Reglamento europeo de IA: qué debe hacer en 2026 una pyme que utiliza agentes

En resumen

• Una pyme que utiliza un agente de IA es, casi siempre, «responsable del despliegue» en el sentido del Reglamento europeo de IA. También puede ser «proveedor»: el texto se refiere asimismo a quien encarga el sistema («para el que se desarrolle un sistema de IA») y lo pone en servicio con su propio nombre. Pida a su asesor que compruebe su caso y escriba en el contrato el papel de cada parte.
• Desde el 2 de agosto de 2026, un agente que se comunica directamente con sus clientes debe decirles que es una IA, a más tardar en la primera interacción.
• Las normas de «alto riesgo» (contratación, gestión de empleados, solvencia de personas físicas) se aplicarán el 2 de diciembre de 2027. Es ahora cuando conviene identificar esos usos.

El Reglamento europeo de IA, a menudo llamado «AI Act», es el Reglamento (UE) 2024/1689. Lo ha modificado el Reglamento (UE) 2026/1744, conocido como «ómnibus digital sobre IA». Entró en vigor el 27 de julio de 2026.

Si el tema le parece confuso, no es el único. En 2025, entre las empresas de la UE con al menos 10 empleados que se plantearon utilizar IA sin llegar a hacerlo, el 52,5 % cita la falta de claridad sobre las consecuencias jurídicas (Eurostat).

Esta es una lectura práctica para una pyme que utiliza agentes de IA. Aquí, un «agente» es un software que se apoya en un modelo de IA para realizar una tarea: clasificar correos, preparar un recordatorio de pago, responder a un cliente. Esta lectura no sustituye el dictamen de un jurista.

Responsable del despliegue o proveedor: dónde se sitúa su empresa

El Reglamento define varios papeles (artículo 3). Dos le afectan:

• El proveedor desarrolla un sistema de IA, o lo «hace desarrollar», y lo comercializa o lo pone en servicio «con su propio nombre o marca». Suele ser el editor del software.
• El responsable del despliegue utiliza un sistema de IA «bajo su propia autoridad», en un contexto profesional. Es el caso de una pyme que se sirve de un agente para clasificar sus correos o preparar sus recordatorios de pago. Sus empleados que utilizan la herramienta siguiendo sus instrucciones no son responsables del despliegue por separado: lo es la empresa (directrices de la Comisión sobre el artículo 50, punto 14).

En la mayoría de los casos, su empresa es responsable del despliegue. Dos situaciones requieren más atención.

1. Usted hace desarrollar un agente a medida y lo pone en servicio con su nombre. La definición de proveedor se refiere también a quien «hace desarrollar» un sistema. Las directrices de la Comisión citan un caso parecido: una empresa que desarrolla un chatbot internamente y lo pone en servicio para su propio uso, con su nombre, es proveedor. Según el montaje, este papel puede recaer, por tanto, en usted o en su prestador. Pida a su asesor que compruebe su montaje y escriba el papel de cada parte, negro sobre blanco, en el contrato.
2. Usted cambia el uso de una herramienta. Un responsable del despliegue se considera proveedor si «modifica la finalidad prevista» de un sistema de IA hasta hacerlo entrar en el alto riesgo (artículo 25). Por ejemplo, una pyme de 30 empleados que reutiliza su agente de soporte para clasificar candidaturas.

¿Y el modelo de IA que hace funcionar al agente? Suele ser un «modelo de IA de uso general» (considerando 99). Sus normas se dirigen a su editor, no a su pyme.

El calendario tras el Reglamento ómnibus 2026/1744

Fuentes: artículos 113 y 111, calendario de la Comisión.

Artículo 50: decir claramente a sus clientes que hablan con una IA

La regla cabe en dos frases (artículo 50):

• Un sistema de IA destinado a «interactuar directamente con personas físicas» debe informarlas de que están interactuando con una IA. Excepción: cuando resulte evidente para una persona «razonablemente informada, atenta y perspicaz».
• La información se facilita «de forma clara y distinguible a más tardar con ocasión de la primera interacción». Cumple las normas de accesibilidad.

El 20 de julio de 2026, la Comisión publicó unas directrices sobre el artículo 50. No son vinculantes: solo el Tribunal de Justicia de la UE da una interpretación que hace fe. Sin embargo, precisan varios puntos:

• la interacción es «directa» cuando la propia IA se comunica con la persona, también por correo electrónico o por teléfono;
• un agente debe decir que es una IA y por cuenta de quién actúa;
• la excepción «es evidente» se interpreta de forma estricta. Ejemplo citado: un asistente interno reservado a empleados formados, que saben que utilizan una IA.

En la práctica:

• Chatbot en su sitio web: el mensaje de bienvenida dice que se trata de un asistente automático.
• Agente de voz por teléfono: lo anuncia desde el inicio de la llamada.
• Agente que responde solo a los correos: la respuesta lo menciona, por ejemplo al principio del mensaje. También indica para qué empresa escribe el agente.
• Borrador revisado y enviado por un empleado: las directrices excluyen este caso cuando el empleado se sirve de la IA como ayuda y sigue siendo el verdadero interlocutor del cliente. Atención: la mera posibilidad de revisar no basta. Una revisión meramente formal no debe servir para eludir la obligación. En caso de duda, mencione la IA de todos modos.

Esta obligación recae en el proveedor, que diseña la herramienta. Si usted mismo es proveedor (véase más arriba), le corresponde a usted. Como responsable del despliegue, compruebe que el aviso se muestra y no lo desactive.

Entre las demás normas del artículo 50, dos pueden afectarle:

• El marcado de los contenidos generados (apartado 2): el proveedor hace que los textos, imágenes, sonidos y vídeos producidos por la IA sean detectables por una máquina. Excepción: una IA que solo ayuda en el formato habitual, o que no altera de forma sustancial el contenido facilitado ni su sentido. Los sistemas comercializados antes del 2 de agosto de 2026 tienen plazo hasta el 2 de diciembre de 2026.
• Las ultrasuplantaciones (apartado 4): una imagen, un sonido o un vídeo generados o modificados por IA, que se parecen a personas, lugares o hechos reales y pueden pasar por auténticos, deben ser señalados por el responsable del despliegue. La misma regla vale para un texto generado por IA y publicado para informar al público sobre una cuestión de interés público, salvo revisión humana bajo la responsabilidad editorial de una persona.

Incumplir el artículo 50 expone a una multa limitada a 15 millones de euros o al 3 % del volumen de negocios anual mundial del ejercicio anterior, la cifra que resulte más alta. Para una pyme, se aplica la más baja de las dos (artículo 99).

Alto riesgo: los usos que conviene vigilar

El anexo III enumera los usos llamados «de alto riesgo». Para una pyme, cuentan tres familias:

• La contratación: dirigir ofertas de empleo, analizar y filtrar candidaturas, evaluar candidatos.
• La gestión de empleados: decidir un ascenso o el fin de un contrato, repartir las tareas según el comportamiento o los rasgos personales, vigilar y evaluar el rendimiento y el comportamiento.
• El crédito y los seguros: evaluar la solvencia de personas físicas o asignarles una puntuación crediticia (salvo la detección de fraude financiero), evaluar el riesgo y fijar el precio de un seguro de vida o de salud para personas físicas.

Un empresario individual, que ejerce sin crear una sociedad, es una persona física: en Francia, el INPI recuerda que la empresa individual se confunde jurídicamente con él. Un agente que puntuara la solvencia de esos clientes podría entrar en este caso. Compruébelo con su asesor.

Un uso del anexo III no es de alto riesgo si no presenta un riesgo importante para la salud, la seguridad o los derechos fundamentales. Es el caso, por ejemplo, de una tarea procedimental limitada o de una tarea preparatoria. Lo es siempre si implica «elaboración de perfiles», es decir, si evalúa automáticamente aspectos personales de una persona a partir de sus datos: trabajo, situación financiera, fiabilidad, comportamiento… (artículo 6; definición en el artículo 4 del RGPD). El proveedor que descarta así el alto riesgo debe documentar su evaluación antes de comercializar el sistema o ponerlo en servicio.

Estas normas se aplicarán el 2 de diciembre de 2027, en lugar del 2 de agosto de 2026 previsto inicialmente. El responsable del despliegue deberá entonces, en particular (artículo 26):

• utilizar el sistema conforme a sus instrucciones de uso;
• encomendar la supervisión humana a personas competentes, formadas y con la autoridad necesaria;
• vigilar el funcionamiento y comunicar los problemas;
• conservar al menos seis meses los registros de actividad generados automáticamente, cuando estén bajo su control;
• informar a los representantes de los trabajadores y a los empleados afectados antes de la puesta en servicio en el trabajo;
• informar a las personas afectadas cuando el sistema toma, o ayuda a tomar, decisiones que les conciernen.

Los usos previstos para nuestros cuatro agentes tipo, en preparación (recordatorios y facturas, correos y soporte, presupuestos y clientes potenciales, documentos contables), no figuran, en principio, en esta lista. Queda un punto por examinar: la lista de clientes «de riesgo» que preparará el agente de Recordatorios y facturas, si esos clientes son personas físicas (véase más arriba). Aplicaremos a todos nuestros agentes normas cercanas a las del alto riesgo: al principio, el agente propone y una persona decide; cada acción quedará anotada en un registro; el agente se detiene y cede el paso en caso de duda.

Artículo 4 (alfabetización en materia de IA): lo esencial

Desde el 2 de febrero de 2025, los proveedores y los responsables del despliegue deben ocuparse de la «alfabetización en materia de IA» de su personal. El Reglamento 2026/1744 ha flexibilizado esta norma (artículo 4):

• los proveedores y los responsables del despliegue «adoptan medidas para fomentar» esa alfabetización, según los conocimientos de cada persona y el contexto de uso;
• la obligación «no obliga» a garantizar un nivel concreto a cada persona;
• la Comisión y los Estados miembros ayudan a las empresas, en particular a las pymes; la Comisión publica ejemplos prácticos.

El texto no impone ningún formato. Una base sencilla: una formación breve sobre la herramienta y una norma de uso por escrito. Lo detallamos en nuestro artículo sobre la formación de los equipos.

Qué prevé el contrato: quién asume cada papel

Un contrato de puesta en marcha de agentes debería precisar, agente por agente:

• el papel de cada parte: quién es proveedor y quién es responsable del despliegue;
• la mención «está interactuando con una IA»: quién la diseña y dónde se muestra;
• el uso previsto y los usos excluidos, en particular los del anexo III. Cambiar de uso exige un nuevo análisis;
• el registro: qué se anota, durante cuánto tiempo y quién tiene acceso;
• los incidentes: quién los detecta y quién avisa a quién;
• los datos personales: el contrato de encargo del tratamiento previsto en el artículo 28 del RGPD (texto en el sitio de la CNIL).

En Kendu Intelligence, la ficha de funciones de cada agente, que usted validará antes de la construcción, precisará su misión y sus casos de parada. El papel de cada parte respecto al Reglamento se definirá con usted en el presupuesto, según el modo de despliegue elegido. Cada acción de nuestros agentes quedará anotada en un registro.

Para ir más allá

• Nuestro método: ficha del agente validada por usted, niveles de autonomía del 0 al 3.
• Formación: formaciones en preparación, con una primera toma de contacto incluida en cada puesta en marcha.
• Datos y seguridad: dónde se alojarán sus datos y dónde puede operarse el modelo de IA.
• La auditoría: hacemos balance de sus herramientas, de sus usos y de los datos personales tratados. Se hace con presupuesto.