El Reglamento de IA no tiene un umbral de tamaño. Se aplica por función y por territorio, y en cuanto las personas de su empresa usan la IA en su trabajo, su organización es responsable del despliegue y tiene obligaciones propias. Cuáles sean esas obligaciones depende de lo que decida la IA, no del tamaño que usted tenga.
Ninguna de ellas trata de su tamaño.
¿Las personas de su organización usan la IA en su trabajo?
Es responsable del despliegue.
Es el caso de casi todas las empresas, y es donde más organizaciones se equivocan. No desarrollar IA hace que no sea proveedor; no lo deja fuera del Reglamento.
¿Introduce en el mercado un sistema de IA o lo pone en servicio con su propio nombre?
Es proveedor.
Obligaciones bastante más gravosas, y se puede llegar aquí sin pretenderlo: véase más abajo.
¿Importa, distribuye o vende un producto con IA incorporada?
También entra en el ámbito.
Importadores, distribuidores, fabricantes de productos y representantes autorizados tienen cada uno sus propias obligaciones.
Por eso el Reglamento alcanza a proveedores que nunca han tenido una entidad en la UE, y por eso su auditor preguntará dónde se ejecuta un sistema.
Nada en el Reglamento funciona como los umbrales de plantilla o de volumen de negocios de otras normas de la UE. Las pymes disponen de vías más ligeras para cumplir —documentación técnica simplificada, espacios controlados de pruebas, multas ajustadas a su tamaño—, pero no de una exención del cumplimiento.
Dos de estas fechas se movieron en julio de 2026. La que ya es exigible, no.
Todos los proveedores y todos los responsables del despliegue, en cualquier nivel de riesgo. Medidas razonables para que quienes usan la IA entiendan qué puede y qué no puede hacer.
Todos.
Los proveedores de modelos, y el aparato de aplicación que sostiene todo lo demás.
Informar a las personas de que están tratando con una IA. Marcar el contenido sintético. Ya exigible por las autoridades nacionales, con multas de hasta €15M o el 3% del volumen de negocios mundial.
Período de gracia para los sistemas generativos ya introducidos en el mercado antes de agosto de 2026.
Supervisión humana, supervisión del funcionamiento, información a los trabajadores, y conservación durante al menos seis meses de los archivos de registro que el sistema genera automáticamente.
Máquinas, productos sanitarios, vehículos y el resto del régimen de seguridad de los productos.
Las fechas de diciembre de 2027 y agosto de 2028 las movió el Digital Omnibus, el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026. Las obligaciones de transparencia no se movieron: una distinción que muchas guías publicadas siguen confundiendo.
El alto riesgo se define por lo que el sistema decide sobre las personas, no por lo avanzado que sea. Estos son los ámbitos del anexo III con los que una empresa corriente se topa de verdad.
Cribado de candidaturas, asignación de tareas, seguimiento del rendimiento y decisiones de promoción o de rescisión del contrato.
Evaluación de la solvencia y fijación de precios en función del riesgo en los seguros de vida y de salud.
Admisión, evaluación de los resultados del aprendizaje y vigilancia durante los exámenes.
Identificación remota, categorización biométrica y reconocimiento de emociones.
Un fabricante que deja que una herramienta de IA preseleccione candidatos es el responsable del despliegue de un sistema de alto riesgo. Muy pocos lo saben.
La tercera columna es la honesta. Ninguna plataforma hace que una organización cumpla, y quien le enseñe una tabla con solo dos columnas le está vendiendo algo.
| La obligación | Qué registra o aplica Tandevia | Qué queda de su lado |
|---|---|---|
| Alfabetización en materia de IAArtículo 4 | Un registro de quién usa qué modelo, para qué y con qué frecuencia, de modo que la formación pueda dirigirse a las personas y las tareas que la necesitan. | Decidir qué necesita entender su plantilla y enseñárselo de verdad. |
| Saber qué IA tieneLa condición previa a todo lo demás | Cada solicitud atribuida a una persona, un equipo, una aplicación o un agente, en modelos comerciales, de pesos abiertos y autoalojados. | Clasificar cada uso conforme al anexo III y decidir su nivel de riesgo. |
| Transparencia con las personasArtículo 50 | A qué modelos puede llegar una aplicación, de modo que un asistente de cara al cliente no pueda cambiarse en silencio a uno no declarado. | Redactar la información en las interfaces que sus clientes ven realmente. Es una propiedad de su interfaz, no de la capa que hay debajo. |
| Supervisión humanaArtículo 26, apartado 1 | Puntos de aprobación en Workflow Studio, con el aprobador, el momento y la decisión registrados en cada ejecución. | Elegir qué pasos necesitan a una persona y darle a esa persona autoridad real para negarse. |
| Conservar los registrosArtículo 26, apartado 6 | Un registro consultable de cada solicitud, modelo, decisión y coste, con conservación configurable, incluido lo que se retuvo antes de que llegara a un modelo, exportable como documento. | Fijar la conservación en un mínimo de seis meses y conciliarla con sus normas de protección de datos. |
| Supervisar el funcionamientoArtículo 26, apartado 5 | Uso, coste y decisiones de política por equipo y aplicación, con avisos antes de alcanzar un techo. | Actuar según lo que muestre la supervisión del funcionamiento y notificar los incidentes graves. |
| Usarlo según las instruccionesArtículo 26, apartado 1 | Un catálogo de modelos aprobados por equipo. Los modelos no aprobados no están disponibles, no simplemente desaconsejados. | Leer las instrucciones de uso del proveedor y configurar el sistema en consecuencia. |
| Gobernanza de los datos de entradaArtículo 26, apartado 4 | Inspección antes de que el contenido abandone su red, y del contenido que llega de fuentes externas antes de que un modelo lo lea, aplicada por política. | Decidir qué se puede enviar siquiera, y a quién. |
Una cosa que conviene contrastar con su propio plan: el artículo 26, apartado 6, fija un mínimo de seis meses para los registros del responsable del despliegue de alto riesgo. En Tandevia eso significa la conservación de Business o Enterprise: el plan Team guarda tres meses, por debajo de ese mínimo.
Tres vías convierten a un responsable del despliegue en proveedor. Cuando se da cualquiera de ellas, las obligaciones de proveedor del artículo 16 pasan a ser suyas y el proveedor inicial deja de considerarse el proveedor de ese sistema.
La tercera es la que atrapa a las empresas corrientes. Construir, a partir de un modelo de uso general, una automatización que criba candidaturas de empleo es exactamente ese cambio de finalidad, y es una decisión que suele tomar un equipo que nunca ha leído el Reglamento.
Esto es un mapa, no asesoramiento jurídico. Nada de lo que hay aquí hace que una organización cumpla, y ningún producto puede hacerlo: la clasificación, la formación, la información y la rendición de cuentas siguen siendo suyas. Contraste su propia situación con sus propios asesores jurídicos.
Refleja la normativa a septiembre de 2026, incluido el Reglamento (UE) 2026/1744. El Reglamento de IA sigue en movimiento; por eso esta página lleva fecha.
No se puede clasificar, documentar ni formar sobre un uso de la IA que no se ve, y eso vale sean cuales sean las obligaciones que acaben aplicándosele. Es además la parte que más tiempo lleva, y por eso el aplazamiento a diciembre de 2027 es tiempo para aprovechar, no para esperar.