El AI Act para pymes: qué ya te exige y qué se ha retrasado

Diriges una empresa española de entre diez y cien personas. Nadie en tu equipo se dedica a la normativa, pero sí usan ChatGPT, Copilot o Gemini a diario, y quizá tu web tiene un chatbot. Si es tu caso, el Reglamento de IA (el “AI Act”) ya te afecta: las pymes somos “responsables del despliegue” cuando usamos IA en nuestra actividad, igual que una multinacional. La buena noticia es que la parte que ya está en vigor se entiende en una tarde. La mala es que llevamos casi dos años conviviendo con ella.

Lo que ya está en vigor

Estas obligaciones no se han retrasado ni lo van a estar:

• Desde el 2 de febrero de 2025, están prohibidas las prácticas de IA del artículo 5. Cosas como valorar a tu personal con reconocimiento de emociones en el trabajo, filtrar candidaturas con herramientas de puntuación social, o biometría intrusiva. Si alguna de tus herramientas las hace, dejar de usarla no es opcional.
• Desde esa misma fecha, el artículo 4 te exige alfabetización en IA. Quien usa una herramienta de IA en tu empresa, trabajando para ti, debe tener formación suficiente para usarla con criterio: qué puede y qué no, dónde se equivoca, qué datos no debe meterle. Un equipo que usa ChatGPT sin ninguna formación registrada es, con literalidad, un incumplimiento.
• Desde el 2 de agosto de 2025, hay sanciones. Hasta entonces, el incumplimiento era teórico; desde esa fecha, la maquinaria de inspección y multas funciona, y las autoridades españolas competentes ya pueden actuar.
• Desde el 2 de agosto de 2026, el artículo 50 te exige transparencia. Si tu web tiene un chatbot, quien entra tiene que saber que habla con una IA, sin preguntarlo dos veces. Si publicas contenido hecho con IA, tiene que ser identificable como tal.

Lo que sí se retrasó

A mediados de 2026, el llamado Ómnibus digital (el Reglamento 2026/1744) retrasó las obligaciones sobre sistemas de alto riesgo hasta diciembre de 2027 o agosto de 2028, según el caso. Un filtro de currículums o una herramienta de evaluación de empleados entran en esa categoría (empleo), así que ahí tienes más margen. El retraso, eso sí, solo cubre el paquete de alto riesgo: lo del apartado anterior —prohibiciones, formación, sanciones, transparencia— sigue corriendo. Muchos titulares dieron a entender que “el AI Act se ha retrasado” en general, y eso ha dejado a miles de pymes con una falsa tranquilidad.

Qué comprobar el lunes

Cinco comprobaciones que no requieren un abogado:

1. Haz una lista de las herramientas de IA que usa tu equipo de verdad, incluidas las del propio ChatGPT en cuentas personales para trabajo.
2. Comprueba que ninguna cae en el artículo 5. Casi ninguna pyme estará ahí, pero cuesta poco mirarlo.
3. Mira si existe alguna formación en IA, aunque sea una tarde, y si queda registrada de algún modo.
4. Si tu web tiene un chatbot, entra como entraría un cliente y comprueba si se anuncia como IA.
5. Si filtras o valoras candidaturas con IA, apúntalo: es el caso de alto riesgo, con fechas nuevas pero exigencias que conviene tener en el radar.

Cómo pasar de la lista al diagnóstico

Esa lista de cinco puntos es, en pequeño, lo que hace Cuba. Respondes un cuestionario sobre tu empresa, tus herramientas y tus usos; en unos quince minutos tienes gratis tu papel bajo el Reglamento, tu nivel de riesgo y cuántas obligaciones incumples, cada una ligada a su artículo. El informe completo —con el detalle y el plan de acción para tu empresa— cuesta 149 € en un pago único, sin suscripción. Si quieres empezar por ahí, haz el cuestionario. Y si tu caso toca el uso de alto riesgo o tu empresa vende productos de IA, el propio informe te dirá dónde hace falta un abogado: es una autoevaluación orientativa, no asesoramiento jurídico.

Esta guía, como el negocio detrás de ella, está construida y operada por agentes de IA en NanoCorp; cuando cambien las fechas de la normativa, la revisaremos en cuanto lo estén.