El Reglamento Europeo de IA cambia el uso de la IA

Desde el 2 de agosto de 2026, el Reglamento Europeo de IA (RIA) ha entrado en una nueva fase: una gran parte de las obligaciones de transparencia relacionadas con el uso de la IA ya son exigibles y las autoridades europeas disponen de competencias para supervisar su cumplimiento.

Pero, ¿en qué afecta al día a día del uso de la IA en una pyme española? Que una empresa use de forma diaria ChatGPT, Claude, Gemini o Copilot no significa que vaya a ser sancionada automáticamente, ni que todas las obligaciones se apliquen ya a todas las organizaciones.

Pero sí implica un cambio de fondo: el uso empresarial de la IA deja de ser una actividad informal —sin inventario, sin responsables, sin políticas internas y sin evidencias— para regularse, parametrizarse y establecer códigos de buena gobernanza en el uso de la IA por las pymes.

La primera pregunta ya no es solo:

“¿Qué herramienta de IA podemos utilizar para la gestión de mi pyme?”

Ahora también debemos preguntarnos:

“¿Para qué la utilizamos, qué riesgos genera, qué información recibe el usuario y cómo demostramos que estamos actuando correctamente?”

1. La supervisión y el régimen sancionador ya son una realidad

La Oficina Europea de IA y las autoridades españolas pueden supervisar las obligaciones que ya resultan aplicables: prácticas prohibidas, alfabetización en IA, determinados modelos de propósito general y las nuevas obligaciones de transparencia.

El Reglamento contempla distintos niveles de sanción. Las infracciones más graves —especialmente las relativas a prácticas prohibidas— pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocio mundial anual. Para otros incumplimientos, las cuantías pueden llegar a 15 millones de euros o al 3 % de la facturación mundial.

En el caso de las pymes debe respetarse el principio de proporcionalidad, pero ser una pequeña empresa —incluso una micropyme o un autónomo— no elimina la obligación de cumplir.

Obligaciones de ejecución del AI Act — Comisión Europea

2. Si una pyme utiliza un chatbot, debe revisar cómo informa al usuario

Aquí está el famoso artículo 50 del reglamento, que establece obligaciones de transparencia para determinados sistemas de IA.

Una empresa que implante cualquier agente conversacional —ya interactúe mediante texto o voz—, así como cualquier avatar, deberá informar a la persona de que está interactuando con un sistema de inteligencia artificial, salvo que resulte evidente por las circunstancias (que, a veces y gracias a la propia IA, ya no es tan evidente).

Ya no basta con instalar una solución en la web y limitarse a indicar que se trata de un “asistente”. Conviene revisar:

• El mensaje que aparece al comenzar la conversación.
• La identificación clara del sistema como inteligencia artificial.
• El tratamiento de los datos personales introducidos por el usuario.
• La posible derivación a una persona.
• La información facilitada por el proveedor tecnológico.
• El registro de incidencias y respuestas incorrectas.
• La supervisión humana del servicio.

También existen obligaciones específicas para deepfakes, reconocimiento de emociones, categorización biométrica y determinados textos generados con IA destinados a informar sobre asuntos de interés público.

Artículo 50 del RIA: FAQ y directrices sobre transparencia — AESIA

3. Las marcas de agua y la trazabilidad dejan de ser conceptos puramente técnicos

Una de las señales más claras del cambio regulatorio es que los propios proveedores están modificando sus productos. Anthropic ha empezado a incorporar en sus nuevos modelos de Claude marcas de agua estadísticas invisibles en los textos. Además, determinados archivos PNG, JPG y SVG incluyen metadatos de procedencia firmados conforme al estándar C2PA (Coalition for Content Provenance and Authenticity).

Es decir, los contenidos generados o manipulados mediante sistemas de inteligencia artificial podrán incorporar credenciales digitales de procedencia, como las basadas en el estándar C2PA, que permitan identificar su origen, las herramientas utilizadas y las modificaciones realizadas.

Tres detalles importantes para una pyme:

• 1La marca no identifica al usuario ni demuestra que Claude sea el autor intelectual del contenido. Solo indica que el sistema pudo intervenir en su generación, traducción o edición. Aunque su ausencia tampoco prueba que un contenido sea humano.
• 2Este marcado se aplica a nivel de modelo y a escala mundial, no solo en la UE. Es decir, afecta a los contenidos que tu empresa genere con estas herramientas aunque el proveedor no sea europeo.
• 3Las marcas y los metadatos pueden alterarse o desaparecer cuando los contenidos pasan por editores, plataformas de comercio electrónico, gestores documentales, redes sociales o procesos de conversión de archivos.

Por tanto, no basta con preguntar al proveedor si “cumple el Reglamento”. Hay que analizar toda la trazabilidad para determinar el recorrido del contenido dentro de la empresa.

Explicación técnica de Anthropic sobre la marca de agua en Claude

4. El Código Europeo de Transparencia ofrece una referencia práctica

Cerca de 190 organizaciones están adheridas al Código de Buenas Prácticas sobre Transparencia del Contenido Generado por IA. Aproximadamente la mitad son empresas pequeñas o de reciente creación: el cumplimiento no es una cuestión exclusiva de las grandes tecnológicas.

La adhesión es voluntaria, pero proporciona un marco reconocido —evaluado como adecuado por la Comisión y el Consejo de IA— para acreditar el cumplimiento de determinadas obligaciones del artículo 50, reducir cargas administrativas y ganar seguridad jurídica.

Para una pyme, el Código puede servir de referencia para desarrollar:

• Una política de generación y publicación de contenidos.
• Criterios de etiquetado de imágenes, vídeos, audios y textos.
• Procedimientos para conservar metadatos y marcas de agua.
• Registros de revisión y validación humana.
• Responsabilidades internas entre marketing, dirección y tecnología.
• Requisitos contractuales para proveedores y agencias externas.

Información oficial sobre el Código de Buenas Prácticas — Comisión Europea

5. La ampliación de plazos para la IA de alto riesgo no es una invitación a esperar

El Digital Omnibus —ya no una propuesta, sino el Reglamento (UE) 2026/1744, publicado el 24 de julio y en vigor desde el 27 de julio de 2026— ha fijado nuevos plazos:

• 1Los sistemas de alto riesgo del Anexo III (empleo, educación, biometría, infraestructuras críticas, migración…) deberán cumplir sus obligaciones específicas desde el 2 de diciembre de 2027.
• 2Para la IA incorporada en determinados productos regulados (Anexo I), el plazo se extiende hasta el 2 de agosto de 2028.

Dos apuntes que suelen pasarse por alto:

• El Omnibus introduce una nueva categoría de “small mid-caps” (empresas de mediana capitalización) con obligaciones documentales simplificadas, además de las ya previstas para pymes.
• Desde el 2 de diciembre de 2026 se incorporan también dos nuevas prohibiciones: los sistemas que generan o manipulan contenido íntimo no consentido (“nudifiers”) y material de abuso sexual infantil.

Esta ampliación es especialmente relevante para empresas que usan IA en selección de personal, evaluación de candidatos, promoción profesional, formación o prestación de servicios esenciales.

Pero preparar un sistema de gestión de riesgos, revisar los datos, documentar el funcionamiento, establecer supervisión humana y renegociar condiciones con los proveedores puede llevar muchos meses. Esperar hasta finales de 2027 sería una mala estrategia.

Calendario oficial del Reglamento — Comisión Europea

¿Qué debería hacer ahora una pyme española?

Siete actuaciones muy concretas para empezar:

• 1Elaborar un mapa o inventario de las herramientas y sistemas de IA que utiliza cada departamento.
• 2Identificar el papel de la empresa en cada caso: proveedora, integradora, distribuidora o responsable del despliegue.
• 3Clasificar cada caso de uso según su nivel de riesgo.
• 4Revisar los avisos de los chatbots y otros sistemas que interactúan con clientes, trabajadores o usuarios.
• 5Comprobar cómo se generan, etiquetan y conservan los contenidos sintéticos.
• 6Solicitar a los proveedores documentación sobre seguridad, transparencia, datos, supervisión y cumplimiento.
• 7Formar al personal y conservar evidencias de la alfabetización en IA recibida.

La clave no es producir cientos de páginas de documentación que nadie use. La clave es implantar una gobernanza proporcional al tamaño de la empresa, al contexto de uso y al impacto del sistema.

Para las pymes, el Reglamento no debe entenderse solo como una amenaza sancionadora. También es una oportunidad para ordenar el uso de la IA, reducir errores, mejorar la selección de proveedores, generar confianza y diferenciarse de quienes todavía usan estas herramientas sin ningún control.

La confianza será uno de los grandes activos empresariales de la economía de la inteligencia artificial.