IA de alto riesgo y pymes: obligaciones, responsabilidad y relación con el RGPD según el AI Act
Por Alexis MiróRevisado el
Resumen ejecutivo
- Norma aplicable: Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act), directamente aplicable en España. La autoridad de supervisión es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), sin perjuicio de la AEPD cuando hay datos personales.
- Lo que determina las obligaciones es el uso del sistema y el papel de la empresa (proveedor o responsable del despliegue), no su tamaño.
- La mayoría de las pymes actúan como responsables del despliegue: sus obligaciones están en el artículo 26 y son asumibles con una organización ordenada.
- Una pyme que pone su marca a un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad pasa a ser proveedor (art. 25), con obligaciones mucho más exigentes.
- El AI Act no sustituye al RGPD: cuando el sistema trata datos personales, ambas normas se aplican a la vez.
1. Niveles de riesgo del AI Act
¿Cómo clasifica el AI Act los sistemas de IA?
El Reglamento sigue un enfoque basado en el riesgo: prohíbe ciertas prácticas (art. 5), somete a requisitos estrictos los sistemas de alto riesgo (arts. 6 a 49), impone deberes de transparencia a determinados sistemas (art. 50) y deja el resto sujeto a buenas prácticas voluntarias. Además, desde el 2 de febrero de 2025 toda empresa que use IA debe procurar un nivel suficiente de alfabetización en IA de su personal (art. 4).
| Nivel | Ejemplos | Consecuencia jurídica | Base legal |
|---|---|---|---|
| Prohibido | Manipulación subliminal, puntuación social, reconocimiento de emociones en el trabajo, salvo motivos médicos o de seguridad | No puede comercializarse ni usarse en la UE | Art. 5 |
| Alto riesgo | Selección y evaluación de trabajadores, solvencia de personas físicas, acceso a educación o servicios esenciales | Requisitos técnicos, evaluación de la conformidad y obligaciones de uso | Art. 6, anexos I y III |
| Transparencia | Chatbots, contenido sintético (deepfakes), textos generados que informan al público | Informar de la interacción con IA y marcar el contenido generado | Art. 50 |
| Mínimo | Filtros antispam, correctores, traductores | Sin obligaciones específicas, salvo la alfabetización del art. 4 | Art. 95 (códigos voluntarios) |
2. Cuándo un sistema es de alto riesgo
¿Qué hace que una IA sea de alto riesgo?
Hay dos vías (art. 6). La primera: que la IA sea un componente de seguridad de un producto regulado por la legislación de la UE del anexo I, como maquinaria o productos sanitarios. La segunda, la más frecuente en pymes, es que se use en un ámbito del anexo III. Los más habituales en la empresa son:
- Empleo (anexo III, punto 4): publicar ofertas dirigidas, filtrar currículums, evaluar candidatos, decidir ascensos o despidos, asignar tareas según rasgos personales y supervisar o evaluar el rendimiento.
- Servicios esenciales (punto 5): evaluar la solvencia o la calificación crediticia de personas físicas, salvo para detectar fraude, y fijar precios o valorar riesgos en seguros de vida y salud.
- Educación (punto 3): admisión, evaluación de resultados y vigilancia de exámenes.
¿Hay excepciones dentro del anexo III?
Sí. El artículo 6.3 excluye el sistema que no plantea un riesgo importante porque realiza una tarea de procedimiento limitada, mejora el resultado de una actividad humana previa, detecta patrones sin sustituir la valoración humana o hace una tarea preparatoria. La excepción nunca se aplica si el sistema elabora perfiles de personas físicas. Quien se acoja a ella debe documentar su evaluación antes de comercializar el sistema (art. 6.4).
3. Proveedor o responsable del despliegue: el reparto de obligaciones
¿Qué diferencia hay entre proveedor y responsable del despliegue?
El proveedor desarrolla el sistema, o encarga su desarrollo, y lo comercializa con su nombre o marca (art. 3.3). El responsable del despliegue (deployer) lo utiliza bajo su propia autoridad en una actividad profesional (art. 3.4). Una pyme que contrata un software de selección con IA es, por regla general, responsable del despliegue.
| Obligación | Proveedor | Responsable del despliegue |
|---|---|---|
| Gestión de riesgos y gobernanza de datos | Sí (arts. 9 y 10) | Garantizar que los datos de entrada sean pertinentes, cuando los controle (art. 26.4) |
| Documentación técnica e instrucciones de uso | Sí (arts. 11 y 13); formato simplificado para pymes (art. 11.1) | Usar el sistema conforme a las instrucciones (art. 26.1) |
| Registros automáticos (logs) | Diseñar el sistema para generarlos (art. 12) y conservarlos (art. 19) | Conservarlos al menos seis meses, si están bajo su control (art. 26.6) |
| Supervisión humana | Diseñarla (art. 14) | Encomendarla a personas con competencia, formación y autoridad (art. 26.2) |
| Calidad y conformidad | Sistema de gestión de la calidad, evaluación de la conformidad, declaración UE y marcado CE (arts. 17, 43, 47 y 48) | No aplica |
| Registro en la base de datos de la UE | Sí (art. 49) | Solo las autoridades y organismos públicos |
| Vigilancia e incidentes graves | Seguimiento poscomercialización y notificación (arts. 72 y 73) | Vigilar el funcionamiento, informar al proveedor y suspender el uso ante un riesgo (art. 26.5) |
| Información a personas | Transparencia hacia el responsable del despliegue (art. 13) | Informar a los representantes de los trabajadores y a los afectados (arts. 26.7 y 26.11) |
¿Cuándo una pyme se convierte en proveedor?
Según el artículo 25.1, el distribuidor, importador o responsable del despliegue pasa a ser proveedor de un sistema de alto riesgo si: (a) pone su nombre o marca en él; (b) lo modifica sustancialmente y sigue siendo de alto riesgo; o (c) cambia la finalidad de un sistema que no era de alto riesgo de forma que pasa a serlo. Es un supuesto frecuente en empresas que adaptan modelos de terceros para un uso propio de recursos humanos o crédito. Conviene analizarlo antes de lanzar el producto.
4. Obligaciones concretas del responsable del despliegue (art. 26)
¿Qué debe hacer una pyme que usa IA de alto riesgo?
- Adoptar medidas técnicas y organizativas para usar el sistema conforme a sus instrucciones de uso (art. 26.1).
- Encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (art. 26.2).
- Garantizar que los datos de entrada sean pertinentes y suficientemente representativos, cuando estén bajo su control (art. 26.4).
- Vigilar el funcionamiento e informar al proveedor y a la autoridad si detecta un riesgo o un incidente grave (art. 26.5).
- Conservar los registros generados por el sistema al menos seis meses, salvo que otra norma disponga otra cosa (art. 26.6).
- Informar a los representantes de los trabajadores y a los trabajadores afectados antes de usar el sistema en el lugar de trabajo (art. 26.7). En España se suma el derecho de información del comité de empresa sobre algoritmos (art. 64.4.d del Estatuto de los Trabajadores).
- Informar a las personas físicas de que están sujetas al uso de un sistema de alto riesgo cuando este toma decisiones sobre ellas o ayuda a tomarlas (art. 26.11).
- Usar la información del proveedor para la evaluación de impacto relativa a la protección de datos, cuando proceda (art. 26.9).
¿Debe una pyme hacer la evaluación de impacto en derechos fundamentales?
Solo en algunos casos. El artículo 27 la exige a organismos de Derecho público, a entidades privadas que prestan servicios públicos y a quienes usen sistemas de solvencia crediticia o de fijación de precios en seguros de vida y salud (anexo III, puntos 5.b y 5.c). Una pyme que solo usa IA en selección de personal no está obligada a hacerla por el AI Act, aunque sí puede estarlo a hacer una EIPD por el RGPD.
5. Relación con el RGPD
¿Se aplican a la vez el AI Act y el RGPD?
Sí. El AI Act declara expresamente que no afecta al RGPD (art. 2.7). Cuando el sistema de IA trata datos personales, la empresa debe cumplir ambos.
| Cuestión | AI Act | RGPD |
|---|---|---|
| Objeto | Seguridad y derechos frente al sistema de IA | Tratamiento de datos personales |
| Evaluación previa | Evaluación de impacto en derechos fundamentales (art. 27), en los casos tasados | EIPD cuando el tratamiento entraña alto riesgo (art. 35); la AEPD incluye en sus listas los tratamientos con IA y la elaboración de perfiles |
| Intervención humana | Supervisión humana del sistema (arts. 14 y 26.2) | Derecho a no ser objeto de decisiones solo automatizadas con efectos jurídicos o significativos (art. 22) |
| Explicación | Derecho a una explicación de las decisiones individuales (art. 86) | Información significativa sobre la lógica aplicada (arts. 13.2.f, 14.2.g y 15.1.h) |
| Calidad de datos | Gobernanza de datos de entrenamiento (art. 10) | Exactitud, minimización y limitación de la finalidad (art. 5) |
| Diseño | Requisitos desde el diseño (arts. 8 a 15) | Protección de datos desde el diseño y por defecto (art. 25) |
6. Régimen de responsabilidad y sanciones
¿Qué multas prevé el AI Act?
Para las grandes empresas se aplica la cuantía más alta de las dos. Para las pymes, incluidas las empresas emergentes, se aplica la más baja (art. 99.6). La multa concreta se gradúa según la naturaleza, gravedad y duración de la infracción, la cooperación con la autoridad y el tamaño del infractor (art. 99.7).
| Infracción | Multa máxima | Base legal |
|---|---|---|
| Prácticas prohibidas | 35 millones de euros o el 7 % del volumen de negocios mundial anual | Art. 99.3 |
| Incumplir obligaciones de proveedores, responsables del despliegue u otros operadores, incluidas las de transparencia | 15 millones de euros o el 3 % | Art. 99.4 |
| Facilitar información inexacta, incompleta o engañosa a las autoridades | 7,5 millones de euros o el 1 % | Art. 99.5 |
¿Y la responsabilidad civil por daños causados por la IA?
El AI Act no regula la indemnización de daños. La Comisión Europea retiró en 2025 la propuesta de Directiva sobre responsabilidad en materia de IA. Por eso hoy se aplican: la responsabilidad contractual y extracontractual del Código Civil (arts. 1101 y 1902); la indemnización del artículo 82 del RGPD cuando hay datos personales; y, una vez transpuesta, la nueva Directiva (UE) 2024/2853 sobre productos defectuosos, que incluye expresamente el software (plazo de transposición: 9 de diciembre de 2026). En la práctica, los contratos con el proveedor deben prever garantías, auditorías, cooperación ante incidentes y reparto de responsabilidad.
7. Calendario de aplicación
¿Desde cuándo son exigibles las obligaciones de alto riesgo?
La Comisión Europea ha propuesto ajustes a este calendario en su paquete de simplificación digital. Mientras no se aprueben, rigen las fechas del Reglamento. Conviene comprobar el estado vigente antes de cada decisión.
- 2 de febrero de 2025: prohibiciones (art. 5) y alfabetización en IA (art. 4).
- 2 de agosto de 2025: modelos de IA de uso general, gobernanza y régimen sancionador.
- 2 de agosto de 2026: aplicación general, incluidos los sistemas de alto riesgo del anexo III y las obligaciones de transparencia del artículo 50.
- 2 de agosto de 2027: sistemas de alto riesgo integrados en productos regulados del anexo I.
8. Medidas de apoyo a pymes
¿Tiene el AI Act ventajas para las pymes?
Sí, aunque no eximen de las obligaciones de fondo: acceso prioritario y gratuito a los espacios controlados de pruebas (arts. 58 y 62), documentación técnica simplificada (art. 11.1), tasas de evaluación de la conformidad proporcionadas a su tamaño (art. 62.2) y multas con la cuantía más baja (art. 99.6).
9. Hoja de ruta en 8 pasos
- Inventariar todas las herramientas de IA en uso, incluidas las integradas en software de terceros.
- Clasificar cada uso: prohibido, alto riesgo (y si cabe la excepción del art. 6.3), transparencia o mínimo.
- Determinar el rol de la empresa en cada caso y comprobar si concurre algún supuesto del artículo 25.
- Designar a las personas responsables de la supervisión humana y formarlas (arts. 4 y 26.2).
- Establecer la conservación de los registros durante al menos seis meses.
- Informar a los representantes de los trabajadores, a la plantilla y a los candidatos o clientes afectados.
- Hacer o actualizar la EIPD del RGPD y, si procede, la evaluación del artículo 27.
- Revisar los contratos con proveedores: instrucciones de uso, documentación, notificación de incidentes y responsabilidad.
10. Asesoramiento especializado
Baúlo-Martín & Miró Asociados asesora desde Madrid a empresas de toda España en la clasificación de sistemas de IA, el reparto contractual de responsabilidades con proveedores y la adecuación conjunta al AI Act, el RGPD y la LOPDGDD. Cada caso es distinto: la calificación de un sistema y las obligaciones que de ella se derivan exigen un análisis individualizado de su uso concreto. Este artículo es informativo y no sustituye el asesoramiento profesional.
Preguntas frecuentes
¿Qué es un sistema de IA de alto riesgo para una pyme?
El que se usa en un ámbito del anexo III del AI Act, como la selección y gestión de trabajadores, la solvencia de personas físicas o el acceso a educación o servicios esenciales, o el que es componente de seguridad de un producto regulado. Lo determina el uso, no el tamaño de la empresa.
¿El AI Act se aplica a una pyme que solo usa ChatGPT?
Sí, pero con obligaciones ligeras si el uso es de riesgo mínimo: alfabetización en IA del personal (art. 4) y transparencia si se publica contenido generado (art. 50). Las obligaciones de alto riesgo aparecen si la herramienta se usa, por ejemplo, para decidir sobre candidatos o empleados.
¿Cuánto tiempo hay que conservar los registros de un sistema de alto riesgo?
El responsable del despliegue debe conservar los registros generados automáticamente que estén bajo su control al menos seis meses, salvo que otra norma, en particular de protección de datos, disponga otra cosa (art. 26.6).
¿Qué multa puede recibir una pyme por incumplir el AI Act?
Hasta 35 millones o el 7 % por prácticas prohibidas, hasta 15 millones o el 3 % por incumplir las obligaciones de alto riesgo o de transparencia, y hasta 7,5 millones o el 1 % por información inexacta. En las pymes se aplica la cuantía más baja de cada par (art. 99.6).
¿Qué diferencia hay entre el RGPD y el AI Act?
El RGPD protege los datos personales; el AI Act regula los sistemas de IA según su riesgo, traten o no datos personales. Se aplican a la vez, y la información del proveedor sirve para la EIPD del RGPD (art. 26.9 AI Act).