Primeros 90 días de cumplimiento del Reglamento de IA para una pyme: guía paso a paso

Para quién

Para pequeñas y medianas empresas (en el sentido de la Recomendación 2003/361/CE, a la que remite el art. 3, punto 14 bis, del Reglamento de IA) que usan sistemas de IA de terceros o desarrollan alguno propio. También sirve a una gran empresa como punto de partida: las obligaciones son las mismas; cambian la escala y algunas ventajas para pymes.

Requisitos previos

• Una persona responsable del proyecto con acceso a dirección.
• Saber qué herramientas digitales usa cada departamento.
• Las fichas de referencia a mano: art. 4, art. 5 y art. 6 y anexo III, más el calendario y el glosario.

Qué ya aplica y qué viene

Pasos

Días 1 a 15

1. Inventaria tus sistemas de IA. Recorre los departamentos y anota cada sistema: nombre, proveedor, para qué se usa, quién lo usa y sobre quién. Incluye asistentes de redacción, chatbots, herramientas de selección, scoring, analítica y funciones de IA integradas en el software que ya usas. Un sistema de IA es lo que define el art. 3, punto 1 (ver el glosario).

• Entregable: registro de sistemas de IA.

2. Fija tu rol en cada sistema. Para cada uno, determina si eres proveedor (lo desarrollas o lo comercializas con tu nombre), responsable del despliegue (lo usas bajo tu autoridad), importador o distribuidor. La mayoría de las pymes son responsables del despliegue; si adaptas un sistema y lo ofreces con tu marca, puedes pasar a ser proveedor.

• Entregable: columna «rol» en el registro.

Días 16 a 30

3. Descarta las prácticas prohibidas. Contrasta cada uso con el art. 5: manipulación dañina, explotación de vulnerabilidades, puntuación social, inferencia de emociones en el trabajo o en centros educativos, categorización biométrica sensible, entre otras. Si algún uso encaja, déjalo de inmediato: las prohibiciones aplican desde el 2 de febrero de 2025 y su incumplimiento es el más sancionado.

• Entregable: informe breve de revisión del art. 5, con fecha y responsable.

4. Clasifica el riesgo. Para cada sistema, decide si es:

• de alto riesgo (anexo III, como selección de personal, evaluación de solvencia o seguros de vida y salud, o componente de seguridad de un producto del anexo I);
• de alto riesgo excluido por una de las condiciones del art. 6, apartado 3 (documenta el razonamiento: es obligatorio; nunca si hace perfiles de personas);
• con obligaciones de transparencia (art. 50: chatbots, contenido sintético, ultrafalsificaciones);
• de riesgo mínimo, sin obligaciones específicas más allá de la alfabetización.
• Entregable: matriz de clasificación.

Días 31 a 60

5. Forma a la plantilla (art. 4). Adopta medidas para apoyar la alfabetización en IA de quienes usan los sistemas, proporcionadas a su perfil y al uso. Desde el 27 de julio de 2026 no se exige garantizar un nivel concreto, pero sí adoptar medidas.

• Entregable: plan de formación por perfiles y registro de asistentes.

6. Cumple la transparencia (art. 50). Revisa que tus chatbots indiquen que son una IA (salvo que sea evidente), que tus herramientas generativas marquen el contenido y define cuándo etiquetas ultrafalsificaciones y texto de interés público generado por IA.

• Entregable: textos de aviso y procedimiento de etiquetado.

Días 61 a 90

7. Organiza el gobierno de la IA. Buena práctica, no obligación legal expresa del Reglamento: nombra un responsable interno, aprueba una política de uso de IA para la plantilla y revisa los contratos con proveedores (instrucciones de uso, información para la supervisión humana, notificación de incidentes).

• Entregable: política de uso de IA y checklist de proveedores.

8. Planifica el alto riesgo. Si tienes sistemas de alto riesgo, prepara el cumplimiento antes del 2 de diciembre de 2027 (anexo III) o del 2 de agosto de 2028 (anexo I). Como responsable del despliegue tendrás, entre otras, las obligaciones del art. 26: usar el sistema según las instrucciones, encomendar la supervisión humana a personas con competencia, formación y autoridad, cuidar que los datos de entrada sean pertinentes y vigilar su funcionamiento. Si eres organismo público, prestas servicios públicos o usas IA para evaluar solvencia o tarificar seguros de vida y salud, añade la evaluación de impacto en los derechos fundamentales (art. 27). Coordínalo con las evaluaciones de impacto del RGPD.

• Entregable: hoja de ruta con fechas, responsables y presupuesto.

Pyme y gran empresa: qué cambia

Las pequeñas empresas de mediana capitalización (art. 3, punto 14 ter) también se benefician de la cuantía menor en las multas de los apartados 4 y 5 del art. 99 (apartado 6 bis).

Checklist

• Registro de sistemas de IA con rol por sistema.
• Revisión del art. 5 documentada.
• Matriz de clasificación de riesgo; excepciones del art. 6.3 documentadas.
• Plan de alfabetización en marcha.
• Avisos de transparencia y procedimiento de etiquetado.
• Responsable interno y política de uso de IA.
• Hoja de ruta de alto riesgo con fechas (2.12.2027 y 2.8.2028).

Errores frecuentes

• Pensar que el Reglamento solo afecta a quien desarrolla IA. Quien la usa en su actividad profesional es responsable del despliegue y tiene obligaciones (arts. 4, 26 y 50).
• Esperar a 2027 para todo. La alfabetización y las prohibiciones aplican desde 2025, y la transparencia desde el 2 de agosto de 2026.
• Aplicar la excepción del art. 6.3 sin documentarla o a sistemas que elaboran perfiles de personas.
• Confundir prohibido con alto riesgo: inferir emociones de empleados está prohibido; el reconocimiento de emociones en otros ámbitos es de alto riesgo.
• Olvidar las funciones de IA integradas en herramientas que ya se usan (ofimática, CRM, selección).