IA en tu pyme y la ley: RGPD y Reglamento de IA (AI Act) en la práctica
Si tu pyme usa inteligencia artificial, hay dos normas europeas que importan en la práctica: el RGPD y el Reglamento de IA. El RGPD aplica siempre que la IA trate datos personales (clientes, pacientes, empleados): necesitas base legal, informar a las personas, un contrato con el proveedor y, con datos de salud, medidas reforzadas. El Reglamento de IA (AI Act) exige a la mayoría de pymes, que son "responsables del despliegue", informar a las personas de que están hablando con una IA (desde agosto de 2026), no usar prácticas prohibidas y fomentar la formación del equipo en IA. Las obligaciones más duras, las de sistemas de alto riesgo, se han aplazado a diciembre de 2027. Este artículo es orientativo y no sustituye el asesoramiento jurídico.
¿Por qué debería preocuparme esto como pyme?
Porque los asistentes de IA suelen tocar datos de personas (nombres, teléfonos, citas, conversaciones, a veces datos de salud) y porque las sanciones del RGPD y del Reglamento de IA no distinguen por tamaño de empresa de forma automática. La buena noticia es que cumplir es perfectamente asumible si se diseña bien desde el principio, y que hacerlo bien es también una ventaja: cada vez más clientes preguntan qué haces con sus datos.
¿Qué exige el RGPD cuando uso IA con datos personales?
1. Una base legal para tratar los datos
Cada tratamiento necesita una base legal (consentimiento, ejecución de un contrato, obligación legal, interés legítimo...). Gestionar una cita que el paciente ha solicitado tiene una base distinta a enviarle una campaña comercial. Hay que definirla antes de automatizar.
2. Informar a las personas
Deben saber qué datos tratas, para qué, con quién los compartes y cómo ejercer sus derechos. Si añades un asistente de IA, la información sobre privacidad debe reflejarlo.
3. Un contrato con el proveedor (encargado de tratamiento)
Si un proveedor de IA trata datos personales por tu cuenta, el RGPD (art. 28) exige un contrato que fije qué puede hacer con ellos, qué medidas de seguridad aplica y qué pasa al terminar. Sin ese contrato, hay un problema de partida.
4. Atención a las transferencias fuera del Espacio Económico Europeo
Si el proveedor o sus subencargados tratan datos fuera del EEE, deben existir garantías válidas (decisión de adecuación, cláusulas contractuales tipo u otras). Conviene preguntar dónde se procesan los datos y con qué modelos.
5. Minimización: solo los datos necesarios
El asistente no debería recibir más datos de los que necesita. Un asistente de citas no necesita el historial clínico completo. Menos datos, menos riesgo.
6. Cuidado con las decisiones totalmente automatizadas
El RGPD (art. 22) da derechos especiales cuando una decisión con efectos jurídicos o significativos para una persona se toma únicamente de forma automatizada. Por eso conviene que las decisiones importantes pasen por una persona. Es coherente con lo que explicamos en qué no delegar a un agente de IA.
7. Evaluar el riesgo cuando el tratamiento es sensible
Cuando el tratamiento puede suponer un alto riesgo para las personas (por ejemplo, uso de tecnología nueva con datos de salud a gran escala), puede ser necesaria una evaluación de impacto (EIPD). Un asesor o delegado de protección de datos te dirá si es tu caso.
¿Y si trabajo con datos de salud (clínicas, fisioterapia, psicología)?
Los datos de salud son una categoría especial (art. 9 RGPD) con un régimen más estricto. Se pueden tratar si concurre una de las condiciones previstas (por ejemplo, la asistencia sanitaria prestada por profesionales sujetos a secreto profesional), pero eso no convierte cualquier uso con IA en automáticamente válido. Puntos de especial atención:
- Pasar datos clínicos a herramientas de uso general sin garantías contractuales y técnicas es una mala idea.
- Un asistente de agenda o de recordatorios puede trabajar con los mínimos datos (nombre, teléfono, hora de cita) sin acceder a información clínica.
- La normativa sanitaria propia (como la ley de autonomía del paciente y la regulación de la historia clínica) añade obligaciones de confidencialidad.
- Si una llamada se graba o se transcribe, hay que informar a la persona al inicio.
¿Qué exige el Reglamento de IA (AI Act) a una pyme?
El Reglamento europeo de IA clasifica los sistemas por riesgo. La mayoría de las pymes no desarrollan modelos de IA, sino que usan sistemas de terceros: en la terminología de la norma, son "responsables del despliegue". Para ellas, lo relevante hoy es:
Prácticas prohibidas (desde febrero de 2025)
Hay usos de IA directamente prohibidos, como técnicas de manipulación subliminal que causan daño, la explotación de vulnerabilidades de ciertas personas o la puntuación social. Un asistente de citas o de atención al cliente normal no está cerca de esto, pero conviene saber que existe.
Transparencia: avisar de que es una IA (desde agosto de 2026)
El artículo 50 exige que las personas sepan que están interactuando con un sistema de IA, salvo que sea evidente por el contexto. En la práctica: un chatbot, un asistente de WhatsApp o un asistente de voz deben presentarse como tal ("Soy el asistente virtual de la clínica..."). Sin trucos para hacerlo pasar por una persona. Este es probablemente el punto más relevante para quien automatiza atención al cliente. Las reglas sobre marcado de contenido generado por IA (art. 50.2) tienen un calendario algo posterior.
Formación del equipo (artículo 4)
El reglamento incluye la obligación de promover un nivel adecuado de conocimiento en IA entre las personas que la usan en la empresa. Tras la reforma del Ómnibus Digital, se configura más como una obligación de medios que de resultado, y no exige un curso ni un certificado concreto: valen una formación interna, una guía de uso y unas reglas claras, adaptadas a cada puesto. En la práctica, basta con documentar qué herramientas se usan, qué información no se puede introducir y quién es responsable.
Sistemas de alto riesgo (aplazados)
La norma considera de alto riesgo, entre otros, ciertos usos de IA en selección de personal, evaluación de empleados, acceso a servicios esenciales o educación. Si tu pyme usa IA para decidir sobre contrataciones o evaluaciones, ten cuidado: las obligaciones asociadas se han aplazado a diciembre de 2027, pero el uso ya debe hacerse con prudencia. Un asistente de citas, de atención al cliente o de analítica de ventas no suele entrar en esta categoría.
¿Quién supervisa y qué sanciones hay?
En España, la autoridad de supervisión en materia de IA es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), y en protección de datos la AEPD. Las sanciones pueden ser elevadas. En el Reglamento de IA, el máximo es de 35 millones de euros o el 7 % de la facturación anual mundial para las prácticas prohibidas, y de 15 millones o el 3 % para la mayoría del resto de obligaciones; para las pymes se aplica el importe menor de los dos. Además, la graduación depende de la gravedad, la intención y la diligencia mostrada.
Checklist práctico para una pyme que usa IA
| Punto de control | Por qué importa |
|---|---|
| Sé qué herramientas de IA usa mi equipo y para qué | No se puede cumplir lo que no se conoce |
| Tengo claro qué datos personales tocan y con qué base legal | Es el punto de partida del RGPD |
| Mi política de privacidad menciona el uso de IA cuando procede | Deber de información a las personas |
| Hay contrato de encargado de tratamiento con cada proveedor | Exigido por el artículo 28 del RGPD |
| Sé dónde se procesan los datos y con qué garantías | Transferencias fuera del Espacio Económico Europeo |
| El asistente solo recibe los datos que necesita | Minimización: menos datos, menos riesgo |
| El asistente se presenta como IA ante clientes y pacientes | Transparencia del artículo 50 del Reglamento de IA |
| Se informa al inicio de las llamadas si se graban o transcriben | Deber de información en el RGPD |
| Las decisiones importantes pasan por una persona | Evita decisiones totalmente automatizadas |
| Mi equipo tiene reglas claras sobre qué puede introducir en herramientas de IA | Formación y uso responsable (artículo 4) |
| Existe un registro de lo que hace el sistema | Permite auditar y demostrar diligencia |
¿Cómo se refleja esto en un proyecto de IA bien diseñado?
El cumplimiento se facilita cuando se diseña desde el principio: permisos mínimos, registro de acciones, aprobación humana en lo importante, aviso de que es una IA y contratos claros con los proveedores. Es justo lo que describimos en cómo es un proyecto de IA en una pyme, y es uno de los criterios que conviene exigir al elegir una consultora de IA.
Cómo lo implementamos en AIMONS
Diseñamos cada solución con permisos mínimos, registro de acciones, aviso al usuario de que habla con un asistente de IA, aprobación humana en las decisiones importantes y atención específica al tratamiento de datos personales y de salud. No sustituimos a tu asesor jurídico ni a tu delegado de protección de datos: trabajamos con ellos cuando hace falta.
Preguntas frecuentes
¿Tengo que avisar a mis clientes de que están hablando con una IA?
Sí, en general. El artículo 50 del Reglamento de IA exige informar de que se interactúa con un sistema de IA salvo que sea evidente por el contexto. Es aplicable desde el 2 de agosto de 2026. La práctica recomendada es que el asistente se presente como tal desde el primer mensaje o llamada.
¿Puedo usar IA con datos de pacientes?
Es posible, pero exige más cuidado: base legal adecuada para datos de salud, contrato de tratamiento con el proveedor, medidas de seguridad, minimización de datos e información a los pacientes. No conviene introducir datos clínicos en herramientas de uso general sin garantías.
¿Se ha retrasado el Reglamento de IA?
Una parte. Las obligaciones de los sistemas de alto riesgo se han aplazado a diciembre de 2027 (Anexo III) y agosto de 2028 (Anexo I). La prohibición de ciertas prácticas, la formación en IA y las obligaciones de transparencia siguen su calendario. El tema evoluciona, así que conviene revisar el estado vigente.
¿Necesito un delegado de protección de datos (DPO)?
Depende de tu actividad y del volumen y tipo de tratamiento. Algunas organizaciones están obligadas y otras lo recomiendan. Un asesor te dirá si es tu caso.
¿Las multas son iguales para una pyme que para una gran empresa?
Los importes máximos están fijados por norma, pero se gradúan según gravedad, intención y diligencia. En el Reglamento de IA, además, para las pymes se aplica el menor de los dos límites (importe fijo o porcentaje de facturación). Lo mejor es documentar lo que haces y por qué.
Este artículo es orientativo y no constituye asesoramiento jurídico. La normativa evoluciona: consulta con un profesional antes de tomar decisiones de cumplimiento.
Relacionado: qué no delegar a un agente de IA · cómo elegir una consultora de IA · ChatGPT o una solución a medida
¿Quieres revisar cómo cumpliría un proyecto de IA en tu negocio?
El primer paso es gratis