{"id":157,"date":"2026-05-20T10:06:21","date_gmt":"2026-05-20T09:06:21","guid":{"rendered":"https:\/\/aiprocessia.com\/blog\/eu-ai-act-pymes-automatizaciones-afectadas\/"},"modified":"2026-10-03T12:27:29","modified_gmt":"2026-10-03T10:27:29","slug":"eu-ai-act-pymes-automatizaciones-afectadas","status":"publish","type":"post","link":"https:\/\/aiprocessia.com\/blog\/eu-ai-act-pymes-automatizaciones-afectadas\/","title":{"rendered":"EU AI Act para pymes: qu\u00e9 automatizaciones quedan afectadas y c\u00f3mo prepararte para los nuevos plazos"},"content":{"rendered":"\n
\n

Actualizado el 3 de octubre de 2026:<\/strong> el Reglamento (UE) 2026\/1744<\/a> (\u00d3mnibus digital sobre IA), publicado en el Diario Oficial de la UE el 24 de julio de 2026, aplaz\u00f3 las obligaciones de alto riesgo al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (anexo I). Hemos corregido las fechas de esta gu\u00eda, que daban el 2 de agosto de 2026, y a\u00f1adido lo que ya se aplica (la alfabetizaci\u00f3n en IA y la transparencia) y las dos prohibiciones nuevas que llegan el 2 de diciembre de 2026.<\/p>\n<\/div>\n\n\n

\"Sia,El EU AI Act<\/strong> para pymes ha dejado de ser un debate de Bruselas y se ha convertido en una agenda con fechas concretas. El reglamento europeo de inteligencia artificial entr\u00f3 en vigor el 1 de agosto de 2024 y va aplic\u00e1ndose por fases. Desde el 2 de agosto de 2026<\/strong> se aplica con car\u00e1cter general, incluida la transparencia del art\u00edculo 50 (chatbots y contenido generado por IA). El grueso de obligaciones para los sistemas de IA clasificados como de “alto riesgo”, previsto para esa misma fecha, se ha aplazado: el Reglamento (UE) 2026\/1744<\/a> lo lleva al 2 de diciembre de 2027<\/strong>, y al 2 de agosto de 2028 si el sistema va dentro de un producto regulado.<\/p>\n\n

La buena noticia es que no todas las automatizaciones que tienes en marcha caen dentro del reglamento, ni mucho menos. La mala es que algunas tan comunes como un filtro de curr\u00edculos o un sistema que punt\u00faa la solvencia de personas f\u00edsicas s\u00ed entran de lleno. Este art\u00edculo es una gu\u00eda pragm\u00e1tica, sin jerga jur\u00eddica, para que entiendas qu\u00e9 automatizaciones de tu empresa quedan afectadas<\/strong>, qu\u00e9 te toca ya y qu\u00e9 conviene preparar antes de diciembre de 2027.<\/p>\n\n

Lo escribimos desde la trinchera: implantamos automatizaciones con IA en pymes espa\u00f1olas y revisamos cada proyecto con esta lupa. Lo que sigue es lo que necesita saber un gerente, un responsable de operaciones o un IT manager \u2014 no un abogado.<\/p>\n\n

\n

Respuesta r\u00e1pida:<\/strong> El EU AI Act clasifica la IA por riesgo. La mayor\u00eda de automatizaciones de pyme son de riesgo m\u00ednimo o de transparencia; solo algunas, como la criba de CVs, son de alto riesgo y exigir\u00e1n supervisi\u00f3n humana desde el 2 de diciembre de 2027.<\/p>\n<\/div>\n\n

Las 4 categor\u00edas de riesgo del EU AI Act explicadas para pymes<\/h2>\n\n

El reglamento clasifica los sistemas de IA seg\u00fan su impacto sobre derechos fundamentales y seguridad. Cada categor\u00eda implica obligaciones muy distintas:<\/p>\n\n

    \n
  • Riesgo inaceptable (prohibido).<\/strong> Sistemas vetados en la UE desde febrero de 2025: scoring social tipo China, manipulaci\u00f3n subliminal, identificaci\u00f3n biom\u00e9trica masiva en tiempo real, predicci\u00f3n policial puramente perfilada. Desde el 2 de diciembre de 2026 se suman dos prohibiciones del \u00d3mnibus: los sistemas que generan o manipulan im\u00e1genes, v\u00eddeos o audios realistas de contenido \u00edntimo o sexual de personas identificables sin su consentimiento, y los que generan material de abuso sexual infantil. Una pyme rara vez se cruza con esto.<\/li>\n
  • Alto riesgo.<\/strong> El n\u00facleo del reglamento. Aqu\u00ed entran sistemas que afectan a empleo, educaci\u00f3n, acceso a servicios esenciales, cr\u00e9dito, seguros, justicia o infraestructuras cr\u00edticas. Es la categor\u00eda que m\u00e1s pymes ignoran y donde m\u00e1s se equivocan.<\/li>\n
  • Riesgo limitado (obligaciones de transparencia).<\/strong> Chatbots, generadores de contenido, deepfakes. Obligaci\u00f3n principal: avisar al usuario de que est\u00e1 interactuando con una IA o de que el contenido est\u00e1 generado por IA. Se aplica desde el 2 de agosto de 2026 (art\u00edculo 50).<\/li>\n
  • Riesgo m\u00ednimo.<\/strong> Aqu\u00ed caen automatizaciones empresariales t\u00edpicas como el OCR de facturas, los recomendadores de productos, los filtros antispam o el mantenimiento predictivo. No tienen obligaciones propias de su categor\u00eda (los c\u00f3digos de conducta son voluntarios), aunque, como cualquier uso de IA en la empresa, les alcanza la alfabetizaci\u00f3n en IA del art\u00edculo 4.<\/li>\n<\/ul>\n\n

    D\u00f3nde caen las automatizaciones t\u00edpicas de una pyme<\/h2>\n\n

    Para aterrizar las categor\u00edas, esto es lo que vemos en proyectos reales:<\/p>\n\n

      \n
    • Filtrado autom\u00e1tico de CVs y rankings de candidatos:<\/strong> alto riesgo<\/em> (Anexo III, \u00e1rea de empleo). Si tu ATS punt\u00faa, ordena o descarta candidatos con IA, eres usuario de un sistema de alto riesgo.<\/li>\n
    • Solvencia o calificaci\u00f3n crediticia de personas f\u00edsicas, y riesgo o precio en seguros de vida y salud:<\/strong> alto riesgo<\/em> (anexo III, punto 5). Ojo: solo cuando se eval\u00faa a personas f\u00edsicas (un aut\u00f3nomo lo es), no a sociedades; y la detecci\u00f3n de fraude queda fuera.<\/li>\n
    • Evaluaci\u00f3n de empleados con IA (productividad, promociones):<\/strong> alto riesgo<\/em>.<\/li>\n
    • Chatbot de atenci\u00f3n al cliente en tu web o WhatsApp:<\/strong> riesgo limitado<\/em>. Obligaci\u00f3n de informar de que es una IA.<\/li>\n
    • Asistente IA que redacta respuestas a emails que un humano revisa antes de enviar:<\/strong> riesgo m\u00ednimo<\/em>. Sin obligaciones propias, m\u00e1s all\u00e1 de la alfabetizaci\u00f3n en IA.<\/li>\n
    • OCR de facturas que entran a tu ERP, conciliaci\u00f3n bancaria, clasificaci\u00f3n de gastos:<\/strong> riesgo m\u00ednimo<\/em>.<\/li>\n
    • Recomendadores de producto en ecommerce, mantenimiento predictivo, detecci\u00f3n de anomal\u00edas:<\/strong> riesgo m\u00ednimo<\/em>.<\/li>\n
    • Im\u00e1genes, audio o v\u00eddeo generados por IA que pueden pasar por reales, y textos generados por IA para informar sobre asuntos de inter\u00e9s p\u00fablico:<\/strong> riesgo limitado<\/em>. Hay que avisar de que son artificiales; en los textos, salvo que los revise una persona y alguien asuma la responsabilidad editorial (art\u00edculo 50.4).<\/li>\n<\/ul>\n\n

      Una regla mental \u00fatil: si la salida de la IA decide<\/strong> algo sobre una persona (contratarla, prestarle dinero, evaluarla, vigilarla), prep\u00e1rate para alto riesgo. Si la salida es un dato administrativo que un humano usa para trabajar m\u00e1s r\u00e1pido, casi siempre es riesgo m\u00ednimo.<\/p>\n\n

      Obligaciones reales si tienes un sistema de alto riesgo<\/h2>\n\n

      Conviene distinguir si eres proveedor<\/em> (desarrollas y vendes el sistema) o responsable del despliegue<\/em> (lo usas en tu empresa). La mayor\u00eda de pymes son responsables del despliegue de herramientas de terceros, y sus obligaciones (art\u00edculo 26) son m\u00e1s ligeras pero existen. Para los sistemas del anexo III se aplican desde el 2 de diciembre de 2027:<\/p>\n\n

        \n
      • Usar el sistema conforme a las instrucciones del proveedor y mantener registros de su uso.<\/li>\n
      • Asignar supervisi\u00f3n humana<\/strong> efectiva: una persona con autoridad real para corregir o desactivar el sistema.<\/li>\n
      • Asegurarse de que los datos de entrada son relevantes y representativos para el caso de uso.<\/li>\n
      • Informar a los trabajadores y a sus representantes antes de poner en marcha un sistema de alto riesgo en el puesto de trabajo.<\/li>\n
      • Comunicar incidentes graves al proveedor y, en su caso, a la autoridad nacional.<\/li>\n
      • Mantener una evaluaci\u00f3n de impacto sobre derechos fundamentales<\/strong> cuando aplique (t\u00edpica en banca, seguros, sector p\u00fablico).<\/li>\n
      • Conservar los logs generados por el sistema durante al menos seis meses.<\/li>\n<\/ul>\n\n

        El reglamento fija los m\u00e1ximos: hasta 35 M\u20ac o el 7 % de la facturaci\u00f3n mundial por una pr\u00e1ctica prohibida, y hasta 15 M\u20ac o el 3 % por incumplir, entre otras, las obligaciones del responsable del despliegue o las de transparencia; para una pyme cuenta la menor de las dos cifras. Cada Estado fija su r\u00e9gimen sancionador: en Espa\u00f1a, la ley que concreta las infracciones y las multas sigue en tramitaci\u00f3n en el Congreso (Proyecto de Ley Org\u00e1nica para el buen uso y la gobernanza de la inteligencia artificial, 121\/000096), sin cuant\u00edas aprobadas.<\/p>\n\n

        Plazos clave 2025-2028<\/h2>\n\n
          \n
        • 2 de febrero de 2025:<\/strong> se aplican las pr\u00e1cticas prohibidas y la alfabetizaci\u00f3n en IA (art\u00edculo 4). El \u00d3mnibus suaviz\u00f3 esta \u00faltima: hay que adoptar medidas para apoyar la alfabetizaci\u00f3n de tu personal y de quien use sistemas de IA en tu nombre, sin tener que garantizar un nivel concreto.<\/li>\n
        • 2 de agosto de 2025:<\/strong> obligaciones para modelos de prop\u00f3sito general (GPAI) y arranque de las autoridades nacionales y la Oficina Europea de IA.<\/li>\n
        • 2 de agosto de 2026:<\/strong> aplicaci\u00f3n general del reglamento: empieza la supervisi\u00f3n de las autoridades y se aplican las obligaciones de transparencia del art\u00edculo 50 (chatbots y contenido generado por IA). El alto riesgo, previsto inicialmente para esta fecha, se aplaz\u00f3.<\/li>\n
        • 2 de diciembre de 2026:<\/strong> se aplican las dos prohibiciones nuevas del \u00d3mnibus (contenido \u00edntimo o sexual sin consentimiento y material de abuso sexual infantil).<\/li>\n
        • 2 de diciembre de 2027:<\/strong> obligaciones para los sistemas de alto riesgo del anexo III (empleo, cr\u00e9dito, educaci\u00f3n, servicios esenciales, etc.), tras el aplazamiento del Reglamento (UE) 2026\/1744.<\/li>\n
        • 2 de agosto de 2028:<\/strong> obligaciones para sistemas de alto riesgo integrados en productos regulados (anexo I: maquinaria, dispositivos m\u00e9dicos, juguetes, ascensores\u2026).<\/li>\n<\/ul>\n\n

          Checklist de cumplimiento para una pyme<\/h2>\n\n
            \n
          1. Inventario.<\/strong> Lista todos los sistemas y automatizaciones que usan IA, incluyendo Copilot, ChatGPT integrado, herramientas SaaS y proyectos internos con n8n o RPA.<\/li>\n
          2. Clasifica cada uno<\/strong> en una de las cuatro categor\u00edas. Documenta el razonamiento.<\/li>\n
          3. Forma a tu equipo.<\/strong> La alfabetizaci\u00f3n en IA (art\u00edculo 4) se aplica desde febrero de 2025 a toda empresa que use sistemas de IA, ChatGPT incluido. Tras el \u00d3mnibus, hay que adoptar medidas para apoyarla, sin garantizar un nivel concreto ni pedir un certificado: la puedes demostrar con formaci\u00f3n adaptada a vuestras herramientas y un registro interno.<\/li>\n
          4. Etiqueta chatbots y contenido generado<\/strong> en webs, emails y redes.<\/li>\n
          5. Pide a tus proveedores<\/strong> documentaci\u00f3n t\u00e9cnica, declaraci\u00f3n de conformidad y marcado CE de sus sistemas de alto riesgo.<\/li>\n
          6. Dise\u00f1a supervisi\u00f3n humana<\/strong> donde corresponda: roles, autoridad para parar el sistema, registros.<\/li>\n
          7. Actualiza pol\u00edticas internas:<\/strong> contratos con proveedores, pol\u00edtica de uso de IA, informaci\u00f3n a los trabajadores, RGPD vinculado.<\/li>\n<\/ol>\n\n

            \u00bfTiene sentido reaccionar ya?<\/h2>\n\n

            S\u00ed, pero con cabeza. La mayor\u00eda de pymes acabar\u00e1n comprobando que sus automatizaciones reales son de riesgo m\u00ednimo y el trabajo se concentra en dos o tres herramientas concretas. Ese mapa r\u00e1pido conviene tenerlo ya: la alfabetizaci\u00f3n y la transparencia se aplican hoy, y el alto riesgo llega el 2 de diciembre de 2027.<\/p>\n\n

            En AIPROCESSIA hacemos esa auditor\u00eda con un enfoque de proceso, no de papeleo: identificamos qu\u00e9 automatizaciones tienes, las clasificamos, sugerimos cambios t\u00e9cnicos cuando algo se puede bajar de categor\u00eda redise\u00f1\u00e1ndolo (por ejemplo, manteniendo el “humano en el bucle” en una decisi\u00f3n que afecta a personas) y dejamos un plan accionable.<\/p>\n\n\n

            Las 4 categor\u00edas de riesgo del EU AI Act<\/figcaption>
            Nivel de riesgo<\/th>Ejemplo en una pyme<\/th>Obligaci\u00f3n<\/th><\/tr><\/thead>
            Inaceptable<\/td>Scoring social<\/td>Prohibida<\/td><\/tr>
            Alto<\/td>Filtrado de CVs, solvencia de personas f\u00edsicas<\/td>Evaluaci\u00f3n + supervisi\u00f3n humana<\/td><\/tr>
            Limitado<\/td>Chatbot de atenci\u00f3n al cliente<\/td>Transparencia (avisar que es IA)<\/td><\/tr>
            M\u00ednimo<\/td>OCR de facturas, conciliaci\u00f3n bancaria<\/td>Sin obligaciones espec\u00edficas<\/td><\/tr><\/tbody><\/table>
            Plazos: transparencia desde el 2 de agosto de 2026; alto riesgo desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I).<\/figcaption><\/figure>\n\n\n

            Preguntas frecuentes<\/h2>\n

            \u00bfA qu\u00e9 pymes afecta el EU AI Act?<\/h3>\n

            A casi todas, seg\u00fan el uso que den a la IA. No depende del tama\u00f1o, sino del riesgo del sistema: cuanto m\u00e1s impacte en los derechos de las personas, m\u00e1s obligaciones.<\/p>\n

            \u00bfQu\u00e9 automatizaciones son de alto riesgo?<\/h3>\n

            Las que deciden sobre personas: criba de CVs, evaluaci\u00f3n de empleados, scoring crediticio o acceso a servicios esenciales. Requieren supervisi\u00f3n humana, transparencia y control de sesgos.<\/p>\n

            \u00bfCu\u00e1ndo entra en vigor y qu\u00e9 plazos hay?<\/h3>\n

            El reglamento entr\u00f3 en vigor el 1 de agosto de 2024 y se aplica por fases: pr\u00e1cticas prohibidas y alfabetizaci\u00f3n en IA desde febrero de 2025, transparencia desde agosto de 2026 y alto riesgo desde el 2 de diciembre de 2027 (anexo III) o el 2 de agosto de 2028 (anexo I), tras el aplazamiento del Reglamento (UE) 2026\/1744. Conviene preparar ya el inventario de sistemas.<\/p>\n\n\n