Reglamento de IA 2026: qué debe revisar una pyme

Comprobado el 25 de agosto de 2026: la Comisión Europea indica que el Reglamento de IA empezó a ser aplicable el 2 de agosto de 2026, con excepciones y calendarios progresivos. Para muchas pymes que usan herramientas ya hechas, lo más inmediato no es construir documentación de alto riesgo: es saber qué sistemas utilizan, si interactúan con personas y si generan o alteran contenido.

Qué entra en vigor ahora

La Comisión señala que desde el 2 de agosto de 2026 se aplican las facultades de supervisión y determinadas obligaciones de transparencia. Un chatbot debe avisar de que es una máquina; ciertos contenidos generados o manipulados, como deepfakes, deben identificarse; y el contenido sintético debe incorporar marcas legibles por máquina cuando corresponda.

Hay una precisión importante: la Comisión contempla un periodo limitado para algunos sistemas de generación de contenido puestos en el mercado antes del 2 de agosto de 2026, con la obligación de marcado y detección desde el 2 de diciembre de 2026. No conviertas esa excepción en una licencia para ocultar un chatbot nuevo.

¿Eres proveedor o usuario?

Una empresa que integra una herramienta de terceros en su atención, marketing o back office suele ser usuaria o deployer; quien desarrolla y pone el sistema en el mercado puede ser proveedor. La clasificación depende del papel y del sistema concreto, no de que la empresa tenga cinco o cincuenta personas. Si haces cambios sustanciales, renombras el sistema o lo pones bajo tu marca, pide asesoramiento jurídico antes de asumir que solo eres usuario.

La lista de una tarde

1. Haz un inventario: herramienta, proveedor, finalidad, datos, usuarios y país donde se procesa.
2. Marca si hay interacción con clientes, voz, imagen, texto público o decisiones que afecten a personas.
3. Guarda la información que el proveedor da sobre uso, logs, entrenamiento, filtros y exportación.
4. Escribe el aviso que verá la persona cuando hable con un sistema de IA o vea contenido generado.
5. Asigna un responsable humano y un interruptor. Si la salida es dudosa, se revisa o se detiene.
6. Forma al equipo en el uso permitido y en lo que nunca debe pegarse en la herramienta.

Fechas que no debes mezclar

La Comisión sitúa las reglas para sistemas de alto riesgo de determinados ámbitos en el 2 de diciembre de 2027 y las de IA integrada en productos regulados en el 2 de agosto de 2028, tras el acuerdo del AI Omnibus. Esas fechas no retrasan las obligaciones de transparencia que ya puedan aplicar a tu chatbot, generador de imágenes o contenido público.

El Reglamento de IA tampoco sustituye al RGPD, a la normativa laboral ni a las reglas sectoriales. Un sistema puede ser de riesgo limitado y seguir necesitando una base jurídica, información a empleados o controles contractuales.

Qué pedir al proveedor

Pide una ficha de finalidad, papel regulatorio, versión, datos de entrenamiento relevantes, retención de prompts, subencargados, controles de transparencia, gestión de incidentes y canal de soporte. No basta con «cumplimos la IA europea» en una página de marketing. Si no responde, prueba con datos sintéticos y no conectes el sistema a clientes.

Conclusión: no necesitas convertir cada pyme en un departamento legal, pero sí dejar de tratar la IA como una caja invisible. Inventario, aviso, revisión humana, proveedor identificable y fecha de la última comprobación son un buen primer control.

Fuentes oficiales consultadas el 25/08/2026: Comisión Europea · marco regulatorio de IA, Comisión Europea · aplicación y supervisión, Comisión Europea · transparencia del artículo 50 y Comisión Europea · AI Omnibus. Esta guía es operativa, no asesoramiento jurídico.