La Ley IA de España: el momento para que tu pyme se forme en IA legalmente

El 26 de mayo de 2026, el AI Act se hizo real para tu pyme española. El Consejo de Ministros aprobó el Proyecto de Ley de Buen Uso y Gobernanza de la Inteligencia Artificial y arrancó su tramitación parlamentaria por la vía urgente. El reglamento europeo se aplica con carácter general desde el 2 de agosto de 2026, y las obligaciones del anexo III (sistemas de alto riesgo) llegan el 2 de diciembre de 2027. Si tu equipo ya usa ChatGPT, Copilot o Gemini para trabajar, esto te afecta directamente.

Qué ha pasado realmente (y qué NO)

Conviene ajustar los titulares. No se ha aprobado una ley en el Congreso. Lo que ha ocurrido es que el Consejo de Ministros ha dado luz verde al proyecto de ley y lo ha remitido a las Cortes para su tramitación urgente. La norma adapta al ordenamiento español el Reglamento UE 2024/1689, más conocido como AI Act, que ya está vigente y se aplica en cascada desde 2024.

La fecha clave para cualquier pyme española es el 2 de agosto de 2026: a partir de ese día, el AI Act se aplica con carácter general, incluidas las obligaciones de transparencia del artículo 50. El régimen sancionador no es un papel mojado. La AESIA, Agencia Española de Supervisión de la Inteligencia Artificial con sede en A Coruña, opera desde el 14 de febrero de 2025 y dispone de autoridad sancionadora plena desde el 2 de agosto de 2025. Inspecciona, requiere documentación y multa directamente, sin pasar por jueces.

La obligación que casi nadie está contando: alfabetización IA

Aquí está la pieza que ningún medio generalista está cubriendo bien. El artículo 4 del AI Act es explícito y aplica desde el primer día: toda organización que despliegue sistemas de IA debe adoptar medidas para promover la alfabetización en IA de su personal. Es decir, que entiende qué hace la herramienta, cuáles son sus límites, qué riesgos tiene y cómo revisar críticamente las salidas.

Y "desplegar IA" no significa montar un modelo propio en producción. Significa, literalmente, usar herramientas de IA generativa en el trabajo. Si tu gestoría usa ChatGPT para redactar correos a clientes, estás desplegando IA. Si tu clínica dental usa Copilot para resumir actas, estás desplegando IA. Si tu comercio minorista usa Gemini para preparar campañas, estás desplegando IA. En todos esos casos, el artículo 4 te obliga a formar al equipo.

No es una recomendación de buenas prácticas. Es una obligación legal, y es exigible desde el 2 de febrero de 2025. No fija un nivel concreto que debas acreditar persona a persona: lo que se te puede pedir es que muestres las medidas que has tomado. La mayoría de pymes catalanas todavía no lo sabe, y por eso este es un momento crítico: tienes ventana para actuar antes de que llegue la primera inspección.

Sanciones: cuánto puede costar, y por qué la cifra que circula está inflada

El régimen sancionador del AI Act tiene tres tramos, y conviene leerlos con una regla que casi nadie cita: para las pymes, el artículo 99.6 aplica el importe o el porcentaje, el que sea menor de los dos. Es lo contrario de lo que se suele publicar, y cambia el número por completo.

Con una pyme catalana de 2 millones de euros de facturación anual:

• Prácticas prohibidas (puntuación social, manipulación subliminal, identificación biométrica masiva): hasta 35 millones de euros o el 7% de la facturación. Para nuestra pyme, 140.000 euros.
• Incumplir las obligaciones de proveedor o de responsable del despliegue, incluida la transparencia del artículo 50: hasta 15 millones de euros o el 3%. Para nuestra pyme, 60.000 euros.
• Dar información inexacta, incompleta o engañosa a la autoridad cuando te la pide: hasta 7,5 millones de euros o el 1%. Para nuestra pyme, 20.000 euros.

Y aquí va el matiz que un vendedor de formación no suele contarte: no formar a tu equipo no tiene multa propia. El artículo 99 no incluye el artículo 4 entre las infracciones sancionables. Lo que sí se sanciona es el artículo 26: si despliegas un sistema de alto riesgo, la supervisión humana tiene que estar encomendada a personas «que tengan la competencia, la formación y la autoridad necesarias». Ahí es donde la formación deja de ser papeleo y pasa a ser lo que sostiene tu defensa. La AESIA es la autoridad competente en España para supervisar el AI Act: puede inspeccionar y requerir documentación.

Los 3 niveles de formación que IAescola ofrece

Hemos diseñado el catálogo formativo para cubrir exactamente las tres situaciones en las que se encuentra hoy una pyme española.

Nivel básico: Alfabetización IA (1 sesión de 2 horas). Para todo el equipo, sin excepciones. Cubre qué es la IA generativa, qué puede hacer y qué no, por qué a veces inventa datos, cómo identificar sesgos y, sobre todo, cómo revisar y validar las salidas antes de usarlas. Este es el módulo que da soporte a la alfabetización en IA que pide el artículo 4 del AI Act. Pensado para que después de dos horas tu equipo entienda qué tiene entre manos cada vez que abre una herramienta como ChatGPT.

Nivel intermedio: IA aplicada por departamento (4 sesiones de 2 horas). Para los equipos que ya usan IA de forma cotidiana y quieren hacerlo bien. Se imparte por departamentos: marketing y ventas, recursos humanos, finanzas y administración, atención al cliente. Cada sesión combina casos de uso concretos con los límites legales aplicables a ese departamento (por ejemplo, qué no puedes hacer con IA en un proceso de selección, o cómo evitar fugas de datos al usar herramientas generalistas).

Nivel avanzado: Preparación compliance alto riesgo (workshop de 1 día). Para empresas con sistemas que el AI Act clasifica como de alto riesgo: procesos de selección de personal automatizados, scoring crediticio, aplicaciones sanitarias, educación reglada o infraestructura crítica. Aquí entramos en documentación obligatoria, gobernanza de datos de entrenamiento, mecanismos de supervisión humana efectiva y registro de decisiones automatizadas. Es lo que la AESIA te pedirá si te toca inspección.

FUNDAE: por qué la formación puede salirte gratis

Aquí está la diferencia que pocos competidores pueden ofrecer. IAescola está acreditada como entidad organizadora FUNDAE con el número 9900033425. Eso significa que las pymes que cotizan por formación profesional (prácticamente todas, vía Seguridad Social) pueden recuperar el 100% del coste de los cursos vía bonificación FUNDAE. Nos encargamos nosotros del papeleo.

Traducido: la formación con la que avanzas en la alfabetización en IA que pide el AI Act puede tener coste cero real para tu empresa. Esto te coloca en una posición muy distinta a contratar una consultoría pura o intentar auto-formar al equipo con tutoriales sueltos de YouTube.

¿Aún no sabes qué categoría de riesgo te toca?

Antes de elegir formación, conviene saber dónde encajas. El AI Act define cuatro categorías de riesgo: inaceptable (prohibido), alto, limitado y mínimo. Si aún no sabes en cuál cae tu pyme, Petit Roig (consultoría colaboradora) tiene una herramienta diagnóstica gratuita que te lo dice en cinco minutos: petitroig.com/es/herramienta-diagnostico-ia. Responde unas preguntas sobre tus procesos y te devuelve un informe con tu categoría y los siguientes pasos.

Próximos pasos: el calendario real

Si te tomas en serio el 2 de agosto, este es el calendario que te recomendamos seguir:

• Esta semana: haz inventario. Lista qué herramientas de IA está usando tu equipo hoy, aunque sea de forma informal (cuentas personales de ChatGPT, Copilot dentro de Microsoft 365, transcriptores de reuniones, generadores de imágenes).
• Mayo y junio de 2026: forma a todo el personal en alfabetización IA. Es el módulo del artículo 4 y es el que te cubre las espaldas legales con la AESIA.
• Junio y julio de 2026: si tienes algún sistema clasificado como alto riesgo, empieza a preparar la documentación de compliance. Las obligaciones del anexo III son exigibles el 2 de diciembre de 2027: hay margen, pero no se improvisa en una tarde.
• 2 de agosto de 2026: el AI Act se aplica con carácter general, incluida la transparencia del artículo 50. La alfabetización del artículo 4 ya rige desde febrero de 2025, así que a estas alturas debe estar hecha y documentada. Las obligaciones de alto riesgo del anexo III llegan después, el 2 de diciembre de 2027.

Tres meses son suficientes si arrancas ya. Son insuficientes si lo dejas para julio.

---

Si quieres entender qué necesita exactamente tu equipo y cuántas sesiones tendría sentido programar, te ofrecemos un diagnóstico formativo gratuito de 30 minutos, sin compromiso ni venta agresiva. Escríbenos desde /contacte y te respondemos el mismo día. Hablamos personas con personas, no plantillas.