Para una pyme o un autónomo, es fundamental disponer de más tiempo para adaptar los sistemas de alto riesgo, pero las obligaciones generales sobre transparencia, protección de datos, formación y control del uso de la IA siguen plenamente vigentes.
La pyme debe comenzar por elaborar un inventario de todos los sistemas de IA que utiliza o comercializa. Debe identificarse su finalidad, proveedor, personas usuarias, datos tratados y papel de la empresa: proveedor del sistema, responsable de su utilización, distribuidor o simple cliente de una herramienta externa. No es lo mismo utilizar un asistente para redactar textos que emplear un algoritmo para seleccionar personal, conceder crédito, evaluar clientes o controlar trabajadores.
El régimen completo de los sistemas de alto riesgo se ha aplazado. Para los sistemas del anexo III, datos de empleo, educación, servicios esenciales, determinadas aplicaciones biométricas, justicia o migración, será aplicable desde el 2 de diciembre de 2027. Para sistemas integrados en determinados productos regulados, la fecha se desplaza al 2 de agosto de 2028. Este aplazamiento no elimina las obligaciones: únicamente concede más tiempo para preparar gestión de riesgos, documentación técnica, calidad de datos, supervisión humana, ciberseguridad y evaluación de conformidad.
Desde agosto de 2026, las pymes deben prestar especial atención a la transparencia y a la lealtad para con el exterior. Los sistemas que interactúen con personas deberán advertir claramente de que se está utilizando una IA. Los proveedores de herramientas que generen o manipulen texto, imágenes, audio o vídeo deberán incorporar mecanismos técnicos de marcado detectable. Cuando la empresa publique deepfakes o determinados contenidos de interés público generados artificialmente, deberá informar de ello de manera visible, incluida su publicidad, no solo la de las redes sociales.
La alfabetización en IA continúa siendo obligatoria, aunque se ha flexibilizado. La pyme debe adoptar medidas razonables para formar al personal que utilice estas herramientas, atendiendo al puesto, al riesgo y al contexto. Conviene documentar formaciones, instrucciones de uso, prohibiciones, responsabilidades y pautas sobre confidencialidad, errores, revisión humana y protección de datos.
El RGPD no se ha aplazado. Antes de introducir datos personales en una herramienta de IA, la empresa debe comprobar la base jurídica, finalidad, minimización, información a las personas afectadas, contratos con proveedores, transferencias internacionales, conservación y seguridad. Las evaluaciones de impacto siguen siendo obligatorias cuando el tratamiento pueda generar un alto riesgo, aunque las evaluaciones específicas del Reglamento de IA hayan sido aplazadas.
El nuevo artículo 4 bis permite, de manera excepcional, tratar datos sensibles para detectar y corregir sesgos, pero únicamente cuando sea estrictamente necesario y con medidas reforzadas: pseudonimización, control de accesos, prohibición de cesión a terceros, eliminación temprana y justificación documental. No es una autorización general para entrenar modelos con datos de salud, biométricos, políticos o relativos al origen étnico.
La obligación para una pyme debe ser, por tanto, inventariar, clasificar, formar, revisar contratos y tratamientos de datos, implantar avisos de transparencia y preparar progresivamente la documentación de los sistemas que puedan ser de alto riesgo. El aplazamiento ofrece margen, pero no permite quedarse de brazos cruzados.
Y es que el Régimen sancionatorio, ya está en vigor.
Añadir DiarioSabemos como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.