Pimec avisa a las pymes: ya no basta con que ChatGPT cumpla la ley europea de Inteligencia Artificial

Pimec ha lanzado una advertencia a las pequeñas y medianas empresas que utilizan herramientas como ChatGPT, Copilot, Claude o Gemini: el cumplimiento de la normativa europea por parte del proveedor de inteligencia artificial no resuelve automáticamente las responsabilidades de la compañía que utiliza sus servicios.

La advertencia cobra especial importancia desde el pasado 2 de agosto de 2026, cuando entró en aplicación una nueva fase del Reglamento europeo de Inteligencia Artificial. Desde esa fecha ya resultan aplicables, entre otras, las obligaciones de transparencia contempladas en el artículo 50, mientras que la exigencia de alfabetización en IA está vigente desde 2025.

En la práctica, una pyme no puede limitarse a contratar una herramienta que cumpla la legislación y olvidarse de cómo la utilizan sus trabajadores. Pimec señala cinco controles que las empresas deberían revisar para adaptarse al nuevo escenario regulatorio.

El primero pasa por conocer qué inteligencia artificial se utiliza realmente dentro de la compañía. Y eso implica ir más allá de las licencias de software contratadas oficialmente.

La empresa debería identificar también aquellas herramientas que sus trabajadores utilizan por iniciativa propia, conocer qué información introducen, determinar para qué emplean posteriormente los resultados y comprobar si estos pueden afectar a clientes, trabajadores u otras personas.

Las pymes deben formar al trabajador

Otra de las obligaciones afecta directamente a la plantilla. La alfabetización en inteligencia artificial es obligatoria desde 2025, aunque esto no significa que todas las empresas tengan que impartir exactamente la misma formación a todos sus empleados.

La capacitación debe adaptarse al uso que cada trabajador haga de estas tecnologías. No necesita los mismos conocimientos una persona que emplea ChatGPT para resumir un documento que quien utiliza inteligencia artificial en procesos de selección de personal, asesoramiento a clientes o decisiones que puedan tener consecuencias para terceros.

La compañía también debe determinar qué papel desempeña desde el punto de vista regulatorio. La mayoría de las pymes que utilizan una herramienta comercial serán consideradas responsables del despliegue o deployers, pero existen situaciones en las que pueden pasar a asumir las obligaciones propias de un proveedor.

Puede ocurrir, por ejemplo, cuando una empresa desarrolla o encarga desarrollar un sistema de inteligencia artificial y posteriormente lo pone en servicio bajo su propio nombre, incluso aunque sea exclusivamente para utilización interna.

También puede producirse en sistemas de alto riesgo cuando una compañía modifica sustancialmente una herramienta existente o cambia su finalidad hasta convertirla en un uso considerado de alto riesgo.

Esta frontera será especialmente importante a medida que las empresas dejen de limitarse a consultar herramientas como ChatGPT y comiencen a desarrollar sus propios agentes, aplicaciones y automatizaciones sobre modelos de inteligencia artificial de terceros.

No todo lo hecho con IA debe etiquetarse

Desde el 2 de agosto también resultan aplicables determinadas obligaciones de transparencia. Estas afectan, entre otros casos, a determinadas interacciones directas con sistemas de inteligencia artificial, deepfakes, reconocimiento de emociones, categorización biométrica y algunos textos generados o manipulados mediante IA relacionados con asuntos de interés público.

Sin embargo, Pimec recuerda que no existe una obligación general de etiquetar cualquier texto en cuya elaboración se haya empleado inteligencia artificial.

En el caso de determinados contenidos sobre asuntos de interés público, además, la obligación de informar de su generación o manipulación mediante IA no se aplica cuando existe una revisión humana o control editorial y una persona o entidad asume la responsabilidad editorial.

Especial atención merecen los denominados usos sensibles. La selección y evaluación de trabajadores, determinados sistemas biométricos o algunos sistemas relacionados con el acceso a servicios esenciales se encuentran entre los ámbitos sometidos a mayores cautelas.

Parte de las obligaciones específicas para los sistemas considerados de alto riesgo, no obstante, se han aplazado. Para determinados usos del anexo III, entre ellos algunos relacionados con empleo, educación o servicios esenciales, el calendario se extiende hasta el 2 de diciembre de 2027. En el caso de la inteligencia artificial incorporada a determinados productos regulados, el horizonte alcanza el 2 de agosto de 2028.

Esto no supone que las empresas puedan ignorar estos sistemas hasta esas fechas. Algunos usos de la IA ya están prohibidos y, además del nuevo Reglamento europeo, continúan siendo aplicables el Reglamento General de Protección de Datos (RGPD), la legislación laboral, la normativa de consumidores y el resto de legislación correspondiente.

Por ello, Pimec desaconseja esperar hasta que toda la regulación europea esté completamente desplegada, prohibir de manera generalizada las herramientas para evitar riesgos o asumir que el cumplimiento del proveedor libera automáticamente a la empresa de sus responsabilidades.