Nota editorial, 24 de septiembre de 2026: conservamos la fecha original y revisamos obligaciones, artículos y calendario conforme a las fuentes oficiales citadas. Esta guía ayuda a formular preguntas; no sustituye una clasificación jurídica de cada sistema.
Una empresa pequeña puede quedar dentro del alcance del Reglamento de IA de la UE. Su tamaño no la exime, pero tampoco significa que cualquier uso de IA active todas las obligaciones. Importan la finalidad del sistema, dónde se comercializa o utiliza su resultado, el tipo de riesgo y el papel de la empresa.
Primero: identifica tu papel en cada sistema
Una PYME puede ser proveedora cuando desarrolla un sistema o lo pone en el mercado o servicio bajo su nombre o marca. Puede ser responsable del despliegue cuando usa un sistema bajo su autoridad en su actividad profesional. También puede tener otro papel en la cadena de suministro. Una misma empresa puede cumplir papeles distintos para herramientas distintas; integrar o modificar una solución merece una revisión específica del artículo 25.
Haz una ficha por sistema: nombre, proveedor, finalidad prevista, personas afectadas, documentos disponibles, quién decide con su resultado y quién lo opera. Ese inventario permite distinguir una herramienta de apoyo general de un uso incluido en el Anexo III. El artículo 6 también contempla excepciones acotadas: aparecer en uno de los ocho ámbitos no cierra por sí solo la clasificación.
Si utilizas un sistema de alto riesgo de un tercero
El artículo 26 establece deberes específicos para los responsables del despliegue de sistemas de alto riesgo. Entre ellos están usarlo conforme a las instrucciones, encargar la supervisión humana a personas con competencia, formación y autoridad adecuadas, vigilar su funcionamiento e informar de riesgos o incidentes en los supuestos previstos. También hay reglas sobre datos de entrada, registros y, según el caso, información a trabajadores o personas afectadas. La conservación de registros generados automáticamente se exige en la medida en que estén bajo tu control, durante un período apropiado que en general es de al menos seis meses, salvo otra regla aplicable. No es una obligación universal de generar o guardar seis meses de logs para toda herramienta de IA.
Pide al proveedor la información necesaria para operar el sistema de forma segura y entender sus limitaciones. La documentación técnica, la evaluación de conformidad y el marcado CE que correspondan son principalmente tareas del proveedor; no conviene presentar al cliente una lista única de documentos obligatorios en todos los casos.
Si desarrollas o comercializas un sistema
Si el sistema resulta de alto riesgo, las obligaciones del proveedor incluyen, según el caso, gestión de riesgos, gobernanza de datos, documentación técnica, trazabilidad, instrucciones de uso, supervisión humana y evaluación de conformidad. Revisa los artículos 8 a 17 y 43 antes de prometer cumplimiento o lanzar el producto. Para otros sistemas pueden existir reglas diferentes, como las obligaciones específicas de transparencia del artículo 50. Por ejemplo, una persona que interactúa directamente con IA debe ser informada cuando se cumplen las condiciones de ese artículo, con sus excepciones; no toda salida asistida por IA exige el mismo aviso.
El Consejo de la UE sitúa la aplicación de los requisitos para sistemas autónomos del Anexo III en el 2 de diciembre de 2027 y la de ciertos productos del Anexo I en el 2 de agosto de 2028. Otras disposiciones ya se aplican. Usa estas fechas para priorizar, sin asumir que todo el reglamento empieza a la vez.
Apoyo específico para PYMEs
El artículo 62 prevé medidas para PYMEs y empresas emergentes, como acceso prioritario a entornos controlados de pruebas cuando cumplan los requisitos, canales de comunicación, orientación y una consideración proporcionada de sus intereses en tasas de evaluación de conformidad. Son mecanismos de apoyo, no una dispensa general ni una garantía de acceso inmediato. El calendario del Consejo fija el 2 de diciembre de 2027 para que cada Estado miembro tenga operativo al menos un entorno controlado de pruebas. Comprueba la disponibilidad y condiciones de tu autoridad nacional antes de planificar un lanzamiento en torno a uno.
Una revisión manejable para empezar
- Haz el inventario y registra la finalidad real de cada sistema.
- Identifica tu papel y el del proveedor para cada uso; revisa el artículo 25 si integras o modificas una solución.
- Comprueba si hay prácticas prohibidas, posibles casos de alto riesgo o reglas de transparencia aplicables.
- Para cada obligación pertinente, localiza el documento o proceso que la respalda y anota lo que falta.
- Asigna una persona para revisar las conclusiones y actualizar la ficha cuando cambien el sistema o su uso.
Fencia puede reunir documentos compatibles, mostrar posibles hallazgos y organizar acciones para revisión humana dentro de los requisitos que cubre. No decide por sí sola si una empresa cumple el reglamento ni realiza una evaluación formal de conformidad. Conoce el alcance de Fencia.
Fuentes oficiales: Reglamento de IA en EUR-Lex, en especial artículos 2, 3, 6, 25, 26, 50, 57 y 62; Comisión Europea, preguntas frecuentes; cronología del Consejo de la UE.