Cumplimiento del Reglamento IA de la UE para pymes: obligaciones, plazos y medidas.

Sí. Las empresas que despliegan sistemas de IA creados por terceros — conocidas como "responsables del despliegue" — tienen obligaciones bajo el Reglamento IA de la UE. Entre ellas, adoptar medidas para favorecer la alfabetización en IA entre el personal (Article 4, en vigor desde el 2 de agosto de 2026), informar a los usuarios cuando interactúan con sistemas de IA (Article 50, en vigor desde el 2 de agosto de 2026) y prepararse para las obligaciones de los responsables del despliegue de alto riesgo del Annex III bajo el Article 26, que se aplican desde el 2 de diciembre de 2027. El alcance de las obligaciones depende de qué herramientas de IA utilizas y para qué fin.

Los sistemas de IA de alto riesgo son los enumerados en el Annex III del Reglamento. Incluyen IA utilizada en decisiones de contratación y RRHH (como el cribado de currículums), gestión de infraestructuras críticas, evaluaciones educativas y de formación profesional, acceso a servicios esenciales (crédito, seguros), aplicación de la ley e identificación biométrica. Las obligaciones de cumplimiento completas para los sistemas del Annex III — incluida la evaluación de conformidad, el registro en la base de datos de la UE y las obligaciones del Article 26 para responsables del despliegue — se aplican desde el 2 de diciembre de 2027. Esta fecha fue modificada desde el 2 de agosto de 2026 original por el Reglamento (UE) 2026/1744.

El Reglamento (Regulation (EU) 2024/1689) entró en vigor el 1 de agosto de 2024. Fechas clave: las prácticas prohibidas del Article 5 se aplican desde el 2 de febrero de 2025 (y siguen en vigor). Las obligaciones de los proveedores de modelos de IA de propósito general se aplican desde el 2 de agosto de 2025. El Article 4 (medidas de alfabetización en IA) y el Article 50 (transparencia) se aplican desde el 2 de agosto de 2026. Dos nuevas prohibiciones del Article 5 añadidas por el Reglamento (UE) 2026/1744 se aplican desde el 2 de diciembre de 2026. Las obligaciones completas para sistemas de alto riesgo del Annex III (Capítulo III) se aplican desde el 2 de diciembre de 2027 — modificado por el Reglamento (UE) 2026/1744 desde la fecha original de agosto de 2026. Los sistemas de alto riesgo de productos regulados del Annex I se aplican desde el 2 de agosto de 2028.

El Article 4 (modificado por el Reglamento (UE) 2026/1744) exige a los proveedores y responsables del despliegue que adopten medidas para favorecer el desarrollo de competencias suficientes en alfabetización en IA entre su personal y otras personas que traten con IA en su nombre. La obligación es proporcional — el nivel de apoyo a la alfabetización requerido se ajusta al rol y al nivel de riesgo de los sistemas de IA implicados. No se exige ninguna certificación de formación específica, duración del curso ni nivel mínimo de cualificación. La orientación documentada, los registros de formación y las sesiones informativas al personal son formas prácticas de demostrar el cumplimiento. Esta obligación se aplica desde el 2 de agosto de 2026.

El Article 5 prohíbe determinados usos de IA por completo. Las prohibiciones originales (en vigor desde el 2 de febrero de 2025) incluyen: IA que manipule el comportamiento mediante técnicas subliminales o engañosas; explotación de vulnerabilidades de grupos específicos; identificación biométrica remota en tiempo real en espacios públicos (con excepciones estrechas para las fuerzas del orden); puntuación social por parte de autoridades públicas; reconocimiento de emociones en entornos laborales o educativos (con excepciones limitadas); e IA que infiera características protegidas a partir de datos biométricos. El Reglamento (UE) 2026/1744 añadió dos nuevas prohibiciones aplicables desde el 2 de diciembre de 2026: el Article 5(1)(ba) prohíbe la IA que genere imágenes sintéticas íntimas no consensuadas de personas reales, y el Article 5(1)(bb) prohíbe la IA que genere material de abuso sexual infantil. Esta evaluación detecta ciertos riesgos del Article 5, pero no constituye una autorización jurídica exhaustiva para cada prohibición.

El Article 50 exige a los responsables del despliegue que informen a los usuarios cuando estén interactuando con un sistema de IA (Article 50(1)) — por ejemplo a través de chatbots o asistentes virtuales — salvo que sea obvio por el contexto. Las imágenes, el audio y el vídeo generados o modificados significativamente por IA deben etiquetarse como tales en un formato legible por máquina (Article 50(4)). Estas obligaciones se aplican desde el 2 de agosto de 2026. Los sistemas preexistentes en uso antes de esa fecha debían haber alcanzado el cumplimiento con prontitud. Existe una acomodación transitoria limitada para determinados sistemas de contenido sintético preexistentes bajo el reglamento modificado.