El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, entró en vigor el 1 de agosto de 2024. (Foto: PDIA.)

La inteligencia artificial ha dejado de ser una promesa futurista para convertirse en una herramienta diaria: redacta textos, genera imágenes, responde a clientes, ordena datos, ayuda a preparar presupuestos y hasta propone campañas de publicidad. Pero desde este verano ya no basta con usarla "porque funciona". La Unión Europea ha puesto en marcha el primer gran marco legal específico sobre inteligencia artificial, una norma que afecta también a empresas, autónomos, comercios y administraciones.

El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, entró en vigor el 1 de agosto de 2024 y su aplicación general comenzó el 2 de agosto de 2026, aunque algunas obligaciones ya estaban activas antes y otras se han aplazado para sistemas de alto riesgo. La Comisión Europea resume su objetivo en una idea: garantizar que la IA se desarrolle y utilice de forma segura, fiable y respetuosa con los derechos fundamentales.

No va contra la IA, va contra el mal uso
La clave de la normativa es el riesgo. No es lo mismo pedirle a una herramienta que proponga un texto para Instagram que utilizar un sistema automatizado para decidir si una persona obtiene un empleo, un crédito o una plaza en una formación.

Para la mayoría de autónomos y pequeños comercios, la norma no significa dejar de usar IA. Significa saber qué herramienta se usa, para qué se usa, qué datos se introducen y si el cliente o usuario debe ser informado. Dicho de forma sencilla: la IA puede seguir ayudando, pero ya no vale aquello de "lo ha hecho el ordenador" como explicación universal. El ordenador no firma la factura, ni atiende una reclamación, ni responde ante una sanción.

Fechas clave
El calendario es importante. Las prácticas prohibidas y la obligación de alfabetización en IA comenzaron a aplicarse el 2 de febrero de 2025. Las obligaciones para modelos de IA de propósito general, como grandes modelos generativos, se activaron el 2 de agosto de 2025. Y desde el 2 de agosto de 2026 la Comisión Europea y las autoridades nacionales empezaron a supervisar y hacer cumplir buena parte del Reglamento.

Los sistemas de alto riesgo tienen un calendario más amplio tras los ajustes introducidos por la UE: las reglas para usos sensibles como biometría, empleo, educación, infraestructuras críticas o migración se aplicarán desde el 2 de diciembre de 2027, mientras que los sistemas integrados en productos regulados, como juguetes, ascensores o dispositivos médicos, tendrán plazo hasta el 2 de agosto de 2028.

Qué debe mirar una empresa pequeña
El primer paso no es comprar otro programa, sino hacer una pregunta bastante doméstica: ¿dónde estamos usando IA?

Una tienda que genera imágenes para redes, una inmobiliaria que redacta anuncios, una clínica que usa un asistente para resumir citas, una academia que corrige ejercicios con IA o una gestoría que automatiza documentos ya están dentro de un nuevo escenario. En muchos casos el uso será de bajo riesgo, pero conviene tener reglas internas: no introducir datos personales innecesarios, revisar siempre los textos antes de publicarlos, comprobar que la información es correcta y avisar cuando el cliente esté hablando con un sistema automatizado.

AESIA recuerda que el artículo 4 del Reglamento exige a proveedores e implementadores garantizar un nivel suficiente de "alfabetización en IA" de las personas que trabajan con estos sistemas. No se trata necesariamente de hacer un máster, sino de entender qué IA se usa, qué riesgos tiene y cómo debe manejarse.

Transparencia: avisar cuando toque
Una de las grandes novedades está en la transparencia. El artículo 50 establece obligaciones para proveedores y responsables del despliegue de determinados sistemas, especialmente IA generativa, sistemas interactivos y contenidos manipulados o "deepfakes".

En la práctica, si una empresa utiliza un chatbot para atender al público, el usuario debe saber que habla con una IA. Si se publica una imagen, vídeo o audio manipulado que pueda parecer real, habrá que indicarlo. Y si se generan textos sobre asuntos de interés público sin revisión humana, también será necesario advertirlo. La Comisión Europea insiste en que las personas deben saber cuándo interactúan con IA o cuándo están ante contenido generado o manipulado artificialmente.

Datos personales: el viejo RGPD sigue mandando
El AI Act no sustituye al Reglamento General de Protección de Datos. Si una herramienta de IA trata datos personales, siguen aplicándose las obligaciones de privacidad: base legal, información al afectado, minimización de datos, seguridad, evaluación de riesgos y especial cuidado con decisiones automatizadas.

La Agencia Española de Protección de Datos mantiene guías específicas para tratamientos que incorporan IA y recuerda que estas tecnologías pueden manejar datos personales en distintas fases del proceso.

Traducido al día a día: no es buena idea pegar en una IA nombres, teléfonos, historiales médicos, nóminas, contratos o datos de clientes si no se sabe dónde van, quién los trata y con qué garantías. La IA puede ser muy lista, pero no debería convertirse en el cajón desastre donde se mete media empresa.

Sistemas de alto riesgo: donde la cosa se pone seria
La parte más exigente de la norma afecta a sistemas de alto riesgo. Aquí entran usos relacionados con empleo, educación, servicios esenciales, crédito, biometría, justicia, infraestructuras críticas o seguridad. AESIA explica que estos sistemas están regulados en el capítulo III del Reglamento.

Una empresa que solo usa IA para redactar publicaciones o mejorar fotografías no está en la misma situación que otra que utiliza un algoritmo para filtrar candidatos en un proceso de selección. En estos casos harán falta controles más duros: documentación, gestión de riesgos, supervisión humana, calidad de datos y capacidad de explicar cómo funciona el sistema.

España tendrá su propio supervisor
En España, la Agencia Española de Supervisión de Inteligencia Artificial, AESIA, es el organismo público encargado de garantizar el uso ético y seguro de la inteligencia artificial. Su misión incluye asegurar que entidades públicas y privadas cumplan la normativa, protegiendo privacidad, igualdad de trato y derechos fundamentales.

La agencia fue creada mediante el Real Decreto 729/2023 y tiene su sede institucional en A Coruña.

Multas importantes, pero con proporcionalidad para pymes
La normativa contempla sanciones elevadas: hasta 35 millones de euros o el 7% del volumen de negocio anual mundial para infracciones relacionadas con prácticas prohibidas; hasta 15 millones o el 3% para otros incumplimientos; y hasta 7,5 millones o el 1% por facilitar información incorrecta o engañosa a las autoridades. En el caso de pymes se aplicará el umbral menor entre la cuantía fija y el porcentaje.

La cifra impresiona, sí. Es de esas que hacen que uno mire dos veces antes de pulsar "aceptar términos y condiciones". Pero el mensaje para la pequeña empresa no debe ser de pánico, sino de orden: inventariar usos, formar mínimamente al equipo, revisar contratos con proveedores tecnológicos y no usar IA para decisiones sensibles sin asesoramiento.

Qué puede hacer desde ya un negocio local
Para una empresa, comercio o autónomo de Priego y la comarca, una hoja de ruta razonable sería empezar por cinco pasos: identificar qué herramientas de IA se usan; evitar introducir datos personales o confidenciales sin garantías; informar al cliente si interactúa con un sistema automatizado; revisar siempre el contenido antes de publicarlo; y formar al personal que maneja estas herramientas.

No hace falta dramatizar. La inteligencia artificial puede ahorrar tiempo, mejorar la comunicación y abrir oportunidades a negocios pequeños que antes no podían acceder a determinadas soluciones. Pero la nueva norma europea deja claro que la innovación no puede ir por libre cuando afecta a derechos, datos o decisiones importantes.

En resumen: la IA ha entrado en la empresa, pero ahora entra también en la carpeta de cumplimiento. Y, por una vez, conviene abrir esa carpeta antes de que la abra otro.