EU AI Act desde el 02.08.2026.

¿Qué es el EU AI Act y por qué afecta a las pymes?

El EU AI Act (oficialmente: Reglamento de la UE 2024/1689 sobre inteligencia artificial) está en vigor desde el 2 de agosto de 2024, pero se vuelve estricto por fases. Regula el uso de sistemas de IA en la UE con un enfoque basado en el riesgo: los sistemas de alto riesgo (p. ej. IA en diagnóstico médico, selección de personal, concesión de créditos) necesitan evaluaciones de conformidad exhaustivas. Un riesgo más bajo (IA en el contacto con clientes, chatbots, voicebots, automatización de marketing) necesita «solo» obligaciones de transparencia, pero estas son estrictas desde el 2 de agosto de 2026. Lo que muchas personas propietarias de pymes no saben: aunque no desarrolles la IA tú mismo, sino que solo la utilices (el término «deployer», responsable del despliegue, en el reglamento), eres responsable de las obligaciones en tu empresa. Quien usa un asistente telefónico con IA, un chatbot o una IA de marketing debe informar a los usuarios finales y documentar el uso para su propio personal. El reglamento se aplica en toda la UE, también a proveedores de terceros países (EE. UU., Reino Unido, Suiza) si ponen sus sistemas de IA a disposición en la UE. Así que quien usa una herramienta estadounidense u otro proveedor externo debe comprobar si el proveedor respalda siquiera las obligaciones.

Las 4 obligaciones más importantes para las pymes DACH en 2026

Primero, el art. 4 (alfabetización en IA), ya en vigor desde el 2 de febrero de 2025. Quien usa IA en la empresa debe presentar una documentación mínima de los límites de uso y de la lógica de escalación. En la práctica: un PDF que describe cómo se usa tu IA, qué no puede hacer, cuándo escala a personas. Segundo, el art. 50 (obligación de transparencia), estricto desde el 2 de agosto de 2026. Toda persona que interactúe con tu sistema de IA (quien llama, quien visita el chat, los contactos de correo) debe ser informada con claridad en el primer contacto. En los agentes de voz esto significa: el mensaje de bienvenida debe revelar la condición de IA. En los widgets de chat: un distintivo de IA persistente. En los correos: un aviso en la cabecera. Tercero, el art. 28 del RGPD (encargo del tratamiento), obligatorio ya desde 2018. Al usar IA de terceros debe existir un contrato de encargo de tratamiento que regule el tratamiento de datos. Cuarto, el art. 22 del RGPD (decisiones automatizadas): ante decisiones de IA con relevancia jurídica debe ser posible la escalación humana. En la práctica, para la IA de servicio al cliente esto significa: ante reclamaciones, incidencias o cancelaciones, el agente de IA debe poder escalar a una persona.

• Art. 4 alfabetización en IA: documentación de los límites de uso + lógica de escalación (desde el 02.02.2025)
• Art. 50 obligación de transparencia: aviso en el primer contacto con la IA (desde el 02.08.2026)
• Art. 28 del RGPD: contrato de encargo de tratamiento con cada proveedor de IA
• Art. 22 del RGPD: escalación humana ante decisiones con relevancia jurídica

Multas del EU AI Act, lo que de verdad está en juego

El EU AI Act prevé multas escalonadas. Las infracciones de las obligaciones más estrictas (prácticas de IA prohibidas según el art. 5, puntuación social, manipulación, vigilancia masiva biométrica) pueden sancionarse con hasta 35 mill. de euros o el 7 por ciento de la facturación anual mundial, la cifra que sea mayor. Las infracciones de las obligaciones para sistemas de IA de alto riesgo: hasta 15 mill. de euros o el 3 por ciento. Las infracciones de las obligaciones de transparencia (art. 50) y de la mayoría de las demás obligaciones: hasta 15 mill. de euros o el 3 por ciento. Los datos falsos o engañosos ante las autoridades: hasta 7,5 mill. de euros o el 1 por ciento. Para las pymes con una facturación anual inferior a 500 mill. de euros, las cuantías fijas son vinculantes (no el porcentaje de la facturación), pero 15 mill. de euros son, de hecho, una amenaza para la existencia de una pyme DACH. A esto se añade: ante infracciones reiteradas, la autoridad de vigilancia del mercado competente (en Alemania: la Bundesnetzagentur) puede prohibir el sistema de IA o hacer que se retire del mercado. Las multas son, por tanto, solo la punta financiera del iceberg; el daño reputacional y la pérdida de negocio ante una infracción suelen ser mayores.

EU AI Act vs. RGPD, dónde se solapan las obligaciones y dónde no

Muchas pymes confunden el EU AI Act y el RGPD. En realidad, los dos reglamentos son complementarios: el RGPD regula el tratamiento de datos personales (todos los datos atribuibles a una persona física), y el EU AI Act regula el uso de sistemas de IA con independencia de si se tratan datos personales. En el contexto de la IA de servicio al cliente se aplican ambos a la vez: el RGPD regula el trato de los datos de quien llama (alojamiento en Hetzner, LLM en la UE, contrato de encargo de tratamiento, avisos de protección de datos según el art. 13 del RGPD). El EU AI Act regula además la obligación de transparencia (art. 50, quien llama debe saber que habla con una IA) y la alfabetización en IA (art. 4, quien usa la IA debe conocer los límites de uso). En la práctica, para las pymes DACH esto significa: un proveedor de IA conforme al RGPD no es automáticamente conforme al AI Act. Necesitas ambas cosas, RGPD + art. 50 + art. 4. Rinqo cumple las tres obligaciones en una sola plataforma: Hetzner Alemania (RGPD), aviso por defecto (art. 50), plantillas de alfabetización en IA para adaptar (art. 4). En los proveedores estadounidenses tienes que comprobar la conformidad con el RGPD por separado (la exposición al Cloud Act y la volatilidad del DPF persisten) e implementar el aviso del art. 50 tú mismo (lo que a menudo ni siquiera es técnicamente posible).

Cómo cumple Rinqo el EU AI Act, en concreto y comprobable

Rinqo cumple todas las obligaciones del EU AI Act para pymes DACH desde el día 1, sin que tengas que hacer tú mismo trabajo de cumplimiento. Primero, aviso por defecto del art. 50: cada agente de IA de Rinqo (teléfono, chat, correo) da en el primer contacto un aviso claro de que se trata de una IA; la elección de palabras es editable según la voz de tu marca, pero el aviso en sí no se puede desactivar. En voz: «Hola, le habla la asistencia de IA de [empresa]. Está hablando con una IA, y la llamada se procesa para el control de calidad». En chat: distintivo de IA persistente en la cabecera + banner de entrada. En correo: aviso en el pie «Esta respuesta se ha creado con ayuda de IA». Segundo, art. 4 alfabetización en IA: plantillas en el panel de Rinqo que puedes adaptar a tu configuración de uso concreta, qué modelos de IA se usan, qué datos se tratan, qué umbrales de escalación rigen. Documentas una vez y mantienes la documentación al día ante cambios de configuración. Tercero, art. 28 del RGPD: el contrato de encargo de tratamiento se proporciona automáticamente al firmar, sin solicitud aparte. Cuarto, art. 13 del RGPD: los avisos de protección de datos se anuncian automáticamente en el agente de voz al inicio de la conversación. Quinto, alojamiento en la UE: Hetzner Falkenstein y Núremberg como ubicación de alojamiento, LLM en la UE sobre un Microsoft Azure OpenAI dedicado (Microsoft Ireland Operations Ltd., Sweden Central, EU Data Boundary; Microsoft Corp. es la matriz estadounidense, indicado de forma transparente en /security), residencia de datos en la UE para los datos de tus clientes.