AI Act para autónomos y PYMEs: qué te obliga realmente
Por el equipo de QuantumSec
Cuando se habla del AI Act, la mayoría piensa en grandes tecnológicas desarrollando modelos de IA. Pero el reglamento también aplica a quien simplemente usa herramientas de IA de terceros en su negocio: un chatbot de atención al cliente, una herramienta de selección de personal, o un asistente de IA para gestionar clientes. Si eres autónomo o PYME y usas alguna de estas herramientas, esta guía te explica qué te obliga de verdad.
Por qué te afecta aunque no desarrolles IA
El AI Act distingue entre "proveedor" (quien desarrolla el sistema de IA) y "deployer" (quien lo usa dentro de su organización). Si usas una herramienta de IA de un tercero para tomar o apoyar decisiones sobre personas —candidatos a un puesto, clientes, empleados— eres deployer, y el reglamento te impone obligaciones directas, no solo al proveedor de la herramienta.
Los casos de uso más habituales en una PYME o autónomo
Chatbots de atención al cliente con IA generativa, herramientas de cribado de CVs o evaluación de candidatos, sistemas de scoring de clientes o proveedores, y asistentes de IA integrados en tu CRM o ERP. La mayoría caen en riesgo limitado o mínimo, con obligaciones ligeras (principalmente transparencia: informar de que interactúan con IA), salvo que se usen para decisiones de selección de personal o evaluación crediticia, donde el riesgo sube a alto.
Qué está prohibido desde ya, sin excepciones por tamaño
Desde febrero de 2025, ciertas prácticas de IA están prohibidas para cualquier empresa, sin importar su tamaño: sistemas de scoring social, manipulación subliminal que cause daño, explotación de vulnerabilidades de colectivos específicos, y categorización biométrica para inferir características sensibles (orientación sexual, opiniones políticas, etc.). Ser autónomo no exime de estas prohibiciones.
Qué debes hacer si usas IA de terceros en tu negocio
Identifica qué herramientas de IA usas y para qué. Comprueba si alguna se usa para decisiones sobre personas (selección, crédito, evaluación). Si es así, informa a las personas afectadas de que interactúan con un sistema de IA y mantén supervisión humana sobre la decisión final. Para la mayoría de PYMEs y autónomos, esto es proporcionado y no requiere un proyecto de cumplimiento complejo.
FAQ
¿Tengo que registrar algo si uso ChatGPT en mi negocio?
Si lo usas como asistente interno de productividad, normalmente no. Las obligaciones se activan cuando el sistema toma o apoya decisiones sobre personas externas (clientes, candidatos), no por el mero uso interno de una herramienta de IA generativa.
¿El AI Act me exige contratar un DPO como el RGPD?
No existe una figura equivalente obligatoria para PYMEs pequeñas. Las obligaciones de gobernanza más exigentes (como un responsable de cumplimiento de IA) se dirigen principalmente a proveedores de sistemas de alto riesgo, no a los deployers de pequeño tamaño.
¿Qué pasa si no cumplo y soy autónomo?
Las sanciones son proporcionales al tamaño de la empresa: el reglamento prevé que para pymes y startups las multas se calculen tomando el importe menor entre los porcentajes fijados y las cifras absolutas, para evitar sanciones desproporcionadas a su facturación.