Obligaciones del AI Act para pymes: guía práctica paso a paso

Esta guía es la parte operativa. No explica qué es el AI Act, explica qué tienes que hacer si tu pyme usa inteligencia artificial. Está ordenada como un plan de trabajo, del primer paso al último.

Asumimos el caso más común: tu empresa no ha desarrollado la IA, la usa. Es decir, eres responsable del despliegue. Si además comercializas un sistema propio, tienes obligaciones adicionales de proveedor que señalamos al final.

Paso 1: inventario de sistemas de IA

Sin inventario no hay nada más. Necesitas una lista completa de todos los sistemas de IA que operan en tu empresa, y esto incluye lo que no consideras "IA":

• Chatbots y asistentes en web, WhatsApp o teléfono.
• Funciones de IA dentro de tu CRM, ERP o software de RRHH.
• Herramientas de IA generativa que usa el equipo para redactar, traducir o diseñar.
• Sistemas de scoring, puntuación o priorización de cualquier tipo.
• Analítica predictiva, previsión de demanda, detección de fraude.
• Reconocimiento de imagen, voz o biometría en cualquier proceso.

Para cada sistema, registra: nombre, proveedor, finalidad prevista concreta, área de negocio, datos que consume, decisiones en las que influye, persona responsable interna y fecha de puesta en servicio.

En los diagnósticos que hacemos, este paso siempre descubre entre dos y cinco sistemas que nadie tenía controlados. Casi siempre herramientas contratadas por un departamento sin pasar por dirección.

Paso 2: clasificación de riesgo documentada

Para cada sistema del inventario, determina y escribe su categoría: prohibido, alto riesgo, riesgo limitado o riesgo mínimo. La clasificación depende de la finalidad prevista, no de la tecnología.

Si concluyes que un sistema listado en el Anexo III no es de alto riesgo por la excepción del artículo 6.3, la evaluación debe estar documentada antes de la puesta en servicio y registrada. Si el sistema hace perfilado de personas, la excepción no cabe.

Este documento, fechado y firmado, es la pieza central de tu expediente.

Paso 3: determina tu rol en cada sistema

Puedes ser responsable del despliegue en un sistema y proveedor en otro. Y ojo con un detalle que sorprende a muchas empresas: si pones tu marca en un sistema de alto riesgo de un tercero, si modificas su finalidad prevista o si le haces una modificación sustancial, pasas a ser considerado proveedor y asumes todas las obligaciones del proveedor. Personalizar profundamente un sistema de un tercero puede cambiarte de rol sin que lo sepas.

Paso 4: transparencia

Aplica a casi todas las pymes y es lo más rápido de resolver:

• Si un sistema interactúa con personas, debe quedar claro que es una IA. Un aviso visible al inicio de la conversación del chatbot, no una nota en la política de privacidad.
• Si generas contenido sintético (texto, imagen, audio, vídeo), debe estar marcado como generado artificialmente en formato legible por máquina.
• Si publicas texto generado por IA para informar al público sobre asuntos de interés público, debe indicarse.
• Si produces deepfakes, hay que revelarlo.

Paso 5: supervisión humana efectiva

El reglamento exige que los sistemas de alto riesgo sean supervisados por personas físicas con la competencia, formación y autoridad necesarias. Tres palabras que hay que tomarse en serio:

• Competencia: la persona debe entender qué hace el sistema y cuáles son sus límites.
• Formación: debe estar formada específicamente en ese sistema, y debe poder acreditarse.
• Autoridad: debe poder ignorar, anular o revertir la salida del sistema, y detenerlo si es necesario. Si en la práctica nadie puede decir "no" a la máquina, no hay supervisión humana, hay una firma decorativa.

Documenta quién supervisa cada sistema, qué formación tiene y qué capacidad real de intervención.

Paso 6: alfabetización en IA del personal

Obligación aplicable desde el 2 de febrero de 2025 (artículo 4) y para cualquier categoría de riesgo. Debes garantizar un nivel suficiente de conocimiento en IA en el personal que opera o usa estos sistemas, teniendo en cuenta sus conocimientos técnicos, el contexto de uso y las personas afectadas.

En la práctica: un plan de formación con contenidos, asistentes, fechas y evidencia de realización. Es una de las obligaciones más fáciles de cumplir y una de las que más se olvida.

Paso 7: uso conforme a las instrucciones y control de los datos de entrada

Como responsable del despliegue debes usar el sistema conforme a las instrucciones de uso del proveedor. Consíguelas por escrito y guárdalas: si no tienes las instrucciones, no puedes demostrar que las cumples.

Además, cuando controlas los datos de entrada, debes garantizar que son pertinentes y suficientemente representativos para la finalidad prevista. Alimentar un sistema de alto riesgo con datos sesgados es tu responsabilidad, no la del proveedor.

Paso 8: registros (logs) y conservación

Debes conservar los registros generados automáticamente por los sistemas de alto riesgo que estén bajo tu control, durante un periodo adecuado a la finalidad prevista y como mínimo seis meses, salvo que otra normativa exija más.

Esto no es una obligación documental, es técnica: si tu proveedor no expone los logs o tú no los almacenas, el requisito está incumplido aunque tengas todos los documentos en orden. Verifica ahora mismo, sistema por sistema, si los registros existen y dónde se guardan.

Paso 9: informar a las personas afectadas

Dos obligaciones distintas:

• A los trabajadores y sus representantes: antes de poner en servicio un sistema de alto riesgo en el lugar de trabajo, hay que informarles de que van a estar sujetos a él.
• A las personas sometidas a decisiones: cuando un sistema de alto riesgo se use para tomar o ayudar a tomar decisiones sobre personas, hay que informarlas. Y tienen derecho a obtener explicación del papel del sistema en la decisión y de sus elementos principales.

Si usas IA en selección de personal, esto significa que el candidato debe saberlo y puede pedir explicaciones.

Paso 10: vigilancia, incidentes y comunicación

Debes vigilar el funcionamiento del sistema conforme a las instrucciones. Si detectas un riesgo para la salud, la seguridad o los derechos fundamentales, tienes que informar al proveedor o distribuidor y a la autoridad nacional, y suspender el uso. Ante un incidente grave, informar inmediatamente al proveedor y a la autoridad.

Monta un procedimiento simple de detección y escalado, con responsable y plazos. Que exista por escrito antes de que pase algo.

Paso 11: evaluación de impacto y RGPD

Determinados responsables del despliegue de sistemas de alto riesgo (organismos públicos y entidades que prestan servicios públicos, y algunos supuestos de banca y seguros) deben realizar una evaluación de impacto sobre los derechos fundamentales antes del primer uso.

Y con independencia del AI Act: si hay datos personales, sigue aplicando el RGPD íntegro, con su base jurídica, su evaluación de impacto cuando proceda y sus derechos del interesado. El AI Act no sustituye nada, se suma.

Si además eres proveedor

Las obligaciones se multiplican: sistema de gestión de riesgos durante todo el ciclo de vida, gobernanza y calidad de los conjuntos de datos, documentación técnica del Anexo IV, registro automático de eventos por diseño, instrucciones de uso, medidas de supervisión humana integradas, requisitos de precisión, robustez y ciberseguridad, sistema de gestión de la calidad, evaluación de la conformidad, declaración UE de conformidad, marcado CE, registro en la base de datos de la UE y vigilancia poscomercialización.

No es un trámite: es ingeniería documentada.

Errores que vemos una y otra vez

• Confundir política con cumplimiento. Un PDF de "política de uso de IA" no cumple ninguna de las once obligaciones anteriores.
• Delegar todo en el proveedor. Tus obligaciones como responsable del despliegue son tuyas y no se subcontratan.
• No conservar los logs. Es el fallo técnico más común y el más difícil de arreglar a posteriori, porque los datos que no se guardaron no existen.
• Clasificar a la baja sin documentar la evaluación.
• Olvidar la formación del personal, que es obligatoria desde 2025 para todos los niveles de riesgo.

El orden importa

Si tuvieras que hacer solo tres cosas este trimestre: el inventario, la clasificación documentada y la verificación de que los registros se están conservando. Con esas tres piezas tienes la base sobre la que se construye todo lo demás, y son exactamente las tres que te van a pedir primero.

En CIRCULO IA hacemos este recorrido completo con las empresas: levantamos el inventario real de sistemas, clasificamos el riesgo con criterio técnico, verificamos la trazabilidad y los registros, y dejamos la documentación y los procedimientos operativos para cumplir el Reglamento (UE) 2024/1689. Si quieres saber en qué punto está tu empresa y qué falta, podemos hacer el diagnóstico.