Normativa de IA para empresas en España (2026): plazos y ayudas

Si tu empresa usa ChatGPT, Claude, un chatbot en la web o una automatización con IA, hay normas que ya te afectan. Esta página reúne en un solo sitio lo que se aplica hoy en España, lo que llega en los próximos años, quién supervisa y qué ayudas hay abiertas, con un enlace a la fuente oficial de cada dato.

Última revisión: 28 de octubre de 2026. Revisamos esta página una vez al mes y cada vez que cambia algo importante. Es información general, no asesoramiento jurídico. Consulta nuestra política editorial.

Resumen en 30 segundos

La norma principal es europea: el Reglamento (UE) 2024/1689 de Inteligencia Artificial (en inglés, AI Act). Se aplica directamente en España, sin necesidad de una ley nacional.
Ya en vigor para casi todas las empresas: las prácticas prohibidas, la obligación de formar al personal en IA (alfabetización) y, desde el 2 de agosto de 2026, la transparencia: por ejemplo, avisar de que un chatbot es una IA.
Lo que se retrasó: el Ómnibus Digital de 2026 aplazó las normas de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028, y suavizó la obligación de alfabetización.
En España: supervisa la AESIA. El proyecto de ley orgánica española de IA ha caducado en el Congreso, y el RGPD sigue aplicándose a cualquier uso de IA con datos personales.
Ayudas: a fecha de hoy, Kit Digital y Kit Consulting tienen las convocatorias finalizadas.

Calendario del Reglamento de IA

Fechas según el calendario oficial de la Comisión Europea, que ya incorpora los cambios del Ómnibus Digital (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026).

Fecha	Qué se aplica	¿Afecta a una pyme típica?
2 feb 2025	Definiciones, alfabetización en IA (artículo 4) y prácticas prohibidas (artículo 5)	Sí
2 ago 2025	Normas para modelos de IA de uso general (los fabricantes de los grandes modelos), gobernanza y autoridades nacionales	Casi nunca de forma directa
2 ago 2026	La mayor parte del reglamento y su aplicación efectiva, incluida la transparencia del artículo 50	Sí, si usas chatbots o generas contenido con IA
2 dic 2026	Prohibición de sistemas que generen deepfakes sexuales no consentidos o material de abuso infantil; plazo transitorio del artículo 50(2) para sistemas generativos ya comercializados	Solo a quien desarrolla sistemas generativos
2 ago 2027	Cada Estado miembro debe tener al menos un sandbox (entorno de pruebas regulado) de IA en marcha	No
2 dic 2027	Sistemas de alto riesgo del anexo III, como selección de personal o evaluación de solvencia	Sí, si usas IA para esos fines
2 ago 2028	Alto riesgo integrado en productos regulados (anexo I)	Solo a fabricantes de esos productos

Qué tiene que hacer una pyme que usa IA

El reglamento llama «responsable del despliegue» a la empresa que usa un sistema de IA bajo su autoridad, aunque no lo haya creado. Es el caso de casi todas las pymes. Estas son las obligaciones que más a menudo les afectan.

1. Formar al equipo (alfabetización en IA, artículo 4)

Tras el Ómnibus, el artículo 4 obliga a proveedores y responsables del despliegue a tomar medidas para apoyar el desarrollo de la alfabetización en IA de su personal y de quienes usan los sistemas en su nombre. El texto aclara que no exige garantizar un nivel concreto de alfabetización de ninguna persona. Antes del 27 de julio de 2026, la redacción pedía «garantizar un nivel suficiente». Además, la Comisión y los Estados miembros deben ayudar, en especial a las pymes, y la Comisión publicará ejemplos prácticos de cómo cumplir.

En la práctica, para una pyme basta con algo proporcionado y documentado: una norma interna breve sobre qué herramientas se pueden usar y con qué datos, una sesión de formación para quien las usa y un registro de que se hizo. Tienes un plan por puestos y un modelo de registro en nuestra guía de alfabetización en IA para pymes.

2. Avisar cuando la gente habla con una IA o ve contenido generado (artículo 50)

Chatbots y asistentes: las personas deben saber que interactúan con un sistema de IA, salvo que resulte evidente.
Deepfakes: si publicas imagen, audio o vídeo generado o manipulado con IA que parece real, debes indicar que es artificial.
Textos sobre asuntos de interés público: si publicas texto generado con IA para informar al público, debes indicarlo, salvo que haya revisión humana y alguien asuma la responsabilidad editorial.

Se aplica desde el 2 de agosto de 2026 y el Ómnibus no lo aplazó. Tienes textos de aviso listos para adaptar en nuestra guía del artículo 50 para pymes, y los detalles para agentes en la de cumplimiento del AI Act para agentes de IA.

3. No usar prácticas prohibidas (artículo 5)

Entre otras, están prohibidas las técnicas manipuladoras que causan un perjuicio, la puntuación social y el reconocimiento de emociones en el lugar de trabajo o en centros educativos, salvo por motivos médicos o de seguridad. Si una herramienta promete «medir el estado de ánimo de tus empleados», es una señal de alarma.

4. Preparar los usos de alto riesgo (desde el 2 de diciembre de 2027)

Si usas IA para filtrar candidatos, evaluar a empleados o decidir sobre el crédito de una persona, ese uso entra en el anexo III. Tendrás obligaciones de supervisión humana, registros e información a los afectados. Hay tiempo hasta diciembre de 2027, pero conviene saberlo antes de elegir herramienta.

Multas

Según el artículo 99:

Infracción	Multa máxima
Prácticas prohibidas (artículo 5)	35 millones de euros o el 7% de la facturación mundial anual
Otras obligaciones, incluida la transparencia del artículo 50	15 millones de euros o el 3% de la facturación mundial anual
Dar información incorrecta o engañosa a las autoridades	7,5 millones de euros o el 1% de la facturación mundial anual

Con carácter general se aplica la cifra más alta, pero a las pymes y startups se les aplica la más baja de las dos.

España: quién supervisa y en qué punto está la ley nacional

AESIA: la Agencia Española de Supervisión de la Inteligencia Artificial se creó por el Real Decreto 729/2023 y tiene su sede en A Coruña. Ha publicado 16 guías prácticas sobre el reglamento, fruto del primer sandbox de IA español, que se cerró en junio de 2026. La propia AESIA indica que no son vinculantes.
Ley orgánica española de IA: el Gobierno envió al Congreso el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096) en mayo de 2026. El Congreso lo marca como «Concluido (Caducado)» a 6 de octubre de 2026. El reglamento europeo se sigue aplicando igualmente; lo que queda pendiente es el desarrollo nacional, como el reparto de competencias y el régimen sancionador interno.
Protección de datos: el RGPD se aplica a cualquier sistema de IA que trate datos personales, y la supervisa la AEPD, que tiene una guía para adaptar al RGPD los tratamientos que usan IA.

RGPD: tres comprobaciones antes de usar IA con datos de clientes

Contrato de encargado del tratamiento (artículo 28 del RGPD): el proveedor de IA o de automatización debe firmarlo contigo. Los planes gratuitos o de consumo a menudo no lo incluyen.
Dónde se tratan los datos: si salen de la UE, debe haber una base legal para la transferencia. Por ejemplo, Zapier guarda los datos en EE. UU., mientras que Make permite elegir una región en la UE y n8n Cloud aloja en Fráncfort. Lo comparamos en Make vs Zapier.
Decisiones automatizadas (artículo 22 del RGPD): si la IA decide sola algo con efectos jurídicos o significativos sobre una persona, como rechazar a un candidato, necesitas intervención humana y una base legal específica.

Qué cambia entre cuentas personales y de empresa en ChatGPT, Claude y Gemini, y qué no pegar nunca: RGPD y ChatGPT, Claude o Gemini en la empresa.

Ayudas para implantar IA

Programa	Estado (28 oct 2026)	Fuente
Kit Digital	Convocatorias finalizadas	Acelera Pyme
Kit Consulting (bonos de asesoramiento de 12.000 a 24.000 € según tamaño)	Convocatoria finalizada	Acelera Pyme
Red.es C012/26-IA (ecosistemas de IA para startups y pymes; la solicitan asociaciones y centros tecnológicos, no pymes)	Abierta hasta el 10 nov 2026	Red.es
SPRI Inteligencia Artificial 2026 (empresas industriales de Euskadi, hasta el 60% y 100.000 €)	Abierta hasta el 2 nov 2026	SPRI

El detalle de cada programa, CDTI y EDIH incluidos, está en nuestra guía de ayudas de IA para pymes. No hemos encontrado ninguna ayuda estatal abierta que una pyme pueda solicitar directamente para implantar IA. Desconfía de quien te ofrezca «tramitar el Kit Digital para IA» mientras las convocatorias sigan cerradas. Actualizaremos esta tabla cuando se publique una nueva convocatoria oficial.

Lista de comprobación para una pyme

Haz un inventario de las herramientas de IA que se usan en la empresa, incluidas las que cada persona usa por su cuenta.
Escribe una norma interna de una página: herramientas permitidas, datos que no se introducen y quién revisa el resultado.
Da una formación breve a quien usa IA y deja constancia (artículo 4).
Si tienes chatbot o asistente, añade un aviso visible de que es una IA (artículo 50).
Etiqueta las imágenes, audios o vídeos generados con IA que parezcan reales.
Revisa que ningún proveedor ofrezca funciones prohibidas, como el reconocimiento de emociones de empleados.
Firma el contrato de encargado del tratamiento con cada proveedor que reciba datos personales y comprueba dónde los aloja.
Si usas IA en selección de personal o en evaluación de clientes, mantén la decisión final en una persona y prepárate para diciembre de 2027.

Si estás empezando, nuestra guía de agentes de IA para pymes explica qué automatizar primero y cuánto cuesta.

Preguntas frecuentes

¿El Reglamento de IA se aplica a una pyme que solo usa ChatGPT?

Sí, en parte. Como usuaria de un sistema de IA, una pyme debe tomar medidas de alfabetización en IA (artículo 4), no usar prácticas prohibidas (artículo 5) y cumplir la transparencia del artículo 50 cuando corresponda, por ejemplo si pone un chatbot de cara al público.

¿Es obligatorio formar a los empleados en IA?

Sí. Desde el 27 de julio de 2026, el artículo 4 exige tomar medidas para apoyar la alfabetización en IA del personal que usa estos sistemas, sin obligar a garantizar un nivel concreto. No existe un certificado obligatorio.

¿Hay ya una ley española de inteligencia artificial?

No. El proyecto de ley orgánica figura como caducado en el Congreso a 6 de octubre de 2026. El reglamento europeo se aplica directamente en España igualmente.

¿Cuál es la multa para una pyme?

Depende de la infracción: hasta 35 millones de euros o el 7% de la facturación por prácticas prohibidas, y hasta 15 millones o el 3% por otras obligaciones. En el caso de las pymes se aplica la cifra más baja de las dos.

¿Hay ayudas abiertas para implantar IA en una pyme?

A 28 de octubre de 2026, Kit Digital y Kit Consulting tienen las convocatorias finalizadas según Acelera Pyme, y no hemos encontrado otra ayuda estatal abierta que una pyme pueda solicitar directamente.