EU AI Act en 2026: cómo adaptar tus chatbots y agentes de IA desde agosto

Esta normativa también afecta a las pequeñas empresas

Cuando se habla de regulación de inteligencia artificial, muchas pymes piensan que es un asunto reservado para grandes tecnológicas. Sin embargo, el Reglamento Europeo de Inteligencia Artificial, conocido como EU AI Act o Ley de IA de la UE, también afecta a empresas y profesionales que utilizan sistemas de IA para relacionarse con clientes.

Si tu negocio tiene un chatbot en la web, un agente de voz o un appointment setter que conversa por WhatsApp, conviene revisar cómo está configurado.

Desde el 2 de agosto de 2026 son aplicables, entre otras disposiciones, las obligaciones de transparencia del artículo 50. Una de sus consecuencias más visibles es que las personas deben ser informadas cuando interactúan directamente con determinados sistemas de IA, salvo que resulte evidente para una persona razonablemente informada y atenta.

La cuestión no es si eres una empresa tecnológica. La pregunta relevante es: ¿utilizas inteligencia artificial para interactuar con personas dentro de la Unión Europea?

En caso afirmativo, debes conocer qué papel ocupas, qué obligaciones afectan a tu caso y qué evidencias necesitas conservar.

Este artículo ofrece orientación general y no sustituye el asesoramiento jurídico adaptado a las circunstancias de cada empresa.

Qué es el EU AI Act y qué cambió en agosto de 2026

El Reglamento (UE) 2024/1689 establece un marco común para el desarrollo, la comercialización y el uso de sistemas de inteligencia artificial en la Unión Europea.

Su enfoque se basa principalmente en el riesgo. No impone las mismas exigencias a una herramienta que recomienda productos que a un sistema utilizado para tomar decisiones sensibles sobre empleo, educación o acceso a servicios esenciales.

Además, su aplicación se ha producido por fases. No todas las obligaciones comenzaron el mismo día.

Las obligaciones de transparencia desde el 2 de agosto

El artículo 50 del Reglamento se aplica desde el 2 de agosto de 2026. La Comisión Europea explica que los sistemas destinados a interactuar directamente con personas deben estar diseñados para informarles de que están tratando con una IA, salvo cuando esto sea evidente por las circunstancias. La información debe facilitarse, como máximo, en el momento de la primera interacción.

La transparencia también abarca determinados contenidos generados o manipulados mediante IA, aunque las exigencias varían según quién proporciona el sistema, quién lo utiliza y qué tipo de contenido se publica.

Entre las situaciones contempladas se encuentran:

• Interacción directa con sistemas de IA, como chatbots.
• Marcado técnico de determinados contenidos sintéticos.
• Identificación de contenidos deepfake.
• Información sobre ciertos textos de interés público generados o manipulados con IA.
• Uso de sistemas de reconocimiento de emociones o categorización biométrica.

Las preguntas frecuentes de la Comisión Europea sobre el artículo 50 aclaran su alcance y señalan una excepción transitoria limitada hasta el 2 de diciembre de 2026 para determinadas obligaciones de marcado de sistemas generativos comercializados antes del 2 de agosto. Esa transición específica no debe interpretarse como un aplazamiento general para los chatbots.

Proveedor y responsable del despliegue: no son lo mismo

La normativa distingue entre diferentes participantes.

En términos simplificados, el proveedor desarrolla un sistema de IA o lo comercializa bajo su nombre. El responsable del despliegue utiliza el sistema bajo su autoridad, salvo cuando lo hace en un contexto estrictamente personal.

Una pyme puede limitarse a utilizar una solución externa y actuar como responsable del despliegue. Pero si modifica de forma sustancial el sistema, lo ofrece a clientes bajo su propia marca o cambia su finalidad, su posición regulatoria puede variar.

Por eso no basta con decir: “La herramienta la proporciona otra empresa”. Debes determinar qué hace cada parte y documentarlo en los contratos.

Cómo afecta a chatbots, agentes de voz y appointment setters

Chatbots de atención al cliente

Si un chatbot conversa directamente con una persona, la identificación debe ser clara y oportuna.

Un inicio sencillo podría ser:

Hola, soy el asistente virtual con IA de Empresa Ejemplo. Puedo ayudarte con información y reservas. Si lo prefieres, puedes solicitar atención de una persona.

El aviso no debería quedar escondido en una política legal que casi nadie lee. Debe aparecer al inicio de la interacción y utilizar un lenguaje comprensible.

También es recomendable aclarar:

• Qué puede hacer el chatbot.
• Qué limitaciones tiene.
• Cómo solicitar atención humana.
• Cómo se tratarán los datos personales.
• Dónde consultar la política de privacidad.

Agentes de voz

En una llamada, la identificación debe producirse al comienzo, no después de varios minutos de conversación.

Por ejemplo:

Hola, soy el asistente de voz con inteligencia artificial de Clínica Ejemplo. Te llamo para confirmar tu cita. Puedes pedirme que te comunique con una persona.

El diseño de la voz no debería buscar que el usuario crea que está hablando con un empleado humano. La transparencia protege al cliente y evita una sensación de engaño cuando descubre posteriormente la naturaleza del sistema.

Además, si la llamada se graba o transcribe, habrá que revisar las obligaciones correspondientes en materia de privacidad, información y base jurídica. Cumplir el AI Act no sustituye el cumplimiento del Reglamento General de Protección de Datos.

Appointment setters por WhatsApp e Instagram

Un agente comercial de IA puede conversar con leads, hacer preguntas de cualificación y reservar citas. Desde la perspectiva de transparencia, debe identificarse claramente como IA desde el primer contacto relevante.

También conviene diferenciar dos cuestiones:

1. Usar IA en la conversación.
2. Tener autorización para realizar comunicaciones comerciales.

El AI Act no elimina las normas sobre privacidad, comunicaciones electrónicas, publicidad o condiciones de uso de cada plataforma. Un mensaje transparente puede seguir siendo inadecuado si se envía sin la base o autorización necesaria.

Un inicio correcto podría ser:

Hola, soy el asistente comercial con IA de Empresa Ejemplo. Te escribo en relación con la información que solicitaste. Puedo hacerte unas preguntas y ayudarte a reservar una llamada.

Si el lead plantea una reclamación, solicita una excepción o necesita asesoramiento profesional, el agente debería transferir el caso a una persona.

¿Todos estos sistemas son de alto riesgo?

No necesariamente. Un chatbot que responde preguntas frecuentes o reserva una cita no se convierte automáticamente en un sistema de alto riesgo.

La clasificación depende de su finalidad y contexto. Un sistema utilizado para tomar decisiones en ámbitos sensibles —como contratación, educación, servicios esenciales o determinadas evaluaciones de personas— puede estar sometido a requisitos adicionales.

Lo importante es no confundir “utiliza IA” con “es de alto riesgo”, pero tampoco asumir que todo chatbot es inocuo. Hay que evaluar la función real que cumple.

Checklist de cumplimiento para pymes y autónomos

Esta lista sirve como punto de partida para revisar un chatbot, agente de voz o appointment setter.

Inventario y responsabilidad

• Identifica todos los sistemas de IA que utiliza el negocio.
• Documenta su finalidad, canales y tipos de usuario.
• Determina quién es el proveedor y quién actúa como responsable del despliegue.
• Revisa contratos, condiciones y responsabilidades de cada proveedor.
• Comprueba si alguna función podría entrar en una categoría de alto riesgo.

Transparencia

• Informa claramente de que la persona interactúa con una IA.
• Muestra o comunica el aviso al inicio de la interacción.
• Evita nombres, voces o mensajes que induzcan a creer que es una persona.
• Explica de forma breve qué puede hacer el agente.
• Incluye una vía sencilla para solicitar atención humana.
• Revisa si generas contenidos que requieran marcado o etiquetado adicional.

Datos y seguridad

• Recoge solo los datos necesarios.
• Informa sobre el tratamiento de datos personales.
• Revisa la base jurídica y los periodos de conservación.
• Limita los permisos del agente en calendarios, CRM y otras herramientas.
• Protege las credenciales y controla los accesos.
• Evita introducir datos sensibles cuando no sean necesarios.
• Establece un procedimiento para incidentes y accesos indebidos.

Supervisión y funcionamiento

• Define qué decisiones puede tomar el agente.
• Establece casos de derivación obligatoria a una persona.
• Impide que invente precios, condiciones o garantías.
• Prueba el sistema con escenarios difíciles y solicitudes fuera de alcance.
• Revisa periódicamente una muestra de conversaciones.
• Registra cambios relevantes en instrucciones, conexiones y procesos.
• Forma al equipo que supervisa o utiliza el sistema.

Evidencias

• Guarda las versiones de los mensajes de transparencia.
• Conserva el análisis del caso de uso y sus riesgos.
• Documenta las pruebas realizadas.
• Registra incidencias y medidas correctoras.
• Solicita al proveedor documentación útil para demostrar el cumplimiento.

¿Podrías demostrar mañana cómo funciona tu agente y qué controles has implantado? Si la respuesta es no, todavía existe trabajo pendiente.

Cómo cumplir sin complicar el negocio

Cumplir no debería consistir en llenar carpetas de documentos que nadie utiliza. El objetivo es incorporar controles razonables al funcionamiento cotidiano del agente.

Empieza por una auditoría breve

Haz un mapa de los canales donde opera la IA, los datos que utiliza y las acciones que puede ejecutar. Con frecuencia, esta revisión revela problemas sencillos de corregir: avisos poco visibles, permisos excesivos o ausencia de transferencia a una persona.

Diseña la transparencia dentro de la experiencia

El aviso de IA puede ser claro sin resultar frío. Una frase breve y natural suele funcionar mejor que un párrafo jurídico.

La clave es explicar quién atiende, qué puede hacer y cómo acceder a ayuda humana.

Aplica controles según el riesgo

Un agente que consulta horarios necesita controles distintos de otro que cualifica candidatos para un empleo. Cuanto mayor sea el impacto de sus decisiones sobre las personas, más rigurosa debe ser la evaluación.

Centraliza la documentación

Mantén un registro sencillo con:

• Finalidad y alcance.
• Proveedores utilizados.
• Integraciones y permisos.
• Instrucciones principales.
• Pruebas realizadas.
• Sistema de supervisión.
• Historial de cambios e incidencias.

Una agencia especializada puede ayudarte a traducir estos requisitos a decisiones técnicas y operativas: configurar avisos, limitar acciones, preparar derivaciones y establecer métricas y revisiones. Cuando el caso presenta implicaciones jurídicas específicas, este trabajo debe coordinarse con asesoramiento legal.

Riesgos de no cumplir y oportunidades de hacerlo bien

La Comisión Europea señala que las infracciones de determinadas obligaciones pueden dar lugar a sanciones importantes, con criterios de proporcionalidad para las pymes. El importe aplicable depende del tipo de infracción y de las circunstancias, por lo que no conviene reducir el riesgo a una única cifra.

Además de una posible sanción, existen otros impactos:

• Pérdida de confianza de clientes.
• Reclamaciones por experiencias engañosas.
• Problemas con proveedores o plataformas.
• Uso inadecuado de datos personales.
• Decisiones incorrectas sin supervisión.
• Daño reputacional.
• Costes derivados de rehacer una automatización mal diseñada.

Sin embargo, cumplir bien también ofrece una oportunidad comercial.

Una empresa que identifica claramente a su asistente, protege los datos y permite hablar con una persona transmite profesionalidad. La transparencia no reduce necesariamente la conversión; puede aumentar la confianza si el agente resuelve el problema con rapidez.

La pregunta no debería ser “¿cómo ocultamos que usamos IA?”, sino “¿cómo demostramos que la usamos de forma útil, responsable y segura?”.

Prepara ahora tus agentes de IA

Desde el 2 de agosto de 2026, las obligaciones de transparencia del EU AI Act ya forman parte del escenario operativo de los chatbots y otros sistemas interactivos de IA en Europa.

Para una pyme, el camino práctico consiste en identificar sus sistemas, aclarar responsabilidades, informar desde la primera interacción, controlar los datos, establecer supervisión humana y conservar evidencias.

No hace falta convertir cada conversación en un documento jurídico. Sí hace falta configurar la automatización con criterio desde el principio.