Cumplimiento del AI Act para empresas en España
Auditoría técnica e implementación del Reglamento Europeo de IA llave en mano. Adelántate a las inspecciones de agosto de 2026.
Servicio diseñado para pymes y empresas españolas que ya usan IA (chatbots, automatizaciones, scoring, RR.HH. con IA) y necesitan documentar, dar transparencia y reducir riesgo regulatorio antes de las primeras sanciones.
No es asesoría legal. Para casos concretos colaboramos con abogados colegiados especializados en derecho digital.
Calendario del AI Act: ¿qué aplica y cuándo?
El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 con aplicación gradual.
1 ago 2024
Entrada en vigor del Reglamento UE 2024/1689
2 feb 2025
Aplicable: sistemas prohibidos y alfabetización en IA
2 ago 2025
Aplicable: sistemas de propósito general (GPAI)
2 ago 2026
Aplicable: sistemas de alto riesgo + resto del Reglamento
Los 4 niveles de riesgo del AI Act
Tu primer paso es saber en qué nivel cae cada sistema de IA que usas.
Riesgo Inaceptable
Vigilancia biométrica masiva, social scoring, reconocimiento emocional en el trabajo. Prohibidos.
Riesgo Alto
IA en RR.HH., scoring crediticio, biometría, infraestructuras críticas, justicia.
Riesgo Limitado
Chatbots, recomendaciones, IA generativa, deepfakes (con etiquetado). La mayoría de pymes.
Riesgo Mínimo
Filtros spam, correctores ortográficos, IA en videojuegos. Sin requisitos específicos.
Para pymes y startups, el reglamento prevé que se aplique la cuantía MENOR de las dos opciones de multa.
Cómo trabajamos: plan de 30 días
Implementación estructurada en 4 fases con entregables documentados.
Semana 1
Auditoría e inventario
- ✓Identificación de todos los sistemas de IA en tu empresa
- ✓Categorización por nivel de riesgo (4 niveles)
- ✓Mapa de responsables internos por sistema
- ✓Identificación de gaps de cumplimiento
Semana 2
Documentación
- ✓Registro interno de sistemas de IA
- ✓Política de uso de IA en tu organización
- ✓Documentación técnica por sistema
- ✓Registro de cambios y actualizaciones
Semana 3
Transparencia
- ✓Avisos visibles 'Impulsado por IA' en chatbots
- ✓Actualización de política de privacidad
- ✓FAQ pública sobre uso de IA en tu empresa
- ✓Información a usuarios afectados por decisiones automáticas
Semana 4
Monitoreo
- ✓KPIs de seguimiento (precisión, sesgos, errores)
- ✓Proceso de revisión mensual
- ✓Plan de respuesta ante incidencias
- ✓Coordinación con asesoría legal de partner colegiado
Servicios disponibles
Tres modalidades según tu nivel de madurez actual y necesidad.
Auditoría inicial
Para empresas que necesitan saber dónde están y qué les falta.
⏱️ 1-2 semanas
- ✓Inventario completo de sistemas de IA
- ✓Categorización por nivel de riesgo
- ✓Informe de gaps de cumplimiento
- ✓Plan priorizado de implementación
- ✓Documentación inicial adaptada a tu organización
Implementación llave en mano
Para empresas que quieren cumplir sin gestionar el proceso internamente.
⏱️ 4-6 semanas
- ✓Todo lo de auditoría inicial
- ✓Documentación técnica completa
- ✓Implementación de avisos de transparencia
- ✓Política de IA redactada y publicada
- ✓Proceso de monitoreo y revisión mensual
- ✓Coordinación con asesoría legal partner
Soporte continuo
Para empresas con sistemas críticos o de alto riesgo que requieren seguimiento.
⏱️ Recurrente
- ✓Revisión trimestral de cumplimiento
- ✓Actualización por cambios normativos
- ✓Documentación de nuevos sistemas
- ✓Soporte ante inspecciones (cuando empiecen)
- ✓Acceso prioritario a asesoría
¿Por qué CPG Estudio IA?
Enfoque técnico realista
No vendemos miedo a multas. Implementamos lo que el AI Act exige técnicamente para tu nivel de riesgo, ni más ni menos.
Documentación reutilizable
Registros y políticas pensados para tu organización, no copy-paste genérico. Los puedes mantener tú a partir del día 30.
Coordinación con asesoría legal
Trabajamos con abogados colegiados especializados en derecho digital cuando un caso requiere interpretación legal específica.
Qué cambia el 2 de agosto de 2026
La fecha límite que marca el calendario del AI Act para empresas españolas.
📌 Aplicación plena del Reglamento UE 2024/1689
A partir del 2 de agosto de 2026 son exigibles las obligaciones sobre sistemas de IA de alto riesgo (Anexo III): RRHH, scoring crediticio, biometría, educación, infraestructuras críticas, justicia, control fronterizo y servicios esenciales. También las obligaciones generales del Capítulo III aplicables a la mayoría de proveedores y deployers.
📌 La AESIA empieza a inspeccionar
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, asume desde esa fecha sus competencias plenas de inspección, comprobación documental y sanción. Las primeras inspecciones llegarán sin previo aviso y los plazos para responder a requerimientos formales son cortos (típicamente 10-30 días).
📌 Multas exigibles hasta 35 M€ o 7% facturación
Las sanciones del Art. 99 del Reglamento son directamente aplicables desde agosto 2026: hasta 35 M€ o 7% facturación mundial por prácticas prohibidas; 15 M€ o 3% por incumplimientos en alto riesgo; 7,5 M€ o 1,5% por información incorrecta. Para PYMEs aplica la cuantía MENOR (Art. 99.6).
📌 Lo que necesitas tener listo antes de esa fecha
- Inventario completo de tus sistemas de IA (incluyendo IA invisible en SaaS)
- Clasificación por nivel de riesgo según Anexo III
- Documentación técnica (Art. 11) para sistemas de alto riesgo
- Registro automático de eventos / audit log (Art. 12)
- Política de alfabetización IA y formación del personal (Art. 4)
- Avisos de transparencia para sistemas que interactúan con personas (Art. 50)
- Evaluación de impacto sobre derechos fundamentales (EIDF/FRIA, Art. 27) si aplica
⚠️ Implementar antes del 2 de agosto de 2026 es entre 3 y 5 veces más barato que reaccionar tras la primera inspección AESIA. La documentación de cumplimiento no se improvisa: requiere historiales de uso, logs y evidencias que solo se acumulan con tiempo.
Las inspecciones de alto riesgo empiezan en agosto de 2026
La AESIA (Agencia Española de Supervisión de Inteligencia Artificial) será la autoridad competente para fiscalizar el cumplimiento. Implementar antes de la fecha es más barato que improvisar bajo presión cuando llegue la inspección.
Guías prácticas del cluster Ley IA
Profundiza en los aspectos concretos del AI Act que más afectan a tu PYME en 2026.
Cómo cumplir el AI Act siendo PYME
Hoja de ruta práctica con plazos realistas y costes estimados.
Checklist de 10 imprescindibles
Los 10 puntos que la AESIA inspeccionará antes que nada.
Multas reales del AI Act
Cifras del Art. 99 explicadas y la cláusula 99.6 para PYMEs.
Cómo prepararse para una inspección AESIA
Qué pedirá, en qué orden, y los 7 errores que producen hallazgos.
Inventario de sistemas IA: el primer paso
Incluida la IA invisible que el 70% de PYMEs olvida.
Clasificar por riesgo (Anexo III)
Las 8 áreas de alto riesgo y la cláusula del sistema determinante.
Alfabetización IA del Art. 4
Formación obligatoria desde feb 2025. La AESIA empezará por aquí.
Transparencia Art. 50 si tienes chatbot
Cómo cumplir sin perder conversión.
AI Act y ChatGPT en la empresa
Las obligaciones que el 45% de PYMEs desconoce.
AI Act en RRHH y selección
Anexo III categoría 4: ATS, ranking de CV, evaluaciones.
Política interna de uso de IA
Las 8 secciones que debe contener (plantilla 2026).
Guía AI Act PYMEs (PDF gratis)
Whitepaper de 8 páginas para descargar.
Si usas estas herramientas, esto es lo que te afecta
La mayoría de pymes españolas ya usan sistemas de IA sin saberlo. Esta es la lectura rápida por herramienta y uso real, no por tipo abstracto.
| Herramienta / uso | Nivel según el AI Act | Qué tienes que hacer |
|---|---|---|
ChatGPT / Claude / Gemini de uso interno Redacción, resúmenes, borradores de propuestas | Riesgo limitado Art. 4 (alfabetización) + Art. 50 cuando el output llega al cliente | Formar al equipo, prohibir meter datos personales de clientes y marcar como «generado con IA» cuando el texto se publique al exterior. |
Microsoft Copilot / Gemini en Google Workspace Asistente integrado en correo, documentos y reuniones | Riesgo limitado Art. 4 + Art. 50 (transparencia) | Política de uso interno, formación del equipo y revisión de los permisos: Copilot puede leer todo lo que tu equipo tiene accesible en SharePoint o Drive. |
Chatbot IA en la web o en WhatsApp Atender clientes, responder dudas, agendar citas | Riesgo limitado Art. 50.1 (obligación de declarar que es IA) | Aviso visible al inicio «estás hablando con un asistente de IA», registro de conversaciones y escalado a persona cuando el cliente lo pida. |
Agente de voz IA (Retell, Vapi, ElevenLabs) Llamadas entrantes, telefonía de reservas, cobros | Riesgo limitado Art. 50.1 + Art. 50.3 (clonación de voz) | Advertencia «esta llamada es gestionada por IA» al inicio, consentimiento grabado, política de retención y escalado a humano a petición. |
HubSpot / Salesforce / Pipedrive con lead scoring IA Priorizar leads, calificar oportunidades por probabilidad de cierre | Limitado · ALTO si decide acceso a servicio esencial Anexo III punto 5 solo si el output niega acceso o condiciones a servicios esenciales (financiero, salud, etc.) | Para scoring comercial: documentación + revisión humana. Si el scoring deniega un servicio esencial (seguro, crédito, cita médica), pasa a alto riesgo con documentación Art. 11 completa. |
ATS o RRHH con cribado de CVs (Factorial, Personio, Workday) Preselección automática de candidatos, scoring de CVs | ALTO RIESGO Anexo III punto 4.a (empleo y gestión de trabajadores) | Documentación técnica Art. 11, supervisión humana Art. 14, EIPD, transparencia al candidato, derecho a revisión humana. Dejar constancia escrita de cada decisión. |
Software clínico/sanitario con IA (triaje, diagnóstico, imagen) Apoyo al diagnóstico, triaje de pacientes, análisis de imagen | ALTO RIESGO Anexo III punto 5 + Reglamento MDR 2017/745 | Marcado CE sanitario + documentación AI Act. Supervisión profesional, trazabilidad de cada recomendación, formación del personal. |
Detección de fraude en pagos (Stripe Radar, Klarna, Adyen) Bloquear compras sospechosas, scoring de riesgo | ALTO si bloquea · Limitado si solo señala Anexo III punto 5.b (acceso a servicios esenciales) | Si bloquea compras automáticamente: revisión humana sobre decisiones de rechazo, log de motivos, canal de recurso para el cliente. |
OCR y clasificación de facturas (Holded, Quipu, Zoho) Extraer datos de facturas de proveedores, pre-asientos contables | Riesgo mínimo Fuera de los sistemas de alto riesgo (automatización administrativa) | Buenas prácticas: validación humana del asiento final, retención de la factura original, control de errores. No hay obligaciones específicas del AI Act. |
Email marketing con IA generativa (Mailchimp, Brevo, ActiveCampaign) Redactar asuntos, personalizar correos, A/B testing automático | Riesgo limitado Art. 50 (contenido generado) + RGPD | Declarar en política de privacidad que usas IA para personalizar; no automatizar decisiones de inclusión o exclusión en segmentos sensibles (salud, orientación sexual, religión). |
Reconocimiento facial o biométrico en el centro de trabajo Control de acceso, control horario biométrico, videovigilancia inteligente | ALTO RIESGO o PROHIBIDO Anexo III punto 1.b (biometría) · Art. 5 si es identificación remota en tiempo real en espacios públicos | Revisión caso a caso. Si cae en prohibido, retirar. Si es alto riesgo: documentación completa + EIPD + consentimiento informado + evaluación de impacto laboral. |
Generación de imagen o vídeo IA (Midjourney, Sora, Runway, DALL-E) Creatividades para redes, publicidad, catálogo de productos | Riesgo limitado Art. 50.2 (marcar contenido sintético) + Art. 50.4 (deepfakes) | Marca de agua o declaración «imagen generada con IA» cuando pueda confundirse con real. Nunca generar imagen sintética de una persona concreta sin su consentimiento. |
Esta tabla es orientativa y asume el uso típico declarado. El nivel real se asigna caso a caso según el uso concreto, los datos tratados y si la salida de la IA influye en decisiones automáticas. En la auditoría concretamos cada sistema de tu organización.
Preguntas frecuentes
¿Cuándo entra en vigor el AI Act para empresas en España?+
Las primeras obligaciones (sistemas prohibidos y alfabetización en IA) son aplicables desde el 2 de febrero de 2025. Las obligaciones de sistemas de propósito general (GPAI) desde el 2 de agosto de 2025. Las obligaciones de sistemas de alto riesgo entran en vigor el 2 de agosto de 2026.
¿Qué multas prevé el AI Act?+
Hasta €35M o 7% facturación anual mundial por sistemas prohibidos. Hasta €15M o 3% por incumplimientos en sistemas de alto riesgo. Hasta €7,5M o 1,5% por información incorrecta a las autoridades. Para pymes y startups se aplica la cuantía menor.
¿Mi pyme está obligada a cumplir el AI Act?+
Sí, si usas sistemas de IA en tu negocio: chatbots, agentes de voz, automatizaciones, recomendaciones, scoring, RR.HH. con IA, etc. La mayoría de pymes caen en RIESGO LIMITADO (transparencia + documentación + monitoreo).
¿Qué incluye una auditoría de cumplimiento AI Act?+
Inventario de sistemas de IA, categorización por nivel de riesgo, evaluación de cumplimiento actual, documentación de gaps y plan de implementación priorizado. No entregamos plantillas genéricas: te explicamos qué necesita exactamente tu organización.
¿Cuál es la autoridad competente en España?+
La AESIA (Agencia Española de Supervisión de Inteligencia Artificial) es la autoridad competente para el cumplimiento del AI Act en España.
¿Esto sustituye a un abogado?+
No. Nosotros hacemos la parte técnica y de documentación. Cuando un caso requiere interpretación legal o representación, coordinamos con abogados colegiados especializados en derecho digital.
¿Empezamos por la auditoría?
Te decimos en qué nivel está cada sistema de IA de tu empresa y qué necesitas hacer para cumplir. Sin compromiso.