Ley de IA para pymes: qué tienes obligación de hacer (y qué no)
El reglamento europeo de IA no tiene umbral de tamaño: si tu pyme usa herramientas de inteligencia artificial, te aplica desde el 2 de febrero de 2025. Pero lo que te exige es proporcional y concreto: para la mayoría de pymes se reduce a tres cosas: un inventario de las herramientas de IA que usáis, formación del equipo proporcional a ese uso, y registros que lo demuestren. Lo que no te exige es casi todo lo demás que estás leyendo por ahí: ni registrarte en bases de datos europeas, ni documentación técnica de modelos, ni marcado CE, ni consultoría de compliance.
La mayoría de pymes que hablan conmigo sobre la ley de IA llegan con una de estas dos posturas: o creen que no les aplica por ser pequeñas, o creen que tienen que hacer lo mismo que una multinacional y el coste las paraliza. Las dos posturas son incorrectas. Y las dos llevan al mismo sitio: no hacer nada.
Autodiagnóstico: ¿en qué situación está tu pyme?
Un dato que lo explica casi todo: la mayoría de las pymes no sabe siquiera clasificar su propio uso de IA, no tienen inventario de herramientas ni saben si algo de lo que usan cuenta como alto riesgo. Siete preguntas para situarte en dos minutos:
| # | Pregunta | Si la respuesta es sí… |
|---|---|---|
| 1 | ¿Alguien en la empresa usa ChatGPT, Copilot, Gemini, Claude o similar para trabajar? | El Artículo 4 te aplica. Sigue leyendo |
| 2 | ¿Tenéis por escrito qué herramientas de IA se usan, quién y para qué? | Si no: ese inventario es tu primer paso |
| 3 | ¿El equipo ha recibido formación sobre esas herramientas, aunque sea básica? | Si no: es la obligación pendiente |
| 4 | ¿Queda constancia documentada de esa formación (fechas, contenidos, asistentes)? | Si no: no puedes demostrar cumplimiento |
| 5 | ¿Usáis IA para filtrar candidatos, decidir créditos o evaluar personas? | Eso apunta a alto riesgo: necesitas análisis especializado |
| 6 | ¿Un chatbot vuestro habla con clientes sin identificarse como IA? | Incumples la transparencia del art. 50, vigente desde ago-2026 |
| 7 | ¿Metéis datos de clientes o empleados en herramientas públicas de IA? | Tienes un problema de RGPD además del de formación |
Si respondiste "sí" a la 1 y "no" a la 3 o la 4, estás donde está la mayoría: con la obligación básica pendiente. La buena noticia es que es la más fácil de resolver.
¿Qué tiene obligación de hacer una pyme?
Si tu empresa usa herramientas de IA en su actividad, y en 2026 eso incluye a casi cualquier empresa que use software moderno, eres responsable del despliegue y el Artículo 4 del reglamento europeo te aplica desde el 2 de febrero de 2025. La obligación concreta, en su texto vigente: adoptar medidas para apoyar la alfabetización en IA de tu personal.
En la práctica, tres cosas que cualquier pyme puede hacer sin departamento legal ni consultoría:
El inventario. Qué herramientas de IA usa la empresa, quién las usa y para qué. Parece obvio; la mayoría no lo tiene por escrito.
La formación. Que las personas que usan esas herramientas entiendan qué hacen, dónde fallan y cómo supervisarlas. Proporcional a su uso, no genérica: aquí está exactamente qué exige la ley y qué no.
La constancia. Que quede registro de que la formación ocurrió: fechas, contenidos, participantes. No porque el artículo exija literalmente un registro, sino porque es la única forma de demostrar las medidas si alguien pregunta.
Eso es el Artículo 4 para una pyme con uso general de IA. No más.
¿Qué NO tienes que hacer?
Aquí es donde la mayoría de artículos sobre el AI Act fallan a las pymes: mezclan las obligaciones de los proveedores con las de quienes simplemente usan IA, y las de los sistemas de alto riesgo con las del uso general.
Si tu empresa usa ChatGPT, Copilot, Claude u otras herramientas de IA generativa para tareas de productividad:
- No tienes que registrarte en ninguna base de datos de la UE: eso es para proveedores de sistemas de alto riesgo.
- No tienes que elaborar documentación técnica sobre los modelos: eso es de OpenAI, Microsoft o Google, no tuyo.
- No tienes que marcar con CE ningún producto: eso aplica a fabricantes.
- No necesitas una consultoría de compliance para cumplir el Artículo 4: una formación bien diseñada y sus registros bastan para el uso de riesgo mínimo o limitado.
- No te afectan los plazos de alto riesgo que vencen en diciembre de 2027 y agosto de 2028, salvo que uses IA en los contextos del siguiente apartado.
¿Cuándo cambia el análisis?
Todo lo anterior aplica al uso de IA de riesgo mínimo o limitado: productividad, redacción, análisis básico, atención al cliente simple (con el matiz del chatbot: desde el 2 de agosto de 2026, si interactúa con personas, debe identificarse como IA).
Si tu empresa usa IA en selección de personal, decisiones de crédito, salud, educación o cualquier decisión automatizada con impacto directo sobre personas, el análisis es diferente: obligaciones más exigentes, plazos propios y formación más profunda. En ese caso sí tiene sentido hablar con un especialista legal que clasifique tu situación, este artículo no sustituye ese análisis.
Lo que no cambia en ningún caso: la formación del equipo es la base. Sin ella, el resto tampoco se puede cumplir bien.
Lo que cuesta, y lo que no
El miedo al coste es el freno más citado, y es el peor fundado de todos.
Para una pyme típica, el mínimo razonable es una sesión de formación de pocas horas por equipo, adaptada a las herramientas que de verdad usáis, con registro de asistencia y contenidos. Eso no es un proyecto de transformación: es una tarde bien invertida.
Y el coste puede ser literalmente cero: el crédito de formación FUNDAE que tu empresa ya tiene asignado cubre este tipo de acción, y las pymes de menos de 50 trabajadores pueden incluso acumular el crédito no usado de años anteriores. El proceso completo, tramo a tramo, está aquí.
El contraste con el riesgo es directo: la multa máxima efectiva para una pyme por incumplir el Artículo 4 se calcula sobre su facturación: las cuantías reales, sin alarmismo, aquí, y la protección más barata contra ella es exactamente la formación que la ley pide.
El resumen que una pyme necesita
No estás exenta por ser pequeña. Pero tampoco tienes que hacer lo que hace una multinacional.
Inventario, formación proporcional, registros. Eso es el Artículo 4 para la mayoría de pymes españolas. Las que lo traten así tendrán la documentación que las protege si algún día llega una inspección, una auditoría de cliente o una due diligence. Las que sigan esperando seguirán acumulando tiempo fuera de cumplimiento, sin necesidad y sin ahorro real, porque la formación ya está pagada con su crédito FUNDAE.
En 4Geeks trabajamos exactamente ese recorrido con el programa AI Fluency: formación para equipos no técnicos, documentada por rol y bonificable.
Víctor Gómez es CEO y cofundador de 4Geeks Academy España.