Qué cambia el AI Act para las pymes: la lección de los estatutos de los gremios florentinos

Imagina que eres un pañero en la Florencia de finales del siglo XIII. Tienes telares, aprendices y clientes que esperan tus paños. Y un día alguien te pregunta: «¿Has leído el estatuto del gremio?». El AI Act se parece un poco a eso. Veamos juntos qué significa de verdad para una pequeña o mediana empresa, sin alarmismos y sin atajos.

Un taller florentino y su estatuto

En la Florencia medieval nadie trabajaba la lana por su cuenta: pertenecía al Arte della Lana, el gremio de la lana, una de las grandes corporaciones de la ciudad. Para ejercer había que estar inscrito en la matricola, el registro de miembros. El gremio tenía sus cónsules, que resolvían las disputas, y sobre todo tenía un estatuto escrito: reglas sobre la calidad de los paños, sobre los controles, sobre las sanciones para quien hiciera trampas. Esos estatutos no estaban grabados en piedra: se revisaban y actualizaban con el tiempo, a medida que cambiaba el oficio.

Me diréis: ¿y qué tiene que ver un pañero con ChatGPT? Mucho, porque aquellos estatutos hacían algo muy moderno. No prohibían trabajar la lana; establecían en qué condiciones el cliente podía fiarse de lo que compraba. Cuanto más delicado era el proceso, más estrictos eran los controles. Y el pañero que conocía el estatuto dormía tranquilo, mientras que el que lo ignoraba vivía con miedo a la inspección.

Pues bien: tu empresa hoy está en ese mismo taller. El estatuto se llama Reglamento (UE) 2024/1689, para todos, el AI Act.

Qué es el AI Act, en dos líneas

El AI Act es el reglamento europeo de inteligencia artificial, publicado en EUR-Lex, que entró en vigor el 1 de agosto de 2024. Al ser un reglamento, se aplica directamente en todos los Estados miembros, sin necesidad de transposición.

Su idea central es la misma que la de los estatutos gremiales: reglas proporcionales al riesgo. El reglamento distingue cuatro niveles:

• Prácticas prohibidas: usos de la IA considerados inaceptables, como la puntuación social o las técnicas manipuladoras que explotan las vulnerabilidades de las personas.
• Sistemas de alto riesgo: por ejemplo, la IA utilizada para seleccionar personal, evaluar a los trabajadores o decidir el acceso de las personas al crédito. Aquí las obligaciones son exigentes.
• Riesgo limitado: sistemas que requieren sobre todo transparencia, como los chatbots (las personas deben saber que hablan con una máquina) y los contenidos generados o manipulados.
• Riesgo mínimo: la gran mayoría de los usos cotidianos, como filtros antispam, correctores o asistentes para redactar un borrador. Sin obligaciones específicas.

El reglamento distingue también entre quien desarrolla un sistema de IA (el proveedor) y quien lo usa en su actividad (el responsable del despliegue). Casi todas las pymes están en el segundo grupo: usan herramientas hechas por otros.

El calendario: qué se aplica ya

El AI Act se aplica por etapas. Estas son las principales previstas en el texto:

1. 2 de febrero de 2025: se aplican las prohibiciones de las prácticas inaceptables y la obligación de alfabetización en materia de IA (artículo 4): quien usa sistemas de IA debe asegurarse de que su personal tenga competencias suficientes para usarlos con conocimiento.
2. 2 de agosto de 2025: se aplican las normas para los modelos de IA de uso general (los que están detrás de los grandes asistentes), la estructura de gobernanza y el régimen sancionador.
3. 2 de agosto de 2026: se aplica la mayor parte de las disposiciones restantes, entre ellas las obligaciones de transparencia.
4. 2 de agosto de 2027: se aplican las normas para la IA de alto riesgo integrada en productos ya regulados (máquinas, productos sanitarios y similares).

Una nota honesta: para las obligaciones sobre sistemas de alto riesgo, la Unión Europea ha iniciado un proceso de simplificación que puede aplazar algunos plazos, vinculado a la disponibilidad de normas técnicas. Antes de planificar inversiones importantes, comprueba siempre el calendario actualizado en la web de la Comisión Europea. Al Profesor le encanta la historia, pero las fechas legales se comprueban en la fuente.

Y si trabajas con Italia, ten en cuenta que allí está en vigor desde el 10 de octubre de 2025 la Ley 132/2025 sobre inteligencia artificial, que complementa el reglamento europeo con principios y normas nacionales, por ejemplo para las profesiones, la sanidad y el trabajo.

Qué cambia de verdad para una pyme que usa IA

Pongamos un ejemplo concreto. Imagina una empresa de 20 personas que usa un asistente de IA para escribir correos y presupuestos, un chatbot en la web para las preguntas de los clientes y un programa que resume las actas de las reuniones. ¿Qué tiene que hacer?

1. Formar a las personas. La obligación de alfabetización ya es aplicable. No hace falta un máster: hace falta que quien usa la IA sepa qué hace la herramienta, dónde se equivoca, qué datos no debe introducir y cuándo se necesita un control humano. Una formación práctica, documentada y adaptada a cada puesto.

2. Ser transparente. Si el chatbot de la web responde a los clientes, las personas deben entender que están tratando con un sistema automático. Si publicas imágenes o textos generados o manipulados que pueden parecer auténticos, en muchos casos hay que indicarlo.

3. Comprobar que no entras en el alto riesgo. Este es el punto que muchos subestiman. Usar la IA para escribir un correo es riesgo mínimo. Usarla para filtrar currículos o evaluar el rendimiento de los empleados es un caso de alto riesgo. En ese caso, quien la usa tiene obligaciones concretas: seguir las instrucciones del proveedor, garantizar una supervisión humana competente, conservar los registros, informar a los trabajadores.

4. No olvides el RGPD. El AI Act no sustituye al Reglamento General de Protección de Datos: lo acompaña. Si en la herramienta entran datos personales de clientes o empleados, siguen valiendo todas las reglas de siempre: base jurídica, información, contratos con los proveedores, seguridad.

¿Y las sanciones?

Las sanciones del AI Act son importantes: para las prácticas prohibidas pueden llegar a 35 millones de euros o al 7% del volumen de negocio mundial anual. Para las pymes, sin embargo, el reglamento prevé que se aplique el importe más bajo entre la cifra fija y el porcentaje. El mensaje no es «ten cuidado o cierras»: es «haz las cosas con orden». Igual que con el estatuto del gremio: quien trabajaba bien no temía a los cónsules.

Los errores más comunes

• Pensar que el AI Act solo afecta a las grandes tecnológicas. Los proveedores tienen las obligaciones más pesadas, pero quien usa la IA también tiene las suyas.
• Comprar herramientas sin hacer inventario. Muchas empresas no saben cuántas herramientas de IA usan realmente sus empleados, a menudo con cuentas personales.
• Usar la IA para decisiones sobre personas sin darse cuenta. Un filtro automático de currículos «para ahorrar tiempo» es justo lo que no se debe improvisar.
• Formar una vez y ya está. Las herramientas cambian cada mes: las reglas internas también hay que actualizarlas, como los estatutos medievales.

Cómo te puede ayudar Penzai

Nuestro trabajo parte siempre de las personas y los procesos, no de las herramientas. En un proyecto de estrategia de IA mapeamos los usos actuales, los clasificamos por nivel de riesgo y redactamos contigo reglas internas sencillas. Con la formación en IA construimos la alfabetización que exige el reglamento, a medida de los puestos de tu empresa. Si quieres elegir herramientas con criterio, lee también No lo automatizamos todo. Automatizamos lo que tiene sentido, o consulta la página dedicada a las pymes.