AI Act para autónomos y PYMEs: qué te obliga realmente

Por Kike Gandia · Co-Fundador y CEO, OSCP

Cuando se habla del AI Act, la mayoría piensa en grandes tecnológicas desarrollando modelos de IA. Pero el reglamento también aplica a quien simplemente usa herramientas de IA de terceros en su negocio: un chatbot de atención al cliente, una herramienta de selección de personal, o un asistente de IA para gestionar clientes. Si eres autónomo o PYME y usas alguna de estas herramientas, esta guía te explica qué te obliga de verdad.

Por qué te afecta aunque no desarrolles IA

El AI Act distingue entre "proveedor" (quien desarrolla el sistema de IA) y "deployer" (quien lo usa dentro de su organización). Si usas una herramienta de IA de un tercero para tomar o apoyar decisiones sobre personas —candidatos a un puesto, clientes, empleados— eres deployer, y el reglamento te impone obligaciones directas, no solo al proveedor de la herramienta.

Los casos de uso más habituales en una PYME o autónomo

Chatbots de atención al cliente con IA generativa, herramientas de cribado de CVs o evaluación de candidatos, sistemas de scoring de clientes o proveedores, y asistentes de IA integrados en tu CRM o ERP. La mayoría caen en riesgo limitado o mínimo, con obligaciones ligeras (principalmente transparencia: informar de que interactúan con IA), salvo que se usen para decisiones de selección de personal o evaluación crediticia, donde el riesgo sube a alto.

Qué está prohibido desde ya, sin excepciones por tamaño

Desde febrero de 2025, ciertas prácticas de IA están prohibidas para cualquier empresa, sin importar su tamaño: sistemas de scoring social, manipulación subliminal que cause daño, explotación de vulnerabilidades de colectivos específicos, y categorización biométrica para inferir características sensibles (orientación sexual, opiniones políticas, etc.). Ser autónomo no exime de estas prohibiciones.

Los cuatro niveles de riesgo del AI Act, con ejemplos de PYME

El AI Act no regula "la IA" en bloque: clasifica cada sistema por el riesgo de su caso de uso, y de ahí salen las obligaciones. Esta es la tabla que necesitas para situar tus herramientas.

Nivel de riesgo	Qué implica	Ejemplo típico en una PYME
Inaceptable	Prohibido desde febrero de 2025	Scoring social de clientes; categorización biométrica para inferir datos sensibles
Alto riesgo	Obligaciones fuertes: documentación, supervisión humana, registro	Cribado automático de currículums; scoring crediticio; IA que evalúa a empleados
Riesgo limitado	Obligación de transparencia	Chatbot de atención al cliente: hay que avisar de que es una IA
Riesgo mínimo	Sin obligaciones específicas	Redactar correos con ChatGPT; generar imágenes de marketing; transcribir reuniones

La mayoría de autónomos y PYMEs opera en los dos niveles inferiores. El salto a alto riesgo casi siempre ocurre por un mismo motivo: usar IA para decidir sobre personas — a quién se contrata, a quién se le da crédito, a quién se evalúa.

Qué debes hacer si usas IA de terceros en tu negocio

Identifica qué herramientas de IA usas y para qué. Comprueba si alguna se usa para decisiones sobre personas (selección, crédito, evaluación). Si es así, informa a las personas afectadas de que interactúan con un sistema de IA y mantén supervisión humana sobre la decisión final. Para la mayoría de PYMEs y autónomos, esto es proporcionado y no requiere un proyecto de cumplimiento complejo.

FAQ

¿Qué relación tiene el AI Act con el RGPD? ¿Cumplir uno me cubre el otro?

No: son obligaciones distintas que se acumulan. El RGPD regula el tratamiento de datos personales; el AI Act regula el sistema de IA en sí, aunque no trate datos personales. Un chatbot que solo responde dudas de producto puede quedar fuera del RGPD y aun así tener obligación de transparencia bajo el AI Act. Y al revés: usar IA para cribar currículums activa las dos normas a la vez —alto riesgo bajo el AI Act, y decisión automatizada sobre personas bajo el artículo 22 del RGPD—. En la práctica se documentan juntas, pero cumplir una no exime de la otra.

¿Tengo que registrar algo si uso ChatGPT en mi negocio?

Si lo usas como asistente interno de productividad, normalmente no. Las obligaciones se activan cuando el sistema toma o apoya decisiones sobre personas externas (clientes, candidatos), no por el mero uso interno de una herramienta de IA generativa.

¿El AI Act me exige contratar un DPO como el RGPD?

No existe una figura equivalente obligatoria para PYMEs pequeñas. Las obligaciones de gobernanza más exigentes (como un responsable de cumplimiento de IA) se dirigen principalmente a proveedores de sistemas de alto riesgo, no a los deployers de pequeño tamaño.

¿Qué pasa si no cumplo y soy autónomo?

Las sanciones son proporcionales al tamaño de la empresa: el reglamento prevé que para pymes y startups las multas se calculen tomando el importe menor entre los porcentajes fijados y las cifras absolutas, para evitar sanciones desproporcionadas a su facturación.