18 May Cómo cumplir el Reglamento IA si tienes una startup en España

Cómo cumplir el Reglamento IA si tienes una startup en España: guía práctica actualizada

Actualizado el 30 de julio de 2026. Este artículo incorpora el Reglamento (UE) 2026/1744 —el Ómnibus Digital sobre IA—, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.

El 2 de agosto de 2026 es la fecha en la que empiezan a aplicarse las obligaciones de transparencia del Reglamento Europeo de Inteligencia Artificial: si tienes un chatbot, un asistente virtual o generas contenido con IA, te afecta desde ese día.

Pocos días antes, el 24 de julio de 2026, se publicó en el DOUE el Reglamento (UE) 2026/1744 —el llamado Ómnibus Digital sobre IA—, que aplaza las obligaciones de alto riesgo a diciembre de 2027 y agosto de 2028. Lo que no aplaza es la transparencia.

Si tienes una startup y usas IA —aunque sea ChatGPT para redactar emails o Factorial para gestionar el equipo— este artículo es para ti. No necesitas ser jurista para entenderlo. Lo que sí necesitas es saber qué te afecta hoy, qué tienes de plazo y qué puedes dejar para más adelante. Vamos a ello.

Qué cambia con el Ómnibus Digital sobre IA (y qué no)

El Reglamento (UE) 2026/1744, de 8 de julio de 2026, se publicó en el Diario Oficial de la Unión Europea el 24 de julio y está en vigor desde el 27 de julio de 2026. Modifica el Reglamento de IA (UE) 2024/1689 y, de paso, los reglamentos de aviación (UE) 2018/1139 y de máquinas (UE) 2023/1230.

Se ha contado como «la UE retrasa el Reglamento de IA». Eso es solo media verdad, y la mitad que falta es justo la que te afecta.

Lo que aplaza:

• El bloque de alto riesgo del capítulo III —gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana y evaluación de conformidad— pasa al 2 de diciembre de 2027 para los sistemas del Anexo III y al 2 de agosto de 2028 para los que van integrados en productos ya regulados.
• Los espacios controlados de pruebas (sandboxes) nacionales, al 2 de agosto de 2027.

Lo que NO aplaza:

• La transparencia del artículo 50: sigue en el 2 de agosto de 2026. Esta es la que afecta a la mayoría de las startups.
• Las prácticas prohibidas del artículo 5, aplicables desde febrero de 2025.
• Las obligaciones de los modelos de IA de uso general (GPAI), aplicables desde agosto de 2025.
• La gobernanza europea, los poderes de supervisión y el régimen sancionador del artículo 99.

Lo que endurece: añade dos nuevas prácticas prohibidas, aplicables desde el 2 de diciembre de 2026 (te las cuento en el Paso 2).

Lo que facilita: un régimen proporcionado para pymes y para una categoría nueva, las pequeñas empresas de mediana capitalización.

Resumido para que no se te olvide: no es una moratoria, es un calendario redistribuido. Y la parte que le toca a la mayoría de las startups —avisar de que hay una IA detrás— es precisamente la que no se ha movido.

Otros cambios del Ómnibus, por si te tocan de cerca: se estrecha la definición de «componente de seguridad» del artículo 3.14, que ahora solo alcanza a los sistemas cuya finalidad prevista sea prevenir o mitigar riesgos para la salud y la seguridad —los de asistencia, optimización o comodidad quedan fuera salvo que su fallo ponga en peligro la salud—, con lo que menos sistemas caen en alto riesgo por la vía de producto. El Reglamento de Máquinas 2023/1230 pasa a la sección B del Anexo I y queda excluido de forma específica de las reglas de alto riesgo. Se recupera la obligación de registro para los sistemas autoevaluados como no-alto-riesgo, con un procedimiento simplificado. La Oficina Europea de IA gana competencia exclusiva sobre los sistemas basados en modelos GPAI del mismo grupo empresarial y sobre los integrados en grandes plataformas, con nuevos poderes de inspección. Y la Comisión pedirá a los organismos europeos de normalización estándares integrados que cubran a la vez el Reglamento de IA y la legislación de armonización ya existente.

Primero, una pregunta clave: ¿construyes IA o la usas?

Esta es la distinción más importante del Reglamento IA si tienes una startup, y muy pocos artículos la explican bien.

El reglamento distingue dos figuras:

• Proveedor: la empresa que desarrolla y pone en el mercado un sistema de IA. Si estás construyendo un producto con IA (un chatbot, una herramienta de análisis predictivo, un motor de recomendaciones…), eres proveedor. Tus obligaciones son las más exigentes.
• Operador o desplegador: la empresa que compra o usa sistemas de IA de terceros para su actividad interna. Si usas ChatGPT, HubSpot con IA, Factorial, Notion AI o cualquier SaaS con funciones de inteligencia artificial, eres operadora. También tienes obligaciones, aunque son distintas.

La mayoría de startups son operadoras. Algunas son las dos cosas a la vez: construyen un producto con IA y, al mismo tiempo, usan herramientas de IA en su operativa interna. En ese caso, el Reglamento IA te aplica por partida doble.

El Reglamento IA ya lleva meses aplicándose (y puede que ya estés incumpliendo)

Una confusión frecuente: creer que el Reglamento IA «entra en vigor el 2 de agosto de 2026». En realidad el Reglamento entró en vigor el 1 de agosto de 2024. Lo que ocurre por fases es su aplicación, y varias obligaciones llevan meses siendo exigibles.

Fecha	Qué empieza a aplicarse
2 febrero 2025	Prácticas prohibidas (art. 5) + obligación de alfabetización en IA del personal (art. 4)
2 agosto 2025	Gobernanza europea, modelos de IA de uso general (GPAI) y topes sancionadores del art. 99
27 julio 2026	Entra en vigor el Ómnibus Digital sobre IA — Reglamento (UE) 2026/1744
2 agosto 2026	Transparencia (art. 50): avisar de que se interactúa con una IA y marcar el contenido sintético. Capítulo IV completo
2 diciembre 2026	Nuevas prácticas prohibidas (contenido íntimo no consentido y material de abuso sexual infantil) + fin de la transición del art. 50.2 para sistemas ya en el mercado
2 agosto 2027	Espacios controlados de pruebas (sandboxes) nacionales
2 diciembre 2027	Alto riesgo del Anexo III: gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, evaluación de conformidad
2 agosto 2028	Alto riesgo del Anexo I: IA integrada en productos ya regulados (sanitarios, máquinas, juguetes…)
2 agosto 2030	Adaptación de sistemas preexistentes en el sector público

Si tu startup tiene personas usando IA y no has hecho nada por formarlas, tienes una obligación pendiente desde febrero de 2025. El Ómnibus ha rebajado el nivel de exigencia —ya no tienes que garantizar un nivel de competencia, sino adoptar medidas razonables— pero la obligación no ha desaparecido, y documentarla sigue siendo la única forma de demostrar que la cumples.

¿Le afecta el Reglamento IA a mi startup aunque tenga solo 5 empleados?

Sí. El Reglamento no establece un umbral mínimo de tamaño. Sí prevé un régimen de sanciones proporcional —las multas máximas se calculan sobre el menor de dos valores: la cuantía fija o el porcentaje sobre tu facturación— pero no te exime de cumplir.

La buena noticia: las startups tienen acceso prioritario y gratuito a los sandboxes regulatorios de la AESIA (la Agencia Española de Supervisión de IA, con sede en A Coruña). Esto te permite probar sistemas de IA en un entorno supervisado antes de lanzarlos al mercado. Una oportunidad que pocos están aprovechando.

Y hay algo más que pocas startups consideran: los inversores ya están preguntando por el Reglamento IA en sus procesos de due diligence. Tener la gobernanza mínima documentada puede marcar la diferencia en una ronda de financiación.
Y hay una buena noticia del Ómnibus si estás creciendo. Hasta ahora, una empresa que superaba el umbral de pyme perdía de golpe todas las facilidades. El Ómnibus crea una categoría intermedia, la pequeña empresa de mediana capitalización (small mid-cap): menos de 750 empleados y hasta 150 millones de euros de volumen de negocio o 129 millones de balance.

Pymes, startups y small mid-caps tienen derecho a:

• Plantillas de documentación técnica simplificadas.
• Un sistema de gestión de la calidad proporcionado a su tamaño.
• Prioridad de acceso a los espacios controlados de pruebas.
• Topes sancionadores adaptados: se aplica la cifra menor de las dos, no la mayor (art. 99.6).

Paso 1: Descubre toda la IA que ya está usando tu startup

La mayoría de startups no tiene un inventario de sus herramientas de IA. Y eso es un problema, porque mucha de esa IA es «invisible»: llega integrada en los SaaS que ya usas.

¿Reconoces alguna de estas herramientas en tu stack?

• Notion AI para redactar, resumir o estructurar documentos
• HubSpot con scoring de leads automático o asistente de redacción
• Factorial o Personio con módulos de selección de personal
• Salesforce Einstein para predicción de ventas
• Intercom o Zendesk con respuestas automáticas por IA
• GitHub Copilot en el equipo de desarrollo
• Grammarly para revisión de textos
• Herramientas de detección de fraude en tus pagos
• ChatGPT, Claude o Gemini de uso libre por el equipo

Todas estas herramientas tienen componentes de IA. Según el Reglamento IA, tu startup es operadora de cada una de ellas.

Cómo hacer el inventario: crea una hoja de cálculo con una fila por herramienta. Columnas mínimas: nombre, proveedor, para qué la usas, qué departamento, si procesa datos de personas (empleados, clientes, candidatos), y nivel de riesgo provisional. Es el documento de partida para todo lo demás.

Paso 2: Clasifica tu IA por nivel de riesgo

El Reglamento IA  establece cuatro niveles de riesgo. El nivel determina qué debes hacer.

🚫 Prohibido (desde febrero 2025)

Uso inmediatamente ilegal. Incluye: puntuación social de personas, reconocimiento facial en tiempo real en espacios públicos, sistemas que manipulan el comportamiento de grupos vulnerables, inferencia de emociones en entornos laborales o educativos. Si algo de esto está en tu producto o en tus herramientas internas, deja inmediatamente de usar IA.
Nuevo desde el 2 de diciembre de 2026 (añadido por el Ómnibus Digital): están prohibidos los sistemas de IA que generen contenido íntimo no consentido —deepfakes sexuales— y material de abuso sexual infantil, incluidas las llamadas apps nudifier. La prohibición alcanza a los casos en que ese resultado sea razonablemente previsible y el sistema no tenga salvaguardas técnicas adecuadas. Si tu producto genera o edita imágenes de personas, esto te obliga a revisar tus filtros antes de diciembre.

⚠️ Alto riesgo (obligaciones plenas desde el 2 de diciembre de 2027)

Es el nivel más relevante para startups que usan IA en decisiones sobre personas. Entra en esta categoría cualquier sistema que se use para: selección y cribado de candidatos (ATS con IA que puntúa CVs automáticamente), scoring crediticio o análisis de riesgo financiero, acceso a servicios esenciales (seguros, crédito, empleo), gestión de infraestructuras críticas, o educación y formación.

Ejemplo concreto: Si usas Factorial, Personio o cualquier ATS que hace una primera selección de CVs antes de que los vea un humano, estás operando un sistema de alto riesgo. Aunque el software lo haya desarrollado otra empresa, tú como operadora tienes obligaciones propias.
Sobre los plazos, aquí hay una buena noticia y una mala. La buena: el Ómnibus te da hasta el 2 de diciembre de 2027 para las obligaciones de alto riesgo. La mala: el RGPD ya te aplica hoy. Un cribado automatizado de candidatos activa el artículo 22 del RGPD (decisiones automatizadas), la obligación de informar a los candidatos y, muy probablemente, una evaluación de impacto. El aplazamiento es del Reglamento de IA, no del RGPD.

ℹ️ Riesgo limitado

Obligación principal: informar al usuario de que habla con una IA. Afecta a chatbots, asistentes virtuales y generadores de contenido que interactúan con personas externas.

✅ Riesgo mínimo

Sin obligaciones específicas. Aquí cae la mayoría de herramientas cotidianas que usan IA: filtros de spam, correctores ortográficos, recomendadores de contenido, herramientas de análisis básico.

Paso 3: Tres obligaciones que toda startup debe cumplir ya

Obligación 1 — Forma a tu equipo y documéntalo (art. 4, exigible desde febrero de 2025)

El Reglamento IA obliga a que las personas que trabajan con sistemas de IA tengan un nivel adecuado de formación. Esta obligación lleva más de un año siendo exigible y es la que más startups están incumpliendo sin saberlo.

Lo que exige en la práctica: no basta con que «todo el mundo usa ChatGPT». El equipo debe entender las capacidades, limitaciones y riesgos de las herramientas que usa. La formación debe estar documentada: quién fue formado, cuándo y en qué. No tiene que ser un máster; puede ser un taller interno de una hora o una sesión con tu consultor de protección de datos e IA.
El Ómnibus ha suavizado esta obligación, pero no la ha eliminado. Antes tenías que garantizar «un nivel suficiente» de alfabetización en IA de tu personal: una obligación de resultado. Ahora basta con «adoptar medidas razonables» que apoyen su desarrollo continuo: una obligación de medios. La Comisión y los Estados miembros van a publicar ejemplos prácticos de cumplimiento en una plataforma única.

En la práctica esto no te libera de nada, porque la obligación sigue siendo exigible desde el 2 de febrero de 2025 y documentar la formación sigue siendo la única prueba práctica de que la cumples. Y ojo con un matiz: si operas algún sistema de alto riesgo, mantienes requisitos específicos de competencia del personal en el artículo 26.2. El aligeramiento del artículo 4 no te alcanza.

Obligación 2 — Pon el aviso en tu chatbot (exigible desde el 2 de agosto de 2026)

Si tu startup tiene un chatbot, asistente virtual, voicebot o cualquier sistema que interactúe directamente con clientes o usuarios, debes informar claramente de que están hablando con una IA (art. 50.1). El aviso debe ser claro, distinguible y accesible, estar presente desde el inicio de la interacción —no escondido en los términos y condiciones— y ser comprensible para cualquier persona. La única excepción es que resulte evidente para una persona razonablemente informada, y conviene interpretarla con prudencia.

Esta es la obligación que el Ómnibus Digital ha decidido no aplazar. Mientras el alto riesgo se va a diciembre de 2027, la transparencia se mantiene en el 2 de agosto de 2026. Y muchas startups tienen chatbots configurados sin ningún aviso.

Si tu sistema genera contenido sintético —imágenes, audio, vídeo o texto— también debe llevar un marcado legible por máquina (art. 50.2). Aquí sí hay una transición: los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026.

Obligación 3 — Redacta una política interna de uso de IA

Un documento corto (2-3 páginas) que tu equipo conozca y que recoja: qué herramientas de IA están aprobadas y para qué fines, qué información no puede subirse a herramientas externas (datos personales de clientes, información confidencial, código propietario), cómo deben supervisarse los resultados antes de usarlos, y quién es responsable del cumplimiento del Reglamento IA si tienes una startup.

Este documento también te protege frente a incidentes: si un empleado sube datos de clientes a ChatGPT sin que nadie lo haya prohibido explícitamente, la responsabilidad recae sobre la empresa.

El Reglamento IA y el RGPD: no son lo mismo, pero se acumulan

Si ya tienes el RGPD implementado en tu startup, tienes una ventaja: ya entiendes la lógica de la responsabilidad proactiva, los registros de actividades y la gestión de riesgos. El Reglamento IA funciona de forma similar, pero regula cosas distintas.

El RGPD protege datos personales. El Reglamento IA protege a las personas frente a los sistemas de IA, procesen o no datos personales.

El punto crítico que muchas startups no conocen: las sanciones son acumulativas, no alternativas. Si tu sistema de IA procesa datos personales sin cumplir ni el RGPD ni el Reglamento IA, puedes recibir sanciones de la AEPD y de la AESIA al mismo tiempo. Y ambas agencias coordinan sus actuaciones.
Hay además una novedad del Ómnibus que te puede venir bien. Se amplía la base jurídica para tratar categorías especiales de datos (art. 10.5): antes solo podían hacerlo los proveedores de sistemas de alto riesgo, y ahora también los operadores, y respecto de cualquier sistema o modelo de IA, cuando sea estrictamente necesario para detectar y corregir sesgos. Con salvaguardas obligatorias: pseudonimización, control de acceso restringido y supresión de los datos una vez corregido el sesgo. Si estás auditando el sesgo de un ATS o de un modelo de scoring, esta es la vía para hacerlo sin infringir el artículo 9 del RGPD.

¿Cubren mis seguros las sanciones del Reglamento IA?

Esta es una pregunta que todavía muy pocas startups se están haciendo, pero que tiene mucha importancia práctica.

Las sanciones del Reglamento IA no están cubiertas por la mayoría de seguros de ciberriesgo estándar, porque se trata de sanciones administrativas (y las pólizas convencionales suelen excluir expresamente las multas regulatorias). Sin embargo, una buena póliza de ciberriesgo sí puede cubrir los costes asociados a un incidente de IA: gastos de investigación, responsabilidad civil frente a terceros por daños causados por un sistema de IA defectuoso, o costes de comunicación de crisis.

Si tienes o estás valorando contratar un seguro de ciberriesgo para tu startup, es el momento de revisar con tu asesor si la póliza contempla el nuevo panorama regulatorio del Reglamento IA.

Tu plan de acción: qué hacer ahora, en diciembre y en 2027

El Ómnibus te ha reordenado los plazos, así que la hoja de ruta ya no es un cronómetro contra una sola fecha. Son tres horizontes.

Antes del 2 de agosto de 2026

Una sola cosa, y no es negociable: revisa que todos tus puntos de contacto con IA avisen de que son IA. El chatbot de la web, el asistente de la app, el respondedor automático de WhatsApp, el voicebot del teléfono. Aviso visible en la primera interacción, no en los términos y condiciones. Haz captura de pantalla con fecha: es tu prueba de cumplimiento.

Antes del 2 de diciembre de 2026

• Si generas contenido con IA (imágenes, audio, vídeo o texto publicado), revisa el marcado legible por máquina del art. 50.2. Si tu sistema ya estaba en el mercado antes del 2 de agosto de 2026, tienes hasta esta fecha.
• Inventario completo de IA, incluida la que viene integrada en otros SaaS.
• Formación del equipo, documentada: quién, cuándo y sobre qué.
• Política interna de uso de IA, comunicada y con acuse de recibo.
• Designa a la persona responsable de cumplimiento del Reglamento IA.
• Si tu producto genera o edita imágenes de personas, revisa tus salvaguardas frente a las dos nuevas prohibiciones.

Durante 2027, con vista al 2 de diciembre

• Clasificación formal de cada sistema por nivel de riesgo, por escrito.
• Revisión de contratos con proveedores: ¿confirman el nivel de riesgo de su sistema? ¿asumen las obligaciones que les corresponden como proveedores?
• Si tienes algún sistema de alto riesgo: documentación técnica, registro de eventos, supervisión humana y evaluación de conformidad.

Aquí es donde el aplazamiento te da margen real. Úsalo, no lo tires: en diciembre de 2027 la documentación técnica de un sistema de alto riesgo no se improvisa en dos semanas.

Quién te vigila en España y cómo actúa

En España, la supervisión del Reglamento IA corresponde a la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña y creada por el Real Decreto 729/2023. España fue el primer país de la UE en crear su autoridad nacional de supervisión de IA.

Un matiz que conviene conocer: España todavía no tiene en vigor su régimen sancionador. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial se aprobó en Consejo de Ministros el 26 de mayo de 2026 y está en tramitación en el Congreso desde junio. Hasta que se apruebe, la tipificación de infracciones y el procedimiento sancionador español están incompletos.

Lo que esto no significa: que puedas esperar. Las obligaciones del Reglamento son directamente aplicables desde sus fechas, sin necesidad de ley española. Lo que cambia con la ley es la capacidad de la AESIA de imponer sanciones sin riesgo de que se anulen después, y el Gobierno la está tramitando con urgencia precisamente para cerrar ese hueco. Cuando se apruebe, el incumplimiento acumulado de los meses anteriores seguirá ahí.

La AESIA coordina con la AEPD cuando los sistemas de IA procesan datos personales. El proyecto de ley reparte además competencias con la AEPD (biometría y fronteras), el CGPJ (justicia) y los supervisores financieros y de producto. En la práctica, esto significa que una reclamación a la AEPD por tratamiento de datos puede activar una revisión sobre el sistema de IA que lo genera.

Infracción	Base legal	Máximo legal	Para una startup con 500K€ de facturación
Usar IA prohibida (art. 5)	art. 99.3	35M€ o 7 % del volumen de negocios mundial	Hasta 35.000€
Incumplir obligaciones de alto riesgo	art. 99.4	15M€ o 3 %	Hasta 15.000€
Chatbot sin aviso de IA	art. 99.4.g)	15M€ o 3 %	Hasta 15.000€
Dar información falsa o incompleta a la autoridad	art. 99.5	7,5M€ o 1 %	Hasta 5.000€

Una aclaración importante sobre esa última columna: para pymes y startups, el artículo 99.6 aplica la cifra menor de las dos, no la mayor. Es por eso que una startup con 500.000 € de facturación se expone al porcentaje y no a los millones. El Ómnibus refuerza esta lógica y la extiende a las pequeñas empresas de mediana capitalización.

Y ojo con el tramo del chatbot, porque es el que más se confunde: no avisar de que hay una IA detrás no es una infracción leve. Va por el artículo 99.4.g), el mismo tramo que las obligaciones de alto riesgo.

Preguntas frecuentes

¿Me afecta el Reglamento IA si uso ChatGPT internamente? Depende del uso. Para redacción interna o brainstorming: riesgo mínimo, sin obligaciones específicas más allá de la política interna. Si tienes un chatbot de atención al cliente: debes avisar de que es una IA. Si lo usas para filtrar candidatos o tomar decisiones sobre personas: probablemente estás en alto riesgo.

¿Tengo que nombrar un AI Officer? No hay obligación formal para todos los operadores. Lo que sí debes tener claro es quién es responsable de cumplimiento del Reglamento IA en tu empresa, aunque sea el CEO o el responsable de protección de datos.

Si mi proveedor de software no cumple, ¿mi startup está protegida? No. El incumplimiento del proveedor no os exime de vuestras obligaciones como operadora. Puedes y debes exigir a tu proveedor información sobre el nivel de riesgo de su sistema y su cumplimiento del Reglamento IA.

¿Dónde puedo encontrar más información oficial? La AESIA publica guías de cumplimiento en este link. Y si necesitas ayuda para adaptar tu startup al Reglamento IA junto con el RGPD, en Emprender Seguro podemos ayudarte.

¿El Ómnibus Digital retrasa el Reglamento de IA? Parcialmente. Aplaza el bloque de alto riesgo a diciembre de 2027 y agosto de 2028, y los sandboxes a agosto de 2027. No aplaza las prácticas prohibidas, ni las obligaciones de los modelos de uso general, ni —lo más importante para la mayoría de startups— la transparencia del artículo 50, que se aplica desde el 2 de agosto de 2026. No es una moratoria general: cada obligación tiene su fecha.

¿Qué es el Reglamento (UE) 2026/1744? Es el Ómnibus Digital sobre IA: el reglamento de 8 de julio de 2026, publicado en el DOUE el 24 de julio y en vigor desde el 27 de julio de 2026, que modifica el Reglamento de IA (UE) 2024/1689 junto con los reglamentos de aviación y de máquinas para simplificar su aplicación.

Si el alto riesgo se aplaza a 2027, ¿puedo dejar mi ATS con IA para más adelante? No del todo. Las obligaciones del Reglamento de IA sobre ese sistema esperan hasta el 2 de diciembre de 2027, pero el RGPD te aplica hoy: si el sistema criba candidatos automáticamente, tienes que cumplir el artículo 22, informar a los candidatos y probablemente hacer una evaluación de impacto. El aplazamiento es de una norma, no de las dos.

Fuentes oficiales: el Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA) y el Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial).

No tiene por qué ser una amenaza el Reglamento IA si tienes una startup. Puede ser una oportunidad para construir productos de IA en los que los clientes e inversores puedan confiar. Y con la transparencia ya exigible y el alto riesgo en el horizonte de 2027, el momento de empezar es ahora.