EU AI Act 2026: qué debe saber tu PYME antes de agosto

El 2 de agosto de 2026 entra en pleno vigor el Reglamento Europeo de Inteligencia Artificial (EU AI Act). Si tu negocio usa un chatbot, un asistente virtual o cualquier herramienta con IA, te afecta. La buena noticia: para la mayoría de PYMEs las obligaciones son mínimas y perfectamente asumibles. La mala: no cumplir puede salir muy caro[Comisión Europea — AI Act].

¿Qué es el EU AI Act y por qué debería importarme?

Es la primera ley integral del mundo sobre inteligencia artificial. Clasifica los sistemas de IA por nivel de riesgo y establece obligaciones proporcionales para cada nivel. Afecta a cualquier empresa que desarrolle, despliegue o use sistemas de IA en la Unión Europea — independientemente de su tamaño.

Los 4 niveles de riesgo

1. Riesgo inaceptable — prohibido. Social scoring, manipulación subliminal, vigilancia biométrica masiva. Si tu PYME no hace nada de esto (y no lo hace), puedes respirar tranquilo.
2. Riesgo alto — regulación estricta. Sistemas de IA en sanidad, educación, empleo, justicia, infraestructuras críticas. Requiere evaluación de conformidad, auditorías, documentación técnica completa.
3. Riesgo limitado — obligación de transparencia. Aquí están los chatbots de atención al cliente.
4. Riesgo mínimo — sin obligaciones específicas. Filtros de spam, videojuegos.

¿Qué tienes que hacer exactamente?

Para una PYME que usa un chatbot con IA, las obligaciones concretas son:

1. Informar al usuario de que habla con una IA — tu chatbot debe identificarse como sistema automatizado. No puede hacerse pasar por un humano. Un mensaje como “Soy un asistente virtual con inteligencia artificial” al inicio es suficiente.
2. No usar el chatbot para prácticas prohibidas — manipulación, perfilado oculto, explotación de vulnerabilidades. Sentido común.
3. Tener un mecanismo de escalación humana — si el chatbot no puede resolver algo, debe poder derivar la conversación a una persona.
4. Documentar mínimamente el uso — qué sistema usas, para qué, quién es el proveedor. No hace falta una auditoría técnica, pero sí saber qué tienes.
5. Si generas contenido sintético (imágenes, voces clonadas, vídeos) — hay que etiquetarlo como generado por IA.

¿Y si no cumplo?

Las sanciones del AI Act son significativas. Para PYMEs y startups hay un régimen atenuado: se aplica la menor de las dos cantidades (fija o porcentaje), no la mayor. Además, las PYMEs tienen acceso prioritario a sandboxes regulatorios y derecho a documentación técnica simplificada[AI Act SMEs Guide].

¿Quién vigila esto en España?

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), creada por Real Decreto 729/2023 y con sede en A Coruña. Ya está operativa y a partir de agosto de 2026 tendrá plenas competencias para inspeccionar, atender reclamaciones de usuarios y sancionar[Javadex AI Act España].

Proveedor vs implementador: ¿quién es responsable de qué?

• Proveedor (provider): la empresa que desarrolla el sistema de IA. En el caso de un chatbot como OyeBot, el proveedor es OyeBot + el modelo de lenguaje subyacente. Responsable de: documentación técnica, evaluaciones de conformidad (si aplica), sistema de gestión de calidad.
• Implementador (deployer): tu negocio, que usa el chatbot. Responsable de: transparencia con el usuario final, supervisión humana, notificación de incidentes graves, uso conforme a las instrucciones del proveedor.

La mayor parte de la carga regulatoria la lleva el proveedor. Tu obligación como PYME implementadora es pequeña — pero real.

Qué hace OyeBot para que tú cumplas

• Todos los bots de OyeBot incluyen identificación como asistente IA cuando el cliente pregunta — y a menudo de forma proactiva al iniciar la conversación.
• Sistema de escalación humana integrado — si el bot no puede resolver, deriva a tu equipo con el contexto ya recogido.
• Sin prácticas prohibidas: el bot no hace perfilado oculto, no manipula, no explota vulnerabilidades.
• Servidores en Europa, cumplimiento RGPD.
• Documentación técnica y Data Processing Agreement disponibles a petición.

Checklist para tu PYME antes de agosto 2026

1. ✅ ¿Tu chatbot se identifica como IA? Si no, añade una disclosure al inicio de la conversación.
2. ✅ ¿Tienes escalación humana? Si el bot no puede resolver, ¿hay alguien detrás?
3. ✅ ¿Sabes qué proveedor usas y qué modelo de IA ejecuta? Documéntalo.
4. ✅ ¿Tu proveedor cumple RGPD y tiene servidores en Europa?
5. ✅ ¿Usas la IA solo para fines legítimos (atención al cliente, reservas, información)?
6. ✅ ¿Has formado al equipo que supervisa el chatbot en sus obligaciones básicas?

Si has marcado las seis, estás listo. El AI Act no debería quitarte el sueño — pero sí deberías tenerlo en el radar, y asegurarte de que el proveedor que elijas no te deja expuesto.