Para garantizar un uso seguro de la inteligencia artificial en una empresa en España en 2026, son necesarias 5 cosas: saber qué herramientas usa ya tu equipo, contratar un proveedor con contrato de empresa y garantías sobre tus datos, establecer una política de uso, formar a cada persona según su función y revisarlo todo una vez al año. El Reglamento europeo de IA (el «AI Act») y el RGPD ya están en vigor.
En esta guía explicamos qué hace falta para cada uno de ellos, qué se ha aplazado y cómo ponerlo en marcha en 90 días.
Cómo se usa la IA en las empresas en España en 2026
El 33,6 % de las empresas españolas de 10 o más empleados ya usa la IA. Así lo indican los datos del primer trimestre de 2026 del INE, el Instituto Nacional de Estadística. En el primer trimestre de 2025 era el 21,1 %. En las empresas de menos de 10 empleados es el 21,4 %.
Sin embargo, la realidad supera a los datos oficiales. En un estudio de OpenAI con 1.000 pymes españolas, el 70 % de los directivos afirma que sus empleados ya usan la IA por iniciativa propia, muchas veces con cuentas personales. El 39 % de esas pymes todavía no tiene una política sobre qué se puede hacer y qué no. Nuestra estimación es que probablemente más del 90 % de las pymes no tiene una política.
Este es el punto de partida de casi todas las empresas: la IA ya está dentro, sin contrato, sin reglas y sin saber qué datos han salido de la empresa.
Qué puede hacer la IA en tu empresa y qué no
La IA generativa es muy buena redactando, resumiendo, traduciendo, clasificando y buscando en documentos. Y cada vez es mejor en tareas de varios pasos con las herramientas de la empresa. Sin embargo, es mala garantizando que un dato es cierto. Puede inventar con total seguridad. Por eso, para cada uso, hace falta una persona que revise el resultado antes de que salga de la empresa.
| Área | Usos que funcionan hoy | Qué revisar |
|---|---|---|
| Marketing | Borradores de textos y anuncios, adaptar una campaña a cada canal, analizar los comentarios de los clientes | Tono de marca, datos y promesas sobre el producto, derechos de imagen |
| Ventas | Preparar reuniones, redactar propuestas, actualizar el CRM a partir de correos y llamadas | Precios y condiciones antes de enviar nada |
| Atención al cliente | Respuestas sugeridas, resúmenes de cada caso, preguntas frecuentes | Que no prometa lo que la empresa no da; avisar de que se habla con una IA |
| Operaciones y producto | Requisitos, comparativas de proveedores, informes semanales, seguimiento de tareas | Cifras y compromisos con terceros |
| Finanzas y administración | Clasificar facturas y gastos, conciliaciones, borradores de informes | Todo importe que acabe en la contabilidad |
| Personas (RR. HH.) | Ofertas de empleo, planes de formación, respuestas a preguntas internas | No dejar que la IA decida sobre personas (ver más abajo) |
Si quieres ver hasta dónde puede llegar, contamos cómo un agente de IA hizo de product manager durante nueve meses y qué hacen distinto las empresas nativas de IA.
Qué dice la ley: el AI Act en 2026
El Reglamento europeo de IA se aplica directamente en España, por fases. La mayoría de las empresas no desarrolla IA, sino que la usa. El Reglamento las llama responsables del despliegue. Sus obligaciones son pocas, pero ya están en vigor.
El Ómnibus digital, el Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, aplazó las obligaciones de los sistemas de alto riesgo y suavizó la de formación. El resto del calendario no cambió.
| Desde | Qué se aplica | ¿Afecta a una empresa que usa IA? |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas, como reconocer las emociones de los empleados en el trabajo o puntuar socialmente a las personas | Sí: hay que no hacerlas |
| 2 de febrero de 2025 | Alfabetización en IA (artículo 4), reformulada en julio de 2026 como obligación de adoptar medidas | Sí: formación y documentación |
| 2 de agosto de 2025 | Obligaciones de los proveedores de modelos de uso general (OpenAI, Google, Anthropic…) | No directamente |
| 2 de agosto de 2026 | Transparencia (artículo 50) | Sí, si publicas contenido generado con IA o tienes un chatbot de cara al público |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III (antes, agosto de 2026) | Solo si usas la IA en esos ámbitos |
| 2 de agosto de 2028 | Alto riesgo en productos regulados del anexo I | Solo a fabricantes de esos productos |
El calendario completo, las sanciones y lo que significa cada obligación en la práctica están en nuestra guía del AI Act en 2026.
Formación de tu equipo (artículo 4)
Toda empresa que usa IA debe tomar medidas para que su equipo sepa usarla: conocer sus límites, sus riesgos y las reglas de la empresa. No hay un certificado oficial ni un mínimo de horas, pero conviene poder demostrar qué formación has dado y a quién. Lo explicamos con detalle en la guía del artículo 4.
Transparencia (artículo 50)
Desde agosto de 2026, quien publica una imagen, un audio o un vídeo generado o manipulado con IA que parece real (un «deepfake») debe decir que es artificial. Lo mismo vale para los textos generados con IA que se publican para informar al público sobre asuntos de interés general, salvo que una persona los haya revisado y alguien asuma la responsabilidad editorial. Y un chatbot que habla con clientes debe dejar claro que es una IA; esa obligación recae en el proveedor del sistema, pero si lo pones en tu web, te conviene comprobarlo.
Alto riesgo: dónde mirar con cuidado
El Reglamento considera de alto riesgo, entre otros, los sistemas que se usan para seleccionar personal, evaluar o promocionar empleados, decidir despidos o repartir tareas según el comportamiento de cada persona, y los que valoran la solvencia de particulares. Sus obligaciones se aplican desde el 2 de diciembre de 2027. Pedirle a la IA que redacte una oferta de empleo no es de alto riesgo; dejar que filtre candidatos, sí.
Quién lo vigila en España
La autoridad española de supervisión de la IA es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. La AEPD sigue siendo la autoridad en todo lo que toca a datos personales.
El proyecto de ley orgánica que debía concretar el régimen sancionador español y el reparto de competencias entre autoridades caducó el 6 de octubre de 2026, con la disolución de las Cortes por la convocatoria de elecciones generales. Habrá que esperar a que el próximo Gobierno presente un texto nuevo. Eso no suspende nada: el Reglamento europeo se aplica igual, y fija multas máximas de 35 millones de euros o el 7 % de la facturación mundial para las prácticas prohibidas, y de 15 millones o el 3 % para el resto de las obligaciones. Para una pyme, se aplica el menor de los dos importes.
RGPD: lo que ya se aplicaba, y se sigue aplicando
En cuanto alguien pega en una herramienta de IA un correo de un cliente, un currículum o una hoja de cálculo con nombres, la empresa está tratando datos personales, y se aplica el RGPD como a cualquier otro tratamiento. En la práctica, eso significa:
- Un contrato de encargo del tratamiento con el proveedor (artículo 28 del RGPD). Las cuentas personales y gratuitas no lo tienen; los planes de empresa, sí.
- Una base jurídica para cada uso con datos personales, e informar a las personas afectadas cuando corresponda.
- Cuidado con las categorías especiales de datos (salud, ideología, origen étnico, datos biométricos): la regla más sencilla es no introducirlas en herramientas de IA salvo que el uso esté analizado y autorizado.
- Transferencias internacionales. Si el proveedor trata datos fuera del Espacio Económico Europeo, la transferencia necesita una garantía. Para Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU. sigue vigente: el Tribunal General lo confirmó en septiembre de 2025, aunque el recurso ante el Tribunal de Justicia sigue pendiente. Conviene saber qué garantía usa tu proveedor y tener un plan si ese marco cae, como cayeron los dos anteriores.
- Una evaluación de impacto cuando el uso pueda suponer un riesgo alto para las personas, por ejemplo al analizar a empleados o clientes a gran escala.
- No dejar que la IA decida sola sobre personas cuando la decisión les afecta de forma significativa (artículo 22).
La AEPD publicó en noviembre de 2025 su propia política interna de uso de IA generativa. Está pensada para la Agencia, no para las empresas, pero es un buen modelo de qué preguntas hay que responder por escrito. Y si te preocupa qué hace tu equipo con las herramientas que ya usa, lee por qué muchos equipos no se fían de la IA corporativa.
Cómo elegir un proveedor de IA: ocho preguntas
La pregunta no es qué modelo es «el mejor» (eso cambia cada pocos meses), sino qué garantías te da el proveedor sobre tus datos y cuánto te cuesta cambiar de modelo. Antes de firmar, pide respuestas por escrito a estas ocho preguntas:
- ¿Es un plan de empresa, con un administrador y cuentas de la empresa? Si cada persona usa su cuenta, la empresa no controla nada.
- ¿Entrena modelos con nuestros datos? En los planes de empresa de los grandes proveedores, la respuesta por defecto es no; en las cuentas personales, depende de la configuración de cada uno.
- ¿Dónde se guardan los datos? Varios proveedores ya permiten guardarlos en Europa. OpenAI, por ejemplo, lo ofrece para los espacios nuevos de ChatGPT Enterprise y Edu.
- ¿Dónde se ejecuta el modelo? No es lo mismo que la pregunta anterior. Los datos pueden guardarse en Europa y enviarse a otro país para generar cada respuesta. Pregunta por las dos cosas por separado.
- ¿Hay un contrato de encargo del tratamiento, y quiénes son los subencargados? Pide la lista y las garantías de cada transferencia.
- ¿Cuánto tiempo se conservan los datos y cómo se borran? Incluidos los archivos que sube el equipo.
- ¿Puedo usar varios modelos, o quedo atado a uno? Cada modelo es mejor en unas tareas, y los precios y las condiciones cambian. Depender de un solo proveedor es un riesgo de negocio.
- ¿Quién me ayuda a ponerlo en marcha, y en qué idioma? Una herramienta que el equipo no adopta es un gasto, no una inversión.
Un plan de 90 días para una pyme
No hace falta un gran proyecto. Un plan realista para una empresa de 10 a 200 personas:
| Semanas | Qué hacer | Resultado |
|---|---|---|
| 1 y 2 | Inventario: qué herramientas de IA usa cada equipo, con qué cuentas y con qué datos | Una lista, sin culpables |
| 3 y 4 | Elegir la herramienta autorizada con las ocho preguntas de arriba, y firmar el encargo del tratamiento | Un proveedor y un contrato |
| 4 y 5 | Escribir la política de uso de IA: herramientas autorizadas, datos prohibidos, quién revisa qué | Una política de dos o tres páginas |
| 5 y 6 | Formación por perfiles, y registro de quién la ha hecho | Cumplir el artículo 4, y poder demostrarlo |
| 6 a 10 | Dos o tres pilotos con una métrica cada uno: horas ahorradas, tiempo de respuesta, propuestas enviadas | Saber qué funciona, con datos |
| 11 a 13 | Extender lo que funciona, parar lo que no, y nombrar un responsable para cada flujo | Uso real, con dueño |
Después, revisa la política y la formación una vez al año, y cada vez que cambien las herramientas.
Errores frecuentes
- Prohibir la IA. El equipo la sigue usando desde el móvil y con cuentas personales, y la empresa pierde el control de sus datos.
- Pensar que el AI Act solo afecta a quien desarrolla IA. La formación y la transparencia se aplican a quien la usa.
- Confundir «guardado en Europa» con «procesado en Europa». Son dos preguntas distintas, y conviene hacer las dos.
- Medir el uso en lugar del resultado. El número de conversaciones no dice nada; las horas ahorradas o los clientes atendidos, sí.
- Dejar que la IA decida sobre personas, en la selección de personal, en evaluaciones o en el crédito, sin una persona que revise cada decisión.
Cómo encaja P30
P30 es un espacio de trabajo con IA para empresas: Claude, GPT, Gemini y Grok en un mismo sitio, con una memoria común de la empresa, roles y permisos. Tus datos se guardan en la UE y nunca se usan para entrenar modelos, y nuestro equipo te ayuda a ponerlo en marcha, en español. Puedes ver cómo tratamos los datos en seguridad y en el encargo de tratamiento, o hablar con nosotros.
Fuentes
- Reglamento (UE) 2024/1689 de Inteligencia Artificial: artículos 3, 4, 5, 50, 99 y 113, y anexo III.
- Reglamento (UE) 2026/1744 (Ómnibus digital), que aplaza el alto riesgo y modifica el artículo 4.
- Reglamento (UE) 2016/679 (RGPD): artículos 9, 22, 28 y 35, y capítulo V.
- INE: Encuesta sobre el uso de TIC y del comercio electrónico en las empresas, primer trimestre de 2026, publicada el 22 de octubre de 2026, y la del primer trimestre de 2025.
- Estudio de OpenAI con 1.000 directivos de pymes españolas, publicado por Europa Press el 17 de septiembre de 2026.
- Congreso de los Diputados: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096), caducado el 6 de octubre de 2026, y el Real Decreto 806/2026 de disolución de las Cortes.
- AESIA, Agencia Española de Supervisión de la Inteligencia Artificial.
- AEPD: política general interna para el uso de la IA generativa, noviembre de 2025.
- Tribunal General de la UE, asunto T-553/23, Latombe contra Comisión, sentencia de 3 de septiembre de 2025; recurso de casación C-703/25 P.
- OpenAI: residencia de datos en Europa.