Si tu pyme usa un chatbot en la web, un agente de WhatsApp, un asistente interno o un CRM que contesta a clientes con IA, desde el 2 de agosto de 2026 el Reglamento europeo de IA (AI Act) te obliga a tres cosas: avisar de forma clara de que la persona está hablando con una IA, etiquetar los deepfakes y los textos informativos generados con IA que nadie haya revisado, y tomar medidas para formar a tu equipo en el uso de estas herramientas. El Digital Omnibus aplazó a diciembre de 2027 los sistemas de alto riesgo, pero no tocó la transparencia. Y que en España haya caducado el proyecto de ley de IA no te exime de nada: el reglamento europeo se aplica directamente.
Te explicamos qué ha cambiado, qué casos concretos te afectan y cómo dejarlo resuelto en una semana sin pagar una consultoría jurídica de seis cifras.
Qué cambió el Digital Omnibus del AI Act (y qué sigue igual)
En julio de 2026 se publicó el Reglamento (UE) 2026/1744, conocido como Digital Omnibus, que modifica el Reglamento (UE) 2024/1689 de IA. Muchos titulares hablaron de "aplazamiento del AI Act", y eso ha llevado a más de un gerente a pensar que puede olvidarse del tema hasta 2028. No es así. Según el análisis de CumpleConIA y TrustAI, el calendario queda así:
| Obligación | Fecha de aplicación | ¿Afecta a una pyme típica? |
|---|---|---|
| Prácticas prohibidas (art. 5): manipulación, scoring social, reconocimiento de emociones en el trabajo | 2 de febrero de 2025 | Sí, como límite: no puedes usarlas |
| Alfabetización en IA del personal (art. 4), reescrito por el Omnibus | Vigente desde febrero de 2025 | Sí, a cualquier empresa que use IA |
| Transparencia (art. 50): chatbots, deepfakes, contenido sintético | 2 de agosto de 2026 | Sí, si tienes chatbots, agentes de voz o publicas contenido generado |
| Marca de agua del art. 50.2 para sistemas generativos ya en el mercado | Periodo de gracia hasta el 2 de diciembre de 2026 | Sobre todo a proveedores de modelos (OpenAI, Google...), no al usuario final |
| Alto riesgo del Anexo III (selección de personal, scoring crediticio, educación) | Aplazado al 2 de diciembre de 2027 | Solo si usas IA para filtrar CV, conceder crédito o similar |
| Alto riesgo del Anexo I (IA integrada en productos regulados) | Aplazado al 2 de agosto de 2028 | Solo a fabricantes de maquinaria, dispositivos médicos, juguetes... |
Resumiendo: lo que se ha retrasado es lo que menos afecta a una pyme comercial. Lo que te toca de lleno, la transparencia, está en vigor desde hace casi tres meses.
Obligaciones del AI Act para chatbots y asistentes con IA
Avisar de que el usuario habla con una IA (art. 50.1 y 50.5)
El artículo 50 exige que los sistemas que interactúan directamente con personas estén diseñados para que estas sepan que hablan con una IA, salvo que resulte evidente para una persona razonablemente informada. El apartado 5 añade cuándo y cómo: de forma clara y distinguible, a más tardar en la primera interacción, y respetando los requisitos de accesibilidad.
En la práctica, esto significa:
- Un chatbot que se llama "Laura" con foto de stock y no dice nada de ser IA no cumple.
- Un aviso enterrado en la política de privacidad no cumple: tiene que estar en la propia conversación.
- Un primer mensaje del tipo "Soy el asistente virtual con IA de [empresa]. Si prefieres hablar con una persona, escribe AGENTE" sí cumple, y además mejora la confianza.
- En un agente de voz que hace o recibe llamadas, el aviso debe ir al principio de la llamada, no al final.
¿Eres proveedor o responsable del despliegue?
El AI Act distingue entre el proveedor (quien desarrolla el sistema o lo pone en servicio con su nombre) y el responsable del despliegue (quien lo usa). El deber de diseñar el chatbot para que avise recae formalmente en el proveedor. Pero ojo: si tu empresa ha encargado un chatbot a medida sobre la API de un modelo y lo ofrece con su marca, es muy probable que se te considere proveedor de ese sistema. Si usas una herramienta comercial, revisa que permita configurar el aviso y actívalo. En ambos casos, quien da la cara ante el cliente eres tú.
Contenido generado: imágenes, vídeos y textos
Como responsable del despliegue, el artículo 50.4 te obliga a:
- Revelar los deepfakes: si publicas un vídeo o audio en el que aparece una persona real diciendo o haciendo algo que no hizo, o una imagen realista manipulada, debes indicar que es artificial. Si es claramente creativo o satírico, basta con un aviso que no estropee la obra.
- Etiquetar los textos generados con IA que se publiquen para informar al público sobre asuntos de interés público, salvo que hayan pasado por revisión humana y alguien asuma la responsabilidad editorial.
Esto tiene una lectura tranquilizadora: una ficha de producto o un post del blog redactados con ayuda de IA y revisados por tu equipo no necesitan etiqueta por el art. 50.4. Un avatar sintético de tu CEO anunciando una oferta, sí.
Formación en IA del equipo: el artículo 4 tras la reforma
El Omnibus reescribió el artículo 4. Antes exigía "garantizar, en la medida de lo posible, un nivel suficiente de alfabetización en IA". Ahora, según el análisis de Law & Technology, proveedores y responsables del despliegue deben tomar medidas para apoyar el desarrollo de la alfabetización en IA de su personal, sin obligación de garantizar un nivel concreto en cada persona. Pasa de ser una obligación de resultado a una de medios.
Que sea de medios no quiere decir que puedas no hacer nada. Lo razonable para una pyme es:
- Una sesión de formación (2-3 horas) para quien usa IA a diario: qué datos no se pegan en herramientas públicas, cómo revisar resultados, cuándo escalar a una persona.
- Una política interna de una página sobre herramientas permitidas y usos prohibidos.
- Un registro sencillo de quién se ha formado y cuándo. Si alguien pregunta, eso es tu prueba.
Por cierto, el riesgo real en muchas pymes no es el chatbot de la web, sino los empleados pegando contratos y datos de clientes en un ChatGPT personal. Un asistente corporativo con IA entrenado con los datos de tu empresa, con control de accesos y sin que la información salga a herramientas no autorizadas, resuelve a la vez el problema de productividad y el de cumplimiento. Ya contamos sus ventajas operativas en el asistente corporativo IA, un empleado que siempre está disponible.
IA en ventas y CRM: qué casos cubre el AI Act
Es donde más dudas vemos. Esta tabla resume los usos habituales en un equipo comercial:
| Uso de IA | ¿Qué exige el AI Act? |
|---|---|
| Chatbot que cualifica leads en la web o WhatsApp | Aviso de IA en el primer mensaje (art. 50) |
| Agente de voz que llama a leads o confirma citas | Aviso de IA al inicio de la llamada (art. 50) |
| Correos comerciales redactados por IA y enviados por un comercial | Sin etiqueta obligatoria por el AI Act; sigue aplicando RGPD y LSSI |
| Respuestas automáticas por email sin intervención humana que simulan a un comercial | Recomendable avisar: es interacción directa con una IA |
| Puntuación de leads (lead scoring) para priorizar llamadas | No es alto riesgo como tal; no confundir con scoring crediticio de personas |
| Detectar emociones del comercial en llamadas para evaluarle | Prohibido: reconocimiento de emociones en el trabajo (art. 5) |
Este último punto pilla a más de uno: algunas herramientas de análisis de llamadas ofrecen "análisis de sentimiento del agente". Aplicado a evaluar a tus empleados, entra en terreno prohibido. Si estás montando un CRM con IA para ventas, conviene diseñarlo desde el principio con estos límites, igual que el sistema de priorización que explicamos en cómo dejar de llamar a leads que nunca van a comprar.
¿Y la ley española de IA? Qué pasa tras el adelanto electoral
El Gobierno aprobó en mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096), que iba a concretar el régimen sancionador y consolidar a la AESIA como autoridad de vigilancia. Con la disolución de las Cortes y la convocatoria de elecciones generales para el 29 de noviembre, el proyecto figura como caducado desde el 6 de octubre de 2026. El próximo Gobierno tendrá que volver a aprobarlo desde cero.
¿Significa esto que no hay obligaciones? No. Un reglamento europeo es directamente aplicable en España sin necesidad de ley nacional. Lo que falta es la norma que detalle el procedimiento sancionador. Mientras tanto:
- Las obligaciones del art. 50 y del art. 4 son exigibles igualmente.
- Tu chatbot trata datos personales, y la AEPD sigue sancionando por RGPD con su propio régimen.
- Cuando llegue la ley, los incumplimientos de hoy no desaparecen. Adaptarte ahora cuesta poco; hacerlo con prisas cuesta más.
Multas del AI Act para pymes: cuánto te juegas
El artículo 99 fija tres niveles:
- Prácticas prohibidas: hasta 35 millones de euros o el 7 % de la facturación mundial.
- Incumplimiento de otras obligaciones de operadores, incluida la transparencia del art. 50: hasta 15 millones o el 3 %.
- Información incorrecta a las autoridades: hasta 7,5 millones o el 1 %.
Para pymes y startups se aplica la cuantía menor de las dos (art. 99.6), no la mayor. Una empresa que factura 3 millones tendría un techo teórico de 90.000 euros por un chatbot sin aviso. No es la ruina, pero sí bastante más de lo que cuesta añadir una línea de texto al primer mensaje.
Checklist: cómo adaptar tu chatbot o asistente IA en una semana
- Inventario (día 1): lista todas las herramientas con IA que usa la empresa, incluidas las que el equipo usa por su cuenta: chatbot web, WhatsApp, agentes de voz, CRM, generadores de imágenes, ChatGPT, Copilot...
- Clasifica (día 1): marca cuáles hablan directamente con clientes, cuáles generan contenido que publicas y cuáles son solo internas.
- Revisa prohibiciones (día 2): comprueba que ninguna analiza emociones de empleados ni manipula al usuario.
- Aviso de IA (días 2-3): añade el aviso en el primer mensaje de cada chatbot y al inicio de cada llamada automatizada. Incluye siempre una vía para hablar con una persona.
- Contenido (día 3): define quién revisa los textos generados antes de publicarlos y etiqueta cualquier vídeo, audio o imagen realista sintética.
- Formación (días 4-5): sesión breve, política interna de una página y registro de asistentes.
- Documenta (día 5): guarda el inventario, capturas de los avisos y el registro de formación en una carpeta. Revísalo cada seis meses o cuando añadas una herramienta nueva.
Preguntas frecuentes
¿El Digital Omnibus aplazó las obligaciones de los chatbots?
No. El Omnibus retrasó los sistemas de alto riesgo a diciembre de 2027 y agosto de 2028, pero la transparencia del artículo 50, que incluye el aviso en los chatbots, se aplica desde el 2 de agosto de 2026.
¿Tengo que poner "generado con IA" en todos mis textos?
No. La etiqueta obligatoria afecta a textos publicados para informar sobre asuntos de interés público que no hayan pasado por revisión humana, y a los deepfakes. Fichas de producto, emails o posts revisados por tu equipo no la necesitan por el AI Act.
Si no hay ley española de IA, ¿quién me puede sancionar?
El reglamento europeo es aplicable igualmente. La ley española que iba a detallar el procedimiento ha caducado con la disolución de las Cortes, pero las obligaciones siguen ahí, y la AEPD puede actuar por cualquier problema de protección de datos de tu chatbot.
¿Usar ChatGPT en la oficina me obliga a algo?
Sí: el artículo 4 te pide tomar medidas para que tu equipo tenga formación suficiente en IA. Una formación breve, una política de uso y un registro bastan para la mayoría de pymes.
Cumplir el AI Act no exige frenar tu uso de la IA, sino montarla bien desde el principio: con avisos claros, datos bajo control y un equipo que sabe lo que hace. En Guznel Flow diseñamos asistentes corporativos con IA y CRM con IA para ventas que ya incluyen estos requisitos de serie. Si quieres revisar tus herramientas actuales o lanzar un asistente que cumpla desde el primer día, cuéntanos tu caso y te decimos qué cambiar.