas, genera contenido sintético o produce una ultrasuplantación? Revisa las obligaciones específicas de transparencia del artículo 50; su alcance depende del sistema y del contenido.
- Si nada de lo anterior, estás en riesgo mínimo. El régimen es voluntario salvo el artículo 4 (formación), que te obliga igual.
Para una pyme tipo, lo más habitual es tener una mezcla: ChatGPT y Copilot en riesgo mínimo, un chatbot web en riesgo limitado con obligación de transparencia, y, ojo, alguna herramienta de RRHH que sin saberlo está en alto riesgo. Si tu empresa usa software que filtra currículos, evalúa rendimiento o decide ascensos con apoyo de IA, conviene que revises el caso de RRHH y AI Act antes de cerrar este paso.
3. Cumplir el artículo 4: formar a quien usa IA en la empresa
El artículo 4 obliga desde el 2 de febrero de 2025 a «garantizar un nivel suficiente de alfabetización en materia de IA» del personal que usa estos sistemas en nombre de la empresa. La obligación es directa, sin umbral mínimo de empleados, y la confirma la FAQ oficial de la Comisión Europea sobre AI Literacy actualizada en noviembre de 2025.
El cómo está cubierto en detalle en el post sobre el artículo 4 del AI Act, incluyendo la matriz operativa por roles y la documentación que conviene conservar. Para que este checklist funcione, basta con que el responsable interno cierre tres decisiones esta semana:
- Quién forma. Interno o externo. Si es interno, exige competencia acreditable. Si es externo, valora si quieres bonificarlo vía FUNDAE.
- Cuándo se imparte. Una primera oleada para la plantilla general en menos de un mes. Las formaciones específicas por rol (RRHH, IT, ventas) en el trimestre siguiente.
- Cómo se documenta. Lista de asistencia, programa, materiales, evaluación y certificado. Estos elementos permiten acreditar a quién se formó, cuándo y sobre qué riesgos.
4. Redactar y firmar una política interna de uso de IA
La política interna es el documento que convierte el problema colectivo en compromiso individual. Una pyme sin política firmada por sus empleados está delegando la gestión del riesgo en cada persona del equipo, que es exactamente lo que el AI Act intenta evitar.
La política tiene que cubrir, como mínimo, siete bloques:
- Qué herramientas están autorizadas y cuáles no (el inventario del paso 1, en versión publicable).
- Qué se puede subir a esas herramientas y qué nunca: datos personales sin base legal, secretos empresariales, código propietario, información sometida a deber de confidencialidad.
- Cómo se etiqueta el contenido generado por IA que sale fuera de la empresa (artículo 50).
- Quién supervisa los outputs en los casos de uso sensibles (revisión humana obligatoria).
- Cómo se reportan los incidentes (alucinación grave, fuga de datos, output discriminatorio) y a quién.
- Cómo se actualiza la política cuando cambia un proveedor o se incorpora una herramienta nueva.
- Consecuencias internas del incumplimiento.
La política debe comunicarse de manera verificable. La firma o aceptación expresa de cada empleado refuerza su aplicación interna y deja constancia de que la persona recibió las instrucciones. Este es uno de los documentos centrales del material de Iacta Studio sobre política de uso de IA.
Si la empresa todavía no ha formado a su equipo, este punto conviene resolverlo pronto: una formación en IA para empresas bien documentada ayuda a cubrir la alfabetización del AI Act y deja evidencia útil para auditorías internas o inspecciones. Si dudas qué formación elegir, te explicamos qué debe incluir un curso AI Act.
5. Designar responsable interno y mantener evidencia documental
Cumplir el AI Act es una obligación de accountability, igual que el RGPD. No basta con cumplir: hay que poder demostrarlo. Y para demostrarlo necesitas dos cosas que casi nunca están: una persona responsable y un dossier vivo.
El responsable interno no tiene que ser un perfil técnico. Tiene que ser alguien con autoridad para decir no, tiempo para mantener el inventario, y línea directa con dirección. En una pyme suele ser el responsable de compliance, el director de operaciones o, en empresas pequeñas, el propio CEO. Lo importante es que la decisión esté escrita.
El dossier vivo se compone de cuatro carpetas en la nube de la empresa:
- Inventario de sistemas (paso 1) revisado trimestralmente.
- Plan de alfabetización por roles (paso 3) con calendario y responsables.
- Registro de asistencia y evaluación de cada formación.
- Política firmada por cada empleado (paso 4) con versionado claro.
Si AESIA llamase mañana, esto es lo que tu empresa enseña. Sin inventos, sin reconstrucción a posteriori. La evidencia documental es barata de mantener desde el día uno e imposible de reconstruir si te la piden por sorpresa.
6. Revisar los contratos con proveedores y el cumplimiento RGPD cruzado
El último paso es el que casi nadie hace y el que más nos protege en la práctica.
Cada herramienta de IA externa que usa tu pyme tiene un contrato detrás: condiciones de servicio, política de privacidad, anexo de tratamiento de datos. Tres preguntas legales que conviene formular a cada proveedor antes de seguir usando su producto en producción:
- ¿El proveedor trata datos personales por cuenta de la empresa? Cuando actúe como encargado, debe revisarse y formalizarse el contrato previsto en el artículo 28 del RGPD.
- ¿Dónde se procesan los datos y se entrenan los modelos? Si hay transferencia internacional fuera del EEE sin garantías adecuadas, el cruce RGPD–AI Act se complica.
- ¿El proveedor utiliza tus datos para entrenar o mejorar sus modelos? Revisa la configuración, las condiciones contractuales y las opciones empresariales que limiten usos secundarios.
Si tu sistema cae en alto riesgo según el Anexo III, la revisión contractual es más exigente: necesitas asegurar que el proveedor cumple las obligaciones del Capítulo III del AI Act que te trasladan a ti como responsable del despliegue. En riesgo mínimo, basta con tener los DPAs en orden y la política de privacidad compatible.
Aquí es donde el AI Act y el RGPD se cruzan de verdad. Son un solo cumplimiento con dos capas. El artículo 22 del RGPD sobre decisiones automatizadas, las resoluciones de la AEPD sobre uso de IA en RRHH y las obligaciones de transparencia del artículo 50 del AI Act se leen juntas o no se leen.
Calendario: qué tienes que tener listo y cuándo
Las obligaciones del AI Act se activan en fases. Estas son las cinco fechas que afectan a una pyme española y lo que conviene tener cerrado en cada una.
El Ómnibus ya ha completado su aprobación formal (Parlamento, 16 de junio de 2026; Consejo, 29 de junio) y queda pendiente de publicación en el Diario Oficial de la Unión Europea.
Consulta el calendario actualizado del AI Act en España 2025-2028 para distinguir las fechas vigentes de los cambios acordados en el Ómnibus.
Errores típicos al intentar cumplir el AI Act siendo pyme
Estos son los cinco fallos más habituales cuando una pyme llega al cumplimiento del AI Act con el proceso a medias.
Dejar la formación aislada. Una formación bien diseñada cubre la obligación de alfabetización en IA y constituye una de las evidencias más importantes. Conectarla con el inventario, la política, el responsable y el dossier multiplica su valor preventivo y probatorio.
Saltarse el inventario porque «ya lo tenemos en la cabeza». No. Lo que no está escrito no existe a efectos de inspección. El inventario es el documento que articula todo lo demás.
Asumir que el proveedor cumple por ti. OpenAI, Microsoft o Google cumplen sus obligaciones de proveedor. Tú cumples las tuyas de responsable del despliegue. Son ámbitos distintos del Reglamento y no se compensan.
Esperar a agosto de 2026 para empezar. El artículo 4 está vigente desde febrero de 2025. Llegar a una inspección o incidente sin formación ni evidencias aumenta la exposición de la empresa; haber formado al equipo y conservar la documentación permite acreditar una actuación preventiva.
Tratar el cumplimiento como un proyecto que termina. No termina. Cumplir el AI Act es mantenimiento. Cada herramienta nueva entra al inventario, cada empleado nuevo firma la política, cada cambio de proveedor activa una revisión contractual. La empresa que entiende esto desde el día uno se ahorra el doble trabajo de reconstruir el sistema cuando llega la primera incidencia.
Cuánto tiempo te lleva esto realmente
Hablo de horas internas, no de coste externo, porque el coste externo depende de si subcontratas formación, asesoría legal o ambas.
Para una pyme de 10 a 50 empleados sin sistemas de alto riesgo: entre 25 y 40 horas internas distribuidas en tres semanas. Inventario y clasificación: 6-8 horas. Plan de formación y arranque del primer curso: 10-15 horas. Política de uso y firmas: 4-6 horas. Revisión contractual con proveedores principales: 4-6 horas. Designación de responsable y montaje del dossier: 1-2 horas.
Para una pyme de 50 a 200 empleados con algún sistema de alto riesgo: entre 60 y 100 horas internas en cuatro a seis semanas, con apoyo legal externo en el bloque de alto riesgo y en la revisión contractual. Aquí ya tiene sentido externalizar la elaboración de la política y la auditoría inicial, porque el coste de un error en alto riesgo supera al de la consultoría preventiva.
Si tu empresa pasa de 200 empleados o tiene exposición regulatoria adicional (sanidad, banca, educación), el cumplimiento del AI Act se cruza con compliance penal y RGPD reforzado. Ahí ya estamos hablando de un proyecto de compliance integral que desborda cualquier checklist.
Preguntas frecuentes sobre cómo cumplir el AI Act en una pyme
¿Una pyme de menos de 50 empleados está obligada a cumplir el AI Act?
Sí. El AI Act no establece umbral mínimo de tamaño. Si tu empresa utiliza sistemas de IA bajo su propia autoridad, está obligada como responsable del despliegue. El esfuerzo de cumplimiento es proporcional al volumen y a los casos de uso, pero la obligación es la misma.
¿Cumplir con el RGPD basta para cumplir con el AI Act?
No. RGPD y AI Act regulan cosas distintas y se complementan. El RGPD protege datos personales. El AI Act protege a las personas frente a sistemas de IA, procesen o no datos personales. Hay obligaciones del AI Act (formación, transparencia, riesgos no relacionados con datos) que el RGPD no cubre.
¿Qué pasa si nuestra pyme no tiene presupuesto para asesoría legal externa?
El núcleo del checklist (inventario, clasificación, política básica, formación) se puede ejecutar internamente con tiempo y rigor. Lo que conviene externalizar es la revisión de sistemas potencialmente de alto riesgo y la auditoría inicial. La formación es bonificable FUNDAE y reduce la inversión efectiva.
¿Cuándo nos pueden sancionar realmente?
El régimen general de supervisión comienza el 2 de agosto de 2026. El artículo 99 contempla multas de hasta 15 millones de euros o el 3 % para determinadas infracciones de operadores, mientras que el artículo 4 puede sancionarse conforme al régimen nacional. El proyecto español todavía no asigna expresamente el artículo 4 a un tramo concreto y debe completar su tramitación parlamentaria.
¿Tenemos que registrar nuestros sistemas de IA en algún registro oficial?
Para sistemas de alto riesgo del Anexo III sí: el artículo 49 del Reglamento establece obligación de registro en la base de datos de la UE. Para sistemas de riesgo limitado o mínimo no hay registro oficial, pero sí hay que mantener inventario interno.
¿La política de uso de IA tiene que ser distinta para cada empresa?
Sí. Las plantillas genéricas pueden servir como punto de partida, pero la política tiene que reflejar las herramientas concretas que usa tu pyme, los flujos reales de trabajo y los casos de uso sensibles del sector. Una política copiada sin adaptar es un papel sin valor probatorio.
¿Si subcontratamos el desarrollo de IA a un tercero, cumple él por nosotros?
No. El proveedor cumple sus obligaciones de proveedor; tu empresa cumple las suyas de responsable del despliegue. Lo que sí puedes hacer es asegurar contractualmente que el proveedor te traslada la información necesaria (documentación técnica, evaluación de conformidad, registros) para que tú puedas cumplir las tuyas.
Una reflexión antes de cerrar
El AI Act no es un examen de conocimientos sino una obligación de gobernanza, y esa distinción importa. La diferencia importa. El examen lo apruebas leyendo. La gobernanza la construyes haciendo. A la mayoría de las pymes españolas se les ha vendido el AI Act como un curso de cinco horas en lugar de como lo que realmente es: un sistema mínimo de gestión que cabe en una hoja de cálculo, una carpeta y dos reuniones al trimestre.
Si esto se hace bien desde el día uno, el coste de cumplir es bajo y el beneficio operativo es alto. Si se hace tarde y mal, el coste de reconstruirlo cuando llega la primera incidencia es desproporcionado. La distancia entre las dos historias son tres semanas y una persona responsable.
¿Quieres saber en qué punto está tu pyme respecto al checklist y por dónde conviene empezar? Desde Iacta Studio ofrecemos un diagnóstico inicial sin coste y sin compromiso. Puedes reservarlo desde el menú superior.
