La Ley de IA de la UE para medianas empresas: qué te aplica y desde cuándo

La mayoría de las medianas empresas no construyen modelos de IA. Los usan: un chatbot en la web, un asistente en ventas, Copilot en el IDE, quizá una herramienta que preclasifica candidaturas. Eso las convierte en responsables del despliegue en el lenguaje de la Ley de IA, y las obligaciones para ellos son bastante más ligeras de lo que sugieren los titulares, con algunas excepciones importantes. Desde que el AI Omnibus entró en vigor el 27 de julio de 2026, además, se han movido las fechas para los sistemas de alto riesgo. Esta es la versión práctica: qué papel tienes, en qué clase de riesgo cae cada caso de uso, qué aplica ya hoy y para qué deberías prepararte hasta diciembre de 2027. Es la visión de un ingeniero, no asesoramiento jurídico.

Dominik Heinrich

8 de noviembre de 202611 min de lectura

1. Primero tu papel: responsable del despliegue, proveedor o proveedor de modelos

La Ley de IA ordena las obligaciones por papeles. Un responsable del despliegue usa un sistema de IA bajo su propia autoridad: tu equipo de soporte con un chatbot, tus desarrolladores con un asistente de código, RR. HH. con una herramienta de cribado. Un proveedor desarrolla un sistema de IA y lo comercializa o pone en servicio con su propio nombre. Un proveedor de un modelo de IA de uso general (GPAI) entrena y publica un modelo como los que hay detrás de ChatGPT, Claude o Gemini.

Si llamas a Gemini o Claude por API y construyes encima un asistente interno, eres responsable del despliegue de ese asistente. Si vendes ese asistente a clientes con tu marca, pasas a ser su proveedor, y las obligaciones de proveedor van con él. Las reglas de GPAI, en vigor desde el 2 de agosto de 2025, apuntan a los fabricantes de modelos: documentación, política de derechos de autor y, para los modelos más grandes, evaluaciones de riesgo sistémico. A ti te afectan de forma indirecta: pide la documentación a tu proveedor de modelos en vez de intentar elaborarla tú.

Consejo práctico

Escribe tu papel junto a cada caso de uso de IA en una tabla. Casi todas las filas dirán 'responsable del despliegue'; las pocas que digan 'proveedor' son las que merecen una mirada más atenta.

2. Clasificar cada caso de uso en una de cuatro clases de riesgo

La ley trabaja con cuatro niveles. El riesgo inaceptable está simplemente prohibido: puntuación social, manipulación que explota vulnerabilidades, extracción indiscriminada de imágenes faciales, reconocimiento de emociones en el trabajo o la educación y, desde el Omnibus, también la IA que genera imágenes íntimas no consentidas. El alto riesgo cubre ámbitos donde las decisiones de la IA afectan a la vida de las personas: contratar y gestionar personal, acceso a la educación, scoring de crédito, infraestructuras críticas e IA integrada en productos regulados como máquinas o juguetes. El riesgo de transparencia cubre los chatbots y el contenido generado por IA. Todo lo demás, desde filtros de spam hasta un asistente interno que redacta correos, es riesgo mínimo y no tiene reglas específicas.

Para una mediana empresa típica la imagen honesta es esta: la mayoría de casos son de riesgo mínimo o de transparencia, y uno o dos rozan el alto riesgo, normalmente en RR. HH. Ahí está el trabajo. El diagrama muestra los cuatro niveles junto a las fechas de cada uno, para ver qué toca y cuándo.

Ley de IA de la UE para responsables del despliegue: cuatro niveles de riesgo — prácticas prohibidas (desde el 2 de febrero de 2025, más las apps de desnudo desde diciembre de 2026), alto riesgo (anexo III desde el 2 de diciembre de 2027, productos del anexo I desde el 2 de agosto de 2028), riesgo de transparencia como los chatbots (desde el 2 de agosto de 2026) y riesgo mínimo (sin reglas específicas) — junto a una línea de tiempo desde la entrada en vigor el 1 de agosto de 2024, pasando por las reglas GPAI el 2 de agosto de 2025, hasta el AI Omnibus el 27 de julio de 2026. — Cuatro niveles de riesgo y las fechas de cada uno tras el AI Omnibus (en vigor desde el 27 de julio de 2026). La mayoría de los casos de uso de una mediana empresa están en los dos inferiores.

3. Lo que ya aplica hoy

Hay tres cosas en vigor ya. Las prohibiciones aplican desde el 2 de febrero de 2025: si algo en tu stack deduce las emociones de los empleados por la webcam, tiene que desaparecer. La alfabetización en IA aplica desde la misma fecha; el Omnibus la suavizó, así que proveedores y responsables del despliegue deben tomar medidas para apoyar la alfabetización en IA de las personas que usan IA en su nombre, con un papel más fuerte de la Comisión y los Estados miembros. En la práctica: una formación breve por rol y reglas escritas sobre qué puede entrar en cada herramienta.

Las reglas de transparencia del artículo 50 aplican desde el 2 de agosto de 2026. Las personas tienen que saber cuándo interactúan con un sistema de IA, así que un chatbot en la web necesita un aviso visible. Los proveedores de IA generativa deben marcar el contenido sintético de forma legible por máquina, y los responsables del despliegue deben etiquetar los deepfakes y los textos escritos por IA sobre asuntos de interés público salvo que una persona los haya revisado. Desde esa misma fecha, la Oficina de IA y las autoridades nacionales supervisan y hacen cumplir la ley.

Consejo práctico

La guía de IA de esta web muestra la nota 'Respuestas de IA con Gemini' bajo cada conversación. Una línea de texto en la interfaz cubre la parte de chatbots del artículo 50.

4. Alto riesgo: lo que cambia el 2 de diciembre de 2027

El AI Omnibus movió las fechas de alto riesgo: las reglas para los ámbitos sensibles del anexo III, entre ellos empleo, educación, crédito e infraestructuras críticas, aplican desde el 2 de diciembre de 2027; para la IA integrada en productos del anexo I, como máquinas, ascensores o juguetes, desde el 2 de agosto de 2028. La razón es que las empresas cuenten con normas y herramientas de apoyo antes de que las obligaciones muerdan.

Si despliegas un sistema de alto riesgo, el artículo 26 pide cinco cosas: usarlo según las instrucciones del proveedor, asignar la supervisión humana a personas con la competencia y la autoridad para corregirlo, asegurar que los datos de entrada que controlas son pertinentes, vigilarlo y notificar incidentes graves, y conservar los registros que genera al menos seis meses. Antes de usarlo en el trabajo informas a los trabajadores y a sus representantes. Los organismos públicos, las entidades privadas que prestan servicios públicos y quienes lo usan para scoring de crédito o para fijar precios de seguros de vida y salud hacen además una evaluación de impacto en los derechos fundamentales según el artículo 27. La mayor parte de la documentación pesada recae en el proveedor del sistema, así que la primera pregunta a tu proveedor de software de RR. HH. es qué entregará antes de diciembre de 2027.

5. Multas, y por qué no son el principal motivo para actuar

El artículo 99 fija tres techos: hasta 35 millones de euros o el 7 % de la facturación anual mundial por prácticas prohibidas, hasta 15 millones o el 3 % para la mayoría de las demás obligaciones, transparencia incluida, y hasta 7,5 millones o el 1 % por información engañosa a las autoridades. Para las pymes, start-ups incluidas, se aplica la menor de las dos cantidades, y el Omnibus extendió varias simplificaciones de las pymes a las pequeñas empresas de mediana capitalización.

En mi experiencia, el motor más fuerte son tus clientes. Los clientes grandes ya preguntan en las licitaciones qué IA usas, adónde van los datos y quién revisa los resultados. Un inventario de IA de una página con papeles, clases de riesgo y responsables responde a la mayoría de esas preguntas, y es el mismo documento que pediría una autoridad.

6. Un plan de 30 días para una mediana empresa

Semana uno: inventario. Pregunta a cada equipo qué herramientas de IA usa, también las que nadie aprobó, y apunta cada una en la tabla con su propósito, papel, datos implicados y clase de riesgo. Semana dos: transparencia y lista de prohibiciones. Añade el aviso de IA a cada chatbot de cara al cliente, comprueba que ninguna herramienta cae en una prohibición y decide dónde los textos generados por IA necesitan revisión humana antes de publicarse. Semana tres: personas. Una formación breve por rol y una política de una página sobre qué datos pueden ir a qué herramienta; así la alfabetización en IA queda cubierta de forma que un auditor la vea.

Semana cuatro: el plan de alto riesgo. Para cada caso de uso del anexo III, pide al proveedor su hoja de ruta de cumplimiento, nombra a las personas que harán la supervisión humana y configura la conservación de registros. Después pon una revisión en el calendario cada trimestre hasta diciembre de 2027, porque las directrices y las normas siguen llegando. Si construyes productos de IA tú mismo, la checklist de madurez de mi artículo sobre llevar prototipos de IA a producción cubre la parte técnica: control de acceso, registros, copias de seguridad y un proceso de release que sabe decir que no.

text

AI inventory (one row per use case)
use case          | tool / model         | role      | data            | risk class   | owner   | due
website chatbot   | own guide on Gemini  | deployer  | visitor input   | transparency | sales   | done: AI note
coding assistant  | Copilot / Claude Code| deployer  | source code     | minimal      | CTO     | policy + training
CV pre-screening  | HR SaaS vendor       | deployer  | applicant data  | HIGH (Annex III) | HR  | 2 Dec 2027
product chatbot   | sold to customers    | PROVIDER  | customer data   | transparency | product | marking + docs

Conclusión
Para la mayoría de las medianas empresas, la Ley de IA es una tarea de transparencia y gobernanza, no un gran proyecto de cumplimiento: conoce tu papel, etiqueta tus chatbots, forma a tu gente y da a los uno o dos casos de alto riesgo un plan para diciembre de 2027.

Proyectos reales relacionados

Pruébalo tú mismo

Listo para producción

¿Lo quieres en tu empresa? Hablemos mail@dominikheinrich.ch

Fuentes y guías oficiales

Más artículos