Respuesta corta. Si te preguntas qué obliga el Reglamento de IA a mi empresa, la respuesta empieza en 2025. Si en tu empresa alguien usa inteligencia artificial, aunque sea ChatGPT en el móvil de un comercial, el Reglamento (UE) 2024/1689 ya te aplica. Hoy son exigibles tres cosas: no incurrir en las prácticas prohibidas del artículo 5, adoptar medidas de alfabetización en IA de tu plantilla (artículo 4) y avisar cuando alguien habla con una máquina o ve contenido generado (artículo 50). Las obligaciones de «alto riesgo» se retrasaron en julio de 2026 hasta diciembre de 2027.
Cuando un gerente me pregunta qué obliga el Reglamento de IA a mi empresa, hay dos cosas que casi nadie le ha contado bien.
La primera es que no hace falta que desarrolles IA para que te obligue. El reglamento distingue entre quien fabrica el sistema (proveedor) y quien lo usa en su actividad profesional (responsable del despliegue). Una asesoría que pasa actas por ChatGPT es responsable del despliegue. Una tienda que instala un chatbot, también. Y una empresa de veinte personas cuyo equipo de ventas usa Copilot, también.
La segunda es que el calendario que has leído en casi cualquier artículo en español está desactualizado desde el 27 de julio de 2026. Ese día entró en vigor el Reglamento (UE) 2026/1744, el llamado Digital Omnibus on AI, que retrasó parte de las obligaciones y suavizó otras.
Qué obliga el Reglamento de IA a mi empresa hoy
Esta es la foto a día de hoy, con la fecha en la que cada bloque pasó o pasará a ser exigible:
| Obligación | Desde cuándo | ¿Ya aplica? |
|---|---|---|
| Prácticas prohibidas (art. 5) | 2 de febrero de 2025 | Sí |
| Alfabetización en IA de la plantilla (art. 4) | 2 de febrero de 2025 | Sí |
| Modelos de propósito general y régimen sancionador | 2 de agosto de 2025 | Sí |
| Aplicación general y transparencia (art. 50) | 2 de agosto de 2026 | Sí |
| Alto riesgo del anexo III (empleo, crédito, educación, biometría) | 2 de diciembre de 2027 | No |
| Alto riesgo del anexo I (IA dentro de productos regulados) | 2 de agosto de 2028 | No |
Las dos últimas filas son las que cambiaron. Antes del Omnibus, el alto riesgo del anexo III entraba el 2 de agosto de 2026, hace tres semanas, y el del anexo I en agosto de 2027. Si contrataste una auditoría en primavera contando con esas fechas, tienes quince meses más. Si no habías hecho nada, sigues llegando tarde a lo otro.
Lo que el Reglamento de IA prohíbe a mi empresa
El artículo 5 lista prácticas vetadas desde febrero de 2025, sin matices ni periodo de gracia. La mayoría suenan a distopía, como la puntuación social de ciudadanos o la vigilancia biométrica policial, y no van contigo. Estas tres sí:
- Inferir emociones en el lugar de trabajo. Software que analiza el tono de voz de tus teleoperadores para medir «actitud», o que puntúa la expresión facial de un candidato en una videoentrevista. Prohibido, salvo por razones médicas o de seguridad. Es lo que más se está vendiendo a empresas españolas ahora mismo.
- Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, creencias religiosas u orientación sexual. Un control de acceso mal configurado puede acabar aquí sin que nadie lo haya decidido.
- Puntuación social: evaluar a personas por su comportamiento y darles un trato desfavorable en un contexto que no tiene nada que ver con el dato de origen.
En julio de 2026 se sumaron dos prohibiciones nuevas: generar material íntimo no consentido y material de abuso sexual infantil.
Esta es además la infracción cara: hasta 35 millones de euros o el 7 % del volumen de negocio mundial. Para una pyme la regla se invierte, y eso importa mucho. Lo explico más abajo.
El artículo 4, que es el que casi todo el mundo incumple
El artículo 4 obliga a proveedores y responsables del despliegue a adoptar medidas que apoyen el desarrollo de la alfabetización en IA de su personal. Es exigible desde febrero de 2025 y afecta a cualquier empresa que use IA, sin umbral de tamaño.
En julio de 2026 se reescribió. Antes decía «garantizar un nivel suficiente»; ahora dice «apoyar el desarrollo», y el propio texto aclara que no obliga a asegurar ningún nivel concreto en ninguna persona. Se rebajó porque, según el considerando 8, una obligación estricta «no sería adecuada para todos los tipos de proveedores y responsables del despliegue».
Que se haya suavizado no significa que haya desaparecido. Y conviene saber una cosa antes de que alguien te venda algo: no existe ninguna certificación oficial de alfabetización en IA. El reglamento no la menciona, no hay registro y no hay sello. Lo desarrollo en el artículo sobre formación obligatoria en IA.
Transparencia: avisar de que hay una máquina detrás
Si te preguntas qué obliga el Reglamento de IA a mi empresa en materia de transparencia, el artículo 50 aplica desde el 2 de agosto de 2026. Es el más fácil de cumplir y el más fácil de olvidar:
- Si tienes un chatbot, la persona debe saber que habla con una IA, salvo que resulte evidente.
- Si publicas imágenes, audio o vídeo generados o manipulados con IA, hay que marcarlo de forma legible por máquina y revelarlo al público.
- Si publicas texto generado por IA sobre asuntos de interés público, hay que decirlo. Con una excepción importante: si hay revisión humana y alguien asume la responsabilidad editorial, no.
- Si usas reconocimiento de emociones o categorización biométrica, hay que informar a las personas expuestas.
Para los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 hay un periodo transitorio de cuatro meses para el marcado de contenido sintético.
Qué obliga el Reglamento de IA a mi empresa en materia de «alto riesgo»
El anexo III lista ocho áreas de alto riesgo. Para una pyme española importan dos.
Empleo y gestión de trabajadores. Son alto riesgo el cribado automático de currículos, los ATS que puntúan candidatos, la publicidad de ofertas segmentada por IA, y las decisiones sobre promoción, despido, asignación de tareas y evaluación del desempeño. También los sistemas que solo apoyan esas decisiones. Es la categoría que más pymes tocan sin saberlo, normalmente a través de un módulo del software de recursos humanos que alguien activó.
Acceso a servicios esenciales. Evaluar la solvencia de personas físicas o establecer su puntuación crediticia. Con una excepción expresa: la detección de fraude no es alto riesgo. En seguros, solo vida y salud.
Estas obligaciones no son exigibles hasta el 2 de diciembre de 2027. Pero cuidado con leerlo como quince meses de barra libre: inferir emociones de tu plantilla sigue prohibido desde 2025, y el artículo 22 del RGPD ya te obliga hoy si una máquina decide de hecho sobre una persona.
Cuánto cuesta incumplir el Reglamento de IA
El artículo 99 fija tres tramos: hasta 35 M€ o el 7 % del volumen de negocio para prácticas prohibidas; hasta 15 M€ o el 3 % para el resto de obligaciones, incluido el artículo 50; y hasta 7,5 M€ o el 1 % por dar información incorrecta a las autoridades.
Ahora el detalle que casi nadie cita. Para una empresa grande se aplica la cifra mayor de las dos. Para pymes y startups, el apartado 6 del artículo 99 invierte la regla: se aplica la menor.
Una empresa que factura 2 millones de euros y incumple el artículo 50 no se expone a 15 millones, sino a 60.000 € como techo: el 3 % de su facturación.
Sigue siendo mucho dinero. Pero el riesgo real de una pyme no es la multa máxima. Es no poder responder a un requerimiento, o que un cliente grande te pida por escrito cómo cumples y no tengas nada que enseñar.
Quién vigila en España qué obliga el Reglamento de IA a mi empresa
La AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. La creó el Real Decreto 729/2023 y arrancó su actividad presencial en febrero de 2025. Es la autoridad principal de vigilancia del mercado.
Ahora bien: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que fija el régimen sancionador nacional, se aprobó como proyecto en Consejo de Ministros el 26 de mayo de 2026 y se publicó en el Boletín Oficial de las Cortes el 12 de junio. Sigue en tramitación parlamentaria. No está aprobado ni publicado en el BOE. Quien te diga que España ya ha aprobado su ley de IA no ha mirado el expediente.
La AEPD, en cambio, sí puede actuar hoy y lo ha hecho: sancionó a una universidad por usar reconocimiento facial con IA en exámenes online, por infracción del artículo 9 del RGPD, con independencia del calendario del Reglamento de IA.
Por dónde empezar esta semana
- Haz el inventario. Quién usa IA en tu empresa, con qué herramienta y para qué. Casi siempre hay más de lo que el gerente cree, y casi siempre son cuentas personales.
- Descarta lo prohibido. Sobre todo cualquier cosa que analice emociones o biometría de la plantilla.
- Escribe una política de uso de una página. Qué se puede meter en una IA y qué no. Es la medida del artículo 4 más barata que existe.
- Revisa dónde hay chatbots o contenido generado y pon el aviso.
- Documéntalo. Fecha, destinatarios, contenido. Sin papel no hay cumplimiento.
Nada de esto exige un departamento de cumplimiento. Exige criterio y constancia documental. Es la parte que incluyo en cualquier implantación cuando meto inteligencia artificial en los procesos de una empresa: primero se decide qué información entra y quién la usa, y luego se automatiza. Si trabajas en Galicia y prefieres verlo en persona, esa es la conversación de un consultor de IA en A Coruña; y si quieres entender la herramienta antes de contratar a nadie, la guía completa de Claude es de acceso libre.
Preguntas frecuentes
¿Qué obliga el Reglamento de IA a mi empresa si soy autónomo o microempresa?
Sí. No hay umbral de tamaño ni de facturación. Lo que sí hay son simplificaciones para pymes, como documentación técnica en formato reducido y sistema de gestión de la calidad simplificado, y la regla sancionadora más favorable del artículo 99.6.
Si solo uso ChatGPT, ¿qué obliga el Reglamento de IA a mi empresa?
Eres responsable del despliegue. Te aplican el artículo 5, el artículo 4 y, si publicas contenido generado o tienes un chatbot, el artículo 50. No te aplican las obligaciones de proveedor ni, hasta diciembre de 2027, las de alto riesgo.
¿Se ha retrasado todo el Reglamento de IA?
No. El Reglamento (UE) 2026/1744 retrasó únicamente las obligaciones de alto riesgo de los anexos III y I. La fecha general del 2 de agosto de 2026, las prohibiciones, la alfabetización y las sanciones siguen igual.
¿Necesito un certificado de formación en IA para mi plantilla?
No. Ni existe ni lo exige el reglamento. Lo que se exige son medidas proporcionadas y documentadas.
¿Qué pasa si no hago nada?
Si te preguntas qué obliga el Reglamento de IA a mi empresa y decides no hacer nada, a corto plazo probablemente no pase nada visible. El riesgo aparece cuando llega un requerimiento, cuando un cliente grande te audita, o cuando un empleado o un candidato reclama por una decisión tomada con ayuda de IA. En ese momento, o tienes documentación o no la tienes.
Te he preparado la versión imprimible: seis páginas y veintidós comprobaciones para saber en veinte minutos en qué situación está tu empresa. Descarga la checklist del Reglamento de IA para pymes.
Si prefieres que lo miremos juntos sobre tu caso, puedes reservar una sesión de diagnóstico.
Fuentes
- Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial.
- Reglamento (UE) 2026/1744, de 8 de julio de 2026 (Digital Omnibus on AI), en vigor desde el 27 de julio de 2026.
- Real Decreto 729/2023, por el que se aprueba el Estatuto de la AESIA.
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, BOCG de 12 de junio de 2026 (expediente 121/000096, en tramitación).
Artículo divulgativo, no asesoramiento jurídico. Estado de la normativa a 1 de septiembre de 2026.