AI Act para pymes y SaaS: qué tienes que hacer ya
Existe la idea de que el Reglamento Europeo de IA es cosa de grandes tecnológicas. No lo es. El AI Act afecta a cualquier empresa que desarrolle, integre o use inteligencia artificial en el mercado europeo, y eso incluye a la mayoría de pymes tech y empresas SaaS de hoy. Esta guía explica, sin alarmismo, qué te obliga y por dónde empezar.
¿Qué herramientas de IA usa una pyme sin darse cuenta?
Antes de hacer inventario formal, ayuda repasar los usos más habituales de IA en una pyme tech, porque muchos pasan desapercibidos al no parecer «inteligencia artificial» en sentido estricto.
| Herramienta o uso típico | Nivel de riesgo habitual |
|---|---|
| Chatbot o asistente de atención al cliente | Limitado (transparencia) |
| Herramienta de IA generativa para crear contenido, código o imágenes | Limitado (transparencia sobre contenido generado) |
| Filtrado o puntuación de currículums en selección de personal | Alto |
| Scoring de crédito o riesgo financiero de clientes | Alto |
| Analítica predictiva interna (previsión de ventas, mantenimiento) | Mínimo, salvo que afecte a decisiones sobre personas |
| Reconocimiento facial o biométrico | Alto o prohibido, según el uso concreto |
Esta tabla es orientativa: el nivel de riesgo real depende de cómo se use cada herramienta, no solo de qué tipo de IA es. Un mismo modelo de lenguaje puede estar en riesgo limitado si redacta textos de marketing, y en alto riesgo si se usa para evaluar el desempeño de empleados.
¿El AI Act afecta a las pymes?
Sí. El AI Act aplica con independencia del tamaño de la empresa y del lugar donde tenga la sede, siempre que sus sistemas de IA operen en la Unión Europea. Una pyme que usa IA para atención al cliente, análisis de datos, selección de personal o automatización de decisiones está dentro del ámbito de la norma.
Lo que cambia según el tamaño no es si te aplica, sino la proporcionalidad: la norma modula algunas exigencias para las empresas más pequeñas, pero las obligaciones de fondo no desaparecen.
Checklist: los primeros pasos para una pyme
Un orden razonable para no sentirse abrumado. Primero, haz un inventario real: lista todas las herramientas con IA que usa tu empresa, propias o de terceros, y para qué se usan exactamente. Segundo, clasifica cada una por nivel de riesgo, apoyándote en la tabla anterior y en el detalle de los cuatro niveles de riesgo. Tercero, revisa que no haya ninguna práctica prohibida entre tus usos actuales. Cuarto, documenta y programa la alfabetización en IA de las personas que usan o supervisan estos sistemas, aunque sea con un material breve. Y quinto, decide si necesitas ISO 42001 en función de tu exposición real y de si te aporta valor comercial, o si con medidas puntuales de cumplimiento es suficiente por ahora.
Errores frecuentes que comete una pyme con el AI Act
El más común es pensar que «no desarrollamos IA, así que no nos afecta», cuando en realidad basta con usar herramientas de terceros para tener obligaciones como usuario profesional. El segundo es tratar el AI Act como un problema exclusivamente legal, cuando en la práctica exige también decisiones de producto: qué funcionalidades activar, cómo comunicar el uso de IA a los usuarios, qué supervisión humana mantener.
El tercero es esperar a que «salga la ley definitiva», cuando el reglamento ya está en vigor y varias obligaciones ya son exigibles hoy; no hay una fecha futura en la que «empiece de verdad». Y el cuarto es no revisar los contratos con proveedores de IA, asumiendo que si la herramienta la ha hecho otra empresa, la responsabilidad es solo de ese proveedor.
¿Qué obligaciones tiene una pyme según el AI Act?
Depende del nivel de riesgo de los sistemas de IA que uses. La mayoría de pymes trabaja con IA de riesgo limitado o mínimo, cuyas obligaciones principales son de transparencia: informar a las personas de que están interactuando con IA o de que un contenido ha sido generado por IA.
Si tu empresa usa o desarrolla IA de alto riesgo (por ejemplo, sistemas que influyen en contratación, crédito o acceso a servicios), las obligaciones son mucho más estrictas: gestión de riesgos, documentación técnica, supervisión humana y registros. Los niveles de riesgo los explicamos en qué es el AI Act y a quién obliga.
¿Qué tengo que hacer ya?
Hay dos cosas exigibles desde 2025 que conviene tener resueltas cuanto antes. La primera es asegurarte de no usar ninguna práctica de IA prohibida. La segunda es la alfabetización en IA: garantizar que tu personal tiene un nivel básico de conocimiento sobre la IA que utiliza, una obligación que aplica a todas las empresas que usan estos sistemas.
A partir de ahí, el paso lógico es hacer un inventario de dónde usas IA en tu empresa. Muchas veces la IA entra por varias puertas (una herramienta de escritura, un asistente, una analítica) sin que exista un mapa real de su uso, y ese mapa es la base de todo lo demás.
¿Por dónde empiezo a cumplir?
Por un diagnóstico que responda a tres preguntas: qué sistemas de IA usas, en qué nivel de riesgo caen y qué obligaciones te generan. Con ese mapa sabes qué es urgente (lo ya exigible) y qué puedes planificar (las obligaciones que llegan en 2026).
A partir de ahí, la forma ordenada y reconocida de estructurar el cumplimiento es apoyarte en la norma ISO 42001, que convierte estas obligaciones dispersas en un sistema de gestión. La explicamos en qué es la ISO 42001 y su recorrido en cómo certificarse.
¿Cumplir el AI Act tiene que costar mucho dinero?
No necesariamente, y conviene distinguirlo de la certificación ISO 42001. Cumplir las obligaciones básicas que ya son exigibles hoy (revisar prácticas prohibidas, documentar la alfabetización en IA, hacer un inventario) es sobre todo una cuestión de tiempo interno y de un poco de asesoramiento puntual, no de una gran inversión.
El coste sube cuando la empresa tiene sistemas de alto riesgo, porque ahí las obligaciones exigen documentación técnica y supervisión más profundas, o cuando decide ir más allá y certificarse en ISO 42001 para convertir el cumplimiento en un argumento comercial. Para la mayoría de pymes con IA de riesgo limitado, un buen diagnóstico inicial y unos meses de trabajo ordenado son suficientes para estar cubiertas frente a lo que ya es exigible.
¿Cumplir el AI Act frena mi negocio?
No tiene por qué. Bien planteado, el cumplimiento del AI Act es un activo comercial: te permite demostrar a clientes, inversores y organismos públicos que gestionas la IA de forma responsable, algo que el mercado empieza a exigir.
Para una empresa SaaS que quiere vender a grandes cuentas o al sector público, llegar antes que la competencia a esa garantía es una ventaja. El marco completo está en la guía del AI Act e ISO 42001.
Haz el inventario de IA de tu empresa con nosotros
Cuéntanos qué herramientas de IA usáis, propias o de terceros. En 30 minutos te ayudamos a clasificar cada una por nivel de riesgo y a saber qué es urgente resolver ya y qué puede esperar.
Sí. Aplica a cualquier empresa que desarrolle, integre o use IA en el mercado europeo, con independencia de su tamaño. La norma modula algunas exigencias para las empresas pequeñas, pero las obligaciones de fondo se mantienen.
Es el deber de garantizar que el personal que usa sistemas de IA tenga un nivel suficiente de conocimiento sobre ellos. Es exigible desde 2025 y aplica a todas las empresas que utilizan IA, sin excepción por tamaño.
No es obligatoria, pero es la vía más reconocida para estructurar el cumplimiento. Convierte las obligaciones dispersas del AI Act en un sistema de gestión ordenado y demostrable ante los supervisores.
Los requisitos para sistemas de IA de alto riesgo entran en plena vigencia en agosto de 2026. Preparar el cumplimiento antes de esa fecha es más barato y menos arriesgado.
Sí. El AI Act aplica también al usuario profesional de un sistema de IA, no solo a quien lo desarrolla. Usar una herramienta comprada a un tercero no te exime de las obligaciones correspondientes al nivel de riesgo de ese uso.
Depende de tu exposición. Para las obligaciones básicas y un inventario bien hecho, un consultor especializado en cumplimiento de IA suele ser suficiente. Si tienes sistemas de alto riesgo o dudas concretas sobre encaje legal, conviene combinar ese trabajo técnico con asesoría legal específica.