En resumen: para saber si tu empresa cumple el AI Act necesitas responder cinco preguntas: qué IA usáis, qué papel tenéis, si algún uso es prohibido o de alto riesgo, si el personal tiene formación y si cumplís las reglas de transparencia y de datos. Si no tienes claras las respuestas, empieza por nuestro diagnóstico AI Act gratuito: lo contestas en tu navegador y te dice qué te afecta y por dónde empezar.
El Reglamento de IA (Reglamento (UE) 2024/1689) se aplica a cualquier empresa que desarrolle o use inteligencia artificial en la UE, también a las que solo usan herramientas como ChatGPT, Copilot o Gemini. La buena noticia: para la mayoría de pymes, cumplir es más una cuestión de orden que de grandes proyectos.
Fechas del AI Act que debes tener en cuenta
- 2 de febrero de 2025: prácticas prohibidas y alfabetización en IA (art. 4).
- 2 de agosto de 2025: obligaciones de los modelos de IA de uso general.
- 2 de diciembre de 2026: nuevas prácticas prohibidas añadidas por el Reglamento Ómnibus (UE) 2026/1744 y marcado de contenido generado (art. 50.2) en sistemas ya comercializados.
- 2 de diciembre de 2027: sistemas de alto riesgo del anexo III (por ejemplo, selección de personal, evaluación de crédito o educación).
- 2 de agosto de 2028: sistemas de alto riesgo del anexo I (IA integrada en productos regulados).
El Ómnibus se publicó en el DOUE el 24 de julio de 2026 y retrasó las fechas de alto riesgo, pero no las prohibiciones ni la alfabetización, que ya se aplican. Lo explicamos con más detalle en el AI Act en vigor en España.
5 preguntas para saber si cumples el AI Act
1. ¿Sabes qué herramientas de IA se usan en tu empresa?
Sin inventario no hay cumplimiento. Incluye las herramientas contratadas, las funciones de IA que traen tus programas (CRM, ERP, ofimática) y las que el personal usa por su cuenta. Este último grupo, la «IA en la sombra», es donde suelen aparecer los riesgos.
2. ¿Eres proveedor o responsable del despliegue?
Si desarrollas o vendes un sistema de IA con tu marca, eres proveedor y tienes más obligaciones. Si usas IA de terceros, eres responsable del despliegue. La mayoría de pymes están en este segundo caso, pero una herramienta propia o un agente desarrollado para un cliente puede cambiarlo.
3. ¿Algún uso es prohibido o de alto riesgo?
Revisa cada uso frente a las prácticas prohibidas (art. 5) y los casos de alto riesgo del anexo III. Los más frecuentes en empresas son los relacionados con recursos humanos (filtrar currículums, evaluar el rendimiento), la concesión de crédito y la educación o formación. Un chatbot de atención al cliente o un asistente para redactar textos no suelen ser de alto riesgo.
4. ¿Tu personal tiene formación en IA?
El art. 4 del Reglamento de IA pide a todas las organizaciones que usan IA medidas para la alfabetización de su personal, proporcionales a su contexto. No hace falta un máster: basta con formación adaptada a cómo se usa la IA en cada puesto, y en España puede ser bonificable con FUNDAE.
5. ¿Cumples la transparencia y la protección de datos?
Si un cliente habla con un chatbot, debe saber que es una IA; si generas imágenes, audio o vídeo, el contenido debe identificarse como generado. Y si la IA trata datos personales, sigue aplicando el RGPD: base legal, información a las personas y, según el caso, evaluación de impacto. La AEPD ha publicado guías específicas, también sobre IA agéntica.
Cómo te ayuda el diagnóstico gratuito
Hemos convertido estas preguntas en una herramienta de diagnóstico AI Act. Contestas sobre tu empresa, tus usos de IA y tu nivel de gobierno, y obtienes al momento un resumen con:
- las fechas del calendario que te afectan,
- los usos que conviene revisar primero,
- tu nivel de madurez en gobierno de la IA,
- y los siguientes pasos recomendados.
Si quieres el informe completo en PDF, lo pides con tu correo corporativo y te lo enviamos. Tus respuestas no salen de tu navegador hasta que lo pides.
Haz el diagnóstico AI Act gratuito →
Errores frecuentes al evaluar el cumplimiento
- Pensar que no aplica porque «solo usamos ChatGPT». El responsable del despliegue también tiene obligaciones.
- Confiar en que el proveedor lo cumple todo. El proveedor responde de su sistema; cómo lo usas tú es responsabilidad tuya.
- Esperar a 2027. Las prohibiciones y la alfabetización ya se aplican, y el inventario lleva tiempo.
- Olvidar el RGPD. El AI Act no sustituye a la protección de datos; se suman.
Y después del diagnóstico, ¿qué?
Si el resultado muestra pocos riesgos, con un inventario, una política de uso de IA y formación sueles tener lo esencial. Si aparecen usos de alto riesgo o eres proveedor, conviene un análisis a fondo: te ayudamos con la consultoría AI Act y, si quieres un sistema de gestión certificable, con la implantación de la ISO/IEC 42001. Si no sabes si necesitas ayuda externa, revisa las señales de que necesitas una consultoría AI Act o cuéntanos tu caso.
Preguntas frecuentes
¿El AI Act se aplica a una pyme que solo usa ChatGPT o Copilot?
Sí, en parte. Como responsable del despliegue tienes obligaciones aunque no desarrolles IA: como mínimo, medidas de alfabetización del personal (art. 4) y revisar que ningún uso sea una práctica prohibida o de alto riesgo. Si el uso es solo de apoyo interno, la carga suele ser baja.
¿Cuándo empiezan las obligaciones de alto riesgo?
Tras el Reglamento Ómnibus (UE) 2026/1744, los sistemas de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 y los del anexo I (productos regulados) desde el 2 de agosto de 2028.
¿El diagnóstico de BCNSoluciona sustituye a una auditoría?
No. Es una autoevaluación orientativa que te dice por dónde empezar. Para un análisis completo con evidencias hace falta revisar tus usos de IA con un especialista.
¿Qué pasa con mis respuestas?
Las respuestas se quedan en tu navegador hasta que pides el informe. Si lo pides, recibimos los datos para prepararlo y te lo enviamos por correo. Solo aceptamos correos corporativos.
¿Necesito la ISO/IEC 42001 para cumplir el AI Act?
No es obligatoria. Es una norma voluntaria que ordena el gobierno de la IA y ayuda a demostrar el cumplimiento ante clientes y autoridades.
Fuentes: Reglamento (UE) 2024/1689 y Reglamento (UE) 2026/1744 (EUR-Lex); guías de IA de la AEPD. Este artículo es informativo y no sustituye al asesoramiento jurídico.
