EU AI Act explicado fácil: qué cambia para autónomos y pymes en España

INTELIGENCIA ARTIFICIAL · REGULACIÓN UE · 2025

Disclaimer rápido: esto es una explicación práctica, no asesoramiento jurídico. Si vas a tomar decisiones muy sensibles (por ejemplo, IA que decide créditos o contrata personal a gran escala), habla también con tu abogado o con tu asesor de protección de datos.

1. Qué es el EU AI Act en versión humana

El EU AI Act (Reglamento (UE) 2024/1689) es la primera gran ley europea específica sobre inteligencia artificial. Es un reglamento, así que no hay que “transponerlo”: se aplica directamente en España igual que en el resto de la UE.

La idea central es sencilla: cuanto más impacto puede tener un sistema de IA sobre los derechos de las personas, más obligaciones hay. Por eso la norma divide los sistemas de IA en cuatro niveles de riesgo:

• Riesgo inaceptable (prohibidos): cosas tipo policía predictiva, manipulación subliminal o reconocimiento de emociones en el trabajo.
• Alto riesgo: IA que influye mucho en tu vida (empleo, educación, créditos, sanidad, acceso a servicios básicos…).
• Riesgo limitado: sistemas que necesitan algo de transparencia (por ejemplo, un chatbot atendiendo clientes).
• Riesgo mínimo: el resto (filtros de spam, recomendaciones simples, muchas herramientas de productividad…).

Además, el reglamento distingue entre quién “provee” el sistema (lo diseña y lo vende) y quién lo “despliega” (lo usa en su negocio). La mayoría de autónomos y pymes sois usuarios o “deployers” que compran o consumen IA de terceros.

La gran novedad respecto a otras normas es que también regula los modelos de propósito general (los típicos modelos base tipo ChatGPT, Claude, Gemini, Llama, etc.), porque al final todo se construye encima de ellos.

2. Calendario: qué ya está en vigor en 2025 (y qué viene después)

Fechas clave para que te sitúes:

• 1 de agosto de 2024: el AI Act entra formalmente en vigor.
• 2 de febrero de 2025: comienzan a aplicarse las prohibiciones de sistemas de IA inaceptables y las obligaciones de alfabetización en IA (AI literacy). Es decir, ya no es teoría.
• 2 de agosto de 2025: entran en juego las normas para modelos de propósito general (GPAI) y se consolida la gobernanza europea (AI Office, autoridades nacionales, etc.). También empiezan a poder imponerse sanciones por lo que ya estaba vigente.
• 2026–2027: van entrando el resto de obligaciones, sobre todo para sistemas de alto riesgo que forman parte de productos regulados (medicina, automóvil, etc.).

Hoy, finales de 2025, ya no estamos en “modo preparación”: hay prohibiciones activas, reglas claras para proveedores de modelos generales y autoridades como la AESIA en España empezando a supervisar el terreno.

3. ¿De verdad me afecta? Casos típicos de autónomos y pymes

Vamos a aterrizarlo con ejemplos muy concretos. Piensa si encajas en alguno:

3.1. IA para marketing, contenidos y atención al cliente

Usas ChatGPT, Copilot o similares para:

• Escribir posts, emails o anuncios.
• Responder preguntas frecuentes de clientes con un chatbot en tu web o WhatsApp.
• Generar imágenes o vídeos para campañas.

Aquí hablamos de riesgo limitado o mínimo. Lo que te toca principalmente es:

• Respetar privacidad y secretos de negocio (cuidado con lo que subes al modelo).
• Avisar cuando alguien habla con un bot y no con una persona.
• Etiquetar contenido claramente si usas deepfakes o generas algo que pueda confundir (por ejemplo, un vídeo hiperrealista).

Si te interesa ver cómo la IA puede llevarte clientes casi en piloto automático (pero bien usada), lo enlazo con esta guía sobre montar un embudo de ventas 24/7 con IA, que va muy alineada con estos usos de riesgo limitado.

3.2. IA para recursos humanos: filtrar CV o evaluar candidatos

Si usas IA para decidir quién pasa a entrevista, cómo se ordenan los CV o qué candidatos descartar, entras en la zona de alto riesgo. El AI Act trata la selección de personal como algo muy delicado porque afecta directamente al acceso al empleo.

Aquí las obligaciones suben de nivel: aunque compres el sistema a un proveedor, como “usuario” tienes que entender cómo se usa, supervisarlo, corregir errores y poder justificar decisiones. Este tema lo desarrollo mucho más en el artículo sobre IA que filtra CV y entrevistas, donde se ve muy claro el impacto en candidatos.

3.3. IA para crédito, scoring de clientes o seguros

Si eres una financiera, una fintech o una aseguradora que usa IA para decidir condiciones económicas, límites de crédito o precios de pólizas, también estás en terreno de alto riesgo. Aunque seas una pyme, el tipo de decisión importa mucho más que tu tamaño.

3.4. IA “oscura”: vigilancia, reconocimiento facial, policía predictiva…

El AI Act prohíbe directamente una serie de prácticas, muchas relacionadas con vigilancia masiva, manipulación o puntuación social de las personas. Por ejemplo:

• Sistemas que hacen “policía predictiva” sobre personas concretas.
• Reconocer emociones en el trabajo o en el colegio con cámaras.
• Clasificar a la gente por raza, orientación sexual, etc. usando biometría.

Aunque probablemente no estés montando una comisaría en tu tienda online, viene bien leer sobre el lado oscuro de la policía predictiva para entender qué tipo de cosas la UE quiere cortar de raíz.

4. Normas clave que ya se aplican en tu negocio en 2025

4.1. Ocho prácticas de IA directamente prohibidas

No voy a recitar el artículo de memoria, pero quédate con la idea: hay un grupo de usos que ni como autónomo ni como pyme puedes tocar. Algunos ejemplos:

• Sistemas que manipulan de forma subliminal para que la gente tome decisiones que de otro modo no tomaría.
• “Social scoring”: puntuar a las personas de manera generalizada según su comportamiento para darles o quitarles ventajas.
• Reconocer emociones de empleados o alumnos con cámaras o sensores.
• Ciertos usos de identificación biométrica remota en espacios públicos.

Aunque muchos parecen “cosas de gobiernos”, también afectan a empresas privadas. Por ejemplo, montar un sistema que mida emociones de tu equipo por cámara para “subir productividad” es directamente inviable.

4.2. AI literacy: tienes que formar mínimamente a tu equipo

Desde febrero de 2025, el reglamento exige que quien trabaje con sistemas de IA tenga un mínimo de formación sobre:

• Qué hace el sistema y qué no.
• Sus límites (por ejemplo, alucinaciones, sesgos, errores).
• Cómo detectar problemas y a quién avisar.

No necesitas montar una academia interna, pero sí algo tan sencillo como:

• Un documento de 2–3 páginas explicando cómo usar la IA de la empresa.
• Una sesión corta para el equipo explicando riesgos básicos (privacidad, sesgos, confidencialidad).
• Normas claras: qué datos nunca se pueden subir, quién revisa las respuestas, cómo corregir errores.

Si quieres reforzar la parte de “no todo lo que dice la IA es verdad”, te recomiendo echar un ojo a la guía sobre errores típicos al usar IA (alucinaciones y privacidad), que encaja perfecto como material para este tipo de formación.

4.3. Transparencia: avisar cuando hay IA de por medio

El AI Act obliga a que las personas sepan cuándo están interactuando con una IA o viendo contenidos generados por IA en ciertos casos. Traducido a tu realidad:

• Si pones un chatbot de atención al cliente, deja claro que es un bot (“Estás hablando con un asistente de IA…”).
• Si generas deepfakes (vídeos o audio hiperrealista) como contenido, márcalo de forma visible.
• Si los usuarios toman decisiones importantes basadas en la salida de la IA, explícales sus límites.

No se trata de asustar al usuario, sino de evitar engaños. La idea es que la gente pueda decidir mejor si fiarse o contrastar la información.

4.4. Modelos de propósito general: ChatGPT, Claude, Gemini y compañía

Desde agosto de 2025, el AI Act trae normas específicas para los llamados modelos de propósito general (GPAI): grandes modelos que sirven para mil tareas diferentes (chat, código, imágenes…). Las obligaciones pesadas caen sobre los proveedores de esos modelos (OpenAI, Google, Anthropic, Mistral, etc.).

¿Qué implica esto para ti como pyme o autónomo?

• Elegir proveedores que hablen claro de su cumplimiento con el AI Act y tengan documentación pública.
• No “saltarte” restricciones del proveedor ni usar el modelo para fines prohibidos.
• Si tú entrenas un modelo generalista y lo ofreces a terceros, podrías pasar a ser proveedor de GPAI y entonces te aplican obligaciones técnicas, de documentación y de reporte mucho más serias.

La buena noticia es que, si solo consumes APIs o herramientas SaaS, tu foco principal está en usar bien esas herramientas y no tanto en demostrar cómo se entrenó el modelo base.

5. Si usas IA de alto riesgo: lo mínimo que deberías hacer

Si alguno de tus sistemas entra en la categoría de alto riesgo (por ejemplo, IA para selección de personal, scoring crediticio o acceso a servicios esenciales), el grado de exigencia sube varios niveles, incluso aunque seas pequeño.

De forma simplificada, como empresa usuaria deberías:

• Verificar a tu proveedor: pedir documentación de cumplimiento con el AI Act, certificaciones, información sobre datos de entrenamiento y pruebas de sesgos.
• Usar el sistema tal y como está previsto: respetar los límites y condiciones de uso que marca el fabricante (por ejemplo, no aplicarlo a colectivos para los que no fue diseñado).
• Garantizar supervisión humana: que una persona revise las decisiones importantes, con capacidad real de corregirlas.
• Registrar lo que ocurre: mantener logs básicos de cómo se usa el sistema, especialmente cuando afecta a personas (por si hay reclamaciones).
• Informar a las personas afectadas: candidatos, clientes, empleados… deben saber que hay IA en el proceso y poder ejercer sus derechos.

Si estás en estos casos, ya juegas en el terreno donde la unión de AI Act + RGPD + normativa laboral puede ser delicada. No hace falta que seas un banco para que te lo tomes muy en serio.

6. España: quién manda aquí (AESIA, AEPD y compañía)

En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad que se está preparando para vigilar que se cumpla el AI Act. Tiene sede en A Coruña y trabaja coordinada con otros reguladores como la AEPD (protección de datos), el Banco de España, la CNMV, etc.

Para ti como negocio, esto significa que:

• Puede haber inspecciones, igual que con protección de datos.
• AESIA publicará guías, plantillas y ayudas pensadas precisamente para pymes y autónomos.
• Habrá canales de denuncia para usos de IA sospechosos; no sólo te pueden “pillar” por arriba (la autoridad), también por clientes, empleados o competidores.

La buena noticia es que el reglamento menciona muchas veces a pymes y startups porque quiere que esta tecnología siga siendo accesible. El enfoque oficial es “ayudar a cumplir”, no arrasar con multas desde el primer día… siempre que estés haciendo los deberes básicos.

7. Checklist simple para cumplir lo esencial en tu pyme

Si quieres salir de este artículo con un plan ejecutivo, aquí va una checklist pensada para autónomos y pymes:

1. Haz un inventario de IA: apunta qué herramientas usas (ChatGPT, Copilot, herramientas de marketing, de RR. HH., etc.), para qué y con qué datos.
2. Clasifica el riesgo: marca qué usos son de marketing/atención (riesgo limitado) y cuáles pueden ser alto riesgo (contratación, scoring, decisiones importantes sobre personas).
3. Crea una mini política interna de IA: 2–3 páginas donde expliques cómo usarla, qué está prohibido, cómo tratar datos personales y cómo revisar resultados.
4. Transparencia básica: añade avisos visibles en chatbots, plantillas de correo y contenido donde haya IA de por medio.
5. Revisa contratos con proveedores: busca menciones al AI Act, a dónde van los datos, cómo se gestionan reclamaciones y qué pasa si hay incidentes.
6. Forma al equipo: una sesión corta explicando riesgos, casos de uso permitidos y cómo pedir ayuda si ven algo raro.
7. En alto riesgo, pide ayuda: si tu negocio toma decisiones críticas con IA (empleo, crédito, sanidad…), habla con un especialista legal o de compliance antes de escalar el sistema.

Si estás en fase de plantearte cuánto te compensa meter IA en tu negocio (más allá de cumplir la ley), enlaza muy bien con esta reflexión sobre cuánto dinero pierdes sin automatizar tu negocio con IA, donde hablo de la parte de oportunidad, no sólo de riesgo.

8. ¿Y las multas? Hasta 35 millones suena a ciencia ficción para una pyme

Has leído cifras de hasta 35 millones de euros o el 7 % de la facturación global y quizá has pensado: “esto no va conmigo”. Ojalá nunca te acerques a esos números, pero conviene entender la lógica:

• Las multas máximas se reservan para casos extremos: uso de prácticas prohibidas, incumplimiento grave de obligaciones clave, ocultar información a las autoridades…
• El reglamento dice explícitamente que con pymes y startups se debe ser proporcional. Para estos casos se aplica el menor de los dos importes (porcentaje o cifra fija).
• Antes de llegar a una multa gigante suele haber avisos, requerimientos, plazos para corregir, etc., salvo casos muy bestias.

Lo realmente peligroso no es tanto el importe absoluto, sino que un incidente grave con IA (por ejemplo, discriminación evidente en un sistema de contratación) puede hacerte daño en reputación, clientes y conflictos legales, aunque la multa no sea millonaria.

9. Cómo encaja todo esto en tu estrategia de IA

La tentación con el AI Act es irse a los extremos: o ignorarlo (“ya me llamarán”) o paralizarse y dejar de usar IA por miedo. Ninguna de las dos opciones tiene sentido si quieres seguir siendo competitivo.

La clave está en tres ideas:

• Orden antes que sofisticación: mejor tener un inventario claro, unas reglas internas y un par de proveedores fiables, que diez herramientas sin control.
• Transparencia y sentido común: avisar cuando hay IA, no usarla para cosas que ni tú verías bien como usuario y mantener siempre a una persona al mando en decisiones serias.
• Mejorar poco a poco: hoy cumples lo básico (inventario, avisos, formación), mañana refuerzas contratos con proveedores, pasado te planteas métricas y auditorías ligeras.

Al final, el EU AI Act no va de “matar la IA”, sino de que las herramientas que ya estás usando para automatizar tu negocio —desde asistentes hasta agentes que contestan a tus clientes— se usen con garantías. Si entiendes tu rol (normalmente usuario, no proveedor), conoces los casos de alto riesgo y pones un mínimo de orden, estarás muy por delante de la mayoría.

Y cuando el próximo cliente te pregunte si cumples con el AI Act, podrás responder algo mejor que un “creo que sí”: tendrás argumentos, ejemplos y, sobre todo, un plan.