Obligaciones de IA para pymes: qué debes cumplir

Lo esencial, en cuatro líneas

• Si utilizas herramientas hechas por otros, eres responsable del despliegue, no proveedor.
• Tus obligaciones son cuatro: prohibiciones, alfabetización, transparencia y RGPD.
• No existe obligación general de etiquetar todo el contenido hecho con IA.
• Lo que más te va a pedir el mercado no es papel, es saber qué herramientas se usan en tu empresa.

En la entrada anterior vimos qué fechas se han movido y cuáles siguen en pie. Vamos ahora a lo práctico.

Porque la pregunta que nos llega estos días no es cuándo entra en vigor cada cosa. Es esta: «en mi empresa usamos ChatGPT para redactar correos, ¿eso me obliga a algo?». La respuesta corta es sí, aunque bastante menos de lo que has leído en la prensa.

¿Eres proveedor o simplemente usuario?

Todo depende de esta distinción, así que conviene empezar por ahí.

Si tu empresa desarrolla o comercializa un sistema de IA, eres proveedor y el grueso de la norma va contigo. Si te limitas a utilizar herramientas hechas por otros, eres responsable del despliegue. Dicho en simple: la empresa que usa el sistema, no la que lo fabrica.

La inmensa mayoría de las pymes están en el segundo grupo. Y ahí las obligaciones de IA para pymes son bastante más ligeras, pero no son cero.

¿Qué obligaciones tienes si solo usas herramientas de terceros?

Son cuatro.

1. No incurrir en prácticas prohibidas

La más relevante en el día a día suena lejana hasta que aparece un proveedor ofreciéndote una herramienta que promete inferir el estado emocional de tu equipo a partir de la voz, la entonación o el rostro.

Esos sistemas están prohibidos en los lugares de trabajo y en los centros educativos desde febrero de 2025. La excepción existe, pero es estrecha: se refiere a sistemas destinados a instalarse o comercializarse por motivos médicos o de seguridad. No es una justificación que la empresa pueda invocar para una herramienta cualquiera.

Un matiz importante. Un análisis de sentimiento basado solo en las palabras utilizadas no entra automáticamente en esta prohibición. Sigue necesitando revisión jurídica y de protección de datos, pero no es lo mismo.

2. Alfabetización en IA

El artículo 4 obliga a adoptar medidas que apoyen la promoción de la alfabetización en IA entre quienes usan estas herramientas.

La reforma de julio suavizó el estándar. La norma confirma ahora de forma expresa que no se exige garantizar un nivel concreto en ninguna persona en particular. Las medidas se adaptan a las funciones de cada uno y al contexto de uso.

No hay duración mínima, ni certificado oficial, ni obligación de contratar un curso. Basta con que quien usa la herramienta sepa qué puede meter en ella, qué no, y que lo que sale de ahí hay que revisarlo.

3. Transparencia

Aquí conviene separar dos planos, porque se mezclan constantemente.

Del proveedor es que se sepa cuándo se está interactuando con una IA y que los contenidos sintéticos lleven un marcado legible por máquina. Lo tuyo es comprobar que la herramienta que has contratado lo cumple.

Como responsable del despliegue te corresponden tres cosas: informar a quien quede expuesto a sistemas permitidos de reconocimiento de emociones o categorización biométrica; revelar la naturaleza artificial de un deepfake que difundas; e indicar la generación con IA de los textos que publiques para informar al público sobre asuntos de interés público. Esto último tiene una excepción relevante: no aplica cuando ha habido revisión humana o control editorial y alguien asume la responsabilidad editorial de la publicación.

Conviene detenerse en lo del deepfake, porque se entiende peor de lo que parece. La norma no habla solo del vídeo falso de un famoso: se refiere a imagen, audio o vídeo generado o manipulado con IA que se parece a personas, objetos, lugares o sucesos reales y que puede hacer creer a alguien que es auténtico. Las dos condiciones son esas, que se parezca a algo real y que pueda inducir a error.

En una pyme aparece más de lo que imaginas. Una inmobiliaria que genera la imagen de un piso amueblado que en realidad está vacío. Un restaurante con fotos de platos que parecen fotografías reales. Un presentador virtual con aspecto humano en un vídeo corporativo. Una voz clonada para una locución. Una ilustración o un fondo abstracto generados con IA, en cambio, no entran.

Dos precisiones que ahorran trabajo. La obligación solo nace si difundes el contenido: para uso interno no hay nada que revelar. Y no se exige ningún formato concreto, basta con que quede claro y visible desde el primer momento. Un «Imagen generada con IA» al pie cumple de sobra.

Conviene decirlo claro porque circula mucho lo contrario: no existe una obligación general de etiquetar cualquier contenido hecho con IA.

4. Y todo el RGPD, en paralelo

Es lo que más se olvida. El Reglamento de IA no sustituye a la normativa de protección de datos, se suma a ella.

El día que alguien pega en un asistente una propuesta con el nombre, el teléfono y la facturación de un cliente, ahí hay un tratamiento de datos personales con todas sus consecuencias.

¿Qué conviene tener por escrito?

No todas las empresas deben generar el mismo volumen de documentación. Lo que sigue mezcla obligaciones legales, obligaciones que dependen del uso concreto y buenas prácticas de gobernanza. Te marcamos qué es cada cosa:

1. Inventario de herramientas y casos de uso, incluidas las que el equipo ha empezado a usar por su cuenta. Buena práctica, pero imprescindible: sin ella no puede determinarse ninguna obligación.
2. Identificación del rol y clasificación por caso de uso: práctica prohibida, sistema de alto riesgo, sistema sujeto a transparencia específica o uso no clasificado como de alto riesgo. Necesaria para el análisis; documentación obligatoria en determinados supuestos.
3. Política interna de uso: qué está autorizado, qué información no debe introducirse nunca, cómo se revisan los resultados y quién responde de qué. Buena práctica organizativa.
4. Medidas de alfabetización, con constancia de contenidos, fechas y asistentes. Obligación legal; el formato y la evidencia son proporcionales.
5. Revisión de proveedores y contratos: condiciones del servicio, rol de cada proveedor, transferencias internacionales y si vuestros datos se usan para entrenar sus modelos. Obligatoria cuando lo exige el RGPD.
6. Documentación de protección de datos al día. Obligatoria cuando el uso de IA modifica el tratamiento.
7. Supervisión humana y registro de incidencias: quién revisa qué y qué se hace cuando la herramienta se equivoca. Porque se equivoca. Obligación en ciertos sistemas de alto riesgo; buena práctica en el resto.

Una advertencia sobre el punto 2. Se clasifica el caso de uso, no la herramienta. La misma cuenta de ChatGPT no plantea el mismo riesgo corrigiendo un correo que interviniendo en una selección de personal.

¿Qué está diciendo ya la AEPD?

Sus orientaciones sobre IA agéntica —sistemas que no solo responden, sino que actúan por su cuenta para completar una tarea— dejan clara la idea central: el responsable sigue determinando fines y medios aunque use agentes.

De ahí salen medidas muy concretas. Compartimentar la memoria del agente. Aplicar el principio de mínimo privilegio. Limitar a qué servicios externos puede acceder. Mantener trazabilidad de lo que ha hecho. Y prever puntos de autorización o intervención humana antes de acciones sensibles, de alto impacto o irreversibles.

Su guía sobre el uso de imágenes de terceros en sistemas de IA añade algo que suele pasarse por alto. Junto a los impactos visibles, como difundir el contenido generado, están los invisibles, que se producen por el mero hecho de subir el archivo.

Son estos: pérdida de control sobre el archivo, retención técnica en copias y registros, finalidades añadidas por parte del proveedor, metadatos e inferencias generados al procesarlo y riesgo de identificación persistente, porque algunos sistemas generativos usan una sola fotografía como base estable para producir después múltiples contenidos con esa misma persona.

Por analogía, traslada ese razonamiento de una fotografía a un presupuesto con datos de clientes o a un contrato. Verás por qué la pregunta de qué se introduce en la herramienta pesa tanto como la de qué se publica con ella.

Si eres cliente de Auditta, esta parte ya está en marcha

Cuando sabemos que una organización usa una herramienta de IA para tratar datos personales, integramos ese uso en la revisión de la actividad correspondiente: fines, riesgos, destinatarios, transferencias, conservación, seguridad y condiciones del proveedor.

Revisamos también si la información que se facilita a las personas sigue siendo correcta y determinamos el rol del proveedor para formalizar, cuando corresponda, el contrato de encargo del tratamiento. Lo hemos hecho, por ejemplo, al analizar si se pueden grabar y transcribir llamadas y reuniones con herramientas de IA.

Eso sí, exige conocer los usos reales. Una herramienta que alguien empieza a utilizar sin comunicarlo difícilmente puede evaluarse.

Y si no eres cliente nuestro, estas son las cuatro preguntas que deberías poder responder sobre tu documentación:

• ¿Se han identificado los casos de uso de IA que tratan datos personales?
• ¿Se han integrado en las actividades de tratamiento y en el análisis de riesgos?
• ¿Siguen siendo correctas las bases jurídicas, las finalidades y las cláusulas informativas?
• ¿Se ha determinado el rol de cada proveedor y revisado el contrato, las transferencias, la conservación y el posible uso de los datos para entrenar modelos?

Si alguna respuesta es «no lo sé», ahí tienes el primer trabajo. Y es de protección de datos, no de IA.

Lo que estamos preparando, y a qué ritmo

Lo nuevo, por tanto, no es la privacidad. Lo nuevo es la capa de gobernanza.

Por eso estamos ultimando un servicio específico para ella: Gobernanza y Cumplimiento IA. Cubrirá el inventario de sistemas y casos de uso, la identificación de roles, la clasificación, la política interna, el plan de alfabetización, el modelo de supervisión, el procedimiento de aprobación de herramientas, las evidencias e incidencias y el seguimiento regulatorio.

Con una precisión, porque nos la vais a preguntar: lo que ya hacemos en protección de datos sobre vuestros usos de IA sigue donde está, dentro de vuestro servicio de RGPD. Esta capa de gobernanza es de alcance distinto y va aparte. Y no incluye implantación tecnológica: cuando haga falta desarrollo o configuración, lo diremos y se trabajará con quien corresponda.

Sobre el ritmo, igual de francos. El tiempo que ha ganado el alto riesgo es tiempo real y conviene aprovecharlo, no gastarlo. Pero no tiene sentido volcar sobre una empresa de quince personas una montaña de documentación en tres semanas: eso no es cumplir, es acumular papel. Lo iremos incorporando de forma progresiva y ordenada, cliente a cliente.

Mientras tanto, puedes empezar por tres cosas. Pregunta a tu equipo qué herramientas está usando. Pon por escrito unas reglas básicas. Y revisa qué información se está introduciendo en ellas.

Preguntas frecuentes

Mi empresa solo usa ChatGPT o Copilot, ¿tengo alguna obligación?

Sí, cuatro: no incurrir en prácticas prohibidas, adoptar medidas de alfabetización en IA, cumplir las obligaciones de transparencia que te corresponden como responsable del despliegue y seguir aplicando el RGPD a los datos personales que trates con esas herramientas.

¿Tengo que etiquetar todo el contenido que genere con IA?

No existe obligación general de etiquetado. Como usuario debes revelar la naturaleza artificial de los deepfakes que difundas e indicar la generación con IA de textos publicados para informar al público sobre asuntos de interés público, salvo que exista revisión humana o control editorial y alguien asuma la responsabilidad editorial.

¿Puedo usar una herramienta que mida el estado de ánimo de mi equipo?

Si infiere emociones a partir de datos biométricos —voz, entonación, rostro— está prohibida en los lugares de trabajo. La única excepción se refiere a sistemas destinados a instalarse o comercializarse por motivos médicos o de seguridad, y es más estrecha de lo que parece: no basta con que la empresa alegue una finalidad de seguridad.

¿Necesito una política de uso de IA si somos quince personas?

No es una obligación expresa del Reglamento, pero es la medida que más orden aporta por menos esfuerzo. Da certeza al equipo sobre qué puede usar y qué información no debe introducir, y sirve para acreditar diligencia. En una empresa pequeña puede resultar más sencillo que en una organización de mayor tamaño.

Fuentes y aviso de actualización

Reglamento (UE) 2024/1689 (Reglamento de IA), en su redacción dada por el Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA); Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD); guías y orientaciones de la Agencia Española de Protección de Datos. Atribuciones: Imagen de jcomp en Magnific

Este artículo refleja la situación normativa a 28 de julio de 2026. El marco de la IA está en evolución y algunas obligaciones pueden variar. Antes de aplicar esta información a un caso concreto, contrástala con nosotros.