AI Act para PYMEs: qué debes hacer para adaptarte a la nueva normativa de IA

El AI Act afecta a las pymes que usan, integran o contratan sistemas de Inteligencia Artificial. La obligación depende del uso: no es lo mismo usar ChatGPT para redactar borradores que emplear IA para seleccionar candidatos, evaluar solvencia o tomar decisiones con impacto relevante. La pyme debe identificar sus herramientas, clasificar riesgos, formar a los equipos, documentar criterios de uso y asegurar supervisión humana cuando proceda.

Primero debe determinar su rol, los sistemas que utiliza, su clasificación de riesgo y las obligaciones concretas aplicables. Inventariar usos, revisar proveedores, formar a los equipos y documentar controles son medidas prudentes de preparación, pero su alcance debe adaptarse al caso y validarse jurídicamente.

Si una empresa utiliza sistemas de IA, debe asegurar un nivel adecuado de alfabetización en IA para las personas que los usan o supervisan. En la práctica, esto implica formación básica sobre límites, riesgos, privacidad, sesgos, validación humana y usos permitidos. La formación no tiene que ser teórica ni compleja: debe estar conectada con los procesos reales de la organización.

Sí, una empresa puede utilizar ChatGPT de forma legal si establece criterios claros de uso. Debe evitar introducir información confidencial o datos personales sin base adecuada, definir qué tareas se permiten, exigir revisión humana de resultados y formar a los usuarios. El riesgo no está en usar IA generativa, sino en usarla sin política interna, sin trazabilidad y sin control sobre la información compartida.

No existe un paquete documental universal para todas las pymes. La documentación depende del rol, sistema, riesgo y uso. Como buena base de gobernanza suelen resultar útiles el inventario de herramientas, criterios internos, evidencia de formación, revisión de proveedores y registros de supervisión cuando procedan.

El AI Act se aplica de forma progresiva desde su entrada en vigor en la Unión Europea. Algunas obligaciones comienzan antes que otras, especialmente las relacionadas con prácticas prohibidas y alfabetización en IA. Las empresas no deberían esperar al último plazo: necesitan tiempo para inventariar usos, formar equipos, revisar proveedores y crear gobernanza interna.

Gestorías y asesorías manejan documentación, datos de clientes y procesos administrativos con alto nivel de confianza. Si usan IA para redactar, clasificar, resumir, responder consultas o automatizar tareas, deben controlar qué información se comparte, quién valida los resultados y qué proveedores intervienen. El AI Act refuerza la necesidad de procesos documentados, supervisión humana y política interna de IA.

Debe hacerlo con mucha prudencia. Una gestoría no debería introducir datos personales, fiscales, laborales o información confidencial de clientes en herramientas de IA sin una base jurídica, configuración adecuada, contrato o garantías suficientes. La alternativa responsable es anonimizar, limitar datos, usar entornos empresariales adecuados y definir una política clara de uso y supervisión.

Los despachos profesionales deben identificar dónde usan IA, proteger información confidencial, formar al equipo, revisar proveedores, supervisar resultados y documentar criterios cuando la IA influye en decisiones o entregables. También deben evitar que la IA sustituya controles profesionales esenciales. La responsabilidad final no desaparece porque una respuesta haya sido generada por una herramienta.

Una política interna no es una obligación universal por el mero uso de cualquier herramienta, pero es una buena práctica de gobernanza cuando intervienen datos de clientes, procesos profesionales o varios usuarios. Debe ajustarse a los riesgos y a la normativa aplicable.

Una auditoría de cumplimiento AI Act revisa los usos reales de IA en la organización, su nivel de riesgo, documentación, controles, formación, proveedores y supervisión humana. En pymes, el enfoque debe ser práctico: detectar brechas, priorizar riesgos y convertir obligaciones en acciones operativas que puedan mantenerse en el tiempo.

Para preparar una empresa conviene empezar por un diagnóstico: qué IA se usa, en qué procesos, con qué datos, por qué perfiles y con qué controles. Después se deben ordenar responsabilidades, formar a los equipos, documentar una política interna, revisar proveedores y crear un roadmap de adaptación. El objetivo es construir control, no bloquear la innovación.

Un diagnóstico de gobernanza IA incluye inventario de herramientas, mapa de procesos afectados, identificación de riesgos, revisión de datos compartidos, análisis de proveedores, nivel de alfabetización IA, controles existentes y recomendaciones prioritarias. También define quick wins y un roadmap para avanzar hacia un uso seguro, trazable y escalable de la IA.

El coste depende del tamaño de la empresa, número de herramientas, sensibilidad de los datos y nivel de riesgo de los usos de IA. Para muchas pymes, la primera inversión no es tecnológica: es ordenar procesos, formar equipos, crear política interna y revisar proveedores. Un diagnóstico inicial permite estimar prioridades antes de asumir costes mayores.