AI Act y RGPD: guía de cumplimiento de IA para empresas

Si tu empresa usa ChatGPT, un copiloto de Microsoft o un chatbot con datos de clientes, ya estás dentro del perímetro de dos normas: el RGPD, que lleva años en vigor, y el AI Act europeo, que se despliega por fases hasta 2027. La pregunta no es si te afecta, sino qué tienes que tener resuelto hoy y qué puede esperar.

Dirijo Aivy, una agencia de automatización que nació en Melbourne y hoy trabaja con pymes españolas. Lo que veo en los proyectos es que casi nadie incumple por mala fe: incumple por desconocer qué papel juega cada parte. La empresa cree que el proveedor de IA responde por todo, el proveedor cree que la empresa decide qué datos mete, y entre los dos queda un hueco que la AEPD no perdona.

Esta guía es un playbook práctico, no un dictamen. Repaso el calendario real del AI Act, las categorías de riesgo, qué te obliga ya el RGPD, qué preguntar a un proveedor, qué pasa cuando los datos salen del país, quién responde si la IA se equivoca y un plan de cumplimiento por fases. Si todavía estás dando los primeros pasos, te vendrá bien leerla junto a nuestra guía de IA para empresas y pymes. Aviso desde el principio: esto orienta, no es asesoría jurídica. Cada decisión importante se confirma con un profesional.

Fuentes: INE (encuesta TIC empresas, datos 2024), EUR-Lex (Reglamento UE 2024/1689, art. 99 y 113) y el RGPD (Reglamento UE 2016/679, art. 83). Detalle en el bloque de fuentes al final.

Descárgate el checklist (PDF, 2 páginas)

Descarga gratuita, sin registro.

Qué obligaciones de IA llegan a tu empresa y cuándo: el calendario del AI Act

El AI Act no entra de golpe: se aplica por fases desde su entrada en vigor el 1 de agosto de 2024. Esto es bueno, porque da margen, y malo, porque mucha empresa lo lee como “esto es para 2027” y deja pasar plazos que ya están vivos. Las prohibiciones de prácticas inaceptables, por ejemplo, aplican desde febrero de 2025.

La fecha que marca tu calendario depende de qué hagas con la IA. Si solo usas herramientas de propósito general (un ChatGPT, un copiloto), lo que te llega el 2 de agosto de 2026 son las obligaciones de transparencia del artículo 50. Si despliegas un sistema de los que el Anexo III clasifica como alto riesgo —cribar currículums, evaluar el desempeño, puntuar solvencia—, donde caben muchos agentes de IA para empresas, esa misma fecha es la que de verdad apremia, salvo que el aplazamiento llegue a tiempo. Solo el alto riesgo embebido en productos ya regulados (Anexo I) apuntaba a agosto de 2027. La tabla resume el calendario del texto legalmente vigente hoy.

Calendario del texto legalmente vigente a 21 de julio de 2026 (artículo 113 del Reglamento UE 2024/1689). El aplazamiento de las obligaciones de alto riesgo (Digital Omnibus) está firmado desde el 8 de julio de 2026, pero aún no se ha publicado en el Diario Oficial, así que todavía no ha entrado en vigor; ver el aviso más abajo.

Un apunte que casi todas las guías repiten mal: la alfabetización en IA del artículo 4 no llega en agosto de 2026. Se aplica desde el 2 de febrero de 2025, lleva más de un año siendo exigible y alcanza tanto a quien desarrolla IA como a cualquier empresa que la use en su actividad. No tiene multa propia —el artículo 99 no la incluye en su lista de obligaciones sancionables—, pero es derecho vigente desde hace más de un año, no una tarea pendiente para el verano que viene.

El mensaje práctico es sencillo: no esperes a la última fecha. La empresa que en 2026 ya sabe qué herramientas usa, con qué datos y bajo qué condiciones llega a cualquier plazo sin sustos. Si quieres ese mapa hecho por gente que lo monta a diario, en Aivy ofrecemos consultoría de inteligencia artificial para pymes.

Cuando el proyecto pide presencia local, trabajamos sobre el terreno como agencia de inteligencia artificial en Madrid y acompañamos a la empresa en cada plazo del calendario.

El AI Act en cinco minutos: categorías de riesgo del reglamento europeo de IA

El reglamento europeo de IA no regula la tecnología por lo que es, sino por lo que hace. Clasifica cada sistema en cuatro niveles de riesgo, y de ese nivel cuelgan las obligaciones. Entender en qué cajón cae cada herramienta que usas es el primer ejercicio de cumplimiento, antes que cualquier papel.

La mayoría de usos de pyme caen en riesgo limitado o mínimo: un chatbot de atención, un generador de textos, un asistente interno. Ahí la obligación principal es la transparencia, avisar de que el usuario habla con una máquina. El alto riesgo es otra liga: selección de personal, scoring crediticio, biometría o IA dentro de productos sanitarios. La frontera suele estar en si el sistema solo asiste o decide por su cuenta, una distinción que explico en la guía de IA agéntica frente a IA generativa. Y hay usos directamente prohibidos.

Categorías y ejemplos según el Reglamento UE 2024/1689. La clasificación de alto riesgo se detalla en los anexos del reglamento.

Un matiz que se escapa: la categoría la fija el uso, no la marca. El mismo modelo de lenguaje es riesgo limitado si redacta correos y puede pisar el alto riesgo si decide a quién contratas. Por eso un chatbot bien acotado es de los usos más seguros para empezar, y montar uno con cabeza es justo lo que cubrimos en nuestra página de chatbots con IA.

Si lo que te preocupa es aparecer en las respuestas de la IA generativa sin perder el control, eso es terreno de optimización para motores generativos.

RGPD e inteligencia artificial: la base legal que ya te obliga hoy

El AI Act es la novedad, pero el RGPD es lo que de verdad te aplica desde hace años en cuanto metes un dato personal en una IA. Y casi cualquier uso real lo hace: un nombre en un prompt, un correo de cliente que pegas para que te lo resuman, un historial de soporte que entrenas. En el momento en que hay dato personal, hay tratamiento, y necesitas base legal.

Las bases típicas del artículo 6 son el consentimiento, el contrato y el interés legítimo. Cada una tiene su letra pequeña: el consentimiento debe ser libre y revocable, el interés legítimo exige ponderar y documentar. Lo que la AEPD repite en su guía de adecuación al RGPD de tratamientos con IA es que la base hay que tenerla antes de empezar, no inventarla después.

El otro pilar es saber quién es quién. Cuando contratas una herramienta de IA en la nube, normalmente tú eres el responsable del tratamiento y el proveedor es el encargado. Eso obliga a un contrato del artículo 28 y a que el proveedor solo use tus datos para darte el servicio, no para entrenar sus modelos sin permiso. Esto pesa especialmente cuando la IA toca datos financieros, como vemos al aplicar inteligencia artificial a la contabilidad con Holded y Sage. Esa distinción es la que más se olvida y la que más cara sale.

Donde esto se pone serio es en sectores con datos sensibles. En sanidad, el dato de salud es categoría especial y el margen es mínimo, como detallo en la guía de IA para clínicas.

En una asesoría, el dato fiscal y laboral pide el mismo cuidado, y lo desarrollo en la guía de IA para asesorías y gestorías.

Datos de categoría especial y decisiones automatizadas: los artículos 9 y 22 del RGPD

Dos artículos del RGPD se vuelven críticos con IA y conviene tenerlos a mano. El artículo 9 prohíbe, como regla general, tratar datos de categoría especial: salud, origen étnico, opiniones políticas, datos biométricos para identificar, vida u orientación sexual. Esto importa mucho cuando una IA digiere expedientes y documentos llenos de datos sensibles, un terreno que cubro en la guía de automatización de documentos con IA. Solo se pueden tratar si encaja una de las excepciones tasadas, y “lo metí en ChatGPT para que me ayudara” no es una de ellas.

El artículo 22 regula las decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o significativos en la persona. Si una IA decide sola a quién das un crédito, a quién despides o a quién admites, ese artículo te exige intervención humana real, información clara y derecho a impugnar. La supervisión humana no es un sello: tiene que poder cambiar el resultado. Un caso real y cercano: cuando Claude restringe una cuenta tras pedirte el DNI y una foto, entra en juego justo este artículo.

Hay un tercer documento que mucha empresa se salta: la evaluación de impacto, la EIPD (o DPIA). Es obligatoria cuando el tratamiento entraña un alto riesgo para los derechos de las personas, y la IA a escala suele entrar en ese supuesto. Hacerla bien no es burocracia: es el ejercicio que te obliga a pensar qué puede salir mal antes de que salga. En profesiones con secreto profesional, como la abogacía, este filtro es todavía más estricto, y lo trato en la guía de herramientas de IA para abogados.

Qué preguntar a un proveedor de IA antes de firmar: la letra pequeña

El contrato con tu proveedor de IA es donde se gana o se pierde el cumplimiento. La mayoría de las pegas no vienen de la tecnología, sino de cláusulas que nadie leyó. La misma exigencia que aplicas al elegir un proveedor de IA vale para cualquier herramienta que custodie credenciales, como repaso al comparar el mejor gestor de contraseñas para empresas. Antes de firmar, hay un puñado de preguntas que separan a un proveedor serio de uno que te deja expuesto.

No basta con que el comercial diga “cumplimos el RGPD”. Eso lo dice todo el mundo. Lo que importa es qué pone en el contrato sobre dónde viven tus datos, si se usan para entrenar, cuánto tardan en avisarte de una brecha y qué pasa el día que te quieras ir. La tabla recoge las preguntas que hago siempre antes de aprobar una herramienta.

Checklist orientativa basada en obligaciones del RGPD (arts. 28, 32 y 33). No sustituye una revisión jurídica del contrato.

Esta misma conversación aplica si lo que contratas es un chatbot que atiende a tus clientes: ahí el dato de cliente fluye en cada conversación, y conviene elegir con criterio, como explico al comparar el mejor chatbot de IA para atención al cliente.

Para procesos con documentos sensibles, la automatización documental con IA debe montarse con la residencia de datos clara desde el primer día.

Transferencias internacionales de datos: qué exige el RGPD cuando la IA sale de España

Aquí está uno de los puntos que más cuesta a las empresas. Cuando usas una herramienta de IA cuyos servidores están fuera del Espacio Económico Europeo, estás haciendo una transferencia internacional de datos, y el RGPD la somete a condiciones. No es que esté prohibida: es que tiene que estar amparada.

Los mecanismos válidos son varios: una decisión de adecuación de la Comisión para ese país, cláusulas contractuales tipo o normas corporativas vinculantes. El problema práctico es que muchas herramientas populares procesan datos en Estados Unidos, y el marco que lo ampara ha cambiado más de una vez. Lo prudente es exigir residencia en la UE siempre que el proveedor la ofrezca.

La buena noticia es que cada vez más proveedores ofrecen alojamiento europeo. Los grandes de la nube tienen regiones en Madrid y Fráncfort, y eso te quita de encima el problema de la transferencia de raíz. Si la soberanía del dato es innegociable, una opción autoalojada como las que comparo entre las alternativas a Zapier como Make y n8n te deja el flujo dentro de tu infraestructura. Cuando montamos automatizaciones para clientes, la residencia de datos en la UE es un requisito de partida, no un extra que se negocia luego.

Si tu empresa opera con clientes internacionales o equipos repartidos, este punto pide diseño, no improvisación, y es de las primeras cosas que revisamos cuando trabajamos como agencia de inteligencia artificial en Barcelona. Un flujo bien pensado mantiene el dato dentro de Europa sin renunciar a las mejores herramientas.

Quién responde cuando la IA se equivoca: responsabilidad y sanciones

La pregunta del millón: si la IA mete la pata, ¿quién paga? La respuesta incómoda es que casi siempre la empresa que la usa, no el proveedor del modelo. Tú eres el responsable del tratamiento ante la AEPD y ante tus clientes. Que la herramienta sea de un tercero no diluye tu responsabilidad, igual que un error de tu gestoría no te exime ante Hacienda. Reducir la superficie de exposición pasa por la higiene de seguridad básica, desde los accesos hasta el cifrado, algo que detallo en el análisis de Bitwarden.

Las cifras de sanción dan la medida del riesgo. El RGPD llega hasta 20 millones de euros o el 4% de la facturación mundial en sus infracciones más graves. El AI Act sube el listón: hasta 35 millones o el 7% por usar prácticas prohibidas. Son topes máximos y rara vez se aplican enteros a una pyme, pero marcan la seriedad con la que el legislador se lo toma. Rebajar ese riesgo empieza por controlar quién accede a qué, y elegir bien el gestor de contraseñas es parte de esa higiene, como repaso en la comparativa entre Bitwarden y 1Password.

Más allá de la multa está el daño que no aparece en el BOE: la pérdida de confianza del cliente, el contrato que no se renueva, la noticia que circula. En mi experiencia, ese coste reputacional pesa más que la sanción en la decisión de cualquier pyme. Por eso el cumplimiento no es un gasto defensivo: es parte de poder vender a clientes que cada vez preguntan más. Elegir un socio que entienda esto es clave, y lo desgrano en la guía de cómo elegir agencia de automatización con IA.

Plan de cumplimiento de IA por fases para una pyme española

Todo lo anterior se digiere mejor por fases. No hace falta tenerlo todo resuelto mañana: hace falta empezar por lo que ya está vivo y avanzar con orden. Este es el plan que sigo con las pymes, repartido en bloques de unas pocas semanas cada uno.

La primera fase es de inventario y orden. La segunda, de papeles y contratos. La tercera, de gobierno y formación. Cuando llegas a automatizar un proceso concreto, como la automatización de cuentas a pagar con facturas de proveedor, ese orden previo evita meter datos sin saber dónde acaban. Hecho así, en unos tres meses una empresa pasa de “usamos IA sin mirar” a “sabemos qué usamos, con qué datos y bajo qué reglas”, que es exactamente lo que te van a pedir.

Plan orientativo. Los plazos varían según el tamaño y el sector. Ajusta con tu DPO o asesor.

Si te ves sin tiempo o sin un perfil interno que lleve esto, es justo el tipo de proyecto en el que ayudamos como agencia de inteligencia artificial en Valencia. La idea no es montar un departamento de cumplimiento, sino dejar el proceso ordenado para que tu equipo lo mantenga sin esfuerzo y solo le ponga IA a lo que de verdad compensa.

AESIA: la autoridad española que supervisa el AI Act

España fue de los primeros países en montar su autoridad nacional para el AI Act. Es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, creada por real decreto en 2023. Su trabajo es supervisar, asesorar, formar y, llegado el caso, sancionar el uso de IA para proteger los derechos de las personas. No es la única obligación con calendario propio: la factura electrónica obligatoria y Veri*factu también fija plazos y multas para 2027.

Para una pyme esto significa dos cosas. La primera, que ya hay un organismo concreto al que rendir cuentas en materia de IA, además de la AEPD en lo que toca a datos. La segunda, que la supervisión va a ir a más, no a menos, así que cuanto antes pongas orden, mejor posición tendrás cuando lleguen los requerimientos. Cada sector lo aterriza a su manera, por ejemplo en la guía de herramientas de IA para inmobiliarias.

No conviene verlo solo como un policía. La AESIA también acompaña con entornos de prueba y orientación, y la AEPD publica guías muy aterrizadas sobre IA y protección de datos. Usar esos recursos oficiales es gratis y te ahorra interpretaciones de tertulia. Cuando una fuente es la propia autoridad, esa es la que manda, no el último titular alarmista.

Preguntas frecuentes sobre el AI Act y el RGPD

¿Qué es el AI Act y a qué empresas afecta?

El AI Act es el Reglamento UE 2024/1689, la primera ley europea integral sobre inteligencia artificial. Afecta a cualquier empresa que desarrolle, distribuya o use sistemas de IA con efectos en la UE, incluidas las pymes que usan herramientas de terceros. El alcance depende del nivel de riesgo del uso, no del tamaño de la empresa.

¿Cuándo entra en vigor el AI Act?

El reglamento entró en vigor el 1 de agosto de 2024 y se aplica por fases. Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 rigen desde el 2 de febrero de 2025; las reglas de los modelos de propósito general, desde agosto de 2025. El 2 de agosto de 2026 llegan la aplicación general, la transparencia del artículo 50 y el alto riesgo del Anexo III (RRHH, crédito, seguros de vida y salud). El alto riesgo embebido en productos regulados (Anexo I, artículo 6.1) estaba previsto para agosto de 2027. El Digital Omnibus, firmado el 8 de julio de 2026 pero aún sin publicar en el Diario Oficial a 21 de julio, aplazará el Anexo III a diciembre de 2027 y el Anexo I a agosto de 2028 en cuanto entre en vigor.

¿Puedo usar ChatGPT con datos de clientes cumpliendo el RGPD?

Puedes, con condiciones. Necesitas base legal del artículo 6, un contrato de encargo de tratamiento, que el proveedor no use tus datos para entrenar sin permiso y, a ser posible, residencia de datos en la UE. Para datos de categoría especial del artículo 9, como salud, el listón es mucho más alto y conviene asesorarse antes.

¿Cuál es la sanción máxima del RGPD y del AI Act?

El RGPD permite multas de hasta 20 millones de euros o el 4% de la facturación mundial en sus infracciones más graves. El AI Act llega a 35 millones o el 7% por prácticas prohibidas. Son topes máximos, y para pymes suelen aplicarse importes proporcionados, pero indican la seriedad de la materia.

¿Qué es una decisión automatizada según el artículo 22 del RGPD?

Es una decisión tomada únicamente por medios automatizados que produce efectos jurídicos o significativos en una persona, como conceder un crédito o seleccionar a un candidato. El RGPD exige en esos casos intervención humana real, información clara y derecho a impugnar la decisión. La supervisión debe poder cambiar el resultado, no solo validarlo.

¿Tengo que hacer una evaluación de impacto (EIPD) para usar IA?

Depende del riesgo. La EIPD es obligatoria cuando el tratamiento puede suponer un alto riesgo para los derechos de las personas, y la IA a escala suele entrar en ese supuesto. Si tratas datos sensibles, perfiles a personas o tomas decisiones automatizadas, lo más prudente es hacerla y documentarla antes de empezar.

¿Quién es responsable si la IA comete un error con datos personales?

Por regla general, la empresa que usa la IA es el responsable del tratamiento ante la AEPD y ante los afectados, aunque la herramienta sea de un tercero. El proveedor, como encargado, responde de lo que el contrato le atribuye. Por eso el contrato de encargo y la elección del proveedor son tan importantes.

¿Qué es la AESIA y qué papel tiene con el AI Act?

La AESIA es la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña y creada en 2023. Es la autoridad nacional de referencia para la supervisión de la IA en España, con funciones de control, asesoramiento, formación y sanción, en coordinación con las autoridades europeas y con la AEPD en materia de datos.

¿Por dónde empieza una pyme a cumplir con la IA?

Por el inventario: listar qué herramientas de IA se usan, quién las usa, con qué datos y de qué proveedor. Con ese mapa se clasifica cada uso por riesgo, se revisan los contratos y las bases legales, se hace la EIPD donde haga falta y se cierra con una política interna y formación. Un plan por fases de unas doce semanas es suficiente para empezar con orden.

Lo que de verdad te llevas para 2027

El cumplimiento de IA suena a montaña y es una cuesta. El que la sube por fases, empezando por inventariar y ordenar, llega arriba sin agobios. Parte de ese orden es decidir bien qué herramienta usas, un dilema que desgrano en la guía de software a medida o de catálogo. El que la deja para el último plazo se la encuentra de golpe, con la AESIA ya operativa y los clientes preguntando.

Con un cliente de Melbourne aprendimos la lección que vale igual aquí: la empresa que documenta lo que hace con la IA no solo evita sanciones, vende mejor, porque transmite control. En España, con el RGPD ya encima y el AI Act desplegándose, esa ventaja se nota antes.

Empieza hoy por lo barato y obligatorio: saber qué IA usas y con qué datos. Lo demás se construye sobre eso. Y recuerda el aviso del principio: esta guía orienta, no es asesoría jurídica, así que las decisiones que pesen confírmalas con un profesional. Si quieres una mano para ordenarlo, en Aivy lo hacemos a diario.

Última actualización: 21 de julio de 2026. Esta guía es orientativa y no constituye asesoramiento jurídico. Las fechas, las cifras de sanción y las obligaciones se han verificado en las fuentes oficiales listadas abajo; el calendario del AI Act cambiará en cuanto el Digital Omnibus se publique en el Diario Oficial de la UE. Confirma siempre la normativa vigente con un profesional antes de tomar decisiones.