AI Act: las obligaciones que ya afectan a tu empresa

Hay una lectura muy extendida del Reglamento Europeo de Inteligencia Artificial que dice, más o menos, que es un problema de las grandes tecnológicas. Es cómoda y es falsa. El texto reparte obligaciones por el papel que juegas, no por tu tamaño, y el papel de casi todas las empresas españolas —«usamos herramientas de IA que ha hecho otro»— tiene deberes propios desde febrero de 2025.

Esta guía no es un resumen del Reglamento: son 113 artículos y no necesitas leerlos. Es la lista de lo que te aplica si tú no fabricas IA, solo la usas, con las fechas reales y un plan para cerrarlo en un mes.

La confusión de base: esto no va solo de quien fabrica IA

El Reglamento define varios papeles. Los dos que importan aquí:

Si tu empresa tiene licencias de ChatGPT Business, Copilot o Claude y la gente las usa para trabajar, eres responsable del despliegue. No te toca auditar el modelo ni explicar con qué datos se entrenó: eso es del proveedor. Te tocan tres cosas concretas que sí están en tu mano y de las que hablamos a continuación.

Y hay una trampa que conviene conocer: si coges un sistema de otro y lo pones en el mercado con tu marca, o le cambias la finalidad prevista, dejas de ser responsable del despliegue y pasas a ser proveedor, con todo el paquete. Montar un chatbot sobre la API de un tercero y publicarlo como «el asistente de [tu empresa]» está más cerca de esa frontera de lo que parece.

Qué está en vigor y qué se ha aplazado

El calendario se ha movido y las noticias sobre el movimiento han generado más confusión que el calendario original. El estado a septiembre de 2026:

El aplazamiento afecta a los sistemas de alto riesgo: los que deciden sobre acceso al empleo, a la educación, a servicios esenciales o al crédito. Si estás usando IA para cribar currículums, eso es alto riesgo del anexo III y tienes margen hasta finales de 2027 para el paquete completo de obligaciones.

Lo que no se ha aplazado es todo lo demás. Las tres obligaciones transversales —artículo 4, artículo 5 y artículo 50— siguen exactamente donde estaban, y son las que afectan a la empresa que no hace nada de alto riesgo.

Artículo 4: formar al personal no es opcional

El artículo 4 es corto y por eso se lee mal. Obliga a proveedores y responsables del despliegue a adoptar medidas para garantizar que su personal —y cualquiera que opere los sistemas por su cuenta— tenga un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta sus conocimientos previos y el contexto en que se van a usar los sistemas.

Tres cosas que la gente da por hechas y no están en el texto:

• No fija horas ni temario. No hay un mínimo de cuatro horas ni un programa oficial que puedas comprar y dar por cumplido.
• No exige certificado ni proveedor externo. Puedes formar en casa. Lo que necesitas es poder demostrar que lo has hecho.
• No es un curso único. «Nivel suficiente» es un estado, no un evento. Quien entra nuevo en la empresa también tiene que llegar a ese nivel.

La ausencia de mínimos es lo que desconcierta a todo el mundo, y es intencionada: el Reglamento está escrito para ser proporcional. La consecuencia práctica es que no puedes cumplir por defecto, pero tampoco hace falta desplegar un máster. Lo que se te va a pedir en una inspección es evidencia de que has valorado tus usos concretos y has formado en consecuencia: un registro de quién ha recibido qué, cuándo, y sobre qué sistemas.

Qué cuenta como alfabetización y qué no

Un vídeo genérico de veinte minutos sobre «qué es la inteligencia artificial» y un test de cinco preguntas cumple el trámite y no cumple la norma, porque no está referido a tus sistemas ni a tus riesgos. Lo que sí funciona, ordenado de más a menos importante:

1. Qué herramientas están aprobadas y cuáles no. Nombres concretos, y qué hacer si alguien quiere usar una que no está en la lista. Sin esto, lo demás es teoría.
2. Qué datos no entran nunca. Datos personales de clientes, información sujeta a contrato de confidencialidad, credenciales. Con ejemplos de tu negocio, no del negocio de nadie.
3. Qué límites tiene la herramienta. Que inventa citas y cifras con total aplomo, que no sabe lo que pasó la semana pasada si no se lo das, que dos preguntas iguales pueden dar respuestas distintas.
4. Quién revisa qué antes de que salga. Un criterio explícito de supervisión humana según lo que esté en juego.
5. Cómo se avisa de un problema. Un canal, una persona y la garantía de que avisar no tiene coste personal.

Los puntos 1, 2 y 4 probablemente ya estén escritos si tienes una política de uso de IA. Si no la tienes, escríbela primero: la formación es el vehículo, la política es el contenido. Está desarrollada en la guía de política de uso de IA en la empresa, y la parte de datos de clientes, en usar IA sin filtrar datos de clientes.

Artículo 50: avisar que es una IA y marcar lo que genera

El artículo 50 es el que entró en aplicación general el 2 de agosto de 2026 y el que más gente tiene incumplido sin saberlo. Cuatro supuestos, de los que a una empresa normal le afectan sobre todo los dos primeros:

Dos matices que evitan la sobrerreacción. El primero: la obligación de revelar en el cuarto supuesto decae si una persona revisa el contenido y alguien asume la responsabilidad editorial. Un blog corporativo con borrador de IA y revisión humana firmada no necesita un aviso en cada entrada. El segundo: el marcado legible por máquina es una obligación del proveedor del sistema generador, no tuya. Lo tuyo es no quitarlo.

Donde sí tienes trabajo directo es en el chatbot. Si tienes uno en la web, ábrelo ahora y comprueba si el primer mensaje deja claro que no es una persona. «Hola, soy Ana, ¿en qué te ayudo?» no lo deja claro. Y en las plantillas de correo automático que firma un nombre humano, tampoco.

Las prácticas prohibidas que sí te pueden pillar

El artículo 5 suena a ciencia ficción distópica —puntuación social, manipulación subliminal— y por eso casi nadie lo lee entero. Hay dos prohibiciones que una empresa corriente puede pisar sin proponérselo:

• Reconocimiento de emociones en el trabajo o en centros educativos. Incluye herramientas de análisis de sentimiento sobre entrevistas grabadas o llamadas de ventas cuando puntúan el estado emocional de la persona. Analizar el contenido de una llamada es una cosa; inferir emociones del empleado, otra.
• Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, creencias, vida sexual u orientación sexual.

Estas dos no se han aplazado, están en vigor desde febrero de 2025 y son las que llevan la sanción más alta del Reglamento.

Cuánto cuesta no hacerlo

Se aplica la cifra mayor de las dos, salvo para pymes y empresas emergentes, donde se aplica la menor. Y la autoridad tiene que ponderar gravedad, duración, cooperación, si hubo intención y si es reincidencia, así que el tope no es la sanción esperada de un chatbot sin aviso.

Con todo, el riesgo económico realista para una pyme no es la multa. Es la cláusula de cumplimiento normativo de un contrato con un cliente grande, que te va a pedir por escrito que acredites la alfabetización de tu personal mucho antes de que llame ninguna autoridad. Ese es el motivo práctico para tener el registro hecho.

El inventario: el documento del que sale todo lo demás

Todo lo anterior se vuelve manejable en cuanto tienes una tabla. Una hoja, una fila por sistema de IA en uso:

sistema | proveedor | quién lo usa | para qué | ¿datos personales? |
¿interactúa con clientes? | ¿genera contenido que se publica? |
¿decide sobre personas? | responsable

Rellenarla lleva un par de tardes y produce tres respuestas de golpe: la lista de herramientas aprobadas para la formación, los sistemas que activan el artículo 50 (columnas 6 y 7) y los candidatos a alto riesgo (columna 8). Además destapa lo que nadie había registrado, que suele ser bastante: la extensión que alguien instaló en el navegador, el bot de transcripción que se cuela en las reuniones, la cuenta personal de una herramienta que se usa para trabajo.

Empieza por preguntar, no por auditar. Si el inventario se percibe como cacería, la mitad de los usos no se declaran y te queda un documento que certifica una realidad falsa.

Plan de 30 días

1. Semana 1 — Inventario. La tabla de arriba, preguntando por equipos. Sin juicio, solo censo.
2. Semana 2 — Política. Herramientas aprobadas, datos que no entran nunca, qué se revisa antes de salir y a quién se avisa. Dos folios bastan.
3. Semana 3 — Transparencia. Repasa chatbots, formularios automáticos y contenido publicado contra la tabla del artículo 50. Ajusta los avisos donde falten.
4. Semana 4 — Formación y registro. Una sesión por área, con los prompts y los casos de esa área. Y un registro con fecha, asistentes y material entregado: eso es la evidencia.

Un aviso final sobre el orden. La tentación es empezar por la formación, porque es la obligación que se nombra y la que se puede subcontratar. Hacerlo así produce sesiones genéricas que no acreditan nada, porque no están referidas a los sistemas que de verdad usas. El inventario primero no es burocracia: es lo que hace que la formación sea defendible.