AI Act para pymes: guía práctica para saber qué te aplica

El Reglamento europeo de inteligencia artificial —el AI Act— ya está en vigor, y sus obligaciones llegan por fases. Para una pyme, la decisión real no es "cumplir o no cumplir": es averiguar qué le aplica de todo eso y qué conviene hacer ya, sin convertir la respuesta en un proyecto jurídico que la empresa ni necesita ni puede pagar. Esta guía es para tomar esa decisión con orden: cómo inventariar los usos de IA que ya tienes, cómo situarlos por nivel de riesgo con ejemplos reconocibles, qué papel juegas en cada uno, qué evidencias conviene ir guardando y cómo prepararte para las fases sin vivir pendiente de un calendario.

Antes de leer la norma, haz el inventario

No puedes saber qué te aplica si no sabes qué usas. Parece obvio, y es el paso que casi todo el mundo se salta: se empieza discutiendo categorías de riesgo en abstracto cuando nadie en la sala sabe cuántos sistemas de IA hay funcionando en la empresa.

El inventario suele dar sorpresas, porque la IA de una pyme rara vez es "el proyecto de IA". Es, sobre todo, tres cosas:

• La IA embebida en el software que ya pagas. El CRM que puntúa clientes, la herramienta de marketing que redacta y segmenta, el módulo de RRHH que preordena candidaturas, el ERP que sugiere previsiones. Nadie la instaló como "sistema de IA"; llegó dentro de otra cosa.
• El uso individual de IA generativa. Personas del equipo que redactan, traducen o resumen con un chat, con o sin cuenta de empresa. Existe aunque nadie lo haya decidido.
• Lo construido a medida, si lo hay: un asistente interno, una clasificación automática, una integración con un modelo.

Para cada uso, apunta poco y útil: qué hace, para qué decisión o tarea se usa, quién lo usa, qué datos entran, si es de un proveedor o propio, y —la pregunta que más ordena— si su resultado afecta a personas: a un candidato, a un empleado, a un cliente al que se concede o deniega algo. Con una hoja de cálculo basta. No busques la exhaustividad perfecta: busca una foto honesta que puedas mantener viva. Sin ese inventario, cualquier conversación sobre el AI Act es teología; con él, casi todo lo demás se vuelve concreto.

Las categorías de riesgo, con ojos de pyme

El AI Act clasifica usos, no tecnologías. Esta idea evita la mitad de las confusiones: el mismo modelo puede ser un uso de riesgo mínimo en una tarea y un uso de alto riesgo en otra. La pregunta nunca es "¿esta herramienta es legal?", sino "¿para qué la estamos usando?".

Prácticas prohibidas

La norma veta directamente ciertos usos: manipulación que explota vulnerabilidades de las personas, puntuación social, ciertos usos de identificación biométrica. Una pyme normal está lejos de esto, y precisamente por eso conviene saberlo: te permite descartar la categoría con criterio, no por intuición, y detectar la rara excepción si alguien propone algo que se le acerque.

Alto riesgo

Aquí es donde una pyme puede entrar sin darse cuenta. Los usos de alto riesgo incluyen ámbitos que suenan a gran empresa pero se cuelan en empresas pequeñas: usar IA para cribar currículos u ordenar candidatos en una selección, evaluar a empleados con efecto en su promoción o continuidad, decidir sobre la solvencia de personas para concederles algo. Si el módulo de RRHH de tu software "preordena" candidaturas, estás más cerca de esta categoría de lo que crees.

Que un uso sea de alto riesgo no significa que esté prohibido: significa obligaciones serias —gestión de riesgos, calidad de datos, documentación, supervisión humana, registros—. La mayor parte de esas obligaciones recae en quien fabrica el sistema, pero quien lo usa también tiene deberes, y los vemos en el siguiente apartado.

Transparencia

Algunos usos no son de alto riesgo pero exigen que la gente sepa con qué está tratando: un chatbot de atención debe identificarse como IA ante quien habla con él; determinado contenido generado o manipulado debe señalarse como tal. Para una pyme con un asistente de cara al cliente, esta es la categoría más frecuente después de la mínima, y la obligación es tan razonable que debería cumplirse aunque no existiera la norma.

¿Y los modelos de propósito general?

Una duda frecuente: qué pasa con los grandes modelos generativos que usa todo el mundo. El reglamento les dedica obligaciones propias, pero la mayor parte recae en quien los desarrolla, no en la pyme que los usa. A ti te toca lo de siempre: saber para qué los usa tu equipo, con qué datos, y bajo qué norma interna. Si eso está resuelto, esta parte de la regulación no es tu problema.

Riesgo mínimo

La gran mayoría de los usos de productividad viven aquí: redactar, resumir, clasificar correo, traducir, prever demanda interna, buscar en documentación propia. Sin obligaciones específicas nuevas. Eso no convierte estos usos en tierra sin ley —las buenas prácticas de datos y supervisión siguen valiendo, y el RGPD no se ha ido a ninguna parte—, pero sí significa algo importante: para la mayoría de pymes, la mayoría de su IA cae aquí, y el trabajo de cumplimiento es mucho más pequeño de lo que el ruido sugiere.

Tu papel importa tanto como la categoría

La norma no reparte las mismas obligaciones a todo el mundo: distingue, sobre todo, entre quien provee un sistema de IA y quien lo utiliza en su operación (lo que el reglamento llama responsable del despliegue). La mayoría de pymes está en el segundo grupo: usa sistemas de terceros. Y ese papel tiene obligaciones más ligeras, pero reales:

• usar el sistema conforme a las instrucciones del proveedor —lo que implica haberlas leído, algo menos universal de lo que parece—;
• asignar supervisión humana con sentido en los usos que afectan a personas: alguien concreto, con capacidad real de corregir o parar, no una casilla marcada;
• vigilar el funcionamiento y reaccionar si el sistema hace cosas raras;
• informar a las personas cuando corresponde: a la plantilla si se usa IA de alto riesgo que le afecta, a los clientes cuando hablan con una máquina.

Dos avisos que evitan sustos. El primero: el papel puede cambiar. Si modificas sustancialmente un sistema de un tercero, o lo pones en el mercado con tu marca, puedes pasar a asumir obligaciones de proveedor sin haberlo pretendido. Antes de "tunear" a fondo una herramienta o revenderla integrada en tu producto, esa pregunta merece cinco minutos. El segundo: la norma también espera que las personas que operan IA tengan formación suficiente para usarla con criterio. La alfabetización en IA no es un adorno del reglamento; es una obligación transversal y, además, la medida con mejor relación esfuerzo-resultado de toda esta lista.

Las evidencias que conviene ir guardando

"¿Qué nivel es suficiente?" es la angustia típica de quien oye hablar de documentación y trazabilidad. El criterio que la desactiva: evidencia proporcional al riesgo del uso. Un uso mínimo pide poco más que figurar en el inventario; un uso que afecta a personas pide poder contar la historia completa.

El fondo de armario razonable para una pyme:

• El inventario vivo, con fecha y dueño. Es la primera evidencia y la más rentable: demuestra que sabes qué usas.
• Por cada uso relevante: su finalidad escrita en una frase, qué datos entran, quién lo supervisa y cómo.
• La norma interna de uso de IA generativa: corta, concreta, comunicada. Qué se puede hacer, qué datos no salen de la empresa, a quién preguntar en caso de duda.
• La documentación del proveedor: qué dice de su sistema, qué categoría declara, qué condiciones firma. Guardarla cuesta poco y en una conversación seria vale mucho.
• Un registro de incidencias y decisiones: cuándo un sistema hizo algo inesperado, qué se hizo, cuándo se desactivó algo y por qué. Media página por episodio.

Nada de esto pide formatos solemnes ni un gestor documental nuevo: documentos cortos, con fecha, con dueño, en un sitio conocido. Y conviene notar algo: casi todo lo de esta lista lo querrías igual aunque el AI Act no existiera. Saber qué sistemas usas, para qué, con qué datos y bajo la supervisión de quién no es burocracia regulatoria: es la documentación mínima de una operación bien llevada. La norma, vista así, obliga a hacer algo que ya salía a cuenta.

Fases sin calendario: cómo no llegar tarde sin vivir pendiente de fechas

Las obligaciones del AI Act no llegaron todas el mismo día ni llegarán de golpe: hay fases ya en vigor y otras que van llegando. De ahí salen los dos errores simétricos: esperar "a ver qué pasa" hasta que algo apriete, o planificar contra fechas concretas que se recuerdan mal y convertir el cumplimiento en una carrera de última hora.

La salida práctica es que el orden de trabajo no depende del calendario. Inventariar, clasificar, asignar supervisión y guardar evidencias sirve para cualquier fase, la que ya está en vigor y la que venga. Quien tiene eso hecho no necesita saberse las fechas de memoria; quien no lo tiene, no se salva por saberlas.

Con una regla de prioridad simple: si algún uso de tu inventario apunta a alto riesgo —decisiones sobre personas: contratar, evaluar, conceder—, ese va primero y sin esperar, porque es donde las obligaciones pesan y donde un error hace daño de verdad. Si todo tu inventario es riesgo mínimo y transparencia, la higiene descrita en esta guía es el grueso del trabajo, y lo que queda es mantenerla al día.

Y un aviso contra el exceso, que también existe: el sobrecumplimiento. Contratar un proyecto de cumplimiento enorme para un inventario de tres usos ligeros es tan mala decisión como ignorar la norma. El miedo vende proyectos sobredimensionados; el inventario te da la medida real antes de firmar nada.

Cinco preguntas antes de encargar un proyecto de cumplimiento

Si estás valorando pedir ayuda con el AI Act —a un despacho, a una consultora, a nosotros—, estas cinco preguntas te dicen cuánto proyecto necesitas de verdad:

1. ¿Tenemos el inventario de usos de IA? Si no, es lo primero, y podéis hacerlo dentro.
2. ¿Algún uso afecta a decisiones sobre personas: contratar, evaluar, conceder, sancionar?
3. ¿En cada uso, somos usuarios de un sistema de terceros, lo hemos modificado, o lo ofrecemos como nuestro?
4. ¿Qué evidencias podríamos enseñar hoy si alguien preguntase?
5. ¿Quién es el dueño de este tema dentro de la empresa?

Con esas respuestas, el alcance se dimensiona solo: a veces sale un proyecto, muchas veces sale una lista corta de deberes internos. Y una sexta pregunta, gratis, para el futuro: añade una casilla al proceso de compra de cualquier software —"¿esta herramienta trae IA dentro?"—. Es la forma más barata de que el inventario no envejezca a los tres meses.

Una última cosa, y es criterio de la casa: el AI Act, en el día a día de una pyme, es más un asunto de datos, procesos y sistemas que un pleito en potencia. Así lo tratamos nosotros: como ingeniería y gestión —inventario, controles, supervisión, evidencias que funcionan—, no como dictamen jurídico. Donde hay interpretación legal, la palabra la tiene tu asesoría; nuestro trabajo es que, cuando esa conversación llegue, tengas algo ordenado que enseñar. Si quieres ver cómo encaja esto en nuestra forma de trabajar, así lo enfocamos.