Regulación IA
AI Act pymes España: Qué tienes que hacer antes del 2 de agosto
2 de julio de 2026 · Jose Antonio Díaz Infante
El Reglamento de IA llegó en febrero de 2025. En agosto la mayor parte de las pymes españolas seguían sin hacer nada. Ahora es julio, quedan dos semanas, y media Madrid sigue creyendo que "se aplazó todo". No. Se aplazó una parte. La que tú probablemente no usas. Este artículo es lo que necesitas leer antes de que alguien de AESIA te llame. Si prefieres ir directo al servicio, aquí tienes la página de AI Act para pymes.
La confusión que te cuesta dinero
El Ómnibus Digital se leyó mal desde el primer titular. Bruselas retrasó la aplicación de las obligaciones más pesadas del Reglamento de IA, las que afectan a los sistemas de alto riesgo listados en el Anexo III: cribado de currículums, scoring crediticio, gestión de infraestructuras críticas, educación reglada. Ese aplazamiento existe y es real.
Lo que no se aplazó es todo lo demás. Ni la transparencia frente al usuario, ni la supervisión nacional, ni la alfabetización en IA de tu plantilla. Y tampoco cambió nada para los productos regulados del Anexo I, que siguen su propio calendario sectorial.
La consecuencia práctica es incómoda: la parte que sí te aplica —porque usas un chatbot, porque generas textos o imágenes con IA, porque tu equipo ya trabaja con herramientas generativas— entra en aplicación el 2 de agosto. La que se aplazó es la que probablemente no usabas.
Ese es el error que cuesta dinero: aplazar un trabajo de dos semanas porque leíste un titular sobre un aplazamiento que no era el tuyo.
Las tres cosas que entran en aplicación el 2 de agosto
Transparencia deja de ser buena práctica
El artículo 50 obliga a que cualquier persona que interactúe con un sistema de IA lo sepa. Si tienes un chatbot en la web, tiene que decir que es un chatbot. Si publicas contenido generado o manipulado con IA, tiene que estar identificado como tal.
Hasta ahora eso era cortesía. A partir del 2 de agosto es una obligación exigible, y la evidencia de que lo cumples es la propia interfaz: el aviso visible, el etiquetado del contenido y la documentación de cuándo lo implantaste.
Hay quién mira ahora
España designó a AESIA como autoridad de supervisión. Deja de ser un reglamento sin destinatario operativo: hay un organismo con competencia para pedirte documentación sobre los sistemas de IA que usas.
En la práctica, la primera pregunta de cualquier revisión no es técnica. Es documental: qué usas, para qué, y desde cuándo. Si no puedes responder por escrito en una tarde, tienes un problema de gestión antes que de cumplimiento.
Se acaba la coartada de la alfabetización en IA
El artículo 4 exige que las personas que operan sistemas de IA en tu empresa tengan un nivel suficiente de formación en IA. No dice qué curso, dice nivel suficiente y proporcional al uso.
Un PDF firmado no es evidencia. Un registro de formación con fechas, contenidos, asistentes y ejemplos de uso real sí lo es. La diferencia entre una y otra cosa son tres horas de trabajo bien hechas.
Las tres respuestas que tu consejo necesita
No hablo de la estrategia de IA. Hablo del inventario real: el chatbot de la web, el asistente que redacta las ofertas, la herramienta que resume llamadas, el plugin que puntúa candidatos, la extensión que alguien instaló sin avisar.
Si el inventario no está escrito, no existe.
Prohibido, alto riesgo, riesgo limitado o mínimo. La mayoría de los sistemas de una pyme caen en riesgo limitado, donde la obligación principal es la transparencia. El problema aparece cuando algo toca personas: selección, evaluación de rendimiento o acceso a un servicio esencial.
Clasificar mal por optimismo es peor que no clasificar.
La única respuesta válida ante una inspección es documental: inventario fechado, clasificación razonada, avisos de transparencia publicados y registro de formación del equipo.
Cumplir sin poder demostrarlo equivale a no cumplir.
Qué hacer en dos semanas
1. Inventario (una tarde)
Recorre departamento por departamento y anota cada herramienta con IA en uso:
- Marketing y ventas (generación de contenido, scoring de leads)
- Atención al cliente (chatbots, resúmenes, respuestas asistidas)
- RR. HH. y administración (cribado, evaluación, ofimática con IA)
2. Clasificación (dos días)
Asigna a cada sistema su nivel de riesgo y escribe en una línea por qué. Marca los que tocan decisiones sobre personas: son los que requieren criterio y, en su caso, revisión humana documentada.
3. Evidencia (una semana)
- Avisos de transparencia publicados y con fecha
- Registro de formación con asistentes, contenidos y casos de uso
- Carpeta única con inventario, clasificación y responsable asignado
La asimetría que casi nadie nombra
Una multinacional tiene un departamento de cumplimiento que lleva meses trabajando en esto. Una pyme de 20 personas tiene a un director general que lo lee un domingo por la noche. La norma, sin embargo, es la misma para ambos: proporcional en la exigencia, idéntica en la obligación.
Esa asimetría se resuelve de una sola manera: con criterio y con documentación mínima viable. No necesitas un sistema de gestión certificado. Necesitas saber qué usas, por qué es legítimo y poder enseñarlo sin improvisar.
El criterio no admite aplazamiento
Los plazos se mueven; el criterio no. Aunque mañana Bruselas retrasara otro bloque, seguirías necesitando saber qué IA usa tu empresa, quién la opera y qué decisiones toma. Eso no es cumplimiento normativo: es gobierno de tu propio negocio.
¿Y si no hago nada?
1. Exposición sancionadora
Las infracciones de transparencia son las más fáciles de detectar: basta abrir tu web. Es el incumplimiento más barato de evitar y el más caro de justificar.
2. Riesgo contractual
Cada vez más clientes corporativos y pliegos públicos preguntan por el uso de IA de sus proveedores. Sin inventario no puedes responder al cuestionario.
3. Coste de hacerlo tarde y con prisa
Lo que ahora son dos semanas ordenadas se convierte, ante un requerimiento, en una reconstrucción improvisada con asesoría externa a precio de urgencia.
Lo que hago en Matrits
Trabajo con pymes españolas de 5 a 50 personas que usan IA a diario y no tienen departamento de cumplimiento. No vendo un informe de 80 páginas: entrego un inventario, una clasificación razonada y la evidencia que necesitarías enseñar mañana.
Dos formatos, según prefieras resolverlo rápido o dejar la capacidad dentro de tu equipo.
Opción 1 — Diagnóstico Expréss (Online)
- 2 horas en videollamada
- Inventario de sistemas, clasificación de riesgo y plan de acción
- Informe ejecutivo con semáforo
- Sello verificable si cumples
300€
Opción 2 — Formación + Implementación (Presencial o Híbrido)
- 3-4 horas presencial en Madrid
- Tu equipo aprende a hacer el inventario y la clasificación
- Documentación lista para una inspección
- Acompañamiento en las primeras semanas
450€
Artículos relacionados
Digital Ómnibus: qué se aplazó y qué no en el AI Act
El aplazamiento afectó a los sistemas de alto riesgo del Anexo III. La transparencia y la supervisión siguen su calendario.
Leer másCómo hacer un inventario de IA en tu pyme
Una tarde basta: recorre marketing, atención al cliente y RR. HH. y anota cada herramienta con IA que ya usáis.
Leer másAlfabetización en IA: obligación vs. realidad
El artículo 4 exige formación demostrable. Ni un curso genérico ni un PDF firmado cuentan como evidencia.
Leer másTL;DR
- El aplazamiento europeo no elimina las obligaciones de transparencia, supervisión y alfabetización en IA.
- Las pymes deben identificar sus sistemas, explicar cuándo usan IA y conservar evidencia del cumplimiento.
- Un plan de dos semanas puede cubrir inventario, clasificación de riesgo y documentación básica.