El AI Act ya obliga a revisar cómo se utilizan las herramientas de IA en los negocios. Hay prácticas directamente prohibidas, nuevas reglas de transparencia y obligaciones reforzadas para los sistemas considerados de alto riesgo.
La Ley Europea de Inteligencia Artificial (AI Act) ha entrado en una nueva fase de aplicación y afecta de lleno a autónomos, pymes y empresas que utilizan herramientas de IA en su actividad profesional. Desde el 2 de agosto de 2026, ya son exigibles nuevas reglas de transparencia, mientras que otras obligaciones seguirán incorporándose de forma progresiva durante 2027 y 2028.
El cambio es relevante porque utilizar una herramienta creada por un tercero —por ejemplo, un chatbot, un programa de selección de personal o un sistema automatizado de análisis de clientes— no elimina necesariamente las responsabilidades de quien la utiliza profesionalmente. La regulación distingue entre distintos niveles de riesgo y aplica obligaciones diferentes según el uso concreto.
La UE no prohíbe usar IA, pero sí determinadas prácticas
El AI Act no impide que un autónomo utilice ChatGPT, Gemini, Copilot u otras herramientas similares para redactar documentos, preparar campañas, resumir información o automatizar determinadas tareas.
La mayoría de los sistemas de IA utilizados actualmente en la Unión Europea se consideran de riesgo mínimo o limitado y no quedan sometidos al régimen más estricto.
El problema aparece cuando el uso concreto entra en alguna de las categorías prohibidas o de alto riesgo.
Desde febrero de 2025 están prohibidos, entre otros, determinados sistemas de IA diseñados para manipular de forma engañosa a las personas, aprovecharse de sus vulnerabilidades, realizar ciertas formas de puntuación social o emplear determinados mecanismos biométricos incompatibles con los derechos fundamentales.
Las multas pueden alcanzar los 35 millones de euros
El régimen sancionador es uno de los elementos que más preocupación puede generar entre pequeños negocios.
El incumplimiento de las prohibiciones recogidas en el artículo 5 del AI Act puede ser sancionado con multas de hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual, dependiendo del supuesto aplicable.
Sin embargo, existe un matiz importante para autónomos y pymes.
La normativa obliga a que las sanciones sean efectivas, proporcionadas y disuasorias, pero también exige tener en cuenta los intereses y la viabilidad económica de las pequeñas y medianas empresas.
Por tanto, presentar esos 35 millones como una multa automática para cualquier autónomo que cometa un error con una herramienta de IA sería incorrecto.
Las empresas deben saber qué herramientas de IA están utilizando
Una de las principales recomendaciones recogidas por la Plataforma ONE, dependiente de la Oficina Nacional de Emprendimiento, consiste en empezar por identificar qué sistemas de inteligencia artificial utiliza realmente el negocio.
El inventario puede incluir desde asistentes generativos hasta herramientas integradas en:
contabilidad, recursos humanos, marketing, atención al cliente, análisis de datos, selección de personal o gestión comercial.
El siguiente paso consiste en analizar para qué se utiliza cada aplicación y qué tipo de información se introduce en ella.
Esta última cuestión es especialmente importante cuando aparecen datos personales, información confidencial de clientes, expedientes laborales o documentación empresarial sensible.
El RGPD sigue siendo obligatorio
La entrada en vigor del AI Act no sustituye las obligaciones existentes en materia de protección de datos.
Un negocio que utilice IA para procesar información personal debe seguir cumpliendo el Reglamento General de Protección de Datos (RGPD).
La Agencia Española de Protección de Datos mantiene recursos específicos para empresas y emprendedores y publicó en julio de 2026 una guía dedicada a la exactitud, idoneidad y calidad de los datos personales tratados mediante inteligencia artificial.
Esto significa que el cumplimiento debe analizarse en varios niveles: no basta con que una herramienta sea legal conforme al AI Act si el tratamiento de datos personales vulnera otras normas.
Los trabajadores deben tener conocimientos suficientes sobre IA
Otro requisito relevante es la llamada alfabetización en inteligencia artificial.
El artículo 4 del AI Act establece que proveedores y responsables del despliegue deben procurar que las personas encargadas de operar sistemas de IA tengan un nivel suficiente de conocimiento, teniendo en cuenta su formación, experiencia y el contexto de uso.
Esta obligación comenzó a aplicarse el 2 de febrero de 2025.
Eso no significa que cada trabajador necesite obtener un certificado europeo específico. La norma no establece una titulación única obligatoria.
Lo relevante es que una empresa pueda demostrar que quienes utilizan la tecnología disponen de una preparación acorde con los riesgos que implica.
Los chatbots deben informar cuando el usuario habla con una IA
Desde el 2 de agosto de 2026 se aplican también determinadas obligaciones de transparencia.
Cuando una persona interactúa con un sistema de IA como un chatbot, debe ser informada de que está tratando con una máquina cuando esa circunstancia no resulte evidente.
La normativa también introduce requisitos para identificar determinados deepfakes y contenidos generados o manipulados mediante IA.
La Comisión Europea señala que determinados contenidos artificiales deben incluir señales claras y, en algunos casos, marcas legibles por máquinas que permitan reconocer su origen.
Los contenidos informativos generados con IA también pueden tener obligaciones
El Reglamento presta especial atención a los contenidos que puedan confundirse con material auténtico.
En determinados supuestos, los textos generados por IA y publicados para informar al público sobre asuntos de interés general deben identificarse cuando no han pasado por una revisión humana o control editorial.
Esto afecta especialmente a medios, plataformas automatizadas, servicios de comunicación y negocios que generan grandes cantidades de contenido de forma automática.
No todo texto asistido por IA debe llevar una etiqueta: el contexto, el grado de intervención humana y la finalidad de la publicación resultan determinantes.
Especial atención a la inteligencia artificial en recursos humanos
Uno de los ámbitos donde los autónomos con empleados y las pymes deberán prestar más atención es el laboral.
El AI Act clasifica como de alto riesgo determinados sistemas utilizados para:
seleccionar candidatos, analizar currículos, decidir contrataciones, evaluar empleados o influir en ascensos, condiciones laborales o despidos.
Esto no significa que utilizar IA en recursos humanos esté prohibido.
Sí significa que determinados sistemas estarán sometidos a requisitos muy superiores de documentación, supervisión humana, trazabilidad, gestión de riesgos y calidad de datos.
Las reglas de alto riesgo llegan en diciembre de 2027
El calendario del AI Act ha cambiado tras la aprobación del llamado AI Omnibus.
Las obligaciones específicas para sistemas de alto riesgo del anexo III —entre ellos determinados usos de IA en empleo, educación, biometría, infraestructuras críticas, migración o justicia— comenzarán a aplicarse el 2 de diciembre de 2027.
En el caso de sistemas de IA integrados en productos regulados, como determinados dispositivos médicos, maquinaria, juguetes o ascensores, el plazo se amplía hasta el 2 de agosto de 2028.
La UE retrasó estas fechas para disponer de estándares técnicos y herramientas de cumplimiento más claras antes de exigir plenamente las obligaciones.
Qué deberá hacer una empresa que utilice IA de alto riesgo
Cuando estas reglas sean aplicables, los sistemas clasificados como de alto riesgo estarán sometidos a obligaciones especialmente estrictas.
La Comisión Europea menciona, entre otras, evaluación y mitigación de riesgos, calidad de los datos, registros de actividad, documentación detallada, información al usuario profesional, supervisión humana, robustez, precisión y ciberseguridad.
Para una pequeña empresa esto puede implicar un cambio relevante respecto al uso informal que actualmente se hace de ciertas herramientas automatizadas.
Especialmente si la IA participa en decisiones que pueden afectar directamente a derechos de trabajadores, candidatos o clientes.
La mayoría de autónomos no tendrá que afrontar el régimen más duro
Conviene evitar una interpretación alarmista.
Un profesional que utilice una IA generativa para redactar correos, preparar ideas, resumir documentos o mejorar textos no pasa automáticamente a operar un sistema de alto riesgo.
La propia Comisión reconoce que la inmensa mayoría de los sistemas de IA utilizados en la UE pertenecen a categorías de riesgo mínimo o inexistente.
La regulación se endurece principalmente cuando la tecnología puede afectar de manera significativa a derechos fundamentales, seguridad o decisiones especialmente sensibles.
El uso empresarial de IA sigue creciendo
La regulación llega mientras aumenta rápidamente la adopción empresarial de estas tecnologías.
Los últimos datos oficiales disponibles del INE indican que el 21,1 % de las empresas españolas de diez o más trabajadores utilizaba tecnologías de inteligencia artificial en el primer trimestre de 2025.
Entre las empresas con menos de diez trabajadores, el porcentaje alcanzaba el 13,4 %.
Es importante precisar que estos datos corresponden a 2025, pese a que algunas informaciones los han presentado como cifras de 2026.
Un autónomo debería empezar por revisar cuatro cuestiones
Para la mayoría de pequeños negocios, la adaptación no requiere comenzar con grandes inversiones tecnológicas.
La prioridad práctica pasa por saber qué IA utiliza la empresa, qué datos introduce, qué decisiones deja en manos del sistema y quién supervisa sus resultados.
También resulta recomendable conservar información sobre las herramientas utilizadas, sus condiciones de servicio y los procesos internos en los que intervienen.
La complejidad aumenta cuando la IA deja de ser únicamente un asistente y empieza a intervenir directamente en decisiones sobre personas.
La regulación europea ya no es una cuestión de futuro
El AI Act se encuentra ya en aplicación progresiva.
Las prohibiciones más importantes están vigentes desde 2025, las obligaciones de transparencia comenzaron a aplicarse en agosto de 2026 y los sistemas de alto riesgo tendrán nuevas exigencias desde finales de 2027.
Para autónomos y pymes, la principal conclusión no es que deban abandonar la inteligencia artificial, sino que su uso profesional empieza a exigir controles similares a los de cualquier otra tecnología capaz de afectar a trabajadores, clientes o datos personales.
La IA puede continuar ofreciendo mejoras de productividad, pero la etapa del uso empresarial sin políticas, inventario ni supervisión empieza a quedar atrás.
