¿Se aplica el Reglamento de IA a las startups y pymes?

Sí, pero de forma proporcionada. Se aplica según lo que hace tu IA y dónde se comercializa o utiliza, no según el tamaño de la empresa. La mayoría de la IA de una startup es de riesgo mínimo o limitado y conlleva deberes ligeros; solo los usos del anexo III activan el régimen de alto riesgo. Además, el Reglamento incluye apoyos específicos para pymes y empresas emergentes.

¿Mi startup es proveedor o responsable del despliegue?

Depende del sistema. Si usas IA de terceros tal cual, eres responsable del despliegue (artículo 26). Si desarrollas y comercializas una función de IA bajo tu nombre, eres proveedor (artículo 16) de ese sistema. El artículo 25 confirma el cambio de rol al marcarla, modificarla sustancialmente o cambiar su finalidad. Lo normal en una startup de producto es ser ambas cosas según el sistema.

¿Qué tengo que hacer ahora mismo?

Dos cosas ya están en vigor: la alfabetización en IA (artículo 4, desde el 2 de febrero de 2025) para tu equipo y cumplir las prohibiciones del artículo 5. Lo demás es clasificar tus usos para saber si alguno es de alto riesgo y asignar el rol por sistema. El régimen de alto riesgo lo abordas cuando —y si— un uso entra en el anexo III.

¿Qué apoyos da el Reglamento a las pymes?

Espacios controlados de pruebas con acceso prioritario y gratuito para pymes y empresas emergentes (artículos 57 a 59, con la gratuidad en el 58), tasas de conformidad proporcionales (artículo 62), un formulario simplificado de documentación técnica (artículo 11(3)) y un tope de multas (artículo 99(6)) que fija la sanción en la menor entre el porcentaje y la cantidad fija.

¿Construir sobre la API de un modelo de uso general me hace proveedor del modelo?

No del modelo. Las obligaciones de modelo de uso general (GPAI) siguen con el proveedor del modelo. Pero sí eres proveedor (artículo 16) del sistema que tú construyes y comercializas bajo tu marca encima de esa API, y el artículo 25 lo confirma. Es una distinción clave: respondes por tu sistema, no por el modelo subyacente.

¿Cuándo tengo que cumplir el régimen de alto riesgo?

Las obligaciones de alto riesgo autónomo del anexo III se aplican desde el 2 de diciembre de 2027, fecha fijada por el Digital Omnibus, adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio). Planifica frente al 2 de diciembre de 2027.

Marcos de gobernanza

El Reglamento de IA para startups y pymes: lo que de verdad te aplica

Guía sectorial10 de septiembre de 2026· 6 min de lectura

El Reglamento de IA para startups y pymes: clasificar por uso, proveedor o responsable del despliegue, qué está en vigor hoy y los apoyos a pymes.

Si diriges una startup o una pyme, el Reglamento de IA de la UE (Reglamento (UE) 2024/1689) seguramente te exige menos de lo que temes —y ofrece apoyos pensados precisamente para empresas como la tuya—. La clave es no copiar el programa de cumplimiento de una multinacional. Las obligaciones escalan según lo que hace tu IA y según tu rol, y solo una parte está en vigor hoy. Esta guía ordena lo que importa, en orden de prioridad real.

Empieza por clasificar, no por alarmarte

El primer paso no es un manual de políticas, sino una página que registre para qué usas la IA. El Reglamento clasifica por uso, no por la herramienta ni por el tamaño de tu empresa. Según el artículo 6, un sistema solo es de alto riesgo si su finalidad prevista figura en el anexo III —contratación de personal, evaluación de solvencia, identificación biométrica, evaluación educativa, acceso a servicios esenciales y poco más—. La mayoría de la IA de una startup —un asistente de redacción, un chatbot de soporte, analítica, generación de textos— es de riesgo mínimo o limitado, no de alto riesgo. Deja constancia, con un motivo registrado, antes de gastar un euro en conformidad.

¿Eres proveedor o responsable del despliegue?

Esta pregunta decide tus obligaciones más que ninguna otra.

Si usas IA de terceros tal cual se ofrece, eres responsable del despliegue (artículo 26), con deberes ligeros: usar el sistema conforme a las instrucciones, garantizar supervisión humana donde aplique y vigilar su funcionamiento.
Si desarrollas y comercializas una funcionalidad de IA bajo tu propio nombre —algo muy común en una startup de producto— eres proveedor (artículo 16) de ese sistema, con un régimen más exigente cuando el uso es de alto riesgo.
El artículo 25 confirma el cambio de rol: si marcas un sistema con tu marca, lo modificas sustancialmente o cambias su finalidad prevista, pasas de responsable del despliegue a proveedor. Construir tu producto sobre la API de un modelo de uso general no te hace proveedor del modelo —eso sigue siendo del proveedor del modelo (GPAI)—, pero sí proveedor del sistema que tú comercializas.

Para una startup de SaaS con IA, lo habitual es ser proveedor de su propia función y responsable del despliegue de las herramientas internas. Conviene tenerlo claro por sistema, no por empresa.

Lo que está en vigor hoy

No todo aplica aún, pero dos cosas sí, con independencia del nivel de riesgo:

Alfabetización en IA (artículo 4), desde el 2 de febrero de 2025, para toda la IA: tu equipo necesita una competencia básica en las herramientas que usa. Una política breve y una sesión informativa lo cubren.
Prohibiciones del artículo 5, también desde el 2 de febrero de 2025: nada de técnicas manipuladoras o que exploten vulnerabilidades, social scoring, ni inferir emociones de las personas trabajadoras en el lugar de trabajo.

El alto riesgo del anexo III no aplica todavía: el Digital Omnibus ha aplazado la fecha original del 2 de agosto de 2026 al 2 de diciembre de 2027, un aplazamiento ya adoptado por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026) —falta solo su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026—. Planifica sobre el 2 de diciembre de 2027. La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026 (marcado de contenido desde el 2 de diciembre de 2026).

Los apoyos para pymes —úsalos

El Reglamento no es indiferente al tamaño. Construye tu plan en torno a estas cuatro medidas:

Espacios controlados de pruebas (sandboxes, artículos 57 a 59): cada Estado miembro debe tener uno operativo el 2 de agosto de 2026, con acceso prioritario y gratuito para pymes y empresas emergentes (artículo 58).
Tasas de evaluación de la conformidad proporcionales (artículo 62) para pymes.
Formulario simplificado de documentación técnica (artículo 11(3)) para pymes.
Límite de las multas (artículo 99(6)): para pymes y empresas emergentes, la multa es la menor entre el porcentaje y la cantidad fija, no la mayor.

En España, el sandbox y la coordinación los lidera la AESIA; si planeas un producto de alto riesgo, el acceso prioritario y gratuito al sandbox es una de las palancas más valiosas que tienes.

Un plan ligero para empezar esta semana

Inventaría cada uso de IA, propio y de terceros, en una sola página.
Clasifica cada uno por su finalidad (mínimo / limitado / alto riesgo) según el anexo III.
Asigna el rol por sistema: proveedor (artículo 16) o responsable del despliegue (artículo 26).
Cumple lo de hoy: alfabetización (artículo 4) y prohibiciones (artículo 5).
Anota los apoyos (sandbox, tasas, formulario simplificado, tope de multas) que te corresponden.
Revísalo cuando lances algo nuevo o cuando el aplazamiento se apruebe.

No necesitas más para estar en orden hoy. El régimen de alto riesgo lo abordas cuando —y si— un uso entra en el anexo III.

Ejemplo práctico: una startup de 14 personas en Valencia

Marea Labs, una startup de SaaS de 14 personas (~1,2 M€ de facturación), ofrece una función de IA que resume reuniones para sus clientes y usa IA internamente para programar y para marketing. Clasificación: la función de resúmenes es de riesgo limitado (transparencia del artículo 50 si es de cara al cliente), y las herramientas internas son de riesgo mínimo. Roles: Marea es proveedora (artículo 16) de su función de resúmenes —la comercializa bajo su marca— y responsable del despliegue de las herramientas internas. Hoy cumple con la alfabetización del artículo 4 y las prohibiciones del artículo 5; registra sus usos; y reserva el sandbox de la AESIA como vía si algún día construye una función del anexo III. Plan ligero, no programa de multinacional.

Cómo ayuda Confir

Confir le da a una startup la clasificación y el registro sin necesidad de consultoría: respondes preguntas en lenguaje claro sobre cada uso de la IA y el motor —determinista y basado en reglas— devuelve el nivel, tu rol y las obligaciones, citando el artículo y la regla que se aplicó, y mostrando los apoyos para pymes (artículos 58, 62, 11(3), 99(6)) cuando proceden. El mismo dato de entrada produce siempre el mismo resultado: sin inferencia de modelo, sin alucinaciones.

Guías relacionadas

Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar

Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.

Empieza la prueba gratuita →