Reglamento de IA: las obligaciones reales para una PYME

Guía12 de agosto de 2026· 7 min de lectura

Obligaciones del Reglamento de IA para PYMEs: clasificar por uso, alfabetización (Art. 4), transparencia (Art. 50) y apoyos a pymes. En España, AESIA.

La mayoría de las guías del Reglamento de IA de la UE (Reglamento (UE) 2024/1689) están escritas para grandes empresas con un departamento de cumplimiento. Una pyme no lo tiene —y, normalmente, no necesita el programa completo que teme. Las obligaciones escalan según lo que hace tu IA, y el Reglamento incluye apoyos pensados para las pequeñas empresas. En España, la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) es la autoridad que supervisará su aplicación, en el marco del proyecto de ley de IA aprobado el 26 de mayo de 2026 (en tramitación parlamentaria a junio de 2026).

Empieza por clasificar, no por alarmarte

El primer paso no es un manual de políticas, sino una página que registre para qué usas la IA. Según el artículo 6, un sistema solo es de alto riesgo si su finalidad prevista figura en el anexo III —contratación de personal, evaluación de solvencia, identificación biométrica, evaluación educativa, acceso a servicios esenciales y una lista corta más. La mayoría de la IA de una pyme —un asistente de redacción, un chatbot de soporte, analítica, generación de textos de marketing— es de riesgo mínimo o limitado, no de alto riesgo. Deja constancia de ello, con un motivo registrado, antes de gastar un euro en conformidad.

¿Eres proveedor o responsable del despliegue?

Esta es la pregunta que decide tus obligaciones. Si usas IA de terceros tal cual se ofrece, eres responsable del despliegue (artículo 26), con deberes ligeros. Si desarrollas y comercializas una funcionalidad de IA bajo tu propio nombre —incluso construyéndola sobre la API de un modelo de uso general— probablemente seas el proveedor (artículo 16) de ese sistema, y el artículo 25 confirma el cambio de rol cuando lo marcas con tu marca o lo modificas sustancialmente. Las obligaciones de modelo de uso general (GPAI) permanecen con el proveedor del modelo.

Lo que está en vigor hoy para cualquier pyme

Dos deberes ya se aplican, con independencia del nivel de riesgo. La alfabetización en IA (artículo 4) se aplica desde el 2 de febrero de 2025 a toda la IA: tu equipo necesita una competencia básica en las herramientas que utiliza; una política breve y una sesión informativa lo cubren. Y las prohibiciones del artículo 5 están vigentes: nada de técnicas manipuladoras o que exploten vulnerabilidades, y nunca inferir emociones de las personas trabajadoras en el lugar de trabajo. Si ofreces algo de cara al cliente o generativo, la transparencia del artículo 50 (desde el 2 de agosto de 2026; marcado de contenido desde el 2 de diciembre de 2026) exige informarlo.

Los apoyos para pymes —úsalos

El Reglamento no es indiferente al tamaño. Construye tu plan en torno a cuatro medidas:

Espacios controlados de pruebas (sandboxes, artículos 57 a 59): cada Estado miembro debe tener uno operativo el 2 de agosto de 2026, con acceso prioritario y gratuito para pymes y empresas emergentes (artículo 58).
Tasas de evaluación de la conformidad proporcionales (artículo 62) para pymes.
Formulario simplificado de documentación técnica (artículo 11(3)) para pymes.
Límite de las multas (artículo 99(6)): para pymes y empresas emergentes, la multa es la menor entre el porcentaje y la cantidad fija, no la mayor.

Plazos y sanciones

No todo va al mismo ritmo, y no todo se ha retrasado. Las prohibiciones (artículo 5) y la alfabetización (artículo 4) están en vigor desde el 2 de febrero de 2025; las obligaciones de los modelos de uso general (artículos 51 a 55) desde el 2 de agosto de 2025. El alto riesgo del anexo III sigue marcando legalmente el 2 de agosto de 2026 en el texto en vigor; el Digital Omnibus lo aplaza al 2 de diciembre de 2027, ya adoptado: el Parlamento Europeo lo votó en el pleno el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026; entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Planifica sobre el 2 de diciembre de 2027.

Las sanciones del artículo 99: hasta 35 millones de euros o el 7% del volumen de negocios anual mundial total para las prácticas prohibidas (99(3)); hasta 15 millones o el 3% para la mayoría de los incumplimientos (99(4)); hasta 7,5 millones o el 1% por información incorrecta o engañosa a las autoridades (99(5)). El artículo 99(6) limita la multa de las pymes a la cifra menor.

Ejemplo práctico: una pyme de 18 personas en Valencia

Marea Software, una pyme de 18 personas, ofrece un asistente de soporte basado en la API de un modelo de uso general y usa IA internamente para programación y analítica. Su clasificación: el asistente de soporte es de riesgo limitado (transparencia del artículo 50: avisar de que se conversa con una IA), y las herramientas internas son mínimas. Marea es responsable del despliegue del modelo —hasta que valora una función de "preselección de candidatos" para su propia contratación, que sería de alto riesgo (anexo III, punto 4) y la convertiría en proveedora. Aparca esa función, registra sus tres usos, aplica la alfabetización del artículo 4 y anota el sandbox como vía si algún día desarrolla la herramienta de contratación.

Cómo ayuda Confir

Confir le da a una pyme la clasificación y el registro sin necesidad de consultoría: respondes preguntas en lenguaje claro sobre cada uso de la IA y el motor —determinista y basado en reglas— devuelve el nivel, tu rol y las obligaciones, citando el artículo y la regla que se aplicó, y mostrando los apoyos para pymes (artículos 58, 62, 11(3), 99(6)) cuando proceden. El mismo dato de entrada produce siempre el mismo resultado: sin inferencia de modelo, sin alucinaciones.

Preguntas frecuentes

¿Se aplica el Reglamento de IA a las pymes?

Sí, pero de forma proporcionada. Se aplica según lo que hace tu IA y dónde se comercializa o utiliza, no según el tamaño de la empresa. La mayoría de la IA de una pyme es de riesgo mínimo o limitado y conlleva deberes ligeros; solo los usos del anexo III activan el régimen de alto riesgo. Además, el Reglamento incluye apoyos específicos para pymes.

¿Mi pyme es proveedor o responsable del despliegue?

Si usas IA de terceros tal cual, eres responsable del despliegue (artículo 26). Si desarrollas y comercializas una función de IA bajo tu nombre —incluso sobre la API de un modelo de uso general— probablemente seas el proveedor (artículo 16), y el artículo 25 confirma el cambio al marcarla o modificarla sustancialmente. Las obligaciones GPAI siguen con el proveedor del modelo.

¿Qué tiene que hacer una pyme ahora mismo?

La alfabetización en IA (artículo 4, en vigor desde el 2 de febrero de 2025) para tu equipo y cumplir las prohibiciones del artículo 5. Si ofreces IA de cara al cliente o generativa, la transparencia del artículo 50 se aplica desde el 2 de agosto de 2026 (marcado de contenido desde el 2 de diciembre de 2026). Y clasificar tus usos para saber si alguno es de alto riesgo.

¿Qué apoyos da el Reglamento a las pequeñas empresas?

Espacios controlados de pruebas con acceso prioritario y gratuito para pymes (artículos 57 a 59), tasas de conformidad proporcionales (artículo 62), un formulario simplificado de documentación técnica (artículo 11(3)) y un límite de multas (artículo 99(6)) que fija la sanción en la menor entre el porcentaje y la cantidad fija.

¿Quién supervisa el cumplimiento en España?

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), en el marco del proyecto de ley de IA aprobado el 26 de mayo de 2026 y en tramitación parlamentaria a junio de 2026. Las cuantías de las sanciones se rigen por el artículo 99 del Reglamento (UE) 2024/1689.

Guías relacionadas

Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar

Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.

Empieza la prueba gratuita →

Plataforma de Confir para la Ley de IA de la UE