El Reglamento de IA para un equipo de ocho.

Casi toda la orientación sobre el Reglamento de IA está escrita para organizaciones que tienen un área de cumplimiento. Si sois ocho personas y uno de vosotros lleva esto entre sprints, la pregunta útil no es "qué exige el Reglamento", sino cuál es la posición defendible más pequeña que puedo sostener, y en cuánto tiempo llego a ella. Normalmente: un día, más o menos.

La respuesta corta para la mayoría de las empresas emergentes: eres responsable del despliegue o proveedor de un sistema de riesgo limitado o mínimo, debes tres obligaciones vivas que se despachan en una tarde, y el material aterrador del capítulo III no te aplica. El trabajo consiste en dejarlo por escrito, porque "lo miramos, esta es nuestra posición, con fecha" es lo que de verdad piden los inversores y los compradores corporativos.

¿Te aplica siquiera?

Si tus usuarios están en la UE, sí - estés constituido donde estés. El artículo 2 alcanza a los proveedores establecidos en cualquier lugar cuando la salida se utiliza en la Unión. Una C-corp de Delaware que vende en Berlín está dentro del ámbito. Una empresa británica con clientes en la UE, también.

Lo que no significa es que te apliquen todas las obligaciones. Ámbito y nivel de riesgo son preguntas distintas, y confundirlas es el error más común de las empresas emergentes.

Las tres que están vivas ahora mismo

Esa es toda la carga viva de una empresa emergente típica. Exigible desde el 2 de agosto de 2026 - no lo aplazó el ómnibus, dijeran lo que dijeran los titulares.

Las dos preguntas que deciden todo lo demás

1. ¿Eres proveedor o responsable del despliegue? Lo construiste y lo pusiste en el mercado con tu nombre → proveedor de ese sistema. Tienes licencia del de otro y lo usas → responsable del despliegue. Muchos equipos responden "proveedor" porque escribieron código, cuando el sistema de IA en sí está licenciado. Equivocarse aquí significa asumir las obligaciones de un tercero. La prueba completa.

2. ¿Algo de lo que pones en el mercado evalúa a una persona? Esta es la bifurcación. Puntuar, ordenar, cribar o predecir cosas sobre personas físicas - para empleo, crédito, educación, servicios esenciales - te mete en el anexo III, y la elaboración de perfiles cierra la salida del artículo 6(3). Todo lo demás es casi con total seguridad de riesgo limitado o mínimo.

Construir sobre GPT o Claude no te convierte en proveedor de GPAI. El uso de la API, el prompting y el ajuste fino ligero dejan el artículo 53 con el proveedor del modelo. ChatGPT / API de OpenAI · Dónde está la línea.

Las cifras de las multas, corregidas

Verás 35 millones de euros / 7 % citados en todas partes. Ese tramo es para las prácticas prohibidas del artículo 5, y para las pymes y las empresas emergentes el artículo 99(6) aplica la cantidad que sea menor - el importe fijo o el porcentaje - no la mayor. Con 2 millones de euros de facturación, el techo por una infracción del artículo 50 ronda los 60.000 euros, no los 15 millones. La mayoría de los resúmenes publicados lo cuenta al revés. Los tres tramos.

Por qué los fundadores acaban haciendo esto de todos modos

Rara vez porque haya llamado un regulador. Normalmente porque:

• Lo pidió el departamento de compras de una gran empresa. "Posición sobre el Reglamento de IA disponible bajo petición" se está convirtiendo en silencio en un filtro, y una revisión de seguridad atascada cuesta más que el trabajo.
• Lo pidió la due diligence. Una pregunta regulatoria sin responder en un data room es un descuento.
• Lo pidió el DPO de un cliente, y tu respuesta tiene que ser un documento, no un mensaje de Slack.

En los tres casos el entregable es el mismo: una posición escrita, fechada y razonada que nombre tu producto. Eso es un informe de brechas (in English) (en inglés), y por eso el nivel gratuito se detiene en un nivel de riesgo: el nivel responde a tu pregunta, el documento responde a la suya.

Un día, aproximadamente

• Haz la lista de tus funciones de IA y de a quién afecta cada una
• Pasa la comprobación gratuita por cada función que toque a personas
• Añade la línea de divulgación de IA a todo lo que converse - esta semana, es derecho vigente
• Haz una sesión de alfabetización en materia de IA y levanta acta
• Escribe tu papel y tu nivel de riesgo por sistema, con el razonamiento y una fecha
• Solo si algo es de verdad del anexo III: arranca ya el programa del capítulo III, porque la evaluación de la conformidad lleva 12-18 meses y diciembre de 2027 está más cerca de lo que parece

Preguntas frecuentes

¿El Reglamento de IA aplica a empresas emergentes de fuera de la UE?

Sí, si tus usuarios están en la UE. El artículo 2 alcanza a los proveedores establecidos en cualquier lugar cuando la salida del sistema se utiliza en la Unión. Una empresa de Delaware que vende en Berlín está dentro del ámbito, y también una empresa británica con clientes en la UE. Estar dentro del ámbito no es lo mismo que que te apliquen todas las obligaciones.

¿Qué tiene que hacer ahora mismo una empresa emergente?

Tres cosas, todas exigibles desde el 2 de agosto de 2026: la divulgación del artículo 50 en cualquier cosa de cara al usuario que converse, una sesión de alfabetización en materia de IA del artículo 4 con acta, y una comprobación del artículo 5 de que nada de lo que ejecutas está prohibido de plano. Para una empresa emergente típica, esa es toda la carga viva.

¿Las empresas emergentes están exentas del Reglamento de IA?

No. No hay exención para empresas emergentes. Lo que hay es proporcionalidad: el artículo 99(6) aplica la menor entre la multa fija y el porcentaje de facturación a las pymes y las empresas emergentes, y la mayoría de las obligaciones solo muerde si tu sistema es de verdad de alto riesgo.

¿De cuánto son las multas del Reglamento de IA para una empresa emergente?

Para las pymes y las empresas emergentes se aplica la menor entre el importe fijo y el porcentaje de la facturación mundial, al revés que la regla para las grandes empresas. Con 2 millones de euros de facturación, el techo por una infracción del artículo 50 ronda los 60.000 euros, no los 15 millones.

¿Para qué necesita una empresa emergente una evaluación del Reglamento de IA?

Normalmente no porque haya llamado un regulador. Es el departamento de compras de una gran empresa quien pregunta, o la due diligence, o el DPO de un cliente, y en cada caso el entregable es una posición escrita, fechada y razonada que nombre tu producto, no un mensaje de Slack.

¿El Reglamento de IA aplica a empresas de fuera de la UE?

A menudo, sí. El artículo 2 alcanza a los proveedores con independencia de dónde estén establecidos, y alcanza a proveedores y responsables del despliegue de terceros países cuando la salida producida por el sistema de IA se utiliza en la Unión. Una empresa estadounidense o británica con usuarios en la UE suele estar dentro del ámbito, aunque estar dentro del ámbito no es lo mismo que ser de alto riesgo.