El reglamento de IA en España: obligaciones de tu pyme

Si en su empresa alguien ha empezado a usar Copilot, ChatGPT o una función de inteligencia artificial que apareció de repente dentro de un programa que ya pagaban, y le ha llegado la palabra "Reglamento de IA" con cierto tono de alarma, esta guía es para usted. No hace falta ser abogado para entenderla.

Un reglamento europeo que ya se aplica en España

El Reglamento (UE) 2024/1689, conocido como el Reglamento de IA o AI Act, es un reglamento europeo, no una directiva. Eso tiene una consecuencia práctica importante: se aplica de forma directa y uniforme en España desde su entrada en vigor, sin necesidad de que el Parlamento español apruebe una ley que lo traslade a la normativa nacional. Lo que sí corresponde a España es designar las autoridades nacionales encargadas de supervisarlo y de vigilar el mercado, y poner en marcha los mecanismos concretos para hacerlo cumplir.

AESIA, la agencia española de supervisión de IA

España ya dio un paso en esa dirección con la creación de la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), establecida por el Real Decreto 729/2023 y con sede en A Coruña. Se trata de la primera agencia nacional de este tipo dedicada específicamente a la supervisión de la inteligencia artificial en la Unión Europea. Su papel, en términos generales, es coordinar la supervisión y la vigilancia del mercado en relación con el Reglamento de IA dentro de España, a medida que se terminan de perfilar los arreglos institucionales concretos.

Los niveles de riesgo, en breve

El Reglamento no trata toda la IA por igual: clasifica los usos en cuatro niveles de riesgo. Hay un grupo reducido de prácticas prohibidas por riesgo inaceptable; un nivel de alto riesgo para usos en ámbitos sensibles como la contratación de personal o la evaluación crediticia, sujeto a obligaciones más estrictas; un nivel de riesgo limitado, centrado sobre todo en obligaciones de transparencia; y un nivel de riesgo mínimo, donde se sitúan la mayoría de herramientas de uso cotidiano, prácticamente sin obligaciones nuevas.

Las sanciones: cifras que conviene conocer

El régimen sancionador del Reglamento es el mismo en toda la Unión Europea, incluida España, y sus cifras están fijadas en el artículo 99. Conviene tenerlas presentes, aunque el objetivo de la norma no sea recaudar multas sino evitar riesgos reales:

• Hasta 35 millones de euros o el 7% de la facturación global anual, la cifra que sea mayor, por infracciones relacionadas con prácticas de IA prohibidas.
• Hasta 15 millones de euros o el 3% de la facturación global anual por incumplimiento de la mayoría de las demás obligaciones, incluidas las que afectan a proveedores y a usuarios (deployers) de sistemas de alto riesgo.
• Hasta 7,5 millones de euros o el 1% de la facturación global anual por facilitar información incorrecta o engañosa a las autoridades.

Un matiz relevante para una pyme: el propio artículo 99, en su apartado 6, prevé topes más favorables y proporcionados para pymes y startups. Es decir, la norma no está pensada para tratar a una empresa de diez o cien empleados igual que a una gran tecnológica, aunque los límites generales sean esos.

Qué debe revisar realmente su empresa

Más que memorizar artículos, lo útil es hacerse unas pocas preguntas concretas sobre cómo usa la IA su empresa:

• ¿Es su empresa "proveedora" (desarrolla o hace desarrollar un sistema de IA) o "usuaria" o deployer (compra y utiliza herramientas ya construidas por otros)? La inmensa mayoría de pymes son usuarias, no proveedoras.
• ¿Alguno de los usos de IA en su empresa toca áreas del Anexo III consideradas de alto riesgo, como selección y gestión de personal (contratación, evaluación, despido) o evaluación de solvencia y riesgo crediticio?
• ¿Utiliza chatbots de cara al cliente o publica contenido generado por IA sin indicarlo? Estos casos suelen requerir obligaciones de transparencia, aunque no sean de alto riesgo.
• ¿Sabe con certeza qué aplicaciones que ya paga han incorporado funciones de IA en el último año sin que nadie lo evaluara?

Información general, no asesoramiento jurídico

Todo lo anterior es información general para orientarse, no asesoramiento jurídico sobre su caso concreto. El Reglamento de IA tiene matices que una guía breve no puede recoger por completo, y su aplicación depende de los usos exactos que haga cada empresa. Cuando Komplya publica contenido de este tipo, distinguimos con claridad qué capas están revisadas legalmente y cuáles son material en borrador, para que pueda valorarlo con conocimiento de causa.

La forma más rápida de pasar de "creo que esto nos podría afectar" a una respuesta clara es repasar, caso por caso, los usos reales de IA en su empresa. Responda a un breve cuestionario sobre cómo utiliza la IA su negocio y obtenga una lectura en lenguaje sencillo de dónde se encuentra probablemente.