Preguntas frecuentes

La IA y la ley en tu empresa: preguntas frecuentes

31 preguntas de gerentes de pymes, respondidas con la normativa publicada y enlace a la fuente oficial.

Actualizado el 8 de noviembre de 2026 · Web creada por Bernabé Hinojosa · Información general y orientativa, no es asesoramiento jurídico.

Preguntas frecuentes de InteligenciaArtificial.eu para gerentes de pymes y medianas empresas españolas. Web creada por Bernabé Hinojosa. Estado a 7 de noviembre de 2026. Orientación gratuita y general. Puede contener errores u omisiones. No es asesoramiento jurídico ni acredita el cumplimiento de ninguna norma: contrástalo con un profesional y con las fuentes oficiales.

Siglas que se usan: Reglamento de IA = Reglamento (UE) 2024/1689, modificado por el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»). RGPD = Reglamento (UE) 2016/679. ET = Estatuto de los Trabajadores. LOPDGDD = Ley Orgánica 3/2018.

Lo básico

1. ¿Estoy obligado a algo si mi empresa solo usa ChatGPT?

Sí, a poco, pero a algo. Toda empresa que usa IA en su trabajo debe adoptar medidas para que su personal sepa usarla (art. 4 del Reglamento de IA, desde el 2-feb-2025) y, si mete datos de personas, cumplir el RGPD: contrato con el proveedor, información a los afectados y seguridad. Si publicas imágenes o vídeos generados con IA que parecen reales, debes etiquetarlos (art. 50.4, desde el 2-ago-2026). Lo mínimo útil es una política de uso con un semáforo de datos, una formación básica registrada y una lista de las herramientas que se usan.

2. ¿Me pueden multar por usar mal la IA?

Sí, pero hoy el riesgo real de multa viene sobre todo del RGPD, no de la ley de IA. La AEPD ya puede sancionar con el RGPD cuando una IA trata datos personales sin garantías, con multas de hasta 20 M€ o el 4 % de la facturación mundial (art. 83 RGPD). El Reglamento de IA prevé multas de hasta 35 M€ o el 7 % solo para prácticas prohibidas, y de hasta 15 M€ o el 3 % para otras infracciones, como no avisar en un chatbot (art. 99). Para pymes se aplica siempre la cuantía menor de las dos (art. 99.6): por ejemplo, una pyme que facture 2 M€ tendría un máximo de 60.000 € por una infracción de transparencia (cálculo: 3 % de 2 M€). En España, a 7-nov-2026, falta la ley que concreta quién impone esas multas y cómo (ver pregunta 3).

3. ¿Qué pasa con la ley española de inteligencia artificial?

Caducó el 6 de octubre de 2026, cuando se disolvieron las Cortes para las elecciones del 29 de noviembre; el Reglamento europeo se sigue aplicando igual. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (aprobado por el Gobierno el 26-may-2026) no llegó a votarse. Esa ley debía decidir qué autoridades vigilan y cómo se sanciona en España. Mientras no haya una nueva, las obligaciones europeas existen igual (formación, prohibiciones, transparencia), la AESIA publica guías y la AEPD actúa con el RGPD. Habrá que esperar a que el nuevo Gobierno presente otro proyecto; no hay fecha. Fuente: Real Decreto 806/2026 (BOE-A-2026-20742).

4. ¿Qué tengo que hacer antes del 2 de diciembre de 2026?

Casi ninguna pyme tiene que hacer nada nuevo, salvo asegurarse de que nadie crea imágenes íntimas falsas de personas reales. Desde el 2-dic-2026 están prohibidos los sistemas de IA que generan desnudos o contenido sexual realista de personas identificables sin su consentimiento explícito y los que generan material de abuso sexual infantil (art. 5.1 del Reglamento de IA, añadido por el Reglamento 2026/1744). Ese mismo día termina el plazo para que los proveedores de IA generativa que ya estaban en el mercado marquen técnicamente sus contenidos (art. 111.4). Si solo usas esas herramientas, no te afecta.

5. ¿Cuántas empresas españolas usan ya inteligencia artificial?

Una de cada tres empresas españolas de 10 o más empleados: el 33,6 % en el primer trimestre de 2026, frente al 21,1 % un año antes. Entre las de menos de 10 empleados, el 21,4 %. Por tamaño: 29,1 % (10-49 empleados), 48,9 % (50-249) y 74,4 % (250 o más). Fuente: INE, Encuesta sobre el uso de TIC y del comercio electrónico en las empresas 2025-2026 (https://www.ine.es/dyngs/Prensa/ETICCE20251T2026.htm). Para comparar con Europa hay que usar Eurostat: en 2025, España (20,3 %) estaba en la media de la UE (20,0 %), en el puesto 13 de 27.

6. ¿Qué ha cambiado con el «Ómnibus» de la IA?

Ha retrasado las obligaciones de alto riesgo y ha suavizado la de formación, pero no ha quitado nada de lo que ya obligaba a una pyme. El Reglamento (UE) 2026/1744, en vigor desde el 27-jul-2026: aplaza el alto riesgo de usos sensibles (empleo, crédito, educación…) al 2-dic-2027 y el de productos regulados al 2-ago-2028; reformula el art. 4 para que la empresa «adopte medidas» de alfabetización sin garantizar un nivel concreto; añade dos prohibiciones desde el 2-dic-2026; y extiende a las empresas de menos de 750 empleados («small mid-caps») algunas ventajas de las pymes. La transparencia del art. 50 se mantiene desde el 2-ago-2026.

Formación

7. ¿Tengo que formar a mis empleados en IA?

Sí: toda empresa que usa IA debe adoptar medidas para que su personal tenga conocimientos suficientes, adaptadas a su puesto (art. 4 del Reglamento de IA, desde el 2-feb-2025). Tras el Ómnibus (julio de 2026) queda claro que no tienes que garantizar un nivel concreto de cada persona: basta con hacer algo razonable y poder demostrarlo. Una sesión de una o dos horas sobre qué hace la IA, en qué se equivoca y qué datos no se pueden meter, más algo específico para quien atiende clientes o decide sobre personas, es un buen punto de partida.

8. ¿Necesito un certificado oficial de formación en IA?

No: la ley no exige ningún certificado y no existe un «certificado AI Act» oficial. La Comisión Europea, en sus preguntas y respuestas sobre alfabetización (mayo de 2025), dice que basta con un registro interno de las formaciones y otras medidas. Desconfía de cursos que prometen «acreditar el cumplimiento ante la AESIA». Lo que te sirve es un registro con fecha, contenido, duración y asistentes.

9. ¿Hay ayudas públicas para la IA o para formar a mi plantilla?

A 7-nov-2026 no hay una convocatoria abierta específica de IA para pymes; la formación puede ser bonificable por FUNDAE, y el Gobierno ha anunciado un bono de IA para 2027. El Kit Digital y el Kit Consulting están cerrados. El Plan IA360 (Presidencia del Gobierno, 20-sep-2026) anuncia un bono empresarial de IA de 600 M€, con un piloto en el primer semestre de 2027 y la convocatoria general antes de finales de 2027; según el plan, exigirá un diagnóstico previo de madurez, un caso de uso concreto y la medición del impacto, y no pagará la mera suscripción a licencias. InteligenciaArtificial.eu te ayuda a preparar ese diagnóstico, el caso de uso y la medición, pero no es un requisito oficial ni está homologada para obtenerlo. Fuente: https://www.lamoncloa.gob.es/presidente/actividades/Documents/2026/20260920%20Plan%20IA360.pdf. Para FUNDAE, consulta con tu gestoría: que una formación sea bonificable no la hace «oficial».

Datos y plantilla

10. ¿Qué pasa si un empleado pega datos de clientes en ChatGPT?

Puede ser una brecha de datos personales, y la empresa tendría 72 horas desde que lo sabe para decidir si la notifica a la AEPD (art. 33 RGPD). Lo primero es que el empleado avise sin miedo. Luego: borrar la conversación si se puede, comprobar si la cuenta era personal o de empresa y si el proveedor entrena con esos datos, valorar el riesgo (qué datos, de cuántas personas) y documentarlo, se notifique o no (art. 33.5). Para evitarlo: una herramienta aprobada con cuenta de empresa y contrato, y una política con semáforo de datos.

11. ¿Puedo prohibir ChatGPT en mi empresa?

Sí, puedes prohibir o limitar las herramientas de IA en el trabajo, pero si no das una alternativa, la gente las seguirá usando a escondidas. La empresa organiza el trabajo y fija las normas de uso de los dispositivos digitales (art. 87.3 LOPDGDD, con participación de los representantes si los hay). Suele funcionar mejor aprobar una herramienta con cuenta de empresa y reglas claras sobre qué datos se pueden meter que una prohibición general.

12. ¿Puedo sancionar a un empleado por usar mal la IA?

Sí, si antes había normas claras, escritas y comunicadas; sin ellas es muy difícil. La sanción se rige por el convenio colectivo y el Estatuto de los Trabajadores, y debe ser proporcionada. Tener una política de uso de IA firmada (acuse de recibo) es la base para poder exigir. Conviene dejar claro que avisar de buena fe de un error propio no se sanciona: si no, nadie avisa.

13. ¿Necesito un contrato con OpenAI, Microsoft o Google?

Sí, si en la herramienta entran datos personales de los que tu empresa es responsable: necesitas un contrato de encargo del tratamiento (art. 28 RGPD). Los planes de empresa suelen incluirlo (a menudo se acepta en la consola de administración). Con cuentas personales de tus empleados normalmente no lo tienes, porque el contrato es entre el proveedor y cada persona. Guarda copia del contrato aceptado y la fecha.

14. ¿La versión gratuita de una IA entrena con mis datos?

Puede que sí: muchos planes gratuitos o personales permiten al proveedor usar tus conversaciones para mejorar sus modelos, y los planes de empresa suelen excluirlo. Cambia según el proveedor, el plan y la fecha, así que compruébalo en la configuración y en los términos vigentes. Si hay opción de desactivarlo, actívala y anota cuándo. Ante la duda, no metas datos de personas ni información confidencial en una cuenta gratuita.

Sí, si hay una garantía válida: lo más habitual es que el proveedor esté adherido al Marco de Privacidad de Datos UE-EE. UU. o que el contrato incluya cláusulas contractuales tipo de la Comisión (arts. 44-49 RGPD). La adhesión se comprueba en la lista oficial (dataprivacyframework.gov). Algunos proveedores permiten además elegir que los datos se queden en la UE. Anótalo en tu registro de actividades de tratamiento.

16. ¿Tengo que hacer una evaluación de impacto (EIPD) para usar IA?

Solo si el uso puede suponer un alto riesgo para las personas; con un uso general para redactar o resumir sin datos sensibles, normalmente no. La AEPD publica una lista de tratamientos que la requieren (art. 35.4 RGPD): por ejemplo, evaluar o puntuar personas, decisiones automatizadas, seguimiento sistemático de empleados o datos sensibles. Como regla práctica, si se cumplen dos o más criterios de esa lista, probablemente hace falta. Lista: https://www.aepd.es/documento/listas-dpia-es-35-4.pdf

17. ¿Necesito nombrar un responsable de IA o un delegado de protección de datos?

El Reglamento de IA no exige un «responsable de IA»; el delegado de protección de datos solo es obligatorio en casos concretos del RGPD (art. 37) y del art. 34 de la LOPDGDD. Aun así, conviene que una persona con nombre apruebe herramientas, reciba los avisos de incidentes y mantenga la documentación. En una pyme puede ser el gerente.

IA y personas

18. ¿Puedo usar IA para seleccionar personal?

Sí, pero con cuidado: hoy debes informar, revisar cada decisión con una persona y evitar la discriminación; desde el 2-dic-2027 será un uso de alto riesgo con obligaciones específicas. Filtrar currículos o puntuar candidatos está en el Anexo III, punto 4, del Reglamento de IA. Ya hoy: los candidatos tienen derecho a no ser objeto de decisiones solo automatizadas (art. 22 RGPD) y a ser informados; el comité tiene derecho a conocer cómo funciona (art. 64.4.d ET); y el algoritmo no puede discriminar (art. 23 de la Ley 15/2022). Usar IA para redactar la oferta de empleo no tiene ese problema.

19. ¿Puedo usar IA para medir la productividad de mis empleados?

Con límites: puedes usar herramientas que midan el trabajo, pero informando antes y de forma proporcionada; analizar sus emociones está prohibido. El reconocimiento de emociones en el trabajo está prohibido desde el 2-feb-2025, salvo por motivos médicos o de seguridad (art. 5.1.f del Reglamento de IA). Evaluar el rendimiento o repartir tareas según el comportamiento de cada persona será alto riesgo desde el 2-dic-2027. Ya hoy: informa al comité (art. 64.4.d ET), respeta la intimidad y el control proporcionado (art. 20.3 ET y arts. 87-89 LOPDGDD) y que una persona decida.

20. ¿Tengo que informar al comité de empresa de que usamos IA?

Sí, si la IA o el algoritmo influye en decisiones sobre condiciones de trabajo, acceso o mantenimiento del empleo, o elabora perfiles de la plantilla (art. 64.4.d ET, vigente desde 2021). Debes explicar los parámetros, reglas e instrucciones en que se basa, no entregar el código. Los delegados de personal tienen el mismo derecho. Si solo usáis IA para redactar correos, no aplica. La guía del Ministerio de Trabajo «Información algorítmica en el ámbito laboral» (mayo de 2022) incluye un cuestionario útil: https://www.mites.gob.es/ficheros/ministerio/inicio_destacados/Guia_Algoritmos_ES.pdf

21. ¿Y si mi empresa no tiene comité ni delegados?

Entonces el art. 64.4.d ET no se aplica, pero sigues teniendo que informar a cada persona afectada por el RGPD (arts. 13, 14 y 22). Una comunicación breve a la plantilla explicando qué herramienta se usa, para qué, con qué datos y quién decide al final cubre esa información. Desde el 2-dic-2027, si el sistema es de alto riesgo, el Reglamento de IA también obliga a informar a los trabajadores afectados antes de usarlo (art. 26.7).

Clientes y contenido

22. ¿Tengo que avisar de que el chatbot de mi web es una IA?

Sí: desde el 2-ago-2026, quien habla con un chatbot tiene derecho a saber que es una IA, salvo que sea obvio (art. 50.1 del Reglamento de IA). El aviso debe darse de forma clara a más tardar en la primera interacción (art. 50.5). La obligación es de quien ofrece el sistema, pero si el chatbot va con tu marca en tu web, lo prudente es que el aviso aparezca siempre. Basta una línea: «Soy un asistente virtual con inteligencia artificial, no una persona».

23. ¿Tengo que etiquetar las imágenes que hago con IA?

Sí, si parecen reales: desde el 2-ago-2026 hay que indicar que una imagen, audio o vídeo que podría pasar por auténtico ha sido generado o manipulado con IA (art. 50.4). Un dibujo, un icono o un retoque estándar no lo necesitan. En obras claramente artísticas, satíricas o de ficción basta un aviso que no estropee la obra. Una etiqueta como «Imagen generada con IA» visible en la pieza es suficiente.

24. ¿Tengo que avisar si escribo los textos de mi web o mis redes con IA?

Normalmente no: la obligación solo afecta a textos publicados para informar al público sobre asuntos de interés general, y no se aplica si una persona los revisa y asume la responsabilidad editorial (art. 50.4, párrafo 2). Las fichas de producto, los anuncios o un post comercial no entran. Un boletín de noticias del sector publicado sin revisión humana, sí. Aun así, revisa siempre lo que publicas: respondes de ello.

25. ¿Mi chatbot puede comprometerme con un cliente?

Sí: lo prudente es tratar lo que dice tu chatbot a un cliente como dicho por tu empresa. Si el chatbot da a un cliente información falsa sobre precios, condiciones o garantías, la empresa puede tener que responder de ella, igual que si la hubiera dado un empleado; para clientes consumidores se aplica además la normativa de consumo. Limita el chatbot a información aprobada, haz que pase a una persona cuando no sepa y no le dejes cerrar precios, garantías ni reclamaciones.

26. ¿Quién es responsable si la IA se equivoca?

Tu empresa: la IA es una herramienta y quien la usa responde de lo que envía, publica o decide con ella. Por eso la revisión humana antes de enviar algo a un cliente o de decidir sobre una persona es la medida más útil. Si el error viene de un defecto del producto, puede haber responsabilidad del proveedor según tu contrato, pero frente a tu cliente respondes tú.

Riesgos y roles

27. ¿Qué usos de la IA están prohibidos?

Diez prácticas muy concretas, casi nunca presentes en una pyme: manipular a personas con técnicas que no detectan, aprovecharse de su vulnerabilidad, puntuarlas socialmente, predecir delitos solo por su perfil, recopilar caras de internet de forma masiva, reconocer emociones en el trabajo o la escuela, clasificar por biometría según rasgos sensibles, identificación biométrica remota en tiempo real por la policía y, desde el 2-dic-2026, generar desnudos falsos sin consentimiento y material de abuso infantil (art. 5 del Reglamento de IA). La que más puede afectar a una empresa es la de las emociones: nada de herramientas que «detecten el estrés» de empleados o candidatos.

28. ¿Qué es el «alto riesgo» y cuándo me afecta?

Es la categoría de usos de IA con más obligaciones, y solo te afecta si usas IA para decisiones sensibles sobre personas; se aplica desde el 2-dic-2027. Incluye, entre otros, selección y gestión de personal, acceso a educación, solvencia y crédito a particulares, seguros de vida y salud y biometría (Anexo III). Para la IA dentro de productos regulados (máquinas, productos sanitarios, juguetes), desde el 2-ago-2028. Quien la usa tendrá que seguir las instrucciones del proveedor, asignar supervisión humana competente, guardar registros al menos 6 meses e informar a los afectados (art. 26).

29. ¿Soy «proveedor» o «responsable del despliegue»?

Si usas herramientas de IA de otros en tu trabajo, eres responsable del despliegue (usuario profesional); eres proveedor si desarrollas un sistema de IA o lo comercializas con tu nombre o marca. También puedes pasar a ser proveedor si modificas sustancialmente un sistema de alto riesgo o cambias su finalidad hacia un uso de alto riesgo (art. 25). Configurar un chatbot con tus textos no suele hacerte proveedor de un sistema de alto riesgo, pero si lo pones en tu web con tu marca, sí asumes la obligación de avisar de que es una IA.

30. ¿Las pymes tienen alguna ventaja en la ley de IA?

Sí: multas con tope menor, documentación simplificada y apoyo público específico. Para pymes y startups, cada multa se fija en el importe o el porcentaje, el que sea menor (art. 99.6); desde el Ómnibus, también para las «small mid-caps» (menos de 750 empleados) salvo en prácticas prohibidas (art. 99.6 bis). Pymes y small mid-caps podrán presentar la documentación técnica del alto riesgo de forma simplificada (art. 11). La Comisión y los Estados deben apoyar especialmente a las pymes en la alfabetización (art. 4.2).

Sobre esta herramienta

31. ¿Qué hacéis con mis datos?

Nada: no guardamos ningún dato de tu empresa; tus respuestas, tu informe y tu lista se quedan en tu ordenador. Todo se calcula en tu navegador. Si te registras, solo guardamos tu nombre y tu correo, para tu cuenta y, si lo pides, un recordatorio de cortesía antes de las fechas clave que se conocen hoy (las fechas pueden cambiar); te das de baja en un clic y se borran. La encuesta a tu plantilla es anónima: no guarda correo ni IP, solo muestra un resumen a partir de 5 respuestas y se borra al cerrarla o a los 30 días. Puedes borrar todo lo que hay en tu navegador con el botón «Borrar todo de este navegador». Es una web gratuita, creada por Bernabé Hinojosa para ayudar a las empresas a adoptar la IA con cabeza.

Fuentes principales: Reglamento (UE) 2024/1689 (https://eur-lex.europa.eu/eli/reg/2024/1689/oj) y Reglamento (UE) 2026/1744 (https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202601744); RGPD; Estatuto de los Trabajadores; LOPDGDD; AEPD (https://www.aepd.es); AESIA (https://aesia.digital.gob.es); INE y Eurostat. Actualizado el 7-nov-2026.