Ley de IA: ¿qué debe cumplir tu empresa?

Desde el 2 de agosto de 2026, cualquier empresa o autónomo que utilice inteligencia artificial en su trabajo tendrá que cumplir varias obligaciones nuevas y podrá ser multado si no lo hace. Lo establece la ley europea de IA, cuya última reforma, el llamado Ómnibus Digital de IA, entró en vigor este 27 de julio.

La parte buena es que las exigencias más complejas se han aplazado a 2027; lo que llega ahora es más sencillo, aunque afecta a casi todos los que trabajan con IA.

¿Qué es la ley de IA y cuándo entra en vigor?

La Unión Europea aprobó en 2024 el primer gran reglamento del mundo que regula la inteligencia artificial, conocido como AI Act o Reglamento (UE) 2024/1689. Su objetivo es que la IA que se usa en Europa sea segura y que las personas sepan cuándo están ante ella. Al ser un reglamento europeo, sus normas se aplican por igual en todos los países, España incluida, sin que el Gobierno tenga que aprobar una ley propia.

Esa ley no entra en vigor por completo de golpe, sino que reparte sus obligaciones en un calendario que va de 2025 a 2028. El 27 de julio de 2026 entró en vigor el Reglamento (UE) 2026/1744 u Ómnibus Digital sobre IA, que ajusta ese calendario, dando más tiempo para las obligaciones más difíciles, pero manteniendo en fecha las que se refieren a la transparencia, que empiezan el 2 de agosto de 2026.

¿A quién afecta la ley de IA?

La norma afecta a pymes y autónomos por igual y distingue dos figuras: el "proveedor", quien crea o vende un sistema de IA; y el "responsable del despliegue", quien simplemente lo usa en su actividad profesional: lo paga, decide para qué sirve y lo integra en su día a día. La mayoría de pymes y autónomos encajan en esta segunda figura.

Lo determinante es que el uso sea profesional, no personal. Si un autónomo emplea ChatGPT para redactar los correos de sus clientes, tiene un chatbot en su web o genera imágenes con IA para sus redes, está usando IA de forma profesional y la norma le afecta. Solo queda fuera el uso puramente personal o doméstico. El tamaño del negocio no cambia si estás obligado; únicamente cambia el esfuerzo que tendrás que dedicarle.

Cómo cumplir con las obligaciones de transparencia de la ley IA

A partir de esa fecha entran las obligaciones de transparencia (artículo 50 de la ley). La idea de fondo es simple: las personas tienen derecho a saber cuándo tratan con una máquina o cuándo ven contenido hecho por IA. En la práctica se resumen en cuatro deberes.

El primero es avisar cuando alguien habla con una IA. Si tienes un chatbot de atención al cliente o un contestador telefónico automático, debe quedar claro desde el primer momento que quien responde es un programa y no una persona. No vale esconder ese aviso en la política de privacidad.

El segundo es marcar el contenido creado con IA. Las imágenes, vídeos, audios o textos generados por inteligencia artificial deben llevar una marca técnica, legible por los programas, que permita reconocer su origen. Aquí hay un respiro: las herramientas que ya estaban en el mercado antes del 2 de agosto tienen de plazo hasta el 2 de diciembre de 2026 para incorporar esa marca; las nuevas tendrán que hacerlo desde el primer día.

El tercero es identificar los deepfakes. Si publicas una imagen, un vídeo o un audio manipulado con IA que parezca real (por ejemplo, imitando la cara o la voz de alguien), tienes que indicar de forma visible que se trata de un montaje.

El cuarto afecta a quien publica textos sobre asuntos de interés público (política, salud, economía y temas similares) redactados con IA: hay que avisar de ello, salvo que una persona los haya revisado a fondo y se responsabilice de su contenido.

A estos cuatro deberes se suma uno que ya está vigente desde febrero de 2025: la alfabetización en IA. Significa que quien maneja estas herramientas debe tener una formación mínima para usarlas con criterio. En una pyme, la empresa debe formar a su plantilla; si eres autónomo y trabajas solo, esa formación te corresponde a ti mismo.

¿Qué se ha aplazado a 2027?

Las obligaciones más exigentes son las de los sistemas de "alto riesgo": programas de IA que toman decisiones delicadas, como filtrar currículos en una selección de personal, conceder o denegar un crédito, calcular el precio de un seguro o evaluar a estudiantes. Para estos casos la ley pide controles estrictos de calidad, documentación y supervisión humana.

La reforma que acaba de entrar en vigor retrasa esas obligaciones del 2 de agosto de 2026 al 2 de diciembre de 2027, y hasta el 2 de agosto de 2028 cuando la IA va integrada en productos como maquinaria, juguetes o aparatos médicos.

Puesto que la mayoría de pymes y autónomos no usa este tipo de sistemas, lo que de verdad les afecta a corto plazo son las obligaciones de transparencia del 2 de agosto.

Calendario: cuándo entra en vigor cada obligación

Régimen sancionador del Ómnibus digital de IA

La ley prevé tres niveles de sanción según la gravedad. Usar la IA para prácticas prohibidas (las de mayor riesgo para las personas) puede costar hasta 35 millones de euros o el 7 % de la facturación anual mundial. Incumplir el resto de obligaciones, entre ellas las de transparencia, puede llegar a 15 millones o el 3 %. Y dar información falsa a las autoridades, hasta 7,5 millones o el 1 %.

Estas cifras asustan, pero hay un matiz clave para los pequeños. En el caso de pymes, autónomos y startups**, la multa se calcula aplicando la cantidad menor de las dos** (el porcentaje o el importe fijo), no la mayor. Es decir, la sanción se ajusta al tamaño del negocio.

Aun así, la posibilidad de ser sancionado existe desde el 2 de agosto, de modo que conviene tomárselo en serio. En España, el organismo encargado de vigilar es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).

Ventajas de la reforma para pymes y autónomos

La reforma no solo trae deberes; también alivia cargas para los negocios pequeños. Amplía a las pequeñas empresas de mediana capitalización (las llamadas small mid-caps: menos de 750 empleados y 150 millones de euros de facturación) las ventajas que ya tenían pymes y startups: papeleo simplificado con plantillas estándar, requisitos proporcionales a su tamaño y sanciones según el supuesto más reducido.

Además, España deberá poner en marcha antes de agosto de 2027 al menos un «entorno de pruebas» (sandbox): un espacio controlado, con acceso prioritario para pymes, donde experimentar con IA bajo la supervisión de la AESIA, lo que supone un año extra de margen para tenerlo listo.

¿Cómo prepararte para el 2 de agosto?

Los expertos recomiendan poner en marcha cuatro pasos sencillos. Primero, hacer una lista de todas las herramientas de IA que se usan en el negocio. Segundo, comprobar cuáles hablan con clientes o generan contenido, que son las que necesitan aviso o etiqueta. Tercero, formarse (o formar al equipo) en el uso básico de estas herramientas. Y cuarto, documentar qué se ha hecho, porque ante una inspección habrá que poder demostrarlo.

Si utilizas la IA para trabajar, tanto si eres una empresa con plantilla como un autónomo que trabaja solo, la ley ya te incluye. La parte que llega el 2 de agosto es la más llevadera (avisar y etiquetar); lo complejo, por el momento, se retrasa a 2027.