AI Act y RGPD: lo que debe hacer una pyme que usa IA

El AI Act no se dirige solo a los desarrolladores de modelos. Una pyme que hace redactar sus ofertas a ChatGPT o deja que su CRM puntúe a sus clientes potenciales usa IA, y tanto el reglamento europeo como el RGPD ya le imponen obligaciones, en su mayoría algunos gestos de organización.

Esta guía de nuestra sección IA de empresa, privada y a su justo coste hace balance en octubre de 2026, sobre el texto revisado en julio de 2026. Estas obligaciones forman parte de las reglas que hay que fijar, la última de las cinco preguntas de nuestra guía para integrar la IA en la empresa. No es un asesoramiento jurídico: para un uso sensible, haga validar su caso por su delegado de protección de datos (DPD) o un abogado.

En resumen

• Sus obligaciones dependen de su papel: encargar el desarrollo de un asistente que se explota con su nombre le convierte en proveedor, con obligaciones adicionales.
• El calendario: el 2 de febrero de 2025 para las prohibiciones y la alfabetización en IA, el 2 de agosto de 2026 para la transparencia, el 2 de diciembre de 2027 para el alto riesgo (contratación, personal, crédito).
• El RGPD se suma: contrato con cada proveedor, registro, evaluación de impacto si el riesgo es alto.
• El punto de partida es el inventario de sus usos, incluidas las cuentas abiertas por los equipos.

¿Es usted «responsable del despliegue» o «proveedor» según el AI Act?

Sus obligaciones dependen de su papel. Según el artículo 3 del reglamento de IA, el responsable del despliegue utiliza un sistema de IA bajo su propia autoridad, en un marco profesional. Una pyme que abre cuentas de ChatGPT o Copilot a sus equipos, o que activa la IA de su CRM, es responsable del despliegue.

El proveedor desarrolla un sistema de IA, o lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio con su nombre o su marca, lo cobre o no. Una pyme que encarga el desarrollo de un asistente y lo explota con su nombre se convierte, por tanto, en su proveedor, con obligaciones adicionales.

Caso frecuente, el ajuste de un modelo con sus propios datos (el fine-tuning): según las preguntas y respuestas de la CNIL, la autoridad francesa de protección de datos, sobre la IA generativa, le hace responsable, incluso como proveedor en virtud del reglamento de IA, pero solo en lo que respecta a ese ajuste.

¿Qué se aplica, y desde cuándo?

El Reglamento (UE) 2024/1689 se aplica por etapas, según el artículo 113, en su versión revisada por el Reglamento (UE) 2026/1744 de 8 de julio de 2026, que aplazó las normas del alto riesgo:

1. 1 de agosto de 2024

   Entrada en vigor del reglamento.

2. 2 de febrero de 2025

   Prácticas prohibidas (artículo 5) y alfabetización en IA (artículo 4), para toda empresa que use IA.

3. 2 de agosto de 2025

   Aplicación de las sanciones.

4. 2 de agosto de 2026

   Transparencia (artículo 50) de los chatbots, las ultrafalsificaciones y ciertos textos generados, para sus proveedores y sus responsables del despliegue.

5. 2 de diciembre de 2026

   Dos prohibiciones añadidas por la revisión, sobre las imágenes íntimas generadas sin consentimiento y el material de abuso sexual infantil.

6. 2 de diciembre de 2027

   Normas de los sistemas de alto riesgo del anexo III, entre ellas el artículo 26, para la contratación, la gestión del personal y el crédito.

7. 2 de agosto de 2028

   Normas de los sistemas de alto riesgo integrados en productos ya regulados (anexo I).

¿Qué usos de la IA están prohibidos desde 2025?

El artículo 5 enumera las prácticas prohibidas. Tres pueden afectar a una pyme:

• inferir las emociones de sus empleados en el trabajo, salvo por motivos médicos o de seguridad: una herramienta que leyera el estado de ánimo de sus comerciales en su voz o en su rostro durante una videoconferencia está prohibida;
• puntuar a personas según su comportamiento social o su personalidad, cuando esa puntuación lleva a tratarlas de forma desfavorable fuera del contexto en que se recogieron los datos, o de forma desproporcionada;
• manipular a una persona, o explotar una vulnerabilidad ligada a su edad, a una discapacidad o a su situación social o económica, de un modo que le cause un perjuicio considerable.

Una herramienta que haga una de estas cosas debe detenerse, sea cual sea el tamaño de la empresa.

¿Cuándo pasa un uso de la IA a ser «de alto riesgo»?

El alto riesgo depende del uso, no de la herramienta. Entre los ámbitos del anexo III del reglamento, cuatro afectan a una pyme:

• la contratación: ofertas de empleo dirigidas, filtrado de candidaturas, evaluación de candidatos;
• la gestión del personal: ascensos, despidos, asignación de tareas, seguimiento del rendimiento;
• la solvencia o la calificación crediticia de una persona, salvo la detección de fraude;
• la fijación de precios de los seguros de vida y de salud.

A partir del 2 de diciembre de 2027, el responsable del despliegue de un sistema de alto riesgo debe, según el artículo 26:

1. usarlo conforme a sus instrucciones de uso;
2. confiar la supervisión humana a personas que tengan la competencia, la formación y la autoridad necesarias;
3. vigilarlo, suspenderlo en caso de riesgo y notificar los incidentes graves;
4. conservar los registros del sistema al menos seis meses;
5. informar a los empleados afectados y a sus representantes antes de usarlo en el trabajo;
6. informar a las personas afectadas por una decisión que toma o ayuda a tomar.

Para el crédito y los seguros, el artículo 27 añade una evaluación de impacto sobre los derechos fundamentales. Un sistema en servicio antes de esa fecha solo se ve afectado si después sufre modificaciones importantes en su diseño (artículo 111). El RGPD ya regula estas decisiones con su artículo 22, que se presenta más abajo.

¿Debe un chatbot decir que es una IA?

Sí, desde el 2 de agosto de 2026. El artículo 50 exige que las personas sepan que interactúan con un sistema de IA a más tardar en el momento de la primera interacción, salvo que resulte evidente para una persona razonablemente informada, atenta y perspicaz.

El texto atribuye esta obligación al proveedor: si su chatbot se desarrolló para usted y funciona con su nombre, le corresponde a usted. Con la herramienta de un editor, es primero suya, pero usted elige lo que ven sus visitantes, y un primer mensaje que anuncie un asistente automático resuelve la cuestión.

El mismo artículo obliga a señalar las ultrafalsificaciones y ciertos textos generados publicados para informar al público, salvo revisión humana bajo una responsabilidad editorial.

¿Qué significa la «alfabetización en IA» para sus equipos?

Es la obligación que afecta a más pymes. En su versión reescrita en julio de 2026, el artículo 4 pide adoptar medidas para favorecer el desarrollo de la alfabetización en IA del personal y de quienes usan estos sistemas para la empresa, sin obligación de garantizar un nivel específico de alfabetización en IA de cada persona. Es una obligación de medios: no hay que exigir un título, sino tener un enfoque que pueda demostrar, y la Comisión debe publicar ejemplos prácticos de cumplimiento.

La CNIL recuerda quién responde:

Una formación útil cabe en tres puntos:

• un modelo generativo no es una base de conocimiento: produce la respuesta más probable, no necesariamente la verdadera;
• ciertos datos nunca van a un servicio para el gran público: datos personales, secretos comerciales;
• cada respuesta se comprueba y no se copia tal cual.

¿Qué exige ya el RGPD cuando usa IA?

En cuanto un modelo recibe un dato personal, es un tratamiento en el sentido del RGPD. Tres artículos de su capítulo IV cuentan aquí:

• el artículo 28: un contrato con cada prestador que trate datos por usted, incluido el editor del modelo, que también regula las transferencias;
• el artículo 30: una línea en su registro de actividades de tratamiento;
• el artículo 35: una evaluación de impacto (EIPD) antes de cualquier tratamiento de alto riesgo para las personas.

El artículo 22 regula además la decisión basada únicamente en un tratamiento automatizado, y el capítulo V las transferencias fuera de la Unión.

La CNIL precisa que una empresa que conecta un modelo a su propia base de conocimiento (el RAG) es responsable de ese tratamiento cuando esa base contiene datos personales. El funcionamiento se explica en el RAG aplicado a los documentos de una empresa.

Los ocho pasos para usar la IA conforme a las normas

1. 01Haga el inventario de sus usos

   No olvide las cuentas que sus equipos han abierto por su cuenta, y anote para cada uno los datos que recibe.

2. 02Clasifique sus datos

   Lo que puede ir a un proveedor, lo que se queda en casa. Las opciones se comparan en los cuatro niveles de IA privada.

3. 03Escriba una política de uso

   La CNIL recomienda una política que defina claramente los usos autorizados y los prohibidos. Nuestra guía de la gobernanza de la IA propone una, la política de IA de empresa en cinco líneas.

4. 04Forme a los equipos

   Guarde constancia de quién ha recibido formación y cuándo.

5. 05Regule a sus proveedores

   Contrato, transferencias y reutilización de sus datos desactivada cuando la oferta lo permita.

6. 06Lleve el registro

   Realice también la evaluación de impacto si es necesaria, con su DPD si lo tiene.

7. 07Informe a las personas afectadas

   A los visitantes de su chatbot y, para una herramienta de alto riesgo usada en el trabajo, a los empleados y sus representantes.

8. 08Haga un balance periódico

   Una vez al año, por ejemplo, pregunte a los usuarios su opinión sobre la utilidad y los límites del sistema: la CNIL recomienda recogerla durante los primeros meses y los primeros años de uso.

¿Qué arriesga una pyme que no hace nada?

Las sanciones del artículo 99 se aplican desde el 2 de agosto de 2025, y su tope depende del incumplimiento:

Para cada incumplimiento, el tope aplicable es por regla general el más alto de los dos, y el más bajo para una pyme. El texto prevé también advertencias y medidas no pecuniarias, y los Estados tienen en cuenta los intereses de las pymes y su viabilidad económica.

El RGPD tiene sus propias sanciones, que en Francia impone la CNIL. El riesgo más habitual sigue siendo el que no se ve: un fichero de clientes pegado en una cuenta para el gran público, una decisión sobre un empleado que nadie sabe explicar.

Por dónde empezar

El inventario y la clasificación de los datos van primero: alimentan el registro, muestran si un uso se acerca al alto riesgo y preparan la política. Para Francia, la CNIL reúne en su página usar la IA generativa en las microempresas y pymes las cuatro fichas prácticas de France Num, elaboradas con la CPME, la confederación francesa de pymes, y la CNIL.

Para obtener una tabla por escrito de lo que puede ir a qué proveedor, y modelos probados con sus propios contenidos, consulte nuestra oferta IA a su justo coste. Para un uso de alto riesgo, su DPD o un abogado tiene la última palabra.

Preguntas frecuentes

Fuentes

1. El artículo 3 del reglamento de IA (nueva pestaña)ai-act-service-desk.ec.europa.eu
2. Las preguntas y respuestas de la CNIL, la autoridad francesa de protección de datos, sobre la IA generativa (nueva pestaña)cnil.fr
3. El artículo 113 (nueva pestaña)ai-act-service-desk.ec.europa.eu
4. El artículo 5 (nueva pestaña)ai-act-service-desk.ec.europa.eu
5. Anexo III del reglamento (nueva pestaña)ai-act-service-desk.ec.europa.eu
6. El artículo 6 (nueva pestaña)ai-act-service-desk.ec.europa.eu
7. El artículo 26 (nueva pestaña)ai-act-service-desk.ec.europa.eu
8. El artículo 50 (nueva pestaña)ai-act-service-desk.ec.europa.eu
9. El artículo 4 (nueva pestaña)ai-act-service-desk.ec.europa.eu
10. Capítulo IV (nueva pestaña)cnil.fr
11. El artículo 22 (nueva pestaña)cnil.fr
12. El capítulo V (nueva pestaña)cnil.fr
13. Artículo 99 (nueva pestaña)ai-act-service-desk.ec.europa.eu
14. Usar la IA generativa en las microempresas y pymes (nueva pestaña)cnil.fr