Normativa de IA para empresas: qué te obliga en España

La escena se repite. Alguien pregunta en un comité si la empresa tiene una política de IA, nadie sabe qué contestar, y a la semana aparece un documento traducido de una plantilla americana que cita leyes que aquí no existen. He leído unos cuantos de esos textos y la mayoría no aguantaría diez minutos de examen. Si necesitas el marco entero antes que el documento, empieza por la guía de IA para pymes.

Dirijo Aivy, una agencia de automatización que nació en Melbourne y hoy trabaja también con empresas españolas. Y aquí hay una diferencia con casi todo lo que se publica en inglés: en Australia, por ejemplo, ninguna ley te obliga a tener una política de IA. En España la cosa no funciona así, y conviene saberlo antes de copiar nada. Es de lo primero que revisamos en consultoría de inteligencia artificial.

Esta guía va de eso. Qué te obliga hoy de verdad, qué es solo recomendable, qué cambió hace ocho días en el Reglamento europeo y qué tiene que contener el documento para que sirva de algo cuando alguien pregunte. Y si el problema es que ya se usan herramientas sin permiso, eso va antes: lo tratamos en shadow AI en empresas.

Normativa de IA: lo que ya te obliga hoy

Conviene separar tres planos que se mezclan todo el rato. El europeo, con el Reglamento de IA. El español de protección de datos, con el RGPD y la LOPDGDD. Y el laboral, con el Estatuto de los Trabajadores. Los tres caen a la vez en sectores regulados como las clínicas.

De los tres, el que más gente ignora es el laboral, y es precisamente el que lleva años en vigor. El artículo 64.4.d) del Estatuto obliga a informar a la representación de los trabajadores sobre los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de inteligencia artificial que afectan a decisiones sobre condiciones de trabajo, acceso o mantenimiento del empleo. Rige desde agosto de 2021.

El plano europeo es el más reciente y el que más ruido genera, aunque para una pyme que solo usa herramientas de terceros muerde menos de lo que parece. Para situarte, el test de madurez digital te dice en qué plano estás.

El artículo 87 de la LOPDGDD y tu política interna

Este es el que sorprende a casi todo el mundo. El artículo 87.3 de la LOPDGDD dice, literalmente, que los empleadores deberán establecer criterios de utilización de los dispositivos digitales, y que en su elaboración deberán participar los representantes de los trabajadores.

Fíjate en el verbo, porque importa. La ley no dice documento, no dice política y no exige forma escrita. Dice establecer criterios, que participen los representantes y que se informe a la plantilla. En la práctica solo puedes acreditar esas tres cosas con un papel, pero la exigencia de papel no está en el artículo. En asesorías y gestorías esa acreditación se pide antes que en ningún sitio.

Lo que sí está claro es la consecuencia de saltarse la participación. El Tribunal Supremo, en su sentencia 225/2024, de 6 de febrero, confirmó la nulidad de unos criterios elaborados unilateralmente y dejó dicho que el mandato del artículo 87.3 tiene carácter imperativo. También que alcanza a la actualización de criterios que ya existían, no solo a los nuevos.

Ahora bien, participar no es negociar. La Audiencia Nacional, en sentencia de febrero de 2026, sostuvo que la participación del artículo 87 no se concreta en una negociación ni exige acuerdo, y que basta un trámite de alegaciones en el que las sugerencias se consideren de verdad. Es Audiencia Nacional y no Supremo, así que la doctrina no está cerrada. Si tu caso es un despacho, lo aterrizamos en IA para abogados.

El artículo 4 del Reglamento de IA acaba de cambiar

Aquí hay una trampa que a día de hoy tienen casi todas las guías españolas publicadas, porque el cambio es de hace ocho días. El artículo 4 del Reglamento europeo, el de alfabetización en materia de IA, ha sido sustituido entero por el ómnibus digital que entró en vigor el 27 de julio de 2026.

La redacción antigua, la que sigue circulando, decía que había que adoptar medidas para garantizar un nivel suficiente de alfabetización del personal. La vigente dice adoptar medidas para apoyar la promoción de la alfabetización, y añade expresamente que la obligación no exige garantizar un nivel concreto a ninguna persona en particular.

El matiz cambia lo que tienes que hacer. Ya no se trata de demostrar que cada empleado alcanza un listón, sino de acreditar que haces algo razonable por formarlos. Sigue siendo obligación, aplicable desde febrero de 2025, y afecta tanto a quien desarrolla como a quien despliega, incluido quien solo usa Copilot o ChatGPT en el día a día. Eso sí, el artículo 4 no aparece en ninguna de las listas de infracciones sancionables del artículo 99.

Si quieres el calendario completo del Reglamento y lo que se aplazó, lo desarrollamos en la guía de cumplimiento de IA, RGPD y AI Act.

Artículo 50: proveedor o desplegador, no es lo mismo

El artículo 50, el de transparencia, se aplica desde el 2 de agosto de 2026 y es donde más se confunden las obligaciones. Los apartados 1 y 2 obligan al proveedor del sistema. Los apartados 3 y 4, a quien lo despliega.

Traducido: si tu empresa solo usa ChatGPT o Copilot por dentro, el deber de avisar de que se habla con una IA y el de marcar el contenido sintético no son tuyos, son de quien fabrica la herramienta. Lo tuyo son el reconocimiento de emociones, la categorización biométrica y los deepfakes. La lista completa de casos está en la guía de cumplir la ley de IA usando ChatGPT.

Pero cuidado con la excepción, porque pilla a mucha pyme. Si encargas un chatbot y lo pones en tu web bajo tu marca, el Reglamento te considera proveedor de ese sistema, y entonces el apartado 1 sí es tuyo. Si estás en ese caso, conviene revisarlo antes que después, y es una de las cosas que miramos al montar un chatbot con IA.

Qué debe contener tu política de uso de IA

Una política que la gente lee es corta. Una página de reglas concretas vale más que veinte de principios que nadie abre dos veces, y los principios tienen el defecto de que son fáciles de aprobar e imposibles de incumplir.

Lo que veo que falta siempre es lo mismo: la lista de herramientas aprobadas y quién autoriza una nueva, qué no puede pegarse jamás en un modelo público, y de quién es lo que produce la herramienta. Esa lista suele salir de una auditoría de automatización. Sin eso, el documento es una declaración de intenciones.

Y ponlo por escrito aunque el artículo 87 no lo exija, porque el artículo 24.1 del RGPD sí te pide poder demostrar que el tratamiento es conforme. Un criterio que no puedes acreditar es un criterio que no existe. Y si el documento va a cubrir un asistente de reuniones, míralo junto a la guía de IA para reuniones.

En España no hay plantilla oficial de normativa de IA

Este es el hueco. Ni la AESIA, ni el INCIBE, ni red.es, ni el Ministerio publican una plantilla de política interna de uso de IA para empleados. Lo que hay son guías dirigidas a sistemas de alto riesgo, que no es el caso de una pyme que usa herramientas de terceros.

Es una diferencia curiosa con otros países. En Australia, donde ninguna ley obliga a tener el documento, el Gobierno regala una plantilla en Word. En España, donde el artículo 87 sí obliga a establecer criterios, no hay nada oficial que copiar.

Mientras tanto, el Proyecto de Ley Orgánica de gobernanza de la IA sigue en fase de enmiendas en el Congreso, con el plazo ampliado hasta el 2 de septiembre de 2026. Hasta que salga, lo aplicable es lo que ya está en vigor, que es bastante más de lo que la mayoría cree.

Si prefieres que alguien lo monte contigo en vez de partir de cero, es parte de lo que hacemos en consultoría de inteligencia artificial, y en el área de Barcelona lo llevamos desde nuestra agencia de IA en Barcelona.

Preguntas frecuentes sobre normativa de IA para empresas

¿Está mi empresa obligada a tener una política de IA?

Si tienes trabajadores, el artículo 87.3 de la LOPDGDD te obliga a establecer criterios de uso de los dispositivos digitales, sin umbral de plantilla. La ley no exige un documento con ese nombre, pero en la práctica es la única forma de acreditar que los has establecido e informado. La guía de cumplimiento de IA y RGPD desarrolla el resto.

¿Tengo que negociarla con el comité de empresa?

Negociar no, participar sí. El artículo 87.3 exige que la representación de los trabajadores participe en la elaboración, y el Tribunal Supremo ha anulado criterios redactados de forma unilateral. La Audiencia Nacional ha matizado que la participación no equivale a acuerdo.

¿Qué pasa si no hay representación legal de los trabajadores?

La obligación de establecer criterios e informar sigue existiendo, porque no depende de que haya comité. Lo que decae es el trámite de participación, al no haber con quién sustanciarlo, y conviene dejar constancia de esa circunstancia.

¿El Reglamento europeo de IA obliga a una pyme que solo usa ChatGPT?

En parte. El artículo 4, sobre alfabetización, aplica a todo responsable del despliegue desde febrero de 2025, aunque su redacción se suavizó en julio de 2026. Las obligaciones de transparencia del artículo 50 recaen sobre el proveedor cuando la herramienta es de un tercero, salvo que montes el tuyo con desarrollo de chatbot con IA.

¿Y si el chatbot de mi web lleva mi marca?

Entonces cambia la respuesta. El Reglamento considera proveedor a quien pone un sistema en servicio con su propio nombre o marca, así que el deber de avisar de que se interactúa con una IA pasa a ser tuyo.

¿Puedo usar IA para analizar el estado de ánimo de mi plantilla?

No. Inferir emociones mediante IA en el lugar de trabajo está entre las prácticas prohibidas del artículo 5 del Reglamento y se aplica desde febrero de 2025. El ómnibus de julio de 2026 no modificó esa prohibición.

¿Sirve el consentimiento del trabajador como base jurídica?

Por lo general no. El RGPD considera que en una relación con desequilibrio claro el consentimiento no se presta libremente, y la AEPD señala que en el ámbito laboral la base principal es la ejecución del contrato de trabajo.

¿Cuánto puede costar incumplir?

Depende del artículo. Conviene saber que el artículo 99.6 del Reglamento aplica a las pymes la cifra menor de las dos previstas, no la mayor, que es justo lo contrario de lo que suele publicarse.

Cumplimiento de IA: por dónde empezaría yo mañana

El orden que funciona es poco glamuroso. Primero mira si tienes representación legal de los trabajadores, porque eso decide cómo se elabora el documento y es lo que anula todo lo demás si te lo saltas.

Después inventaría qué herramientas se están usando ya, que casi siempre son más de las que la dirección cree. Y solo entonces escribe una página con reglas concretas, no diez de principios, y déjala firmada con fecha y con un dueño. Desde la agencia de IA en Madrid lo montamos así con clientes.

Si quieres que revisemos el planteamiento antes de que llegue al comité, somos Aivy, un equipo de automatización con IA que trabaja con empresas españolas, y puedes reservar una reunión.

Última actualización: 4 de agosto de 2026. Esta guía es orientativa y no constituye asesoramiento jurídico. Confirma tu caso con un profesional.