Cómo afecta la ley de IA a una pyme (y qué te obliga si usas ChatGPT)
El 2 de agosto de 2026 entraron en vigor las obligaciones de transparencia del Reglamento (UE) 2024/1689, el reglamento europeo de inteligencia artificial. Afectan a quien tiene un chatbot en su web, a quien publica contenido generado con IA y a quien difunde material manipulado. El reglamento contempla multas de hasta 15 millones de euros o el 3 % de la facturación anual por incumplirlas, aunque para una pyme española el cálculo real es bastante distinto y se explica más abajo, porque el propio reglamento prevé una regla específica que casi ningún artículo menciona.
Antes de que te alarmes: si usas ChatGPT para redactar correos, resumir reuniones o preparar propuestas internas, casi nada de esto te aplica. La diferencia está en si el resultado llega al público o se queda dentro de tu empresa, y en si eres quien fabrica la herramienta o quien la usa. Lo que sigue es esa distinción, con los artículos concretos del reglamento, las cuantías reales y el calendario actualizado. Actualizado: septiembre de 2026.
El contexto ayuda a entender por qué esto importa ahora y no hace dos años. Según el Instituto Nacional de Estadística, el 21,14 % de las empresas españolas de diez o más empleados ya usa inteligencia artificial, y el 13,39 % de las de menos de diez. La adopción va más rápida que el conocimiento de las obligaciones que trae, y ahí es donde aparecen los problemas: empresas que llevan meses con un chatbot atendiendo clientes sin saber que desde agosto tienen que avisar de que no hay una persona detrás.
¿Hay que cumplir la ley de IA por usar ChatGPT?
En la mayoría de los casos, no. El reglamento distingue entre quien fabrica el sistema de IA y quien lo usa, y las obligaciones fuertes recaen sobre el primero. Si escribes con ChatGPT, resumes documentos o preparas borradores internos, eres usuario final y no tienes nada que declarar.
La cosa cambia en tres situaciones concretas:
- Pones un chatbot en tu web: tienes que avisar de que quien responde es una máquina
- Publicas contenido generado y lo presentas como información: hay obligación de marcarlo
- Difundes material manipulado que pueda pasar por real
Fuera de esos tres casos, usar la herramienta para trabajar no te convierte en proveedor de nada.
La distinción que lo cambia todo: proveedor o responsable del despliegue
La distinción que lo cambia todo: proveedor o responsable del despliegue
Esta separación tiene una consecuencia práctica que conviene tener clara desde el principio: tú no tienes que programar nada, ni incorporar marcas de agua técnicas, ni modificar el funcionamiento interno de ninguna herramienta. Todo eso recae sobre quien la fabrica. Lo tuyo es la parte visible, la que ve el cliente cuando abre el chat o cuando lee lo que publicas, y esa parte se resuelve casi siempre con una línea de texto bien colocada.
Las cuatro obligaciones del artículo 50 que pueden afectarte
1. Avisar de que quien responde es una máquina
Si tienes un chatbot o un asistente virtual atendiendo a clientes, la persona tiene que saber desde el primer contacto que está hablando con una inteligencia artificial. No vale enterarse a mitad de conversación ni deducirlo. En la práctica basta con una línea visible al abrir el chat. Es la obligación que más pymes incumplen sin saberlo, porque muchos chatbots vienen configurados con un nombre de persona y ninguna advertencia.
2. Marcar el contenido que generas con IA
Los sistemas que generan texto, imagen, audio o vídeo deben incorporar un marcado técnico legible por máquina. Esa parte le corresponde al proveedor de la herramienta, y los sistemas que ya estaban en el mercado tienen de plazo hasta el 2 de diciembre de 2026 para incorporarlo. Donde sí entras tú es en un supuesto concreto: los textos generados con IA que publiques sobre asuntos de interés público tienen que indicar su origen. La excepción es relevante para cualquiera que publique contenido: si una persona revisa el texto y alguien asume la responsabilidad editorial, esa obligación decae. Traducido a lo que la mayoría hace: si generas un artículo con IA, lo revisas, lo corriges y lo firmas, has cumplido.
3. Etiquetar el contenido manipulado
Quien difunde una imagen, un audio o un vídeo manipulado que aparente ser real tiene que indicar de forma visible que está manipulado. Esta obligación no tiene periodo transitorio: ya está en vigor. Afecta más de lo que parece. Un anuncio con una voz clonada, un vídeo promocional con un avatar generado, una imagen de producto que no existe todavía: todo eso entra.
4. Reconocimiento de emociones y datos biométricos
Si usas sistemas que analizan emociones o categorizan personas por rasgos biométricos, tienes que informar previamente a quien vaya a ser analizado. Es menos frecuente en pymes, pero aparece en software de selección de personal y en algunas herramientas de análisis de clientes.
Qué probablemente no te aplica:
Conviene decirlo con claridad porque hay mucho artículo alarmista circulando, y buena parte del miedo que genera este reglamento entre las pymes españolas viene de confundir el uso interno con la difusión pública. Estos tres casos, que son los más habituales en una empresa pequeña, no generan ninguna obligación:
Usar ChatGPT, Claude o Gemini para trabajo interno: redactar correos, resumir documentos, preparar propuestas, ordenar ideas o traducir textos. Nada de esto genera obligaciones bajo el reglamento.
Usar IA para analizar tus propios datos sin que el resultado afecte a decisiones sobre terceros.
Generar borradores que después revisa una persona antes de publicarlos, que es el supuesto de la excepción editorial del artículo 50.
El reglamento se ocupa de dos cosas: de lo que llega al público sin que este sepa que hay una máquina detrás, y de los sistemas que toman decisiones con consecuencias sobre personas. Tus herramientas de productividad interna quedan fuera de las dos categorías, y ninguna autoridad va a pedirte cuentas por usar un asistente para escribir un correo a un proveedor.
El calendario, con lo que se aplazó en 2026
En junio de 2026 el Parlamento Europeo aprobó el llamado Digital Omnibus, que retrasó parte del calendario original de aplicación. Esto generó bastante confusión, porque muchos titulares dieron a entender que el reglamento entero se había pospuesto, cuando lo que se aplazó fueron los bloques de alto riesgo, no las obligaciones de transparencia que ya estaban en vigor.
La lectura práctica es sencilla. Si usas IA para filtrar currículums, para evaluar a alumnos o para decidir sobre el acceso de alguien a un servicio, tienes hasta diciembre de 2027 y conviene que empieces a mirarlo con tiempo, porque las obligaciones de alto riesgo son considerablemente más exigentes que las de transparencia. Si lo tuyo es un chatbot o publicar contenido generado, el plazo venció en agosto de 2026 y la obligación ya te aplica hoy.
Las multas, y la regla que cambia el cálculo para una pyme
El artículo 99 del reglamento fija tres tramos de sanción según la gravedad de la infracción. Las cifras que circulan por todas partes son las de la columna de la derecha, y son ciertas, pero están pensadas para grandes corporaciones y no reflejan lo que arriesga una empresa pequeña.
Y aquí está el dato que casi ningún artículo explica. El apartado 6 del mismo artículo 99 establece que, cuando el infractor es una pyme o una empresa emergente, cada multa se limita al importe que resulte menor de los dos, no al mayor. Es decir, lo contrario de lo que se aplica a una gran corporación. Para una empresa grande, la autoridad elige la cifra más alta entre el importe fijo y el porcentaje; para una pyme, la más baja.
El cambio que esto supone en la práctica es enorme y conviene verlo con números concretos. Una empresa española que facture dos millones de euros al año y cometa la infracción más grave posible, la de prácticas prohibidas, no se expone a 35 millones: se expone al 7 % de dos millones, que son 140.000 euros. Si la infracción es de transparencia, que es el supuesto realista para un chatbot sin aviso, el tope baja al 3 % de esos dos millones, es decir, 60.000 euros. Siguen siendo cifras serias que nadie quiere pagar, pero están a una distancia sideral de los titulares de 35 millones.
El mismo apartado añade que las sanciones deben tener en cuenta los intereses de las pymes y su viabilidad económica, lo que introduce un criterio de proporcionalidad adicional. Dicho de otro modo: el marco sancionador existe y es real, pero está construido para que una infracción no liquide a una empresa pequeña.
Quién vigila esto en España, y la ley española que viene
La autoridad principal es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. España fue el primer país de la Unión Europea en crear una autoridad específica para esto, antes incluso de que el reglamento fuese exigible, y la agencia está operativa desde 2025. Junto a ella, el reparto de competencias incluye a la Agencia Española de Protección de Datos y al Consejo General del Poder Judicial en sus respectivos ámbitos.
Hay además una pieza que todavía no está cerrada y conviene tener en el radar. El 26 de mayo de 2026 el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que se publicó en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026 y cuyo plazo de enmiendas terminó el 30 de junio. Sigue en tramitación parlamentaria, así que su contenido final puede cambiar antes de aprobarse.
Lo que ese proyecto hace es aterrizar el reglamento europeo al marco español: designa las autoridades de supervisión, tipifica las infracciones y el procedimiento sancionador nacional, crea los espacios controlados de pruebas, obliga al sector público a registrar y hacer transparente su uso de IA, y establece una ventanilla única de denuncias con protección para quien informa. Prohíbe además de forma expresa los sistemas de manipulación psicológica, la puntuación social y los deepfakes sexuales. Para una pyme, la parte relevante es que el procedimiento concreto por el que podría ser sancionada todavía se está definiendo
Qué hacer esta semana
Un repaso de veinte minutos resuelve la mayor parte de lo que aplica a un negocio pequeño. Los cinco puntos siguientes cubren los cuatro supuestos del artículo 50 y dejan documentado lo que se revisó, que es lo que importa si algún día hay que demostrar diligencia.
- Abre el chat de tu web como si fueras un cliente. Comprueba si queda claro desde el primer mensaje que responde una máquina. Si no lo está, añade una línea al mensaje de bienvenida.
- Revisa tus anuncios y vídeos de los últimos meses. Busca voces clonadas, avatares generados o imágenes que aparenten ser fotografías reales sin serlo, y etiquétalos de forma visible.
- Mira quién firma tu contenido publicado. Si publicas artículos generados con IA, asegúrate de que una persona los revisa y aparece como responsable editorial, que es lo que activa la excepción del artículo 50.
- Haz una lista de las herramientas de IA que usa tu equipo. Muchas empresas descubren en este paso sistemas contratados por un departamento que nadie más sabía que estaban en uso, y ese inventario es el punto de partida de cualquier revisión posterior.
- Si filtras candidatos o evalúas personas con IA, apunta diciembre de 2027 en el calendario y consúltalo con un abogado bastante antes de esa fecha, porque las obligaciones de alto riesgo requieren documentación técnica que lleva meses preparar.
Preguntas frecuentes
¿Hay que cumplir la ley de IA al usar ChatGPT?
Para uso interno, no. Redactar correos, resumir documentos o preparar propuestas no genera obligaciones bajo el Reglamento (UE) 2024/1689, porque el reglamento regula lo que llega al público y los sistemas que deciden sobre personas, no las herramientas de productividad. Las obligaciones empiezan cuando el resultado se publica de cara al público o cuando el sistema toma decisiones que afectan a terceros.
¿Qué pasa si no cumplo la ley de IA siendo pyme?
El artículo 99.4 fija un tope de 15 millones de euros o el 3 % de la facturación por incumplir las obligaciones de transparencia, pero el apartado 6 del mismo artículo establece que para pymes y empresas emergentes se aplica el importe menor de los dos, no el mayor. Para una empresa que factura dos millones al año, eso sitúa el tope real en 60.000 euros, no en 15 millones, y la norma exige además tener en cuenta su viabilidad económica.
¿Tengo que avisar de que un artículo lo ha escrito una IA?
Solo en contenidos sobre asuntos de interés público, y con una excepción que cambia el resultado para la mayoría: si una persona revisa el texto y asume la responsabilidad editorial, la obligación decae. Un artículo generado, revisado y firmado por alguien cumple sin necesidad de ninguna etiqueta adicional.
¿Qué obligaciones tengo si tengo un chatbot?
Una sola, y es sencilla: que quien escriba sepa desde el primer contacto que está hablando con un sistema automático y no con una persona. No hace falta ningún desarrollo técnico ni ninguna certificación, basta con que el aviso sea visible al abrir la conversación. Es la obligación del artículo 50 que más se incumple, casi siempre por la configuración de fábrica del propio chatbot.
¿Qué pasa con las imágenes generadas para redes o publicidad?
Si aparentan ser reales y no lo son, hay que indicar de forma visible que están manipuladas, y esta obligación no tiene periodo transitorio. Una ilustración manifiestamente artificial no plantea el mismo problema que una fotografía falsa de un producto o de una persona, porque el criterio es si alguien puede confundirla con algo real.
¿El marcado técnico lo tengo que poner yo?
No. El marcado legible por máquina corresponde al proveedor de la herramienta que genera el contenido, y los sistemas ya comercializados tienen hasta el 2 de diciembre de 2026 para incorporarlo. Tu obligación como responsable del despliegue es el etiquetado visible cuando difundes material manipulado y la indicación de origen en los supuestos de interés público.
En resumen
Si usas inteligencia artificial para tu trabajo diario dentro de la empresa, sigue como estabas, porque el reglamento no regula eso. Si tienes un chatbot atendiendo clientes, avisa de que es una máquina desde el primer mensaje, que es la corrección más frecuente y la más barata de todas. Y si publicas contenido generado o manipulado que pueda pasar por real, etiquétalo o asegúrate de que una persona lo revisa y lo firma.
Lo que se aplazó hasta finales de 2027 es lo relativo a los sistemas que deciden sobre personas: selección de personal, educación, acceso a servicios esenciales. Si usas IA para eso, tienes tiempo, pero conviene no dejarlo correr, porque la documentación técnica que exige el alto riesgo no se improvisa en un mes. Y sobre las multas, la cifra que importa para una pyme no es la de los titulares: el artículo 99.6 limita cada sanción al importe menor entre el fijo y el porcentaje de facturación.
Esto no es asesoramiento jurídico. Es un resumen en lenguaje llano de lo que establece la norma, escrito para alguien que dirige un negocio y no es abogado, con las fuentes citadas abajo para que puedas comprobar cada afirmación. Si tu caso entra en los supuestos de alto riesgo, manejas datos biométricos o tienes dudas sobre un sistema concreto, consúltalo con un profesional antes de tomar decisiones.
Fuentes
- Parlamento Europeo y Consejo de la Unión Europea. (2024). Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial. Artículos 3, 5, 50 y 99. Texto del artículo 99
- Gobierno de España. (2026). El Gobierno aprueba el proyecto de ley que garantizará una supervisión humana y un uso confiable de la IA. Ministerio para la Transformación Digital. digital.gob.es
- Congreso de los Diputados. (2026). Proyecto de Ley Orgánica 121/000096, para el buen uso y la gobernanza de la inteligencia artificial. Boletín Oficial de las Cortes Generales, 12 de junio de 2026. congreso.es
- Instituto Nacional de Estadística. (2025). Encuesta sobre el uso de TIC y del comercio electrónico en las empresas: 21,14 % de las empresas de 10 o más empleados usa IA, 13,39 % en las de menos de 10. ine.es
- Plataforma ONE, Gobierno de España. (2026). El reglamento europeo de inteligencia artificial avanza: nuevas obligaciones para las empresas. one.gob.es
- Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), A Coruña