Cumplimiento · Regulación

La Ley de IA de la UE entra en vigor en agosto. ¿Está tu empresa preparada?

La mayoría de las pymes europeas no saben que están afectadas. Las que usan herramientas de IA estadounidenses pueden estar incumpliendo ya.

Junio 2026 · 8 min de lectura

En agosto de 2026, la Ley de Inteligencia Artificial de la UE pasa de la teoría a la aplicación efectiva. Para la mayoría de las pequeñas y medianas empresas europeas, esto no es una regulación abstracta: es una cuestión operativa directa que afecta a qué herramientas de IA puedes usar legalmente, a cómo debes documentar tus sistemas de IA y a qué responsabilidad asumes si algo sale mal.

El problema es que la mayoría de las empresas no han estado prestando atención. La Ley de IA lleva años debatiéndose en círculos políticos, pero el dueño medio de una pyme ha estado centrado en sacar adelante su negocio. Esa distancia entre el conocimiento y la aplicación es donde vive el riesgo.

Qué dice realmente la Ley de IA de la UE

La Ley de IA de la UE clasifica los sistemas de IA por nivel de riesgo. La mayoría de lo que usan las pymes en su día a día entra en dos categorías: riesgo limitado y alto riesgo.

Los sistemas de riesgo limitado —chatbots, motores de recomendación, automatización básica— deben cumplir obligaciones de transparencia. Si usas un chatbot de IA en tu web, tus clientes deben saber que están hablando con una IA. Es un requisito relativamente ligero, pero sigue siendo una obligación legal que muchas empresas están ignorando ahora mismo.

Los sistemas de alto riesgo —IA que influye en decisiones de empleo, solvencia, acceso a servicios o cualquier cosa que afecte a datos personales de forma relevante— conllevan requisitos mucho más exigentes: documentación, mecanismos de supervisión humana, pruebas de precisión y, en algunos casos, registro ante las autoridades de la UE antes de su despliegue.

La pregunta no es si la regulación se te aplica. Si operas en la UE, se aplica. La pregunta es si las herramientas que usas actualmente se diseñaron teniendo en cuenta estos requisitos.

El problema de las herramientas de IA estadounidenses

Esto es lo que la mayoría de las empresas no se están planteando: la mayor parte de las herramientas de IA disponibles hoy se construyeron en Estados Unidos, para las condiciones regulatorias estadounidenses y con infraestructura de datos estadounidense.

El Artículo 28 del RGPD ya exige que cualquier encargado del tratamiento con el que trabajes cumpla unos estándares contractuales y técnicos concretos. La Ley de IA añade otra capa. Cuando tu herramienta de IA procesa datos de clientes —consultas, conversaciones, historial de transacciones— en servidores estadounidenses y bajo jurisdicción estadounidense, ya estás asumiendo un riesgo de cumplimiento que la mayoría no ha contabilizado.

El problema es arquitectónico, no solo contractual. Una herramienta que enruta las conversaciones con tus clientes a través de un centro de datos en EE. UU. no cumple el RGPD por diseño, diga lo que diga su contrato de servicio. La Ley de IA agrava esto al añadir requisitos de transparencia, documentación y supervisión que sencillamente no formaban parte de los criterios de diseño de la mayoría de las herramientas creadas en EE. UU.

Esto no es una crítica a la tecnología estadounidense. Es una afirmación sobre lo que significa realmente el cumplimiento por diseño frente al cumplimiento de casilla marcada.

Qué cambia en agosto de 2026

El plazo de agosto de 2026 se aplica específicamente a las disposiciones sobre IA de alto riesgo y a las obligaciones de los proveedores y los responsables del despliegue de modelos de IA de propósito general. En términos prácticos:

Para las empresas que despliegan IA de cara al cliente —soporte automatizado, cualificación de leads, procesamiento de documentos— debes poder demostrar que cuentas con mecanismos de supervisión humana, que las decisiones de la IA se pueden explicar y que mantienes registros de las interacciones relevantes.

Para las empresas que usan herramientas de IA de terceros —que son la mayoría— debes verificar que tu proveedor cumple las obligaciones que la Ley le impone como proveedor. Si no las cumple, la responsabilidad puede recaer sobre ti como responsable del despliegue.

Para las empresas que no han documentado en absoluto su uso de IA —que son la mayoría de las pymes— agosto de 2026 es el momento en que la adopción informal se convierte en una responsabilidad formal.

Las tres cosas que deberías hacer ahora mismo

1. Inventaría tu exposición a la IA. Haz una lista de todas las herramientas de IA que usa tu empresa. Para cada una, pregúntate: ¿adónde van los datos, quién los procesa y en qué decisiones influyen? Puede sorprenderte lo larga que es la lista una vez incluyes la IA integrada en herramientas que ya usas: CRMs, plataformas de email, software de atención al cliente.
2. Comprueba la posición de cumplimiento de tu proveedor. Para cada herramienta de tu lista, busca su documentación sobre la Ley de IA de la UE y el Artículo 28 del RGPD. Si no existe, o es vaga, eso es una señal. Un proveedor que cumple debería poder decirte exactamente dónde se procesan tus datos, bajo qué base legal y cuáles son sus obligaciones según la Ley.
3. Separa lo que controlas de lo que no. La posición de cumplimiento más limpia es aquella en la que eres dueño de la infraestructura. Las herramientas construidas sobre tus propias cuentas —tu propia base de datos, tu propio entorno de procesamiento— te dan visibilidad y control totales. Las que enrutan a través de la infraestructura compartida de un proveedor no te dan ninguno de los dos.

Qué significa esto para la automatización con IA en la práctica

La Ley de IA no significa que no puedas usar IA. Significa que debes usarla de forma deliberada, con documentación, con supervisión y con una infraestructura diseñada para el cumplimiento en la UE en lugar de adaptada a posteriori.

Para las empresas que se plantean automatizar con IA su atención al cliente, su inteligencia de negocio o sus flujos internos, la pregunta ya no es solo «¿funciona esta herramienta?». Es «¿cumple esta herramienta, y puedo demostrarlo?».

La buena noticia es que la automatización con IA conforme a la normativa es perfectamente alcanzable para las pymes. La clave es construir sobre una infraestructura que mantenga tus datos en la UE, que sea tuya y la controles, y que se haya diseñado en torno a estos requisitos desde el principio, no parcheada para cumplirlos después.

Una nota práctica sobre los plazos

Agosto de 2026 no es un plazo flexible. Los mecanismos de aplicación están en marcha, se están estableciendo autoridades supervisoras nacionales en todos los Estados miembros de la UE, y las multas —de hasta 35 millones de euros o el 7% de la facturación anual mundial en las infracciones más graves— están calibradas para ser significativas incluso para grandes empresas.

Para las pymes, el riesgo de sanción es menor que para las grandes empresas, pero el riesgo reputacional no lo es. Un solo incidente con datos o un fallo de cumplimiento, hecho público en el contexto de la aplicación de la Ley de IA, es el tipo de historia que daña la confianza de los clientes de un modo que tarda años en repararse.

Las empresas que actúan ahora —inventariando sus herramientas, verificando a sus proveedores y construyendo sobre infraestructura conforme a la normativa— son las que podrán moverse con rapidez en la adopción de IA a medida que la regulación se asiente, porque tendrán la documentación y la arquitectura para demostrar que lo están haciendo bien.