El Reglamento (UE) 2024/1689 — conocido como AI Act — entra en aplicación completa para sistemas de alto riesgo el 2 de agosto de 2026. Las empresas que utilizan IA conversacional (chatbots en web, WhatsApp Business, agentes de voz, asistentes internos) están en primera línea porque el Art. 50 del Reglamento les afecta directamente, con independencia del tamaño de la empresa o del sector.
En los últimos meses hemos acompañado a varias PYMEs españolas en auditorías de compliance con el AI Act, y hay un patrón que se repite en todas: creen que "no les afecta" y acaban descubriendo tres obligaciones mínimas que sí deben cumplir desde ya. En este artículo las desarrollamos.
Obligación 1 — Transparencia frente al usuario (Art. 50)
El Art. 50 del AI Act obliga a cualquier empresa que opera un sistema conversacional con IA a avisar al usuario que está hablando con una máquina. Esta obligación aplica desde el primer mensaje y es independiente del nivel de riesgo del sistema. Afecta a:
- Chatbots en web o WhatsApp Business API que atienden consultas de clientes.
- Agentes de voz IA que responden llamadas o hacen outbound (ventas, agendado, encuestas).
- Asistentes conversacionales internos para empleados sobre procesos o documentación.
- Correos automáticos generados por IA cuando la respuesta se envía como si fuera humana.
No basta con un disclaimer escondido en los términos y condiciones. La transparencia tiene que ser razonablemente visible en el canal donde ocurre la conversación. En la práctica significa un mensaje de bienvenida tipo "Hola, soy el asistente virtual de [empresa]. Si prefieres hablar con una persona, dímelo" o un indicador equivalente al inicio del chat. El incumplimiento se encuadra en el tramo del Art. 99.4 (hasta 15 millones de euros o 3% de facturación anual).
Para profundizar en el detalle de las sanciones y los distintos tramos del Art. 99, puedes consultar la guía completa del AI Act para PYMEs, donde está desarrollado con casos sector por sector.
Obligación 2 — Alfabetización en IA del equipo (Art. 4)
El Art. 4 del AI Act exige a cualquier empresa que opera o utiliza sistemas de IA garantizar que su equipo tiene nivel suficiente de alfabetización para entender riesgos, limitaciones y marco legal de los sistemas que maneja. Es obligatorio desde febrero de 2025, no desde agosto de 2026. Muchas empresas no lo saben.
En la práctica, esto significa que si tu equipo de atención al cliente usa un chatbot con IA, o tu equipo comercial usa un agente de voz, o incluso si tu equipo administrativo usa un copiloto como ChatGPT para redactar propuestas, tienes que poder demostrar que han recibido formación mínima sobre:
- Qué puede y qué no puede hacer el sistema con fiabilidad.
- Qué sesgos conocidos tiene y cuándo pueden aparecer.
- Qué datos pueden introducir y qué datos no (clientes, salud, financieros).
- Cuándo deben supervisar manualmente la respuesta antes de enviarla al cliente.
- El marco legal mínimo del AI Act que aplica a su rol.
La buena noticia es que para una PYME de 10-50 empleados esto se cubre con una sesión de 1-2 horas por rol, documentada en acta y guardada como evidencia. Lo que no es aceptable es "no haberlo hecho" si llega una inspección de la AESIA.
Obligación 3 — Clasificación del riesgo si el sistema decide sobre personas
Esta es la obligación más técnica y la que más confusión genera. El AI Act clasifica los sistemas en cuatro niveles: riesgo inaceptable (prohibido), alto riesgo, limitado y mínimo. La mayoría de chatbots y agentes de voz caen en riesgo limitado y solo necesitan cumplir la transparencia del Art. 50. Pero hay escenarios en los que un sistema conversacional puede entrar en alto riesgo del Anexo III, lo que dispara obligaciones mucho mayores (documentación técnica del Art. 11, evaluación de impacto, supervisión humana reforzada).
Ejemplos reales de sistemas conversacionales que caen en alto riesgo:
- Chatbot de reclutamiento que filtra candidatos antes de enviarlos al equipo de RRHH (Anexo III, punto 4 — empleo).
- Agente de voz de banca o seguros que valora riesgo crediticio o aprueba contratación de pólizas (Anexo III, punto 5 — servicios esenciales).
- Asistente de triaje médico que prioriza llamadas en una clínica según la urgencia descrita por el paciente (Anexo III, punto 7 — sanidad).
- Chatbot educativo que evalúa automáticamente respuestas de alumnos o decide quién pasa a tutoría (Anexo III, punto 3 — educación).
Si tu sistema entra en cualquiera de estos escenarios, no basta con cumplir el Art. 50. Hay que elaborar el dossier técnico del Art. 11, documentar la supervisión humana del Art. 14 y hacer la Evaluación de Impacto sobre Derechos Fundamentales (EIPD) del Art. 27. El proceso completo con los 7 bloques que la AESIA puede inspeccionar está desarrollado en el checklist de auditoría de compliance IA 2026.
Qué deberías hacer antes del 2 de agosto de 2026
En orden de prioridad, estos son los pasos que recomendamos:
- Inventario honesto — lista todos los sistemas de IA que usa tu empresa (chatbot, agente de voz, OCR, scoring de CRM, email con IA, etc.). Una PYME estándar descubre 8-15 sistemas, no 2 o 3.
- Clasificación por Anexo III — evalúa cada sistema. Si alguno decide sobre personas (contratación, crédito, acceso a servicios, evaluación de desempeño), probablemente es alto riesgo.
- Formación mínima del equipo (Art. 4) — una sesión por rol, documentada. Hoy, no "cuando llegue agosto".
- Transparencia visible (Art. 50) — revisa cada canal (chat web, WhatsApp, teléfono) y asegura que el aviso de "estás hablando con una IA" es claro desde el primer turno.
- Dossier técnico y EIPD para los sistemas de alto riesgo — si descubres alguno, es trabajo serio (40-120 horas por sistema). Mejor empezar ya.
Para empresas que necesiten acelerar el proceso sin pagar los 15.000-25.000 € que cotizan las consultoras especializadas, existe la opción de usar plataformas de compliance automatizado para el AI Act que generan el inventario, la clasificación y la documentación mínima en pocas horas, con plantillas específicas para el marco español (AESIA, calendario, sanciones del Art. 99).
Conclusión
El AI Act no es un problema futuro: la obligación de alfabetización (Art. 4) y la de transparencia (Art. 50) ya están en vigor o entran el 2 de agosto de 2026 para prácticamente todas las empresas con IA conversacional. Las sanciones son del mismo orden que las del RGPD. La buena noticia es que, bien planteado, cumplir las obligaciones mínimas de una PYME con chatbot o agente de voz no es un proyecto de miles de euros — es un fin de semana de inventario, una sesión de formación y un ajuste de disclaimer en los canales de atención.
Lo peor que puedes hacer es esperar al verano de 2026 para empezar.