Gestión con IA de RRHH, facturación, marketing: ¿Están las pymes preparadas?

Imagina esto: una empresa de treinta empleados, un martes cualquiera. El programa de facturación decide qué recibos reclamar primero y redacta el aviso de impago. El software de recursos humanos ordena veinte currículums según su afinidad con la vacante abierta. La centralita transcribe la llamada de un cliente enfadado, la resume y abre una incidencia. La agenda del comercial se reorganiza sola porque el sistema ha detectado un hueco entre dos visitas.

Pues no imagines más, porque ese es exactamente el camino que sigue la gestión empresarial y, también, es justo el perfil de empresa que desde el 2 de agosto queda bajo el paraguas del Reglamento europeo de Inteligencia Artificial o AI Act. 

Una adopción silenciosa que las estadísticas no capturan

Según el INE, el 21,1 % de las empresas españolas de diez o más empleados utiliza inteligencia artificial de manera recurrente en su día a día, frente al 12,4 % del año anterior: casi el doble en un solo ejercicio. 

Pero hay un matiz que esas cifras no recogen. La estadística cuenta a la empresa que declara usar IA; no cuenta a la que la usa sin saberlo. Quizás, el software de gestión que las pymes ya tenían contratado (el ERP, el programa de nóminas, el CRM, la centralita virtual) ha ido incorporando capacidades de IA sin que el cliente tuviera que pedirlas ni, en muchos casos, enterarse.

El resultado es una paradoja: la pyme española obtiene hoy gracias a la IA capacidades que hace tres años exigían un departamento de datos propio, pero hereda decisiones que nunca tomó. ¿Dónde se procesa la información? ¿Qué modelo hay detrás? ¿Las conversaciones alimentan el entrenamiento de un tercero? ¿Cuánto tiempo se conservan las transcripciones de sus llamadas?

No toda la IA es lo mismo a ojos de la ley

En un extremo está la IA que automatiza papeles y procesos, la que lee y asienta una factura, detecta duplicados, ordena el correo o prioriza incidencias. Apenas trata datos personales y no decide sobre personas, así que la norma casi no la toca; su riesgo real es de trazabilidad: poder reconstruir, ante una inspección, por qué el sistema hizo lo que hizo.

El terreno cambia por completo cuando la IA empieza a decidir sobre las personas. Cribar candidaturas, evaluar el desempeño de un empleado, asignar turnos o tareas en función de comportamientos individuales, valorar la solvencia de un cliente: son usos que el anexo III del Reglamento clasifica expresamente como de alto riesgo. 

Sus obligaciones específicas no se exigen todavía, pero la empresa que integre hoy uno de estos sistemas está implementando algo que deberá ser explicable, supervisado y documentado. 

Además, hay una tercera capa cuya fecha sí es inmediata: la transparencia. Cualquier sistema que interactúe con personas o genere contenido (el chatbot de la web, el agente de voz de la centralita, el asistente que redacta la newsletter) debe identificarse como IA. Esta, quizá, es la obligación más barata y sencilla de cumplir de todo el Reglamento y, a la vez, la más fácil de incumplir por puro descuido.

Una prórroga que sólo retrasa lo inevitable

Hasta hace una semana, el 2 de agosto de 2026 era la gran fecha del Reglamento (UE) 2024/1689: el día en que el grueso de sus obligaciones pasaba a ser exigible. El 24 de julio, al límite del plazo, el Diario Oficial de la Unión Europea publicó el Reglamento (UE) 2026/1744 (el llamado Ómnibus digital sobre IA), en vigor desde el día 27, que reescribe parte de ese calendario.

El cambio de mayor calado es el aplazamiento del régimen de alto riesgo: las obligaciones para los sistemas del anexo III (empleo, educación, solvencia, biometría, servicios esenciales) se desplazan al 2 de diciembre de 2027, y las de la IA integrada en productos regulados, al 2 de agosto de 2028. Bruselas admite así, negro sobre blanco, que ni los estándares técnicos ni las estructuras de supervisión estaban listos.

Pero el Ómnibus no es la amnistía que muchos han querido leer. El 2 de agosto sigue en pie para la aplicación general del Reglamento y, sobre todo, para las obligaciones de transparencia: los avisos en chatbots y asistentes, la identificación del contenido sintético. Siguen en pie las prohibiciones vigentes desde 2025. 

Y sigue en pie el régimen sancionador, con multas de hasta 35 millones de euros o el 7 % del volumen de negocio mundial para las prácticas prohibidas, y de hasta 15 millones o el 3 % para incumplimientos como los de transparencia. El Reglamento prevé para las pymes el menor de los dos importes en juego: un alivio relativo que reduce la cifra, no la exposición.

En España, mientras tanto, el marco nacional avanza por detrás del europeo. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo, se tramita ahora en el Congreso: designa a la AESIA como eje de la supervisión y reparte competencias entre la AEPD, el Banco de España, la CNMV y el CGPJ. 

Que la ley española siga en trámite no cambia nada para las empresas: el Reglamento europeo es de aplicación directa, como lo fue el RGPD.

La responsabilidad de las empresas como responsables del despliegue

El Reglamento habla de operadores, y a la empresa que utiliza un sistema de IA (aunque venga de serie en su software de gestión) la llama responsable del despliegue. 

La etiqueta importa, porque trae obligaciones propias que no se subcontratan con la licencia: usar el sistema conforme a las instrucciones del proveedor, encomendar la supervisión humana a personas con competencia y autoridad reales, vigilar su funcionamiento, conservar los registros y notificar los incidentes graves. 

A ese frente se suma otro aún más difícil de gobernar: la IA en la sombra. Herramientas que la plantilla utiliza por su cuenta, con cuentas personales, fuera de todo inventario. Es hoy el vector más frecuente de fuga de información en las empresas pequeñas, y el más difícil de defender ante una autoridad, precisamente porque no está documentado en ninguna parte.

Empresas que se dedican a facilitar el cumplimiento de la Ley de Inteligencia Artificial como Atico34, han desarrollado su propio software (Atico34 AI Governance) que permite registrar en un único entorno todas las herramientas de inteligencia artificial que utiliza la empresa. Para cada sistema, permite indicar qué empleados o áreas lo utilizan y con qué finalidad, facilitando así la identificación continua de los riesgos asociados y de las medidas que deben adoptarse para cumplir la normativa.

A partir de este inventario, el software también adapta los itinerarios de formación a las herramientas concretas que emplea cada persona o departamento, ofreciendo una capacitación más práctica y ajustada al uso real de la IA dentro de la organización.

Andrés de la Iglesia, responsable de cumplimiento normativo de Atico34, advierte de la asimetría entre la velocidad de adopción y la de adaptación: será básico, sostiene, “que empresas y usuarios se adapten cuanto antes a la irrupción de la IA, porque la tecnología abre grandes oportunidades pero también nuevas exigencias en privacidad y protección de datos”. 

¿Están preparadas las pymes?

La realidad es que un gran porcentaje ni siquiera no lo sabe. Y no saberlo ya es una respuesta.

No es un problema de tecnología: nunca fue tan barato incorporar IA a la facturación, la gestión de personas, el teléfono o la agenda. Tampoco de voluntad: cerca de seis de cada diez empresas españolas ya están formando a su plantilla para este cambio, según los estudios de adopción más recientes.

Lo que falta es el paso intermedio, el menos vistoso y el único que la propia IA no puede hacer: saber qué sistemas se usan, qué hacen con los datos, quién responde si fallan y qué puede acreditarse por escrito.