Ley de IA en 2026: qué obliga ya a tu empresa y qué se aplaza

Si alguien en tu empresa usa ChatGPT, Copilot o Gemini para redactar correos, resumir contratos o preparar ofertas, la Ley de IA ya te afecta. No hace falta desarrollar inteligencia artificial: basta con usarla en el trabajo.

El Reglamento europeo de IA (Reglamento (UE) 2024/1689) se aplica de forma general desde el 2 de agosto de 2026. Al mismo tiempo, el llamado Ómnibus Digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026) ha aplazado una parte importante. El resultado es confuso: hay obligaciones que ya se exigen y otras que llegan en 2027 y 2028. Aquí lo ordenamos para una empresa que usa IA, no para una que la fabrica.

Primero: ¿tu empresa está dentro?

El Reglamento distingue entre quien desarrolla un sistema de IA (el «proveedor») y quien lo usa en su actividad profesional (el «responsable del despliegue»). La mayoría de pymes son lo segundo. Y el responsable del despliegue tiene obligaciones propias, aunque la herramienta sea de Microsoft, Google u OpenAI.

Dicho de otro modo: el contrato con tu proveedor de software no traslada tu responsabilidad. Si tu equipo usa IA para decidir, redactar o atender a clientes, la parte de cumplimiento que toca al uso es tuya.

Lo que ya se te exige hoy

1. Formar a quien usa la IA (artículo 4)

Desde febrero de 2025, las empresas que usan sistemas de IA deben tomar medidas para que su personal tenga alfabetización en IA: saber qué hace la herramienta, dónde se equivoca y qué datos no deben entrar en ella. El Ómnibus ha suavizado la redacción: ahora se pide adoptar medidas que apoyen esa formación, no garantizar un nivel concreto en cada persona. Pero la obligación sigue en pie, y en una inspección la pregunta será qué has hecho y cómo lo puedes demostrar.

La forma práctica de cumplir es una formación ajustada a los puestos que usan IA, con registro de asistencia y contenidos. Si se imparte como formación de empresa, puede bonificarse con el crédito de FUNDAE.

2. Avisar cuando interviene la IA (artículo 50)

Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia. Para una empresa usuaria, las más habituales son dos:

• Chatbots y asistentes: si un cliente habla con un sistema de IA (en la web, en WhatsApp o por teléfono), debe saberlo, salvo que sea evidente.
• Contenido sintético: imágenes, audio o vídeo generados o manipulados con IA que parezcan reales («deepfakes») deben identificarse como tales.

3. No cruzar las líneas rojas (artículo 5)

Desde febrero de 2025 están prohibidos ciertos usos: manipular decisiones de forma subliminal, aprovechar vulnerabilidades de las personas, la puntuación social o reconocer emociones en el lugar de trabajo (salvo por motivos médicos o de seguridad). Pocas pymes los usan a propósito, pero conviene revisar herramientas de selección de personal o de control de productividad que prometen «leer» el estado de ánimo del equipo.

Lo que se ha aplazado

El Ómnibus ha movido las obligaciones de los sistemas de alto riesgo:

• 2 de diciembre de 2027 para los sistemas del Anexo III: por ejemplo, IA usada para seleccionar o evaluar a personas trabajadoras, para conceder crédito a particulares o en educación. Antes, la fecha era el 2 de agosto de 2026.
• 2 de agosto de 2028 para la IA integrada en productos regulados (maquinaria, productos sanitarios y similares). Antes, agosto de 2027.

Aplazado no significa olvidado. Si usas IA para filtrar currículos o evaluar el desempeño, tienes un año para documentar cómo funciona, quién supervisa sus decisiones y qué haces si se equivoca. Es mejor empezar ahora que en noviembre de 2027.

Quién vigila y qué arriesgas

En España, la supervisión corresponde a la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña). Puede inspeccionar, pedir documentación, ordenar la retirada de un sistema y proponer sanciones.

Las multas máximas son de hasta 35 millones de euros o el 7% de la facturación mundial para los usos prohibidos, y de hasta 15 millones o el 3% para la mayoría de los demás incumplimientos. Para las pymes se aplica siempre el menor de los dos importes. Lo explicamos con Ignacio López en el episodio «Multas de 35M€: lo que tu pyme arriesga con la Ley de IA» de Automatiza2.

Por dónde empezar: cuatro pasos

1. Haz inventario. Lista qué herramientas de IA se usan, quién las usa y para qué. Incluye las que el equipo usa por su cuenta: suelen ser la mayoría.
2. Clasifica el riesgo. Separa el uso cotidiano (redactar, resumir, traducir) de los usos que afectan a personas, como seleccionar candidatos o decidir sobre clientes.
3. Forma y documenta. Una formación por perfiles, con evidencias, cubre el artículo 4 y reduce el riesgo de que entren datos sensibles en herramientas públicas.
4. Revisa los puntos de contacto con clientes. Chatbots, respuestas automáticas y contenido generado: que quede claro cuándo interviene la IA.

Si prefieres no hacerlo solo, en Milmoh lo resolvemos con un servicio de cumplimiento de la Ley de IA en tres frentes: auditamos y clasificamos tus usos de IA, formamos a tu equipo con ElevAI con crédito FUNDAE y te damos respaldo jurídico con Summons.

En resumen

La Ley de IA no es un problema de 2027. La formación del equipo, la transparencia con clientes y los usos prohibidos ya se exigen. El alto riesgo se ha aplazado, pero eso deja poco más de un año para prepararse. Empezar por un inventario de lo que ya usa tu equipo es barato, rápido y te dice exactamente qué te falta.