"¿Esto ya me afecta o todavía no?" es la pregunta que más nos hacen las pymes cuando sale el tema del Reglamento Europeo de Inteligencia Artificial (AI Act). Es una pregunta razonable: el reglamento no entró en vigor de golpe para todo el mundo, sino en fases escalonadas según el tipo de obligación, y eso hace fácil perderse. Este artículo repasa, en términos generales, cómo se estructura ese calendario y cómo se plantean las sanciones, sin inventar fechas exactas ni cifras que no puedas verificar en el texto oficial actualizado.
Por qué el AI Act se aplica por fases y no de golpe
El AI Act no es una ley que un día no existía y al siguiente obliga a todo el mundo por igual. Se diseñó con una entrada en vigor escalonada: primero empiezan a aplicarse las obligaciones más urgentes (las prohibiciones sobre las prácticas de riesgo inaceptable que tratamos en AI Act y biometría: qué usos están directamente prohibidos), y después, con más margen de adaptación, las obligaciones para sistemas de propósito general y para sistemas de alto riesgo, que exigen más tiempo de preparación tanto a las empresas como a los organismos reguladores encargados de supervisar el cumplimiento. Para una pyme, lo relevante no es memorizar cada fecha exacta, sino entender que el nivel de exigencia aumenta progresivamente, y que 2026 es un año en el que varias de esas obligaciones ya están activas o a punto de estarlo.
Qué tipo de empresa se ve más afectada, en términos generales
No todas las obligaciones del AI Act aplican por igual a todas las empresas. El reglamento distingue, a grandes rasgos, entre quien desarrolla un sistema de IA (el proveedor) y quien simplemente lo usa dentro de su negocio (el usuario o "responsable del despliegue"). La mayoría de las pymes españolas encajan en el segundo grupo: usan herramientas de IA de terceros en lugar de desarrollarlas desde cero, lo que en general implica un nivel de obligaciones menor que el que recae sobre el proveedor de la tecnología. Aun así, ciertas obligaciones (como la prohibición de usos de riesgo inaceptable, o ciertos deberes de información cuando se usa un sistema de alto riesgo) aplican también a quien simplemente utiliza la herramienta, no solo a quien la construye.
Cómo se estructuran las sanciones, sin cifras concretas
El AI Act contempla un sistema de sanciones escalonado según la gravedad de la infracción: las multas más severas están reservadas para quien incumple las prohibiciones de riesgo inaceptable, con un tope que se fija como un porcentaje del volumen de negocio global de la empresa infractora, sensiblemente más exigente que el marco que ya conocemos del RGPD. Las infracciones relacionadas con otras obligaciones (transparencia, documentación de sistemas de alto riesgo, cooperación con las autoridades) tienen un régimen sancionador con topes menores. No vamos a darte aquí una cifra exacta en euros, porque el reglamento fija los importes concretos en su texto oficial y estos pueden matizarse por normativa de desarrollo o por criterios de proporcionalidad aplicados caso a caso; para saber qué sanción concreta podría aplicarse a una situación real, el paso correcto es consultar el texto vigente actualizado con un profesional, no fiarte de una cifra que circule sin verificar.
Qué puede hacer una pyme ya, sin esperar a que todo esté aclarado
Aunque las fechas exactas y las cifras de sanciones conviene verificarlas siempre con una fuente actualizada, hay pasos que cualquier pyme puede dar ya, con independencia del calendario exacto de aplicación: hacer un inventario de qué sistemas de IA usa la empresa actualmente (herramientas de terceros incluidas, no solo desarrollos propios), identificar si alguno de ellos podría encajar en las categorías de riesgo más alto (biometría, selección de personal, scoring de crédito, entre otras), y preguntar a cada proveedor de IA que ya utilizas qué medidas de cumplimiento tiene implementadas. Este ejercicio de inventario es también el primer paso lógico antes de plantearse cualquier proyecto nuevo de IA, algo que tratamos con más detalle en IA y RGPD: implanta inteligencia artificial cumpliendo la ley, donde el AI Act y el RGPD conviven como dos marcos normativos distintos pero relacionados. Y si el obstáculo no es tanto el inventario técnico como que nadie en el equipo sabe interpretar estas obligaciones en el día a día, el cálculo de qué cuesta esa falta de criterio lo desarrollamos en cuánto cuesta no formar a tu equipo en el AI Act.
El error de esperar a que "esto ya no vaya con nosotros"
El error más habitual que vemos en pymes es asumir que el AI Act es cosa de grandes tecnológicas y bancos, y que una empresa pequeña que solo usa herramientas de IA de terceros no tiene nada que revisar. Es un error porque, aunque el nivel de obligación sea menor para quien solo usa la tecnología, algunas prohibiciones (como las relacionadas con biometría) aplican a cualquier empresa que despliegue ese tipo de uso, sin importar su tamaño. Esperar a que llegue una inspección o una reclamación para revisar esto por primera vez es la peor forma de descubrir un problema de cumplimiento.
Una cautela necesaria antes de terminar
Este artículo resume el marco general del AI Act con fines divulgativos y no sustituye el asesoramiento legal. Los plazos concretos de aplicación, las cifras exactas de sanciones y cómo se aplican a un caso particular deben consultarse siempre en el texto oficial vigente y con un profesional del derecho o una asesoría especializada en cumplimiento normativo, especialmente porque este tipo de regulación puede matizarse con normativa de desarrollo posterior.
Conclusión
El AI Act se aplica de forma escalonada, con las prohibiciones más estrictas ya activas y las obligaciones sobre sistemas de alto riesgo llegando con más margen de adaptación; las sanciones se estructuran por gravedad, con los importes exactos fijados en el texto oficial y sujetos a interpretación profesional caso a caso. Lo más útil que puede hacer una pyme hoy es hacer inventario de qué IA usa realmente y preguntar a sus proveedores por su nivel de cumplimiento. En MG Solutions diseñamos nuestros proyectos de IA teniendo en cuenta este marco desde el principio, y recomendamos siempre contar con asesoría legal especializada para cualquier duda concreta. Contacta con nosotros si quieres que revisemos juntos qué sistemas de IA usa hoy tu empresa.