Ley de IA en la pyme: qué obligaciones te aplican realmente

¿Proveedor o responsable del despliegue? Tu rol bajo la ley

El Reglamento (UE) 2024/1689 establece una distinción jurídica fundamental que determina de manera directa el nivel de exigencia legal para tu empresa: la diferencia entre proveedor y responsable del despliegue. El proveedor es la entidad que desarrolla un sistema de inteligencia artificial (o encarga su desarrollo) para comercializarlo o ponerlo en servicio bajo su propia marca. Por el contrario, el responsable del despliegue es la persona física o jurídica que utiliza un sistema de IA bajo su propia autoridad en el marco de su actividad profesional.

Para la inmensa mayoría de las medianas empresas, la realidad es clara: operáis como responsables del despliegue. Si tu equipo utiliza herramientas de mercado como asistentes de redacción, automatizaciones en el ERP, análisis documental o asistentes de atención al cliente, tu organización no está creando IA desde cero. Esto elimina los requisitos más complejos de la normativa, como la evaluación de conformidad previa, la obtención del marcado CE o la elaboración de expedientes técnicos de fabricación.

• Rol habitual (Responsable del despliegue): Utilizas herramientas comerciales de terceros. Tus obligaciones se centran en el uso supervisado, el cumplimiento contractual y la capacitación operativa.
• Riesgo de conversión en proveedor: Si alteras sustancialmente la finalidad prevista de un sistema, aplicas tu propia marca a una solución de terceros o modificas profundamente los modelos subyacentes, la normativa te catalogará legalmente como proveedor.
• Reparto de responsabilidades: La exactitud algorítmica y el diseño técnico recaen en el fabricante comercial, mientras que el uso ético, la selección de datos de entrada y la supervisión en el trabajo diario recaen en tu empresa.

Comprender esta separación evita decisiones precipitadas y costes innecesarios. Como dirección o responsable de tecnología, tu prioridad operativa no debe ser auditar algoritmos, sino supervisar las soluciones activas, verificar las garantías de tus proveedores tecnológicos y establecer una gobernanza interna proporcionada.

Las cuatro clases de riesgo: la realidad de la mediana empresa

El Reglamento (UE) 2024/1689 clasifica los sistemas de inteligencia artificial en cuatro niveles según su impacto en la seguridad y los derechos fundamentales. Aunque la normativa impone nuevos requisitos, la realidad para la mediana empresa es mucho más sencilla de lo que proyecta el alarmismo habitual: la gran mayoría de las herramientas de IA utilizadas en las pymes no entran en la categoría de alto riesgo.

• Riesgo inaceptable: Prácticas prohibidas por la Unión Europea, como la puntuación social o la manipulación subliminal dañina.
• Riesgo alto: Sistemas en áreas sensibles como empleo, educación, infraestructuras críticas o evaluación crediticia.
• Riesgo de transparencia (limitado): Herramientas como asistentes virtuales o chatbots, donde se debe informar explícitamente al usuario.
• Riesgo mínimo o nulo: Software cotidiano como filtros de spam, correctores de texto o motores de recomendación, sin obligaciones adicionales.

El uso diario de soluciones como Microsoft Copilot, ChatGPT para redactar correos o asistentes de análisis en un CRM encaja en las categorías de riesgo mínimo o de transparencia. Al no desarrollar algoritmos propios ni comercializar modelos masivos, tu organización actúa principalmente como entidad desplegadora y no como proveedora del sistema.

La excepción principal en el entorno pyme reside en la gestión de personas. Si utilizas software automatizado para filtrar currículos o evaluar candidatos en procesos de selección, la norma considera esa herramienta como un sistema de alto riesgo. En estos escenarios es obligatorio garantizar una supervisión humana efectiva y verificar la conformidad del proveedor dentro de tu gestión operativa.

Artículo 4 del Reglamento: la alfabetización obligatoria en IA

Desde el 2 de febrero de 2025, el Artículo 4 del Reglamento (UE) 2024/1689 impone una obligación directa e inmediata a todas las empresas europeas que despliegan herramientas de inteligencia artificial^[1]. A diferencia de otras normas cuyo régimen sancionador se escala progresivamente, la exigencia de garantizar un nivel suficiente de alfabetización en IA para la plantilla ya está plenamente vigente. Si tus empleados utilizan aplicaciones cotidianas como ChatGPT, Copilot o asistentes de análisis de datos en su jornada laboral, tu organización entra de lleno en la categoría de implantador y debe responder de su uso capacitado.

El texto normativo no exige convertir a todo el personal en ingenieros de datos, sino adaptar la formación a las competencias previas, las responsabilidades del puesto y el contexto operativo. Para la dirección y los responsables de TI de una mediana empresa, esto implica capacitar a los equipos para comprender el funcionamiento básico de los modelos, reconocer sesgos o alucinaciones, proteger información confidencial e integrar buenas prácticas de gestión de riesgos al interactuar con algoritmos.

• Pautas de formación por perfiles: Diseña sesiones diferenciadas según el nivel de interacción, distinguiendo entre usuarios de oficina, desarrolladores y puestos directivos.
• Registro de contenidos y asistencia: Documenta los temarios impartidos, las fechas, la duración de cada sesión y los listados de empleados participantes.
• Evaluación práctica de conocimientos: Incorpora pruebas breves o casos prácticos para comprobar que el personal comprende los límites éticos y ciberseguros de la tecnología.
• Política interna de uso aceptable: Formaliza una guía operativa que defina qué herramientas están autorizadas y qué tipo de datos corporativos no deben introducirse en modelos externos.

Ante una eventual inspección de las autoridades de supervisión, la falta de acreditación documental constituye el principal punto de vulnerabilidad para la mediana empresa. Mantener una evidencia trazable y actualizada no solo demuestra cumplimiento normativo frente a auditores, sino que protege los activos de la compañía frente a fugas de datos involuntarias y amenazas de IA en el entorno corporativo.

Calendario de aplicación: plazos clave de 2025 a 2027

El Reglamento (UE) 2024/1689 no entra en vigor de forma intempestiva ni exige transformar la infraestructura operativa de la noche a la mañana. Tras su entrada en vigor en agosto de 2024, la Unión Europea estableció un calendario de transición escalonado para que las medianas empresas adapten sus sistemas con garantías. Comprender esta cronología permite priorizar actuaciones inmediatas y evitar inversiones precipitadas.

Planificar en función de estas fases evita urgencias jurídicas o técnicas. En el corto plazo, la prioridad de la dirección no debe ser auditar algoritmos complejos sin riesgo, sino estructurar la formación interna y mantener un inventario actualizado de las herramientas en uso. Esta preparación paulatina asegura la continuidad del negocio y refuerza la seguridad TI sin incurrir en gastos superfluos.

Gobernanza práctica y ciberseguridad sin complicaciones

Integrar las exigencias del Reglamento (UE) 2024/1689 en la operativa diaria de una mediana empresa no requiere estructurar departamentos jurídicos complejos ni contratar consultorías costosas. La clave reside en extender las políticas de ciberseguridad y las rutinas de gestión de activos que tu equipo ya utiliza para la protección de datos bajo el RGPD. De este modo, la gobernanza tecnológica se convierte en un proceso continuo y manejable en lugar de una carga burocrática aislada.

Hoja de ruta en tres pasos para la gobernanza de IA

1. Auditoría e inventario de Shadow AI: Registra de forma centralizada todas las herramientas de software que incorporen capacidades de inteligencia artificial (chatbots de atención, asistentes de redacción, generadores de código o módulos analíticos) utilizadas por los empleados, detallando los permisos de acceso y las fuentes de datos introducidas.
2. Integración con el RGPD y protección de datos: Revisa las políticas de privacidad y los términos de servicio de cada proveedor de IA para confirmar que no utilizan los datos corporativos para entrenar modelos públicos y que respetan la confidencialidad exigida por la normativa vigente.
3. Establecimiento de protocolos de supervisión humana: Define con claridad en qué procesos se permite el uso asistido por algoritmos y exige siempre la revisión final de un profesional calificado antes de validar presupuestos, enviar comunicaciones oficiales o tomar decisiones sobre personal.

Garantizar el control humano directo sobre las salidas de los sistemas algorítmicos no representa únicamente una exigencia formal de la ley europea, sino la principal barrera de defensa preventiva contra posibles fallos técnicos, alucinaciones o fugas no intencionadas de información corporativa. Al situar a tus especialistas como el filtro decisivo en cada flujo de trabajo, la organización preserva la responsabilidad legal, mantiene la calidad del servicio y aprovecha la productividad de la inteligencia artificial con total tranquilidad.

Relación con proveedores y mitos comunes sobre certificación

Existe la creencia errónea de que el Reglamento (UE) 2024/1689 obliga a adquirir certificados específicos de Inteligencia Artificial o a contratar auditorías masivas para usar software empresarial convencional. La norma no exige sellos privados ni homologaciones de pago para la inmensa mayoría de las herramientas que utiliza una mediana empresa. Como entidad que despliega software de terceros, tu responsabilidad principal radica en verificar que el proveedor cumpla sus obligaciones de transparencia y en delimitar formalmente los compromisos contractuales, aplicando un modelo de responsabilidad compartida idéntico al del entorno cloud.

• Ficha de especificaciones técnicas: documento donde el proveedor describa si la herramienta utiliza modelos de IA, su finalidad prevista y las limitaciones del sistema.
• Garantías sobre el uso de datos: cláusulas explícitas que impidan que los datos confidenciales de tu empresa se utilicen para entrenar modelos de IA públicos o de terceros.
• Compromiso de notificación y registro: obligación contractual de informar sobre incidentes e incluir registros técnicos de trazabilidad para eventuales revisiones.
• Instrucciones de uso transparente: manuales claros proporcionados por el fabricante que detallen el nivel de supervisión humana necesario.

No necesitas reemplazar tu infraestructura existente por herramientas etiquetadas con supuestas certificaciones oficiales de IA que la normativa no requiere. En su lugar, solicita a tus proveedores de software una declaración explícita de conformidad técnica e integra este control en tu proceso habitual de evaluación de riesgos. Un enfoque práctico basado en evidencias objetivas protege legalmente a tu organización sin inflar el presupuesto operativo.

Pasos inmediatos para el equipo directivo de la mediana empresa

Para que la dirección general y los responsables de TI adapten su operativa al Reglamento (UE) 2024/1689 sin ahogar la productividad diaria, conviene evitar los enfoques burocráticos excesivos. La clave para la mediana empresa consiste en desplegar un esquema de gobernanza ágil y proporcional que garantice el control técnico de los sistemas de inteligencia artificial utilizados en la organización.

1. Auditar e inventariar las herramientas existentes: Identifica todas las aplicaciones comerciales y desarrollos internos que integren algoritmos o IA (desde asistentes de redacción hasta motores de análisis predictivo) y clasifícalas según su nivel de riesgo real.
2. Establecer un programa continuo de alfabetización: Diseña sesiones prácticas de formación interna para cumplir con la exigencia del artículo 4, asegurando que los empleados comprendan tanto las capacidades como los sesgos y límites de cada herramienta.
3. Revisar acuerdos de nivel de servicio (SLA) y contratos con proveedores: Verifica que los proveedores tecnológicos garanticen el cumplimiento normativo, la confidencialidad de los datos y el soporte técnico ante posibles auditorías o revisiones.

Integrar estas acciones dentro de la estrategia general de seguridad informática permite cumplir las obligaciones normativas sin duplicar estructuras ni ralentizar los procesos de negocio.

Ten en cuenta que las pautas expuestas en esta guía representan una valoración profesional técnica sobre gobernanza de tecnología y no constituyen un asesoramiento jurídico formal. Para decisiones legales específicas o redacción contractual, se recomienda consultar a un especialista en derecho digital.