Mandatory AI Act for SMEs and freelancers: what you must comply with now and what arrives in 2026.

1. La idea principal

El AI Act, o Reglamento Europeo de Inteligencia Artificial, sí es obligatorio, pero no significa que todos los autónomos y pequeñas empresas tengan que hacer una implantación enorme, cara o complicada.

Para la mayoría de negocios pequeños, el cumplimiento será algo bastante razonable: saber qué herramientas de inteligencia artificial se usan, controlar qué datos se meten en ellas, formar mínimamente al personal, avisar al cliente cuando hable con un chatbot, revisar los resultados antes de usarlos y evitar usos peligrosos.

La Comisión Europea confirma que el AI Act se aplica por fases: desde el 2 de febrero de 2025 ya aplican las normas generales, la alfabetización en IA y las prácticas prohibidas; desde el 2 de agosto de 2026 empiezan a aplicarse la mayoría de reglas, incluidas las de transparencia del artículo 50 y las de sistemas de alto riesgo del Anexo III; y desde el 2 de agosto de 2027 aplican las reglas para sistemas de alto riesgo integrados en determinados productos regulados.

2. Semáforo rápido: ¿dónde estoy?

Antes de leerlo todo, mira esta tabla. En 30 segundos sabes en qué nivel está tu uso de IA y a qué sección del artículo conviene saltar primero.

3. IA por sectores: usos normales y riesgo principal

Cada sector tiene un patrón típico de uso de IA y un riesgo principal. No es una clasificación oficial; es una orientación práctica para que reconozcas dónde encaja tu actividad.

4. Qué significa “usar IA” en un negocio

Muchas empresas ya usan IA sin darse cuenta. No hace falta tener robots ni programar modelos propios.

El AI Act define un sistema de IA como un sistema basado en máquinas que, con cierto nivel de autonomía, genera resultados como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o digitales.

5. La primera pregunta: ¿la empresa usa IA o vende IA?

Esto es muy importante porque las obligaciones cambian mucho según el papel real de la empresa.

7. Qué debe hacer una empresa pequeña si usa IA para documentos, facturas o atención al cliente

Una situación típica: una empresa pequeña usa IA para redactar emails, preparar contratos o presupuestos, hacer publicaciones en redes sociales, contestar consultas de clientes, resumir documentos, preparar facturas, organizar información, traducir textos o generar imágenes comerciales.

En principio, estos usos suelen ser de riesgo bajo o limitado, siempre que la IA no tome decisiones importantes por sí sola y siempre que una persona revise el resultado.

8. Obligación ya aplicable: alfabetización en IA

Esta es una de las obligaciones más importantes y menos entendidas.

Desde el 2 de febrero de 2025, quienes proporcionen o usen sistemas de IA deben tomar medidas para asegurar, en la medida de lo posible, un nivel suficiente de alfabetización en IA del personal y de otras personas que usen IA en su nombre. El AI Act dice que debe tenerse en cuenta la experiencia, formación, conocimientos técnicos, contexto de uso y personas afectadas.

No hace falta una formación complicada. Para una pyme puede bastar una sesión breve y un documento interno.

Qué debería saber cualquier trabajador que use IA

Evidencia recomendada

• Documento de formación.Debe explicar las reglas básicas y riesgos concretos del negocio.
• Fecha de la formación.Sirve para demostrar cuándo se impartió.
• Personas que la han recibido.Conviene guardar asistencia o aceptación.
• Política interna de uso de IA.Define herramientas permitidas, datos, revisión y usos prohibidos.
• Aceptación o firma de los trabajadores.Ayuda a acreditar que conocen las normas.
• Revisión anual.La IA y sus usos cambian; la política no debería quedarse abandonada.

Para un autónomo sin empleados, bastaría con una autoevaluación documentada y una política propia de uso.

9. Protección de datos: el punto más delicado para negocios pequeños

En la práctica, para autónomos y pymes, el problema más frecuente no será el AI Act puro, sino el RGPD.

Cada vez que se mete en una herramienta de IA información de clientes, trabajadores o proveedores, puede haber tratamiento de datos personales.

Ejemplos de datos personales

• nombre y apellidos;
• teléfono;
• email;
• DNI/NIE;
• dirección;
• número de cuenta;
• facturas;
• conversaciones de WhatsApp;
• documentos de clientes;
• datos de salud;
• nóminas;
• imágenes;
• voz;
• matrículas;
• datos económicos.

La AEPD recuerda que el artículo 32 del RGPD obliga a responsables y encargados a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. También indica que, para seleccionar medidas, pueden usarse estándares de seguridad existentes como la familia ISO 27000.

Qué revisar antes de usar una IA con datos de clientes

10. Uso de IA para generar documentos

Este es uno de los usos más habituales: redactar un contrato, preparar un presupuesto, contestar un email, hacer una propuesta comercial, resumir documentación, mejorar el estilo de un texto, traducir o crear informes.

Normalmente es un uso de bajo riesgo si se cumplen tres condiciones:

1. La IA no decide por sí sola.
2. Una persona revisa el resultado.
3. No se introducen datos personales o confidenciales sin control.

Qué puede salir mal

11. Uso de IA para facturas

Una IA puede ayudar en tareas de facturación, pero hay que distinguir.

El Anexo III del AI Act incluye como alto riesgo los sistemas destinados a evaluar la solvencia de personas físicas o establecer puntuaciones crediticias, salvo los usados para detectar fraude financiero. También incluye sistemas relacionados con seguros de vida y salud, servicios esenciales y otros ámbitos especialmente sensibles.

12. Uso de IA para atender clientes

Este es uno de los puntos más importantes para pequeñas empresas. Puede aparecer en un chatbot en la web, un bot de WhatsApp, un asistente virtual, respuestas automáticas en email, un sistema que guía al cliente para contratar o una IA que recomienda productos o servicios.

Obligación principal: avisar

Si una persona está interactuando con una IA, debe saberlo, salvo que sea evidente. El artículo 50 exige que los sistemas de IA destinados a interactuar directamente con personas informen de que se está interactuando con un sistema de IA, salvo que resulte obvio por el contexto. También exige que la información se facilite de forma clara y accesible, como tarde en la primera interacción o exposición.

13. Uso de IA para marketing, imágenes, vídeos y redes sociales

Muchas empresas usan IA para crear imágenes, hacer anuncios, generar vídeos, crear locuciones, editar fotografías, preparar publicaciones en LinkedIn, Instagram o TikTok, y crear avatares o voces artificiales.

El AI Act exige transparencia en algunos contenidos generados o manipulados por IA, pero no obliga a etiquetar cualquier documento, email o texto interno hecho con ayuda de IA. Para los usuarios profesionales o deployers, la obligación principal aparece cuando se generan o manipulan imágenes, audio o vídeo que constituyen un deepfake, o cuando se publica texto generado o manipulado por IA con la finalidad de informar al público sobre asuntos de interés público. En este último caso, no será necesario revelar el uso de IA si el contenido ha pasado por revisión humana o control editorial y una persona física o jurídica asume la responsabilidad editorial de la publicación.

Casos prácticos

14. Usos prohibidos: lo que una pyme no debe hacer

El AI Act prohíbe ciertos usos de IA desde el 2 de febrero de 2025. Entre ellos están las técnicas manipuladoras o engañosas que distorsionen decisiones y puedan causar daño, la explotación de vulnerabilidades por edad, discapacidad o situación social/económica, el social scoring, la creación de bases de reconocimiento facial mediante scraping indiscriminado, la inferencia de emociones en trabajo o educación salvo excepciones, y la categorización biométrica para deducir atributos sensibles.

Si la respuesta se acerca a manipular, vigilar, clasificar o decidir sobre personas, hay que parar y analizarlo bien.

15. Cuándo una pequeña empresa puede entrar en “alto riesgo”

La mayoría de usos normales no serán de alto riesgo. Pero hay algunos ámbitos donde hay que tener mucho cuidado.

El Anexo III del AI Act incluye sistemas de alto riesgo en áreas como biometría, infraestructuras críticas, educación, empleo, acceso a servicios esenciales, crédito, seguros de vida y salud, fuerzas de seguridad, migración, justicia y procesos democráticos.

Tabla sencilla de alerta

Ejemplos prácticos

16. Qué pasa si la IA sí es de alto riesgo

Si una pyme usa una IA de alto riesgo, las obligaciones son mucho mayores.

El artículo 26 obliga a los deployers de sistemas de IA de alto riesgo a usar el sistema según las instrucciones, asignar supervisión humana competente, controlar que los datos de entrada sean adecuados cuando estén bajo su control, monitorizar el funcionamiento, informar de riesgos o incidentes graves, conservar logs cuando estén bajo su control durante un periodo adecuado de al menos seis meses e informar a trabajadores y representantes antes de usar sistemas de alto riesgo en el lugar de trabajo.

Evaluación de impacto en derechos fundamentales

En algunos sistemas de IA de alto riesgo no basta con supervisión humana, logs y uso conforme a instrucciones: puede ser necesaria una evaluación de impacto en derechos fundamentales (artículo 27 del AI Act) antes de poner el sistema en marcha. Esto es especialmente relevante para:

• Organismos públicos.
• Entidades privadas que presten servicios públicos.
• Sistemas de alto riesgo usados para evaluar la solvencia de personas físicas o calcular riesgo o precio en seguros de vida o salud.

En estos casos no basta con una política básica de uso de IA: debe hacerse un análisis específico documentado antes del despliegue.

17. Sanciones por incumplimiento

El AI Act sí prevé multas, y son altas. El régimen sancionador está en los artículos 99 a 101 del Reglamento (UE) 2024/1689. Lo más importante para autónomos y pequeñas empresas no es memorizar las cifras máximas, sino entender la regla de proporcionalidad que el propio Reglamento incluye para las pymes.

Tres tramos de multa

En pymes y start-ups se aplica la regla inversa (artículo 99.6): se toma como referencia el importe que resulte menor entre la cifra fija y el porcentaje de volumen de negocio. La tabla muestra la regla general para empresas no pyme.

Para los proveedores de modelos de IA de propósito general (GPAI), el artículo 101 establece un régimen propio con tope de hasta 15.000.000 € o el 3 % del volumen de negocio mundial.

La regla de proporcionalidad para autónomos y pymes

Esta es la parte más relevante para un negocio pequeño. El artículo 99.6 del AI Act dice expresamente que, cuando la sanción se imponga a una pyme (incluida una start-up), se aplicará el importe que sea menor de los dos posibles, no el mayor. Es decir, exactamente al revés que con grandes empresas.

Eso no significa que el riesgo desaparezca. Significa que la sanción debe ser proporcional al tamaño y la facturación del negocio. Una autoridad sigue pudiendo imponer multas relevantes en relación con los ingresos de la empresa.

Desde cuándo son exigibles

El régimen sancionador del Capítulo XII aplica desde el 2 de agosto de 2025. Eso no significa que todas las obligaciones puedan sancionarse desde esa fecha: cada incumplimiento debe analizarse según la fecha en que la obligación concreta sea aplicable (artículo 113 del Reglamento).

• 2 de febrero de 2025.Ya son exigibles las prácticas prohibidas del artículo 5 y la obligación de alfabetización en IA.
• 2 de agosto de 2025.Aplica el régimen sancionador (Capítulo XII) y las obligaciones para modelos de IA de propósito general.
• 2 de agosto de 2026.Aplican, con carácter general, las obligaciones de transparencia del artículo 50 y las de sistemas de alto riesgo del Anexo III, así como los deberes de deployers y proveedores.
• 2 de agosto de 2027.Aplican las obligaciones para sistemas de alto riesgo integrados en determinados productos regulados.

Quién impone las multas en España

Cada Estado miembro debe designar autoridades nacionales que apliquen el régimen sancionador. En España, el Real Decreto 729/2023 aprobó el Estatuto de la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, como agencia estatal especializada en supervisión de IA y coordinada con el marco europeo. En la práctica habrá que atender a las autoridades nacionales designadas y a sus competencias concretas; cuando además haya tratamiento de datos personales, la AEPD mantiene su competencia propia en materia de protección de datos.

18. ISO 27001 e ISO 27002: qué pintan aquí

Esto es importante porque muchas empresas mezclan conceptos.

¿Es obligatorio certificarse?

En general, no. ISO e IEC describen sus estándares como estándares voluntarios; una norma se vuelve obligatoria cuando una legislación la usa como base o la exige en una jurisdicción concreta.

Para pymes y autónomos, lo razonable no suele ser empezar por una certificación ISO/IEC 27001 completa, sino aplicar una versión proporcional de sus principios: inventario, análisis de riesgos, controles, responsabilidades, evidencias y revisión periódica.

19. Qué debe tener una pyme para estar razonablemente cubierta

Para un autónomo o pequeña empresa que usa IA de forma normal, el paquete mínimo recomendable sería este.

1. Inventario de herramientas de IA

2. Clasificación del riesgo

3. Política interna de uso de IA

Debe explicar qué herramientas se pueden usar, para qué se pueden usar, qué datos no se pueden introducir, quién puede usarlas, cuándo hay que revisar, cuándo hay que avisar al cliente, qué usos están prohibidos y qué hacer si hay un error o incidente.

4. Formación básica

Debe cubrir qué es la IA, errores y alucinaciones, protección de datos, confidencialidad, revisión humana, transparencia, usos prohibidos y ejemplos reales del negocio.

5. Control de proveedores

Hay que revisar condiciones del proveedor, si usa los datos para entrenar, dónde procesa los datos, medidas de seguridad, contrato de encargado si procede, subencargados, opciones de borrado y configuración de privacidad.

6. Textos de transparencia

7. Seguridad mínima

• cuentas individuales;
• doble factor de autenticación;
• contraseñas fuertes;
• no compartir usuarios;
• limitar permisos;
• borrar conversaciones innecesarias;
• no subir bases de datos completas;
• anonimizar cuando se pueda;
• revisar accesos periódicamente;
• tener registro de incidentes.

8. Carpeta de evidencias

Crear una carpeta llamada Cumplimiento IA / AI Act / 2026.

20. Qué hago mañana por la mañana

Si has llegado hasta aquí y quieres empezar a ordenar el cumplimiento en cuestión de horas, no semanas, este es el plan mínimo. Muchos pasos pueden empezarse en cuestión de minutos con una hoja de cálculo y un documento de texto. El tiempo total dependerá del número de herramientas, empleados y datos sensibles que tenga tu negocio.

1. Haz una lista de todas las herramientas de IA que usas. ChatGPT, Copilot, Gemini, Claude, asistentes integrados en tu CRM, software de facturación, generadores de imagen, traductores, chatbot web. Si dudas si una herramienta tiene IA, inclúyela.
2. Marca cuáles usan datos personales. Si introduces nombres, emails, teléfonos, datos de clientes, facturas, currículums o cualquier información identificable, márcalas.
3. Revisa si alguna habla directamente con clientes. Chatbot web, asistente en WhatsApp, respuestas automáticas, contestador con IA. Esas tienen obligaciones de transparencia (artículo 50).
4. Revisa si alguna decide o ayuda a decidir sobre personas. Filtra CV, valora candidatos, puntúa solvencia, recomienda precios según perfil, evalúa empleados. Si la respuesta es sí, párate aquí: puede ser alto riesgo.
5. Prohíbe introducir datos sensibles en herramientas no validadas. Salud, ideología, religión, orientación sexual, biometría. Comunícalo por escrito al equipo.
6. Redacta una política interna sencilla. Una página basta: qué herramientas se pueden usar, para qué, qué datos no, quién revisa, cuándo avisar al cliente.
7. Da una formación básica al equipo. Una sesión breve sobre los riesgos, la política y los usos prohibidos. La alfabetización en IA es obligación desde el 2 de febrero de 2025 (artículo 4 del AI Act).
8. Guarda evidencias. Una carpeta llamada «Cumplimiento IA» con: el inventario, la política, el registro de la formación, los textos de transparencia que uses y la fecha de revisión.

Hecho esto, ya estás en mejor posición que la inmensa mayoría de pymes. El siguiente paso es la revisión periódica: actualizar la lista cada vez que el equipo añada una herramienta nueva.

21. Checklist final para autónomos y pequeñas empresas

22. Resumen para explicar a un cliente no técnico

Lo mínimo recomendable es saber qué IA usan, para qué la usan y qué datos introducen, formar mínimamente al personal, revisar los resultados antes de usarlos, informar al cliente cuando interactúe con un chatbot y etiquetar contenido generado o manipulado por IA cuando legalmente proceda — especialmente deepfakes, voz o vídeo realista, o textos informativos de interés público sin control editorial humano. Y evitar usos prohibidos o de alto riesgo.

Si la IA solo ayuda a redactar emails, presupuestos o documentos, normalmente el riesgo es bajo. Si la IA decide sobre personas, filtra candidatos, puntúa solvencia, usa biometría, evalúa trabajadores o afecta a derechos importantes, entonces el análisis debe ser mucho más serio.

23. Conclusión final

Para un autónomo o pequeña empresa, cumplir con el AI Act no debe plantearse como "hacer una ISO" ni como comprar una herramienta cara. Debe plantearse como un sistema sencillo, proporcionado y documentado.

La empresa debería poder demostrar:

1. Qué IA usa.
2. Para qué la usa.
3. Qué datos introduce.
4. Qué riesgos ha revisado.
5. Qué usos están prohibidos.
6. Qué personas han recibido formación.
7. Qué resultados se revisan manualmente.
8. Cómo se informa al cliente cuando toca.
9. Qué medidas de seguridad se aplican.
10. Qué evidencias conserva.