AI Act: casi seguro que te obliga a menos de lo que te han contado
El Reglamento europeo de inteligencia artificial ha generado mucho ruido comercial. La realidad para la mayoría de las pymes es más tranquila: no desarrollas modelos, usas herramientas de terceros, y lo que te toca es sobre todo saber qué usas, contarlo y formar a tu gente.
Lo primero: qué papel juegas
El reglamento distingue entre quien desarrolla un sistema de IA y quien lo usa. Casi todas las pymes españolas están en el segundo grupo: usáis Copilot, Gemini o una herramienta sectorial que compró otro. Las obligaciones más duras —evaluaciones de conformidad, documentación técnica, marcado— recaen sobre quien lo pone en el mercado, no sobre ti.
Eso cambia si vuestro producto incorpora IA y lo vendéis a terceros. Si es vuestro caso, la conversación es otra y hay que tenerla en serio.
Lo que sí te toca casi con seguridad
- Saber qué IA hay en tu empresa. Un inventario real, incluidas las herramientas que nadie declaró y las funciones de IA que tu software de siempre ha ido incorporando sin avisar. Es la parte que más sorpresas da.
- Clasificar por nivel de riesgo. La mayoría de los usos de oficina caen en riesgo mínimo. Los que tocan selección de personal, evaluación de trabajadores o acceso a servicios esenciales son otra categoría — y ahí hay despachos y gestorías que no se habían dado cuenta.
- Formar al personal. Quien usa IA en la empresa debe tener un nivel suficiente de conocimiento sobre ella. Si haces la formación de BeReady, esto ya lo tienes hecho y documentado.
- Transparencia. Que se sepa cuándo se está interactuando con una IA y que el contenido generado esté identificado donde corresponda.
Lo que hacemos
Levantamos el inventario mirando tu entorno de verdad —aplicaciones conectadas, extensiones, cuentas—, clasificamos cada uso, documentamos la formación y dejamos escritas las reglas internas. Y te decimos con claridad qué obligaciones no te aplican, que suele ser la parte más útil del informe y la que nadie te va a regalar si te está vendiendo miedo.
La parte jurídica la lleva Kernel Legal, con quien trabajamos: la interpretación legal no la firmamos nosotros.
El detalle, en el blog
Tenemos escrito el calendario de aplicación por tramos, los niveles de riesgo con ejemplos y las obligaciones concretas de cada perfil. Está en nuestro blog, en abierto y sin pedir nada a cambio.
Esto es una pieza de BeCompliance · Cumplimiento.
Vuelve a la solución completaLo que nos preguntan antes de empezar.
¿Me pueden multar por usar ChatGPT en la oficina?
Por usarlo, no. Los problemas vienen por otro lado: meter datos personales o confidenciales en una herramienta sin base legal ni control es un asunto de RGPD, y ese sí es real y anterior al AI Act. Es una de las razones para sacar a la luz la IA en la sombra.
¿Necesito un responsable de IA?
No es una figura obligatoria para una pyme usuaria. Lo que sí conviene es que haya alguien con nombre que sepa qué herramientas hay y a quién preguntar. Puede ser el mismo que ya lleva protección de datos.
Somos una gestoría. ¿Nos afecta más?
Puede que sí, y no por vosotros: por vuestros clientes. Si usáis IA sobre documentación de terceros, la conversación de permisos y clasificación es prioritaria — y ahí manda más el RGPD que el AI Act.