¿Tengo que cumplir la ley de IA si solo uso ChatGPT?

Me lo preguntan cada semana, y casi siempre con la misma cara de susto. Una gestoría de veinte personas usa ChatGPT para redactar correos y resumir actas, alguien le reenvía un boletín que habla del 2 de agosto y de multas de 35 millones de euros, y de repente cunde el pánico. La pregunta que llega a mi bandeja es siempre la misma: si nosotros solo usamos ChatGPT, ¿nos aplica la ley de IA?

La respuesta honesta es que sí, pero mucho menos de lo que te están contando. Dirijo Aivy, una agencia de automatización que nació en Melbourne y hoy trabaja con pymes españolas, y en los proyectos veo el mismo patrón: empresas que se agobian por obligaciones que no les tocan, mientras ignoran la única que sí llevan incumpliendo desde febrero de 2025.

Esta guía separa una cosa de la otra. Con las fechas verificadas contra el texto legal, no contra titulares.

Qué eres ante el AI Act si solo usas ChatGPT

Todo depende de un papel, y casi nadie te lo explica antes de venderte una auditoría. El Reglamento europeo distingue entre quien fabrica el sistema y quien lo usa. Si tu empresa desarrolla o comercializa un sistema de IA bajo su nombre, es proveedor. Si simplemente lo usa en su actividad profesional, es responsable del despliegue.

Una pyme que abre ChatGPT para redactar propuestas es responsable del despliegue. No es proveedora de nada. Y eso importa muchísimo, porque la mayor parte del articulado que te están citando en los seminarios va dirigido al proveedor, es decir, a OpenAI, a Anthropic o a Google, no a ti.

La única excepción relevante llega si le pones tu marca a un sistema ajeno o si cambias su finalidad de forma que pase a ser de alto riesgo. Lo vemos más abajo, porque es justo donde una pyme normal sí puede meterse en un lío sin darse cuenta. Si estás decidiendo todavía qué herramienta usar, en nuestra comparativa entre ChatGPT, Claude y Copilot para empresas está el criterio.

Lo que sí te obliga la ley de IA hoy, usando ChatGPT

Aquí viene la parte incómoda. Si tu empresa usa IA de forma profesional, llevas una obligación encima desde el 2 de febrero de 2025, hace ya año y medio. Es el artículo 4, alfabetización en IA, y obliga tanto a proveedores como a responsables del despliegue.

Traducido: tienes que adoptar medidas para que la gente que usa esas herramientas en tu empresa sepa lo que hace. No exige un curso homologado ni un certificado. Exige que no tengas a un becario pegando datos de clientes en un chat sin haberle explicado nunca qué puede pasar.

La segunda que sí te vincula es el artículo 5, prácticas prohibidas, también desde febrero de 2025. Y ojo, porque circula la idea de que solo obliga al proveedor: es falsa. Las ocho letras del artículo hablan de la introducción en el mercado, la puesta en servicio o el uso. Te vincula por lo que haces, no por el papel que tengas.

De esas ocho, para una pyme española solo dos son realistas. Inferir emociones de tus empleados en el puesto de trabajo, que está prohibido salvo por motivos médicos o de seguridad. Y puntuar a personas por perfilado para predecir comportamientos, que no es solo cosa de la policía: un cribado de inquilinos o un sistema de prevención de pérdidas en retail y comercio electrónico pueden entrar de lleno.

Qué pasa de verdad el 2 de agosto de 2026 con el AI Act

Es la fecha que todo el mundo está citando y casi nadie está contando bien. El 2 de agosto de 2026 es la fecha general de aplicación del Reglamento, sí, pero eso no significa que ese día te caiga encima todo el articulado.

Lo que sí empieza ese día y te puede afectar es el artículo 50 de transparencia. Para una empresa usuaria la pieza operativa es el apartado 4: revelar cuando publicas una ultrasuplantación de imagen, audio o vídeo, y revelar cuando publicas texto generado artificialmente para informar al público sobre asuntos de interés público, algo que conviene tener claro si ya usas herramientas de IA para marketing en tu día a día. También arranca la potestad de la Comisión para multar a los proveedores de modelos, que otra vez no va contigo.

Y lo que no empieza ese día, por mucho que lo leas: ni el artículo 4, que lleva vigente desde febrero de 2025, ni las prohibiciones del artículo 5, también de febrero de 2025, ni las obligaciones de los modelos de uso general, que arrancaron en agosto de 2025.

El aplazamiento del alto riesgo: firmado y todavía sin publicar

Aquí está el matiz que va a envejecer peor en los artículos de la competencia, así que conviene entenderlo bien.

Existe un paquete de simplificación, el llamado Digital Omnibus sobre IA, que retrasa las obligaciones de los sistemas de alto riesgo del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027. El Parlamento Europeo lo aprobó el 16 de junio de 2026 con 423 votos a favor, el Consejo lo adoptó el 29 de junio y el acto se firmó el 8 de julio en Estrasburgo.

Ese aplazamiento importa sobre todo en sectores donde la IA toca a personas, como las clínicas o los departamentos de recursos humanos. Pero a día de hoy no se ha publicado en el Diario Oficial de la Unión Europea, y el propio texto dice que entrará en vigor al tercer día de publicarse. O sea que el aplazamiento está firmado y no está en vigor. La fecha legalmente vigente ahora mismo para el alto riesgo del Anexo III sigue siendo el 2 de agosto de 2026.

Hay además una carrera de calendario que nadie está contando. Como el día de la publicación no computa, para que el aplazamiento opere con seguridad antes de que venza la fecha original, el texto tendría que publicarse como muy tarde el 29 de julio de 2026. Si se publicase más tarde, habría un solapamiento incómodo.

Cribar currículums con IA: la excepción que sí te afecta

Si has llegado hasta aquí pensando que te libras de todo, esta es la sección que tienes que leer dos veces.

El Anexo III del Reglamento clasifica como alto riesgo, en su punto 4, los sistemas de IA destinados al empleo y a la gestión de trabajadores. Eso incluye cribar candidaturas, filtrar currículums, evaluar a candidatos y medir el desempeño de la plantilla. Es exactamente lo que muchas pymes están haciendo ya con una herramienta de reclutamiento que lleva IA dentro, muchas veces sin saberlo.

Cuando un sistema es de alto riesgo, el responsable del despliegue hereda un catálogo de obligaciones del artículo 26 que no es trivial: usarlo conforme a las instrucciones, encomendar la supervisión humana a personas competentes y formadas y con autoridad real para anular la decisión, conservar los registros que estén bajo tu control durante un plazo adecuado y como mínimo seis meses, y una que en España se pasa por alto sistemáticamente, informar a los representantes de los trabajadores y a los propios trabajadores afectados antes de poner el sistema en servicio.

Hay dos trampas más. La primera es el artículo 25: si le pones tu nombre o tu marca a un sistema de alto riesgo ajeno, o si cambias la finalidad de una herramienta que no era de alto riesgo hasta convertirla en una que sí lo es, pasas a ser considerado también proveedor. No dejas de ser responsable del despliegue: acumulas los dos papeles.

La segunda es la excepción del artículo 6.3, que mucha gente invoca para escaparse alegando que su sistema solo preordena o filtra. El párrafo cuarto de ese artículo cierra la puerta siempre que haya elaboración de perfiles, que es precisamente lo que hace un cribador de candidatos.

La buena noticia es el calendario. Si el aplazamiento se publica a tiempo, esto no te obliga hasta el 2 de diciembre de 2027, y tienes año y medio para prepararlo con calma. Es tiempo suficiente para hacerlo bien, que en cribado de personal significa documentar quién revisa y con qué criterio. En nuestra guía de IA para asesorías hay ejemplos de cómo queda ese reparto de responsabilidades en la práctica.

Lo que la ley de IA NO te obliga a hacer aunque lo hayas leído

Esta lista vale dinero, porque cada punto es un servicio que alguien intenta venderte apelando a una obligación que no existe para ti.

No tienes que avisar de que hay un chatbot ni marcar técnicamente el contenido que genera. Los apartados 1 y 2 del artículo 50 obligan al proveedor del sistema, no a quien lo usa. Si te montas un asistente propio la cosa cambia, y ahí sí conviene revisar cómo queda el reparto antes de lanzarlo; lo tratamos al detalle en la página de chatbots con IA.

No tienes que poner «escrito con IA» en todo lo que publiques. El artículo 50(4) solo alcanza al texto publicado para informar al público sobre asuntos de interés público, y decae si hubo revisión humana con responsabilidad editorial identificada. Una ficha de producto, un correo comercial o un post de empresa no entran.

No tienes que hacer una evaluación de impacto en derechos fundamentales. El artículo 27 la reserva a organismos públicos, entidades privadas que prestan servicios públicos y a quienes despliegan scoring crediticio o fijación de precios en seguros de vida y salud. Es uno de los ganchos comerciales más repetidos del sector.

Y no te aplica el catálogo del artículo 26 que acabamos de ver, salvo que estés en alto riesgo. Usar ChatGPT para redactar no te mete en alto riesgo.

Quién supervisa el AI Act en España y por qué AESIA aún no multa

La Agencia Española de Supervisión de la Inteligencia Artificial existe desde 2023, tiene sede en A Coruña y actividad administrativa real. Lo que no tiene es capacidad para multarte hoy.

El motivo es de manual de derecho administrativo. La potestad sancionadora solo se ejerce cuando la reconoce expresamente una norma con rango de ley, y solo son infracciones las que una ley tipifica como tales. En España esa ley todavía no existe: hay un Proyecto de Ley Orgánica publicado en el Boletín Oficial de las Cortes el 12 de junio de 2026 que sigue en fase de enmiendas. No está aprobado, no está en el BOE y no puede aplicarse retroactivamente.

Conviene decirlo con precisión porque circula lo contrario: España incumplió el plazo que el propio Reglamento daba a los Estados para notificar su régimen sancionador. Eso no significa que puedas hacer lo que quieras. El Reglamento europeo es directamente aplicable en lo suyo, la Agencia Española de Protección de Datos sí sanciona hoy cualquier tratamiento de datos personales que hagas con IA, y el Estatuto de los Trabajadores ya obliga a informar al comité de empresa sobre los algoritmos que afecten a las condiciones de trabajo. Si tu empresa es un despacho, en la guía de herramientas de IA para abogados está el detalle de qué exigir a cada proveedor.

Qué hacer esta semana si tu empresa usa ChatGPT

Si tuviera que resumir año y medio de conversaciones con clientes en cuatro movimientos, serían estos.

Primero, escribe una política de uso de una página y haz una sesión de una hora con quien toque. Eso cubre el artículo 4, que es tu única deuda vencida, y cuesta una mañana. No necesitas un curso homologado ni un certificado de nadie.

Segundo, haz inventario de dónde hay IA metida sin que nadie lo decidiera. El caso típico no es ChatGPT, que se ve venir: es el módulo de cribado que traía el software de recursos humanos o el scoring que lleva dentro una herramienta de ventas. Si estás empezando de cero con todo esto, en la guía de por dónde empezar con IA en una pyme está el orden que recomiendo.

Tercero, si encuentras IA tocando personal, empieza a preparar la supervisión humana y el aviso a la representación de los trabajadores. Tienes tiempo, pero es lo único de esta guía que exige cambiar un proceso y no solo redactar un documento.

Cuarto, revisa el RGPD antes que el AI Act. En los proyectos que veo, el riesgo real de sanción a corto plazo para una pyme española no está en Bruselas: está en la AEPD y en los datos personales que se están pegando en un chat sin base jurídica. La guía de cumplimiento de IA y RGPD desarrolla esa capa entera.

Y si prefieres que alguien lo mire contigo sobre tus procesos reales en lugar de sobre un checklist genérico, eso es exactamente lo que hacemos en una consultoría de inteligencia artificial breve. Trabajamos con empresas de toda España, también como agencia de inteligencia artificial en Valencia, y puedes reservar una reunión sin compromiso.

Preguntas frecuentes sobre cumplir la ley de IA usando ChatGPT

¿Me aplica el AI Act si mi empresa solo usa ChatGPT?

Sí, pero de forma muy limitada. Eres responsable del despliegue, no proveedor. En la práctica te obligan el artículo 4 de alfabetización en IA, vigente desde el 2 de febrero de 2025, y el artículo 5 de prácticas prohibidas. El resto del articulado que se cita habitualmente va dirigido al proveedor del modelo.

¿Qué pasa exactamente el 2 de agosto de 2026?

Es la fecha general de aplicación del Reglamento. Para una empresa usuaria lo relevante es que arranca el artículo 50 de transparencia, cuyo apartado 4 obliga a revelar ultrasuplantaciones y cierto texto generado para informar al público. No arrancan ese día ni la alfabetización ni las prácticas prohibidas: esas se aplican desde febrero de 2025.

¿Es verdad que el alto riesgo se ha retrasado a diciembre de 2027?

Está aprobado y firmado, pero no en vigor. El Digital Omnibus sobre IA se aprobó en el Parlamento el 16 de junio de 2026, se adoptó en el Consejo el 29 de junio y se firmó el 8 de julio, pero a fecha de esta guía no se ha publicado en el Diario Oficial. Hasta que se publique y transcurran tres días, la fecha vigente sigue siendo el 2 de agosto de 2026.

¿Tengo que avisar de que mi chatbot es una IA?

Si usas un chatbot de un tercero, esa obligación recae en el proveedor, no en ti. La cosa cambia si desarrollas o comercializas el asistente bajo tu propia marca, porque entonces puedes ser considerado proveedor y asumir tú esa obligación.

¿Tengo que etiquetar como generado por IA todo lo que publico?

No. El artículo 50(4) solo cubre el texto publicado con el fin de informar al público sobre asuntos de interés público, y ni siquiera eso si hubo revisión humana con responsabilidad editorial identificada. Las fichas de producto, los correos comerciales y los contenidos de marketing quedan fuera.

¿Usar IA para filtrar currículums me convierte en alto riesgo?

Sí. El punto 4 del Anexo III incluye el empleo y la gestión de trabajadores, y la excepción del artículo 6.3 no sirve cuando hay elaboración de perfiles, que es lo que hace cualquier cribador. Eso arrastra las obligaciones del artículo 26, incluida la supervisión humana con autoridad para anular y el aviso previo a los representantes de los trabajadores.

¿Puede AESIA multarme hoy?

No. La potestad sancionadora exige una norma con rango de ley que tipifique las infracciones, y en España esa ley está todavía en fase de enmiendas en el Congreso. Otra cosa es la AEPD, que sí puede sancionarte hoy por el tratamiento de datos personales que hagas con esas herramientas.

¿Las multas son de hasta 35 millones o del 7% de la facturación?

Para empresas en general se aplica la cuantía más elevada de las dos. Para pymes y empresas emergentes se aplica la menor, tanto en el Reglamento europeo como en el proyecto de ley español. Es un matiz que cambia por completo la magnitud del riesgo para una empresa pequeña.

¿Necesito una evaluación de impacto en derechos fundamentales?

Casi con seguridad no. El artículo 27 la limita a organismos de derecho público, entidades privadas que prestan servicios públicos y a quienes despliegan sistemas de scoring crediticio o de fijación de precios en seguros de vida y salud.

Esta guía tiene finalidad informativa y refleja el estado de la norma a la fecha de publicación. No constituye asesoramiento jurídico. El Digital Omnibus sobre IA estaba firmado y pendiente de publicación en el Diario Oficial cuando se escribió: conviene comprobar su estado antes de tomar decisiones basadas en el calendario del alto riesgo.