Normativa · AI Act y España
Lo que crees que es lo peligroso, probablemente no lo es todavía. Y lo que das por inofensivo puede costarte una sanción esta semana. Diez usos de IA en una pyme, con su riesgo real después del cambio de julio.
El 24 de julio de 2026 se publicó el Reglamento (UE) 2026/1744, el «ómnibus digital sobre IA». Aplaza el régimen completo de los sistemas de alto riesgo —contratación, crédito, seguros, sanidad— del 2 de agosto de 2026 al 2 de diciembre de 2027. Lo que no aplaza: la transparencia del artículo 50, que entra el 2 de agosto de 2026, ni las prohibiciones del artículo 5, vigentes desde febrero de 2025 — a las que además suma dos nuevas que entran el 2 de diciembre de 2026.
Si quieres el marco completo —quién responde, qué formación exige el artículo 4 y todas las fechas clave— está en la guía de obligaciones para pymes.
El color no mide sólo lo grave que es un uso: mide si te pueden sancionar por él ahora mismo. Un uso puede ser de alto riesgo sobre el papel y aun así salir en naranja, porque su régimen específico está aplazado a 2027. Naranja no es «tranquilo»: es «vigilado, pero con margen para ponerte en orden antes de la inspección plena».
Vigente desde el 2 de agosto de 2026, sin periodo de gracia. Multa de hasta 15 M€ o el 3% de tu facturación. El artículo 50.1 obliga al fabricante del sistema, y si el bot lleva tu marca y lo pusiste tú en servicio, el fabricante eres tú.
Art. 50.1
Vigente ya, pero sólo cuando el contenido es una ultrasuplantación: no alcanza a cualquier imagen generada. La prórroga a diciembre de 2026 es del marcado técnico automático y le toca al fabricante de la herramienta, no a ti.
Art. 50.2 · 50.4
Esto no es cuestión de plazos: está prohibido directamente desde febrero de 2025, salvo motivo médico o de seguridad.
Art. 5.1.f
Leer emociones está prohibido desde 2025, igual que en el punto anterior. Puntuar candidatos es alto riesgo con su régimen aplazado a 2027, pero la parte de emociones no espera a nada.
Art. 5.1.f · Anexo III
Es alto riesgo, pero su régimen completo se aplazó a diciembre de 2027 con el ómnibus de julio. Eso no es vía libre: tu equipo de RRHH ya debe estar formado, y si el descarte es 100% automático el candidato ya puede exigir que intervenga una persona, por el artículo 22 del RGPD.
Anexo III · aplazado a dic-2027 · Art. 4 y RGPD Art. 22 ya vigentes
Mismo caso: alto riesgo aplazado a diciembre de 2027. Pero una decisión 100% automática sobre un crédito, sin que nadie pueda revisarla, ya está limitada por el RGPD desde 2018. Eso no ha cambiado.
Anexo III · aplazado a dic-2027 · RGPD Art. 22 ya vigente
Es el único uso sanitario que el anexo III recoge como tal, y va aplazado a diciembre de 2027. Ojo: el software que diagnostica en una clínica privada no es anexo III sino producto sanitario, y ese va por el anexo I, con fecha del 2 de agosto de 2028.
Anexo III · dic-2027 · diagnóstico clínico → anexo I, ago-2028
Si detecta emociones o rasgos biométricos, tienes que avisarlo antes de que el cliente quede expuesto, y eso es exigible ya. Si además infiere raza, ideología u orientación sexual, está directamente prohibido. Y ojo con un detalle que se escapa siempre: si esa misma cámara lee las emociones de tu plantilla, eso está prohibido, porque la Comisión considera que una tienda es lugar de trabajo.
Art. 50.3 aviso · Art. 5.1.g prohibido si infiere rasgos sensibles
La obligación sólo alcanza al texto publicado para informar al público sobre asuntos de interés público: un blog comercial queda fuera. Y aun entrando, si un humano lo revisa de verdad y asume la responsabilidad editorial, no hay que etiquetarlo.
Art. 50.4
Riesgo mínimo. Se pone rojo de golpe si metes ahí datos de clientes o proveedores sin que tu equipo sepa qué se puede introducir y qué no.
Art. 4 formación · RGPD si hay datos de terceros
Si el chatbot lo pone un proveedor externo, respondes tú igual: el reglamento distingue entre quien fabrica el sistema y quien lo usa en su actividad. Y el artículo 4 te obliga a adoptar medidas de formación desde febrero de 2025 —con la redacción suavizada de julio de 2026—, tengas el color que tengas en estas diez tarjetas. Quién responde, qué formación exige y qué sanciones hay están en la guía de obligaciones para pymes.
En Leadmetrica somos especialistas en implantar sistemas de IA y en formar equipos, no un despacho de abogados. Este artículo es informativo y no sustituye al asesoramiento jurídico: para valorar tu caso concreto y certificar tu cumplimiento, cuenta con asesoría legal especializada. Lo que sí hacemos nosotros es la parte práctica y operativa, que suele ser la que se queda sin hacer: levantar el inventario de sistemas, montar la gobernanza del uso de IA y formar al equipo con el nivel que le corresponde a cada puesto.
En una llamada de 30 minutos te decimos dónde estás expuesto y qué habría que hacer, con la ley delante. Si decides que lo hagamos nosotros, te pasamos presupuesto del inventario y del plan de formación.
Dinos qué herramientas de IA se están usando en tu empresa y en qué tareas. Te decimos qué obligaciones te tocan de verdad, qué formación necesita cada puesto y cómo dejarlo documentado.
01 Repaso de la IA que ya se usa en tu empresa
02 Qué nivel de riesgo te toca y dónde estás expuesto
03 Presupuesto cerrado si decides que lo montemos nosotros
Respuesta en menos de 24 h laborables