Durante los últimos meses me he dedicado a algo poco glamuroso pero necesario: ayudar a cinco pymes españolas a prepararse para el 2 de agosto de 2026, fecha en la que entra en aplicación completa el Reglamento (UE) 2024/1689 — el AI Act — para los sistemas de IA de alto riesgo. No son auditorías legales (no soy abogado), son auditorías técnicas de compliance: inventario, clasificación de sistemas, redacción del dossier del Art. 11, protocolos de supervisión, formación del equipo y transparencia frente al usuario final.
Lo que he visto en estas cinco empresas me ha confirmado dos cosas que llevaba meses sospechando: primero, que casi ninguna PYME tiene idea real de cuántos sistemas de IA está usando ya; segundo, que el ruido comercial sobre consultorías de 15.000-25.000 € hace que muchas lo pospongan hasta junio de 2026, momento en el que ya no da tiempo. Este post va de eso: errores que todas repiten, mi proceso real, cuánto cuesta y qué haría distinto si tuviera que empezar hoy desde cero.
Las cinco pymes (sin nombres, con los datos que importan)
Para que esto sea útil y no un ejercicio abstracto, estos son los perfiles. Omito el nombre comercial por confidencialidad pero mantengo lo que realmente determina la complejidad del caso: sector, tamaño, qué IA usan y cuántos sistemas acabaron contando una vez hecho el inventario honesto.
- Gestoría fiscal en Madrid, 14 empleados. Partían de «aquí no usamos IA». Inventario final: 11 sistemas (OCR de Holded, scoring de clientes dudosos, email marketing con A/B automático, asistente de Microsoft 365, filtro de spam, dos chatbots internos y cuatro más integrados en SaaS).
- Clínica polivalente en Barcelona, 22 empleados. Partían de «solo usamos ChatGPT para redactar». Inventario final: 9 sistemas, uno de ellos de alto riesgo (asistente de triaje de llamadas que decidía prioridad).
- Agencia inmobiliaria en Valencia, 8 empleados + 12 agentes externos. Partían de «nada formal». Inventario final: 13 sistemas, incluyendo scoring de leads en el CRM y matching automático comprador-propiedad.
- Academia online en Sevilla, 6 empleados, 400 alumnos activos. Partían de «ya hemos leído el AI Act, estamos bien». Inventario final: 8 sistemas. El proctoring de exámenes online los puso en alto riesgo automático (Anexo III, punto 3).
- E-commerce DTC de productos de hogar en Zaragoza, 11 empleados. Partían de «esto no nos aplica, somos solo tienda». Inventario final: 14 sistemas, incluyendo recomendador de producto, chatbot WhatsApp y detección de fraude en pagos.
Media de sistemas de IA en una PYME de 6-25 empleados: entre 8 y 15. La frase «nosotros no usamos IA» la he oído en cinco de cinco empresas al empezar. La frase «no sabíamos que X era IA» la he oído por lo menos ocho veces por empresa durante el inventario.
Los errores que repiten las cinco
No son errores de malas intenciones. Son errores de desinformación o de haber escuchado solo medio mensaje. Estos son los cinco patrones que vi en todas sin excepción, por orden de impacto:
1. Confundir RGPD con AI Act
El RGPD regula el tratamiento de datos personales. El AI Act regula el sistema de IA en sí mismo. Se solapan en la evaluación de impacto (DPIA + EIPD) pero no se sustituyen. Las cinco empresas creían que, por tener el RGPD en orden, el AI Act estaba cubierto. Falso. El dossier técnico del Art. 11, la supervisión humana del Art. 14 y la alfabetización del Art. 4 son obligaciones específicas del AI Act que no existen en el RGPD.
2. Auditar solo la IA «visible»
Todas creían que «la IA de la empresa» era ChatGPT o Copilot. Nadie contaba el OCR de Holded, el scoring de HubSpot, el filtro de spam, el A/B testing de Mailchimp, el autocompletado del CRM o el detector de fraude de la pasarela de pago. Cuando les enseñas una lista de 60 SaaS típicos de pyme y les marcas cuáles traen IA, la cara que ponen es siempre la misma.
3. Posponer «hasta que esté claro cómo se aplica»
La trampa clásica. El Reglamento ya está publicado desde julio de 2024, ya se aplica por fases, y la fecha crítica es firme: 2 de agosto de 2026. Las directrices de la AESIA se van afinando, pero no van a cambiar el calendario. Posponer al segundo semestre de 2026 significa pasar el verano sin tiempo para redocumentar sistemas que resulten de alto riesgo.
4. Pensar que una plantilla sirve igual
Hay plantillas de dossier Art. 11 circulando en PDF que están traducidas del marco NIST estadounidense o del ICO británico. Son útiles como esqueleto, pero no sirven tal cual para España: aquí la autoridad competente es la AESIA (sede en La Coruña), no la AEPD; el marco sancionador del Art. 99 tiene matices concretos; y hay particularidades sobre sandbox regulatorio y sobre coordinación con otras agencias (CNMC, Banco de España) que no aparecen en las plantillas anglosajonas.
5. Contratar auditoría externa sin haber hecho inventario
La diferencia entre que una consultora cueste 5.000 € o 25.000 € no está en la consultora: está en lo que te encuentres al abrir la empresa. Si contratas la auditoría externa sin tener claro cuántos sistemas tienes, pagas horas de descubrimiento que podrías haber hecho tú solo con un cuestionario de 15 preguntas. En las cinco pymes, el ahorro fue entre 2.000 y 7.000 € solo por llegar al kickoff con el inventario preparado.
Mi proceso real paso a paso
El proceso completo lleva entre 40 y 120 horas distribuidas en 4 a 8 semanas según el tamaño y los sistemas de alto riesgo que aparezcan. Es exactamente el mismo proceso que describo con detalle en el checklist de auditoría de compliance IA 2026 publicado en CPG Estudio IA, pero resumido aquí en cinco fases operativas:
- Semana 1 — Kickoff y cuestionario de descubrimiento. Mando a cada departamento (operaciones, RRHH, IT, marketing, comercial) un cuestionario de 12-15 preguntas sobre qué herramientas usan. Es el momento en que afloran los 30-50% de sistemas que el CEO desconocía.
- Semana 2 — Clasificación por Anexo III. Cada sistema identificado pasa por el flujo del Anexo III. Los que caen en alto riesgo pasan a dossier completo; el resto se documenta más ligero.
- Semanas 3-5 — Recopilación documental. Para los sistemas de alto riesgo pido al proveedor la documentación del Art. 11. Microsoft, Google, Salesforce y HubSpot ya la tienen preparada; los proveedores pequeños tardan 2-4 semanas.
- Semanas 5-7 — Redacción de política, EIPDs y protocolos de supervisión. Aquí es donde se dispara el tiempo si no se parte de plantillas específicas del marco español. Yo trabajo con plantillas propias que ya han pasado por cinco pymes.
- Semana 8 — Cierre y calendario de revisión. El paquete queda archivado con hash, fecha y responsable. Se fija revisión anual mínima o antes si cambia un sistema.
Cuánto cuesta hacerlo bien (con cifras reales)
En las cinco pymes auditadas, el coste total de la auditoría (interno + externo) se distribuyó así:
- Gestoría fiscal (14 empleados, 11 sistemas, 1 de alto riesgo): 6 semanas, 55 h internas, 4.200 € en coste externo. Total equivalente ~7.500 €.
- Clínica polivalente (22 empleados, 9 sistemas, 1 de alto riesgo): 7 semanas, 72 h internas, 5.100 €. Total ~9.000 €.
- Agencia inmobiliaria (8 + 12 externos, 13 sistemas, 2 de alto riesgo): 8 semanas, 88 h internas, 6.800 €. Total ~11.500 €.
- Academia online (6 empleados, 8 sistemas, 1 de alto riesgo con proctoring): 5 semanas, 48 h internas, 3.900 €. Total ~6.800 €.
- E-commerce DTC (11 empleados, 14 sistemas, 0 de alto riesgo): 4 semanas, 32 h internas, 2.400 €. Total ~4.500 €.
Media: 6 semanas, 59 h de dedicación interna, ~4.500 € de coste externo. Nada que ver con los 15.000-25.000 € que suelen cotizar las consultoras tradicionales para el mismo paquete. La diferencia no es la calidad: es haber llegado al kickoff con el inventario hecho y haber usado plantillas específicas del marco español.
Lo que haría distinto si empezara hoy
Después de estas cinco auditorías, hay tres cosas que cambiaría en mi propio proceso:
- Empezaría con la alfabetización IA (Art. 4) antes del inventario. Es obligatoria desde febrero de 2025, es la pieza más fácil de cumplir y es la que hace que el equipo entienda por qué le estás pidiendo que te liste todas las herramientas que usa. Dedicar 2 horas de sesión al equipo antes del cuestionario multiplica por tres la calidad del inventario que recibes.
- Pediría a los proveedores SaaS su documentación del Art. 11 por correo oficial, el primer día. Los grandes la tienen; los pequeños tardan. Pedírsela al final del proceso retrasa dos semanas la auditoría; pedírsela al día uno te permite cubrir ese plazo en paralelo con otras fases.
- Redactaría la política de IA empresarial como primera entrega, no como última. Me obliga a decidir con el cliente qué está permitido y qué no (p. ej. qué datos pueden subir a ChatGPT) antes de ponerme a clasificar sistemas. Hace la clasificación mucho más limpia.
Si quieres el detalle sector a sector de las obligaciones concretas — qué cae en alto riesgo del Anexo III según uso real (RRHH, scoring crediticio, educación, servicios esenciales) y cuáles son los tramos de sanciones del Art. 99 interpretados en clave PYME — tengo el análisis completo en el post Ley IA PYMES: obligaciones, sanciones y cómo aplicar el AI Act paso a paso, que publiqué en CPG Estudio IA como complemento práctico de este proceso.
Conclusión: adelantarse al 2 de agosto de 2026
Mi recomendación tras estas cinco auditorías es muy concreta: no esperes a que la AESIA empiece a inspeccionar. Haz el inventario tú ahora, dedícale un fin de semana con el equipo si hace falta, y descubre cuántos sistemas tienes. Si en 20 minutos cuentas 10 o más, tienes trabajo serio por delante y es mejor empezar en octubre que en junio.
El marco de cumplimiento completo del AI Act para empresas españolas, con los paquetes de servicio que ofrezco en CPG Estudio IA, está documentado en la página de cumplimiento del AI Act. Pero si tienes un caso concreto y prefieres hablar antes, el canal es el de siempre: cpgestudioia.tech/contacto.