28 de octubre de 20269 min de lectura

Qué obligaciones trae el Reglamento Europeo de IA a una pyme

La buena noticia es que casi todo lo que hace una empresa pequeña con IA es de riesgo bajo. La mala es que hay dos excepciones que mucha pyme usa sin saberlo, y que el RGPD sigue aplicando por su cuenta.

El Reglamento (UE) 2024/1689, que todo el mundo llama Reglamento Europeo de IA o AI Act, es la primera norma del mundo que regula la inteligencia artificial de forma general. Se aprobó en 2024 y sus obligaciones han ido entrando por fases.

Lo primero que conviene entender es cómo está construido, porque ahí está la clave de por qué a la mayoría de las pymes les afecta poco.

No regula la tecnología, regula el uso

Esto es lo que más confusión genera. El reglamento no dice «los modelos de lenguaje son peligrosos» ni «esta tecnología está permitida y esta no». Lo que hace es clasificar para qué usas la IA y poner obligaciones según el daño que podría causar.

El mismo modelo, usado para resumir actas de reunión o para decidir a quién contratas, cae en dos categorías completamente distintas.

Así que la pregunta correcta no es «¿puedo usar esta herramienta?», sino «¿para qué la voy a usar y sobre quién decide?».

El reglamento no regula la tecnología, regula el uso. El mismo modelo para resumir actas o para decidir a quién contratas cae en dos categorías distintas.

Los cuatro niveles

Riesgo inaceptable: prohibido

Está prohibido en toda la Unión Europea. Entran cosas como la puntuación social de ciudadanos, la manipulación que explota vulnerabilidades de personas concretas, el raspado masivo de imágenes faciales para construir bases de datos de reconocimiento, y el reconocimiento de emociones en el puesto de trabajo y en centros educativos.

Ese último merece un aviso: el reconocimiento de emociones en el trabajo está prohibido. Si alguien te ofrece una herramienta que analiza el estado de ánimo de tus empleados en las llamadas, la respuesta es no.

Alto riesgo: permitido con obligaciones serias

Aquí es donde una pyme se puede meter sin darse cuenta. Los dos casos que más me encuentro:

• Selección de personal. Cribar currículos, puntuar candidatos, ordenar una lista de aspirantes. Si hay IA de por medio en una decisión de contratación, es alto riesgo.
• Evaluación de trabajadores. Asignar tareas, medir rendimiento, decidir promociones o despidos con ayuda de un sistema automático.

También entran los sistemas de crédito y solvencia, y algunos de seguros, que afectan a menos pymes pero conviene saberlo.

Estar en alto riesgo no significa que esté prohibido. Significa que hay que cumplir un paquete que incluye gestión de riesgos documentada, control de la calidad de los datos, registro de lo que hace el sistema, supervisión humana efectiva, información clara a las personas afectadas y documentación técnica disponible. Es trabajo serio y hay que presupuestarlo.

Mi recomendación práctica para una pyme: si el caso de uso que tienes en mente toca selección o evaluación de personas, replantéatelo. Casi siempre hay una forma de que la herramienta ayude sin decidir, y esa forma suele quedar fuera del alto riesgo.

Riesgo limitado: transparencia

Aquí cae la mayoría de lo que hace una pyme de cara al público. La obligación principal es sencilla y razonable: que la gente sepa que está hablando con una máquina.

Si tienes un asistente que atiende consultas en tu web, tiene que quedar claro que es un sistema automático. También hay que etiquetar el contenido generado o manipulado artificialmente, los llamados deepfakes.

Riesgo mínimo: sin obligaciones específicas

Aquí está el grueso de los casos internos: automatización documental, asistentes que buscan en vuestra propia documentación, clasificación de correos, borradores de informes. El reglamento no les impone obligaciones propias.

La obligación que sí afecta a todo el mundo: la formación

Hay un artículo que mucha gente se salta y que aplica con independencia del nivel de riesgo: la obligación de garantizar un nivel suficiente de alfabetización en IA entre las personas que usan estos sistemas en nombre de la empresa.

Traducido: si tu equipo usa IA, tienes que asegurarte de que entiende qué está usando, qué limitaciones tiene y cuándo no puede fiarse del resultado.

Esto no exige un máster. Exige una sesión seria por departamento y dejar constancia de que se ha hecho. Es, con diferencia, la obligación más fácil de cumplir y la que más se ignora.

El RGPD sigue aplicando, y por su cuenta

Este es el error conceptual más repetido. El Reglamento de IA no sustituye al RGPD ni lo relaja. Son dos normas que se suman.

Si tu sistema trata datos personales, y casi todos lo hacen, necesitas lo de siempre:

• Una base jurídica para ese tratamiento.
• Un contrato de encargado del tratamiento firmado con quien procese esos datos, incluido el proveedor del modelo.
• Saber dónde se procesan y, si salen de la Unión Europea, con qué garantías.
• Informar a las personas afectadas.
• Revisar si hace falta una evaluación de impacto.

Y una pregunta concreta para tu proveedor, que vale más que todo lo anterior junto: ¿se usan mis datos para entrenar vuestros modelos? La respuesta cambia según el plan contratado, incluso dentro del mismo proveedor.

El caso real más frecuente: la IA en la sombra

Dejo para el final el problema que más me encuentro, y no es de cumplimiento formal.

En casi todas las empresas donde entro hay alguien que ya está pegando información interna en una IA pública para que le resuma un documento o le redacte un correo. Sin mala intención y sin que nadie se lo haya prohibido, porque nadie ha dicho nada.

Eso es una transferencia de datos no controlada, y es un problema de RGPD hoy mismo, antes de que el Reglamento de IA entre en nada.

La solución no es prohibirlo, porque prohibir sin alternativa solo consigue que se haga a escondidas. La solución son dos cosas: una política interna de una página que diga qué se puede meter y qué no, y dar una herramienta aprobada para que la gente no tenga que buscarse la vida.

Qué hacer esta semana, en orden

1. Inventario. Pregunta departamento por departamento qué herramientas de IA se están usando ya. Te vas a sorprender.
2. Clasifica cada uso por nivel de riesgo. Casi todo caerá en mínimo o limitado.
3. Marca lo que toque personas (selección, evaluación) y trátalo aparte, con asesoramiento.
4. Escribe la política interna. Una página basta: qué información no sale nunca, qué herramientas están aprobadas, a quién se pregunta en caso de duda.
5. Forma al equipo y deja constancia.
6. Revisa los contratos con los proveedores de IA que ya uses.

Lo importante del orden: esto se hace antes de construir, no después. Descubrir a mitad de la implantación que el caso de uso era de alto riesgo es lo que convierte un proyecto de dos meses en uno de seis.

Esto es orientación técnica desde la experiencia de montar estos sistemas, no asesoramiento jurídico. Para una decisión con consecuencias legales, habla con un abogado especializado en protección de datos. Lo que sí puedo decirte es en qué nivel cae tu caso de uso y cómo replantearlo si hace falta, y eso es parte del diagnóstico.