AI Act: las obligaciones del chatbot de tu pyme en 2026

Si tu pyme ya tiene, o está a punto de tener, un chatbot con IA en la web, en algún momento de 2026 te va a tocar averiguar qué obligaciones concretas le impone el AI Act, más allá de avisar de que es una IA.

Casi ningún artículo las explica juntas para que una pyme sepa, sin ser abogada, qué le toca a ella y qué no.

Buena parte del ruido alrededor del reglamento europeo habla de multas pensadas para quien construye modelos de IA, y eso genera una alarma que no siempre corresponde a lo que le exige a un negocio que simplemente contrata un chatbot ya hecho. Antes de asustarte o de relajarte de más, conviene separar los papeles.

Qué obligaciones tiene el chatbot de una pyme según el AI Act en 2026

Para la inmensa mayoría de pymes, un chatbot de atención al cliente no es un sistema de alto riesgo. Lo que sí aplica, casi siempre, son tres cosas: identificarse como IA (artículo 50), garantizar que quien lo gestiona sabe manejarlo (artículo 4) y comprobar, aunque sea una vez, que no entra en ningún uso de alto riesgo del anexo III.

Deployer, no provider: el papel que juega tu pyme

El reglamento distingue sobre todo entre quien desarrolla y comercializa un sistema de IA (el provider) y quien lo usa bajo su propia autoridad (el deployer). Una pyme que contrata un chatbot a un proveedor externo, como Paideia, es deployer: sus obligaciones son un subconjunto más corto que las de quien construye el modelo por debajo.

Eso no la exime de nada. La transparencia frente al cliente —el aviso que hay que dar desde el primer mensaje del chat— recae precisamente en quien despliega el sistema, no solo en quien lo fabrica. Externalizar la tecnología no externaliza esa responsabilidad.

La obligación que casi nadie ve venir: alfabetización en IA del equipo

El artículo 4 obliga a proveedores y desplegadores a garantizar un nivel suficiente de alfabetización en IA de su personal, y es exigible desde febrero de 2025, antes incluso que la transparencia del artículo 50. Casi ninguna pyme lo tiene en su radar porque no suena a obligación legal: suena a sentido común.

En la práctica no exige un curso certificado. Exige que quien gestiona el chatbot en tu negocio entienda sus límites: que puede equivocarse con confianza, que hay preguntas que debe escalar sin intentar responderlas y que un panel de conversaciones sin nadie revisándolo no es alfabetización, es abandono.

En Paideia incluimos esa sesión con el equipo del cliente en toda implantación, no como cortesía sino porque el artículo 4 lo pide. La experiencia de esas sesiones dice que el bloqueo no suele ser técnico: es que nadie del equipo tenía asignada la responsabilidad de revisar cómo responde el agente.

¿Es tu chatbot de alto riesgo? Probablemente no, pero comprueba esto

El anexo III del reglamento lista los usos de alto riesgo: identificación biométrica, infraestructuras críticas, evaluación educativa, selección o gestión de personal, acceso a servicios esenciales como el crédito, actuación policial, migración y procesos judiciales. Un chatbot que responde pedidos, citas o dudas de producto no entra ahí en la mayoría de los casos.

La frontera aparece si el mismo agente empieza a decidir algo que antes decidía una persona con consecuencias serias: puntuar solicitudes de financiación, filtrar candidaturas de empleo o similar. Si tu chatbot roza alguno de esos usos, esto deja de ser una guía general y toca consultarlo con asesoría legal antes de lanzarlo.

Qué pasa si no cumples: el régimen sancionador

El artículo 99 fija tres niveles de multa, y conviene conocerlos aunque la probabilidad de sufrir una inspección mañana sea baja:

Un matiz que suele faltar en las notas de prensa: para pymes y startups se aplica el importe menor de los dos, no el mayor, a diferencia de las grandes empresas. Es la única parte del régimen sancionador diseñada pensando en un negocio pequeño.

Cómo lo aplicamos en Paideia: la checklist que damos a cada cliente

No es asesoría legal: es la checklist que revisamos con cada pyme antes de poner un agente en producción.

• Quién es el responsable interno del chatbot.
• Si el equipo sabe qué hacer ante una respuesta rara.
• Si el aviso de IA aparece en el primer mensaje.
• Si el uso se queda dentro de atención al cliente, sin rozar decisiones de crédito o de personal.

Es la misma lógica que aplicamos al elegir proveedor: las preguntas que de verdad separan una opción seria de una que promete de más no son de funcionalidades, son de qué pasa cuando el sistema no sabe algo o se sale de su terreno.

Qué hacer esta semana

Si tu chatbot ya está en producción, revisa tres cosas antes del viernes: quién en tu equipo es responsable de supervisarlo, si esa persona sabría explicar sus límites en una frase, y si el uso del agente sigue siendo estrictamente de atención al cliente.

Si las tres respuestas te convencen, vas bien encaminada. Si alguna te hace dudar, es mejor resolverla ahora, con calma, que explicarla después ante una reclamación.

Fuentes: texto anotado del Reglamento europeo de IA en AI Act Explorer (artificialintelligenceact.eu) y texto oficial del Reglamento (UE) 2024/1689 vía EUR-Lex (eur-lex.europa.eu). La descripción de la sesión de alfabetización en IA con clientes procede de la operación de implantación de Paideia.