El Reglamento de IA europea ya castiga tareas de alto riesgo con multas millonarias. La patronal Pimec ha lanzado una advertencia directa a las pymes: que ChatGPT, Copilot o cualquier proveedor cumpla la norma no exime a la empresa que utiliza la herramienta. Esa lectura está cambiando la forma de comprar software en España.
Cuáles son las tareas de alto riesgo del Reglamento de IA europea
El Reglamento europeo de Inteligencia Artificial no persigue la tecnología en abstracto. Busca los usos. Sistemas de selección de personal, evaluación de solvencia, control de calidad en fábricas, triaje sanitario o gestión de expedientes educativos. Ahí está la zona caliente. El texto europeo los clasifica como de alto riesgo y obliga a auditorías, registros de actividad, supervisión humana y evaluaciones de impacto antes de desplegarlos.
Las sanciones son millonarias. El Reglamento europeo pone sobre la mesa multas por incumplimiento que pueden escalar hasta porcentajes relevantes de la facturación global de la empresa. No es un castigo simbólico: una sanción de cientos de miles de euros puede cerrar una pyme industrial o un despacho profesional.
Las obligaciones para los sistemas de alto riesgo ya no son un horizonte lejano. Después de un calendario transitorio, las empresas que integran IA en procesos sensibles están bajo la supervisión de las autoridades nacionales. La pregunta es si lo saben.
La lista de tareas de alto riesgo no es exótica. Entra de lleno en el día a día de muchas pymes: filtros de personal, scoring para conceder crédito, segmentación de clientes en seguros, control de calidad en fábricas o triaje sanitario. No hace falta entrenar un modelo propio. Basta con utilizarlo como parte de un proceso de negocio.
Pimec ha insistido en una idea incómoda para muchas pymes: el cumplimiento ajeno no se transfiere. La entidad catalana advierte de que contratar a un proveedor con sistemas certificados no convierte a la empresa usuaria en un simple espectador. Si la IA decide, ordena o influye en una decisión de alto riesgo, la responsabilidad también recae sobre el que la adopta.
La pyme no es inocente por ser pequeña: es responsable por decidir con una máquina.
Por qué no basta con que el proveedor cumpla la norma
El Reglamento distingue entre proveedor y responsable del despliegue. El proveedor diseña el sistema; el responsable lo utiliza en su organización. Y las obligaciones no son idénticas. La pyme que incorpora un algoritmo de filtrado de currículums, aunque sea de un tercero, debe garantizar supervisión humana, vigilar incidentes y conservar registros técnicos. No puede alegar desconocimiento.
Es un cambio de lógica. Antes se compraba un software como quien compra una mesa: el fabricante respondía del producto. Ahora la ley europea entiende que la IA aprende, se retroalimenta con datos de la empresa y produce efectos sobre personas. Por eso la responsabilidad se reparte a lo largo de toda la cadena.
La factura silenciosa que llega a las pymes
Yo he visto el mismo patrón en otras regulaciones: primero se subestima el coste, después se contrata apresuradamente a consultores y al final se paga más por la emergencia que por la prevención. El Reglamento de IA europea no va a ser distinto. Las pymes que usan IA para ordenar turnos, evaluar proveedores o clasificar clientes necesitan mapear sus procesos antes de que llegue una inspección. Muchas ni siquiera saben cuántos sistemas de alto riesgo tienen.
Hay una contradicción real en el diseño de la norma. Por un lado, Bruselas insiste en la proporcionalidad y promete facilidades para las pequeñas empresas. Por otro, la carga documental —evaluaciones de conformidad, planes de vigilancia, análisis de riesgos— es pesada y cara. Las guías sectoriales todavía dejan zonas grises en sectores como la selección de personal o la atención al cliente. La seguridad jurídica que exige una pyme no llega con un reglamento de cientos de artículos; llega con criterios claros de las autoridades de supervisión.
La asimetría con las grandes tecnológicas es evidente. Una corporación puede dedicar un responsable interno de cumplimiento normativo; una pequeña empresa de 12 empleados no. Por eso muchos proveedores están empezando a vender documentación preempaquetada y módulos de conformidad. El problema es que la conformidad no es una licencia de uso: es un estado continuo de vigilancia.
El riesgo más subestimado es el reputacional. Un expediente sancionador por un sistema de IA en recursos humanos no solo trae multa. Trae una etiqueta dura de borrar. La Comisión Europea y la Agencia Española de Supervisión de la Inteligencia Artificial tienen instrumentos para publicar incidentes. Y los clientes, sobre todo en mercados B2B, ya preguntan quién responde cuando el algoritmo falla.
La pregunta no es si la pyme puede permitirse cumplir. Es si puede permitirse no saber qué está usando. El próximo paso lógico no es un pronóstico: es exigir a los proveedores que entreguen la documentación de conformidad junto con la factura. Quien no lo haga, se quedará fuera de las contrataciones con medianas y grandes empresas. El mercado se encargará de filtrar antes que el regulador.
