¿El AI Act se aplica a las pymes?

Sí. El Reglamento (UE) 2024/1689 no exime a las pymes: sus obligaciones dependen del riesgo del sistema y del papel de la empresa, no de su tamaño. Lo que sí hace es prever medidas de apoyo y un régimen más favorable en documentación, tasas y multas.

Si mi pyme solo usa ChatGPT u otras herramientas de IA, ¿qué tengo que hacer?

Como responsable del despliegue, desde febrero de 2025 debes adoptar medidas de alfabetización en IA para tu personal (artículo 4) y no usar prácticas prohibidas (artículo 5). Desde agosto de 2026 tienes obligaciones de transparencia en ciertos casos, por ejemplo al publicar ultrasuplantaciones o textos generados por IA para informar al público sin revisión editorial (artículo 50).

¿Y si uso IA para seleccionar personal?

Los sistemas para seleccionar candidatos, filtrar solicitudes o evaluar a trabajadores son de alto riesgo (anexo III, punto 4). Como responsable del despliegue tendrás obligaciones desde el 2 de diciembre de 2027, entre ellas informar a los trabajadores y a sus representantes antes de usarlos (artículo 26.7).

¿Qué ventajas tiene una pyme frente a una gran empresa?

Puede presentar la documentación técnica de forma simplificada con un formulario de la Comisión (artículo 11), tiene acceso prioritario a los espacios controlados de pruebas y tasas de evaluación de conformidad reducidas (artículo 62), las microempresas pueden simplificar el sistema de gestión de la calidad (artículo 63) y las multas se calculan por la cifra menor (artículo 99.6).

¿Cuánto puede costar a una pyme incumplir el AI Act?

Los topes son 35 millones de euros o el 7 % de la facturación para las prácticas prohibidas, 15 millones o el 3 % para la mayoría de las demás obligaciones y 7,5 millones o el 1 % por dar información inexacta. A una pyme se le aplica la cifra menor de cada par, lo que en la práctica suele ser el porcentaje.

¿Qué cambió el Ómnibus digital para las pymes?

El Reglamento (UE) 2026/1744 retrasó las obligaciones de alto riesgo al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (anexo I), y extendió las ventajas de las pymes a una nueva categoría, las pequeñas empresas de mediana capitalización.

AI Act para pymes: obligaciones reales y ventajas que te da la ley

Actualizado el 11 de octubre de 2026

«El AI Act es para las grandes tecnológicas.» Es la frase que más oímos a directivos de pymes, y es falsa. El Reglamento (UE) 2024/1689 no tiene una exención general por tamaño: lo que determina sus obligaciones es qué sistema de IA usa y qué papel tiene la empresa respecto a él. Una pyme de diez personas que filtra currículos con IA tiene obligaciones de alto riesgo, igual que una multinacional.

Lo que sí hace la norma es reconocer que una pyme no tiene los recursos de una gran empresa. Prevé ventajas concretas —documentación simplificada, tasas reducidas, multas más bajas, apoyo público— que conviene conocer para no pagar de más.

Este artículo resume qué obligaciones afectan ya a una pyme, cuáles llegan en 2027, qué ventajas le da la ley y por dónde empezar. Para el marco completo, consulta nuestra guía de obligaciones del EU AI Act.

Primero: ¿eres proveedor o responsable del despliegue?

Es la pregunta que decide casi todo:

Proveedor: desarrolla un sistema de IA (o lo encarga) y lo comercializa o pone en servicio con su nombre o marca. Es el caso de las startups y empresas de software que integran IA en su producto.
Responsable del despliegue: usa un sistema de IA bajo su autoridad en su actividad profesional. Es el caso de la inmensa mayoría de las pymes: usan ChatGPT, un CRM con funciones de IA o una herramienta de selección de personal.

La mayoría de las obligaciones pesadas del AI Act recaen sobre el proveedor. Pero el responsable del despliegue también tiene las suyas, y algunas ya están en vigor.

Lo que ya se aplica a cualquier pyme que use IA

Desde febrero de 2025: alfabetización y prohibiciones

Alfabetización en IA (artículo 4). Proveedores y responsables del despliegue deben adoptar medidas para que su personal tenga conocimientos suficientes sobre la IA que usa, según su formación y el contexto de uso. El Ómnibus digital reformuló el artículo para dejar claro que no exige un nivel concreto, pero la obligación sigue vigente. En la práctica: formación adaptada y un registro de que se ha impartido.
Prácticas prohibidas (artículo 5). Entre otras, la manipulación que explota vulnerabilidades, la puntuación social y el reconocimiento de emociones en el lugar de trabajo salvo por motivos médicos o de seguridad. Una pyme puede incurrir en ellas sin saberlo si compra una herramienta que lo hace. El Ómnibus añade nuevas prohibiciones aplicables desde el 2 de diciembre de 2026.

Desde agosto de 2026: transparencia

El artículo 50 impone obligaciones de transparencia que afectan a pymes en situaciones comunes:

Si publicas imágenes, audio o vídeo generados por IA que constituyan una ultrasuplantación (deepfake), debes hacer público que son artificiales.
Si publicas textos generados por IA para informar al público sobre asuntos de interés público, debes decirlo, salvo que hayan pasado por revisión humana o control editorial con un responsable editorial.
Si usas un sistema de reconocimiento de emociones o de categorización biométrica (donde esté permitido), debes informar a las personas expuestas.
Si eres proveedor de un chatbot, debes diseñarlo para que el usuario sepa que habla con una IA, y si genera contenido sintético, marcarlo de forma legible por máquina.

Si tu pyme usa IA de alto riesgo: diciembre de 2027

Los sistemas del anexo III son de alto riesgo por su uso, no por su tecnología. Los que más afectan a pymes:

Empleo (punto 4): sistemas para contratar o seleccionar personas, filtrar solicitudes, evaluar candidatos, decidir ascensos o despidos, asignar tareas o evaluar el rendimiento de los trabajadores.
Acceso a servicios esenciales (punto 5): evaluación de solvencia crediticia de particulares y tarificación de seguros de vida y salud.
Educación (punto 3): admisión, evaluación de estudiantes o detección de conductas en exámenes.

Para estos sistemas, las obligaciones se aplican desde el 2 de diciembre de 2027, tras el retraso aprobado por el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»). Si la pyme es responsable del despliegue, el artículo 26 le exige, entre otras cosas:

Usar el sistema conforme a las instrucciones del proveedor.
Encomendar la supervisión humana a personas con la competencia, formación y autoridad necesarias.
Asegurarse de que los datos de entrada que controla son pertinentes y representativos.
Vigilar el funcionamiento e informar al proveedor y a la autoridad si detecta un riesgo o un incidente grave.
Conservar los registros automáticos al menos seis meses.
Si lo usa en el lugar de trabajo, informar a los trabajadores afectados y a sus representantes antes de ponerlo en servicio.

Las ventajas que la ley reconoce a las pymes

Aquí está lo que muchas pymes desconocen. El AI Act prevé medidas específicas, sobre todo para las que son proveedoras:

Ventaja	Dónde	Qué significa
Documentación técnica simplificada	Art. 11.1	Las pymes pueden presentar la documentación del anexo IV con un formulario simplificado que elaborará la Comisión, y los organismos notificados deben aceptarlo
Sistema de gestión de la calidad simplificado	Art. 63	Las microempresas sin empresas asociadas o vinculadas pueden cumplir de forma simplificada ciertos elementos del artículo 17
Tasas de conformidad reducidas	Art. 62.2	Las tasas de evaluación de la conformidad se reducen en proporción al tamaño de la empresa
Acceso prioritario a espacios de pruebas	Art. 62.1.a	Las pymes con domicilio o sucursal en la UE tienen prioridad en los espacios controlados de pruebas para la IA (sandboxes), que cada Estado debe tener operativos antes del 2 de agosto de 2027
Formación y canales de consulta	Art. 62.1.b-c	Los Estados deben organizar formación específica y canales de asesoramiento para pymes
Multas más bajas	Art. 99.6	A las pymes se les aplica la cifra menor entre el importe fijo y el porcentaje de facturación

Además, el Ómnibus digital extendió estas ventajas a una categoría nueva, las pequeñas empresas de mediana capitalización, que el Reglamento (UE) 2026/1744 define en el artículo 3: empresas que superan los umbrales de pyme pero siguen sin la escala de una gran empresa.

Recuerda que, según la Recomendación 2003/361/CE, es pyme la empresa con menos de 250 personas y un volumen de negocios de hasta 50 millones de euros o un balance de hasta 43 millones.

Las multas, a escala de pyme

El artículo 99 fija tres niveles de multa:

Infracción	Tope general
Prácticas prohibidas (art. 5)	35 millones de euros o el 7 % del volumen de negocios mundial
Incumplir la mayoría de las demás obligaciones (alto riesgo, transparencia…)	15 millones de euros o el 3 %
Dar información inexacta, incompleta o engañosa a las autoridades	7,5 millones de euros o el 1 %

Para una gran empresa se aplica la cifra mayor de cada par; para una pyme, la menor (artículo 99.6). Con una facturación de 5 millones de euros, por ejemplo, el tope por incumplir una obligación de alto riesgo sería el 3 %: 150.000 euros, no 15 millones. Sigue siendo una cifra que una pyme no quiere pagar.

En España, la autoridad que vigilará la mayoría de estas obligaciones es la AESIA; explicamos sus competencias en AESIA: qué es y cómo puede inspeccionar a tu empresa.

Por dónde empezar: cinco pasos para una pyme

Haz un inventario de las herramientas con IA que usa la empresa, incluidas las funciones de IA dentro de software que ya tiene.
Identifica tu papel en cada una: ¿proveedor o responsable del despliegue?
Descarta prácticas prohibidas, sobre todo en recursos humanos (reconocimiento de emociones de empleados).
Forma al personal y deja constancia: es la obligación del artículo 4, vigente desde 2025.
Marca los sistemas de alto riesgo —típicamente, selección de personal— y prepara con el proveedor la documentación e instrucciones para diciembre de 2027.

Para ordenar estos pasos dentro de un marco más amplio, consulta nuestra guía de gobernanza de IA.

Qué implica según el tamaño de tu empresa

Microempresa: tu prioridad es la alfabetización y no incurrir en prácticas prohibidas. Si desarrollas IA, aprovecha el sistema de calidad simplificado del artículo 63.
Pequeña empresa: revisa si alguna herramienta de RR. HH. es de alto riesgo. Es el caso más frecuente y el que más sorprende.
Mediana empresa: probablemente tengas ya varios sistemas de IA de terceros y alguno propio. Necesitas un inventario vivo y un responsable de cumplimiento de IA, aunque no sea a tiempo completo.

El reto de fondo: demostrar, no estimar

Para una pyme, el riesgo no es solo la multa: es perder un contrato. Si vendes o integras IA para clientes grandes, ellos responden ante sus propios supervisores y necesitarán pruebas de que lo que les vendes cumple. Una declaración de buenas intenciones no basta.

Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables en una prueba demostrable, reproducible y auditable, que puedes entregar a un cliente o a un supervisor. La prueba, no la estimación.

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Reglamento (UE) 2024/1689, artículos 3, 4, 5, 11, 26, 50, 57, 62, 63 y 99, y anexo III; Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»), DOUE de 24 de julio de 2026; Recomendación 2003/361/CE de la Comisión. Verificado el 11 de octubre de 2026.