Cómo cumplir el AI Act en una pyme: guía paso a paso

Actualizado el 25 de octubre de 2026 · Equipo de Kavelai · Cómo elaboramos las guías

Una pyme cumple el AI Act en siete pasos: hacer inventario de la IA que usa, clasificar cada uso por nivel de riesgo, formar a su personal (artículo 4), aprobar una política de uso, cumplir la transparencia del artículo 50, revisar la protección de datos y documentarlo todo. La mayoría de pymes solo usa IA de riesgo mínimo o limitado.

¿Cumple tu empresa? Repasa las 10 preguntas del autodiagnóstico del artículo 4.

Antes de empezar: qué papel tiene tu empresa

El AI Act reparte las obligaciones según el papel de cada empresa:

Proveedor: desarrolla un sistema de IA o lo comercializa con su nombre. Tiene la mayor parte de las obligaciones técnicas.
Responsable del despliegue: usa un sistema de IA en su actividad profesional. Es el caso de casi todas las pymes.

Si tu empresa usa ChatGPT, Copilot, un asistente en el CRM o un programa de selección con IA, eres responsable del despliegue. Si además has construido una herramienta con IA que vendes a tus clientes, también eres proveedor de esa herramienta. Ver las definiciones de proveedor y responsable del despliegue en el glosario.

Paso 1. Haz inventario de la IA que usas

No se puede cumplir con lo que no se conoce. Haz una lista con cada herramienta, quién la usa, para qué y con qué datos. Pregunta también por la IA que la gente usa por su cuenta: es la que más riesgos trae. Cómo hacerlo, en el inventario de herramientas de IA.

Paso 2. Clasifica cada uso por nivel de riesgo

Nivel	Ejemplos en una pyme	Qué implica
Prohibido	Reconocer emociones de los empleados en el trabajo	No se puede usar desde el 2 de febrero de 2025
Alto riesgo	Filtrar candidaturas, evaluar el rendimiento, decidir ascensos o despidos con IA, calificar la solvencia de personas	Obligaciones de supervisión, registros e información desde el 2 de diciembre de 2027
Transparencia	Chatbot de atención al cliente, imágenes o vídeos generados con IA	Avisar de que es IA (artículo 50)
Riesgo mínimo	Redactar correos, resumir documentos, traducir, programar	Solo alfabetización y buenas prácticas

Para los casos dudosos, consulta cómo saber si un uso de IA es de alto riesgo y las prácticas prohibidas.

Paso 3. Forma a tu personal (artículo 4)

La alfabetización en IA es obligatoria desde el 2 de febrero de 2025 para todas las empresas que usan IA. Combina una formación básica común con contenidos por puesto y guarda un registro. Todo el detalle está en la guía del artículo 4 y en cómo registrar las evidencias.

Paso 4. Aprueba una política de uso de IA

Un documento breve que diga qué herramientas se pueden usar, con qué datos, qué revisión humana se exige y a quién preguntar. Es la forma más barata de reducir riesgos y de demostrar que la empresa ha actuado. Ver cómo hacer una política de uso de IA.

Paso 5. Cumple la transparencia del artículo 50

Desde el 2 de agosto de 2026, hay que avisar a las personas cuando hablan con un chatbot, y señalar los contenidos ultrarrealistas generados con IA (deepfakes). Ver la transparencia del artículo 50.

Paso 6. Revisa la protección de datos

El AI Act no sustituye al RGPD. Antes de introducir datos personales en una herramienta de IA, comprueba la base jurídica, el contrato con el proveedor (encargado del tratamiento), dónde se tratan los datos y si el proveedor los usa para entrenar sus modelos. Ver qué datos no meter en ChatGPT.

Paso 7. Documenta y revisa

Guarda en un mismo sitio el inventario, la clasificación, la política, los registros de formación y las decisiones tomadas. Fija una revisión anual y cada vez que entre una herramienta nueva.

Calendario para una pyme

Fecha	Qué hacer
Ya (desde feb. 2025)	Alfabetización en IA y no usar prácticas prohibidas
Ya (desde ago. 2026)	Transparencia del artículo 50 y posible supervisión de la AESIA
2 de diciembre de 2026	Nuevas prohibiciones (imágenes íntimas no consentidas) y plazo para el marcado de contenido generado por IA
2 de diciembre de 2027	Obligaciones de alto riesgo del Anexo III, incluida la IA en empleo y RR. HH.

El calendario completo está en las fechas clave del AI Act.

Checklist resumida

Lista de herramientas de IA y de quién las usa.
Ningún uso prohibido.
Usos de alto riesgo identificados y con plan para diciembre de 2027.
Formación básica hecha y registrada.
Política de uso de IA aprobada y comunicada.
Avisos de IA en chatbots y contenidos que lo requieran.
Contratos y configuración de privacidad de los proveedores revisados.
Fecha de la próxima revisión.

Preguntas frecuentes

¿Qué tiene que hacer una pyme para cumplir el AI Act?

Como mínimo, saber qué IA usa, formar a quien la usa y guardar evidencias (artículo 4), no usar prácticas prohibidas (artículo 5), avisar cuando corresponda de que un contenido o un chatbot es IA (artículo 50) y cumplir el RGPD con los datos que se introducen. Si usa IA de alto riesgo, como en selección de personal, tendrá obligaciones adicionales desde el 2 de diciembre de 2027.

¿Necesito contratar un consultor para cumplir el AI Act?

No necesariamente. Una pyme que usa herramientas generales de IA puede cumplir con medidas internas sencillas. Conviene apoyo especializado si desarrolla sistemas de IA propios o si usa IA de alto riesgo, por ejemplo para filtrar candidaturas o evaluar a empleados.

¿El AI Act se aplica si la herramienta es de una empresa de Estados Unidos?

Sí. El AI Act se aplica a quien usa sistemas de IA en la UE, con independencia de dónde esté el proveedor. La pyme que usa la herramienta es responsable del despliegue y tiene sus propias obligaciones.

¿Cada cuánto hay que revisar el cumplimiento?

Recomendamos una revisión al menos anual y siempre que se incorpore una herramienta nueva, cambie el uso de una existente o haya un cambio normativo relevante.