El AI Act ya se aplica: los seis pasos realistas para que una pyme use IA con control
Desde el 2 de agosto de 2026, la mayor parte del Reglamento europeo de Inteligencia Artificial —conocido como AI Act— ya es aplicable. Es una fecha importante, pero no significa que cada pequeña empresa deba convertirse de la noche a la mañana en experta legal ni que tenga que dejar de usar asistentes para redactar, resumir o preparar información. El Reglamento adopta un enfoque basado en el riesgo: las obligaciones cambian según el tipo de sistema y el uso que se le dé. Para una pyme, la mejor forma de empezar no es buscar una carpeta infinita de documentos, sino poner orden en seis decisiones prácticas: qué IA se usa, para qué tarea, qué datos entran, quién la supervisa, qué se comunica y cómo se corrige un problema.
Qué cambia ahora y qué no
El AI Act establece reglas europeas para sistemas de inteligencia artificial y las organiza según el riesgo. Algunas prohibiciones y obligaciones ya empezaron a aplicarse antes; desde agosto de 2026 se aplica la mayor parte del marco. Eso no equivale a que una herramienta de oficina corriente sea automáticamente ilegal, ni a que una pyme tenga las mismas obligaciones que quien desarrolla un modelo o vende un sistema de alto riesgo. La clave es el papel real de tu empresa: puede ser usuaria o desplegadora de una herramienta ajena, distribuidora, importadora o proveedora. En la mayoría de negocios pequeños el caso habitual será usar servicios de terceros. Aun así, quien usa la herramienta sigue teniendo responsabilidad sobre cómo la introduce en su proceso, los datos que aporta y las decisiones que toma después.
Primer paso: hacer un inventario que quepa en una hoja
Empieza por anotar cada uso real de IA, no solo los programas que compra la empresa. Incluye asistentes de texto, transcripción de reuniones, herramientas que resumen correos, funciones de IA dentro del CRM, generadores de imágenes y automatizaciones con agentes. Para cada uno apunta: nombre de la herramienta, responsable interno, tarea concreta, usuarios, datos que recibe y resultado que produce. No necesitas describir la tecnología; necesitas poder contestar una pregunta sencilla: “¿qué hace esta herramienta en nuestro trabajo?”. Es frecuente descubrir cuentas creadas por áreas distintas o funciones activadas dentro de un programa que ya se usaba. Tener visibilidad evita que una novedad se convierta en un proceso opaco.
Segundo paso: separar ayuda de decisión
Una IA que prepara un borrador de respuesta, resume una llamada o ordena ideas no tiene el mismo impacto que una que puntúa candidatos, decide una prima, filtra solicitudes de crédito o recomienda una medida que afecta a una persona. Describe el punto exacto en el que interviene. Si solo ayuda a preparar, deja claro que el resultado es un borrador. Si influye en una decisión sobre empleo, clientes, financiación, seguros, educación, servicios públicos u otras áreas sensibles, no lo trates como una automatización más: consulta el encaje específico y no lo pongas en marcha por intuición. La regla útil para cualquier pyme es sencilla: cuanto más puede afectar el resultado a una persona, más explicable, comprobable y supervisado debe ser el proceso.
Tercer paso: formar a quien la usa
El Reglamento contempla la alfabetización en IA de las personas que operan sistemas en una organización. No exige un máster ni una sesión genérica llena de conceptos técnicos. Exige sentido práctico: que el equipo sepa qué puede hacer la herramienta, dónde se equivoca, qué datos no debe introducir y cuándo tiene que parar y pedir ayuda. Una sesión corta con tres casos reales suele servir mejor que una presentación extensa. Por ejemplo, practicar cómo convertir notas en un borrador, comparar el resultado con la fuente y señalar los datos que deben anonimizarse. Guarda una nota de la formación, asistentes y reglas acordadas. Así la formación se convierte en una pauta de trabajo y no en una promesa difícil de demostrar.
Cuarto paso: proteger datos y permisos antes del prompt
El AI Act no sustituye al RGPD ni a las obligaciones de confidencialidad: ambas cosas siguen contando. Antes de pegar información en una IA, pregunta si esa información es imprescindible para la tarea. Un presupuesto puede resumirse ocultando datos identificativos; una consulta interna puede resolverse con una versión sin nombres; un piloto puede hacerse con ejemplos ficticios. Revisa también los permisos de las conexiones a documentos: una cuenta con acceso amplio no debería convertirse por comodidad en acceso amplio para un asistente. Define fuentes aprobadas, limita las carpetas y retira conexiones cuando cambie el puesto de una persona. Menos datos y menos permisos reducen el daño de un fallo y facilitan explicar qué ha ocurrido.
Quinto paso: transparencia visible cuando corresponda
En algunos usos, las personas deben saber que están interactuando con una IA o que un contenido ha sido generado o manipulado artificialmente. La obligación concreta depende del caso, pero la práctica comercial también es clara: no conviene ocultar un asistente que atiende a clientes ni presentar como documento humano una pieza generada sin revisión. Un aviso breve y comprensible puede bastar: “Estás hablando con un asistente virtual; puedes pedir atención humana”. En imágenes, audios o vídeos, evita contenidos que puedan confundir sobre hechos o personas. La transparencia no estropea la experiencia si se diseña bien; suele aumentar la confianza y da a la persona una salida cuando necesita hablar con alguien del equipo.
Sexto paso: dejar revisión humana y un botón de parar
La supervisión no es mirar de vez en cuando una pantalla. Decide quién revisa qué, con qué información y qué acciones no puede realizar la IA por sí sola. Durante un piloto, ningún correo relevante, cambio de precio, pago, alta o baja de cliente debería salir sin aprobación. Para usos internos, fija una forma de informar de un error: una dirección de correo, un formulario corto o una hoja compartida con fecha, tarea, resultado incorrecto, impacto y medida tomada. Si aparecen respuestas inventadas, datos fuera de lugar o una conexión que muestra más de lo necesario, detén el uso afectado antes de buscar una instrucción más ingeniosa. Parar, corregir el proceso y volver a probar es una señal de control, no un fracaso.
Un plan de dos semanas para pasar de la teoría a la práctica
La primera semana reúne el inventario y elige un único flujo de bajo riesgo: por ejemplo, preparar resúmenes de reuniones sin datos sensibles. Nombra a un responsable, define la fuente permitida y revisa todos los resultados. La segunda semana forma al pequeño grupo implicado, prueba cinco o diez casos reales y registra el tiempo, errores y dudas. Al final, responde a cuatro preguntas: ¿ahorra tiempo de verdad?, ¿la calidad se mantiene?, ¿los datos y permisos son adecuados?, ¿sabemos detenerlo si algo falla? Si alguna respuesta es no, limita el caso de uso antes de ampliarlo. Esta forma de trabajar convierte el AI Act en una oportunidad para ordenar procesos, no en una excusa para dejar la IA en manos de cada persona sin reglas.
La conclusión: usar IA con criterio es una ventaja
El marco europeo no pide a una pyme que adivine el futuro. Pide que trate la IA como cualquier otra herramienta que puede afectar a clientes, personas y datos: con propósito, responsables y controles proporcionales. Empezar por un inventario, una formación breve y una revisión humana resuelve gran parte del trabajo inicial. Si una tarea necesita decisiones delicadas o afecta de forma significativa a personas, hay que elevar el nivel de análisis antes de automatizar. Si es un uso sencillo y bien delimitado, la IA puede seguir ahorrando tiempo desde hoy. En lawebdetupc.com podemos ayudarte a seleccionar un primer caso de uso, ordenar permisos y dejar un método que tu equipo pueda aplicar sin depender de jerga ni de improvisaciones.
Fuente primaria: Comisión Europea, AI Act (Reglamento (UE) 2024/1689): consultar publicación.
¿Quieres aplicarlo a tu negocio?
Cuéntanos qué te preocupa o qué tarea quieres mejorar. El equipo te explica las opciones de forma clara y sin compromiso.