Tu empresa puede estar utilizando inteligencia artificial para redactar correos, atender consultas o analizar documentos. También puede tenerla incorporada en herramientas de selección de personal, gestión comercial o atención al cliente.
El Reglamento europeo de inteligencia artificial, conocido como Ley de IA o AI Act, puede afectar a esos usos. Las obligaciones dependen de la función de tu empresa, de la finalidad del sistema y de las personas a las que pueda afectar. Una pyme que utiliza IA en su actividad profesional también debe revisar qué disposiciones le corresponden. (BOE)
El primer paso es identificar qué sistemas utilizas y para qué. Con esa información puedes valorar sus riesgos y las medidas necesarias.
¿Qué es la Ley de Inteligencia Artificial?
El Reglamento (UE) 2024/1689 establece normas sobre el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial en la Unión Europea. Entró en vigor el 1 de agosto de 2024, pero sus disposiciones se aplican de forma escalonada. (BOE)
Por eso, conviene distinguir entre la entrada en vigor de la norma y la fecha en que resulta exigible cada obligación.
También hay que consultar su redacción actualizada. El calendario y algunas disposiciones se han modificado desde la publicación inicial del Reglamento.
¿Cómo afecta la Ley de IA a las empresas y pymes?
Una empresa puede utilizar un sistema desarrollado por otra organización o participar en su desarrollo y comercialización. Esas funciones tienen responsabilidades diferentes.
Cuando utiliza IA bajo su autoridad en una actividad profesional, puede actuar como responsable del despliegue. En determinados supuestos, desarrollar, comercializar o modificar un sistema puede situarla en otra posición dentro de la cadena de responsabilidades. (BOE)
Antes de contratar una solución, pregunta al proveedor qué función cumple cada parte y qué documentación facilita. Una afirmación comercial sobre cumplimiento debe contrastarse con el servicio contratado y el uso que vas a hacer de él.
El riesgo depende de la finalidad del sistema
El Reglamento sigue un enfoque basado en el riesgo. Para entenderlo, conviene distinguir estas situaciones:
Prácticas prohibidas
La norma prohíbe determinadas prácticas por sus efectos sobre los derechos de las personas.
Un ejemplo relevante para las empresas es el uso de sistemas de IA para inferir emociones en el trabajo, salvo las excepciones previstas por motivos médicos o de seguridad. Las prohibiciones tienen condiciones específicas: hay que comprobar si el sistema y su finalidad encajan en ellas. (AI Act Service Desk)
Sistemas de alto riesgo
Determinados sistemas destinados a selección de personal, evaluación de candidatos, educación o acceso a ciertos servicios pueden clasificarse como de alto riesgo.
La clasificación exige revisar la finalidad prevista y los criterios del Reglamento. Por ejemplo, redactar un anuncio de empleo y evaluar candidaturas son usos diferentes, aunque ambos se realicen en recursos humanos. (AI Act Service Desk)
Sistemas sujetos a transparencia
Algunos sistemas tienen obligaciones específicas de información. Entre ellos están los destinados a conversar directamente con personas, como los chatbots.
La transparencia puede coexistir con otras obligaciones. Que un sistema tenga formato de chatbot no determina por sí solo su clasificación completa. (AI Act Service Desk)
Otros usos de IA
Un sistema que no sea de alto riesgo puede seguir sujeto a otras disposiciones del Reglamento y a normas sobre protección de datos, consumidores o propiedad intelectual. La revisión debe atender a su uso concreto. (BOE)
Qué fechas debe tener presentes tu empresa
Estos son algunos hitos relevantes del calendario actualizado:
| Fecha | Disposiciones principales |
|---|---|
| 2 de febrero de 2025 | Aplicación de las prohibiciones iniciales y las disposiciones generales sobre alfabetización en IA. |
| 2 de agosto de 2026 | Aplicación de las obligaciones de transparencia del artículo 50, con los regímenes transitorios que correspondan. |
| 2 de diciembre de 2027 | Aplicación de las reglas para sistemas de alto riesgo del anexo III. |
| 2 de agosto de 2028 | Aplicación de las reglas para determinados sistemas de alto riesgo vinculados a productos regulados del anexo I. |
La tabla recoge los hitos más relevantes para esta guía, no todos los plazos ni las situaciones transitorias. El calendario oficial incorpora las modificaciones del paquete de simplificación de IA. (AI Act Service Desk)
El aplazamiento de determinadas reglas de alto riesgo no suspende las obligaciones que ya se aplican, ni el resto de la normativa que corresponda a tu actividad.
Alfabetización en IA: qué debe hacer la empresa
El artículo 4 mantiene la obligación de adoptar medidas para apoyar el desarrollo de la alfabetización en IA del personal y de otras personas que operan o utilizan sistemas por cuenta de la organización.
Su redacción actual tiene en cuenta los conocimientos, la experiencia, la formación y el contexto de uso. También aclara que la obligación no exige garantizar un nivel específico de alfabetización de cada persona. (AI Act Service Desk)
En la práctica, conviene preparar al equipo para las situaciones que encontrará en su trabajo:
- Reconocer los límites y posibles errores de las herramientas.
- Saber qué información puede introducir.
- Comprobar los resultados antes de utilizarlos.
- Identificar cuándo necesita ayuda o revisión especializada.
No existe un curso único ni un certificado obligatorio para todas las empresas. La Comisión admite distintas acciones de formación y orientación según el contexto. Como práctica de gestión, puedes conservar un registro de las medidas realizadas; completar una formación no garantiza por sí solo el cumplimiento de toda la norma. (Comisión Europea)
¿Qué debes revisar si tienes un chatbot en tu web?
Las obligaciones de transparencia del artículo 50 ya forman parte del calendario aplicable.
En sistemas destinados a interactuar directamente con personas, el artículo 50.1 exige al proveedor que se diseñen y desarrollen de modo que informen de que se está interactuando con IA, salvo que resulte evidente en las condiciones previstas por la norma. La información debe facilitarse de forma clara y accesible, como máximo en la primera interacción. (AI Act Service Desk)
Si incorporas un chatbot a tu web, comprueba con el proveedor cómo se cumple esa exigencia. Un mensaje inicial puede identificarlo como «asistente de inteligencia artificial» y explicar su función.
Además, como criterio de atención al cliente, conviene definir cómo acceder a una persona cuando el asistente no resuelve la consulta. Esa vía humana no debe presentarse como una obligación universal del artículo 50: su exigencia jurídica depende del contexto y de otras normas aplicables.
La Ley de IA y la protección de datos
El Reglamento de IA no sustituye al Reglamento General de Protección de Datos (RGPD).
Si una herramienta trata datos personales, hay que analizar, entre otros aspectos:
- La finalidad del tratamiento y su base jurídica.
- La información que reciben las personas.
- Los datos necesarios y el tiempo de conservación.
- Los proveedores, accesos y posibles transferencias internacionales.
- Las medidas de seguridad.
Si el uso implica decisiones automatizadas que producen efectos jurídicos o afectan significativamente a una persona, también debe revisarse el artículo 22 del RGPD y sus condiciones. (BOE)
Pagar una licencia empresarial o contratar un proveedor europeo no resuelve automáticamente estas cuestiones.
Cómo empezar a aplicar la Ley de IA en una pyme
Para organizar la revisión, puedes seguir este procedimiento:
- Identifica los sistemas utilizados. Incluye herramientas contratadas, funciones de IA incorporadas y usos que el equipo realiza por su cuenta.
- Describe cada finalidad. Registra quién utiliza el sistema, qué información maneja y a quién puede afectar.
- Revisa la clasificación y las obligaciones. Comprueba posibles prohibiciones, alto riesgo, transparencia y otras normas aplicables.
- Asigna responsabilidades. Define quién autoriza los usos, revisa incidencias y mantiene la información.
- Prepara al equipo. Adapta las acciones de alfabetización a sus tareas y herramientas.
- Conserva documentación útil. Guarda contratos, instrucciones y decisiones que permitan explicar cómo has evaluado el uso.
- Revisa los cambios. Una nueva finalidad o integración puede exigir otra evaluación.
Este procedimiento es una recomendación para ordenar el trabajo. La documentación y las medidas legalmente exigibles dependerán de cada caso.
Preguntas frecuentes sobre la Ley de IA para empresas
¿Las pymes están exentas?
El tamaño de la empresa no supone una exención general. El Reglamento contempla medidas de apoyo y proporcionalidad, pero hay que comprobar las obligaciones correspondientes a cada actividad.
¿Usar ChatGPT en el trabajo implica responsabilidades?
Puede implicarlas según el uso. La Comisión incluye el empleo de herramientas para redactar o traducir entre los supuestos en los que resulta pertinente la alfabetización en IA. También deben revisarse los datos introducidos y las demás normas aplicables.
¿Quién supervisa la inteligencia artificial en España?
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA) es un organismo de referencia en supervisión de IA. La autoridad competente debe identificarse según el sistema y la materia; la protección de datos mantiene su propio régimen de supervisión.
Incorpora la IA con criterios claros desde el principio
Detrás de Fénix Comunicación está Silvana López Merino, jurista y formadora en inteligencia artificial responsable.
Te ayudamos a analizar los usos de IA de tu empresa, implantar soluciones teniendo en cuenta su contexto y preparar al equipo para utilizarlas con criterio.