EU AI Act para pymes: qué debes documentar cuando un agente de IA trabaja

Una empresa de instalaciones con 40 empleados automatiza la gestión de citas. Un agente de IA escribe las confirmaciones, mueve citas y responde preguntas de seguimiento. Lleva ocho meses funcionando y ahorra unas catorce horas por semana. Entonces el asesor fiscal hace una pregunta sencilla: quién decidió que este agente puede responder así y dónde está escrito. Nadie lo sabe. No hay registro, ni protocolo, ni aprobación. Ese es exactamente el momento en el que el EU AI Act deja de ser un tema de Bruselas y se convierte en un problema práctico para una empresa mediana.

A continuación verás qué se aplica realmente desde agosto de 2026, qué plazos movió el Ómnibus Digital y cómo recuperar en un solo día lo que le falta a la mayoría de las empresas.

---

Índice de contenidos

1. Qué se aplica realmente desde agosto de 2026
2. Responsable del despliegue o proveedor: tu rol lo decide todo
3. Qué debes documentar
4. Implementación en 30 días
5. Conclusión

---

Qué se aplica realmente desde agosto de 2026

El EU AI Act es el Reglamento (UE) 2024/1689 y se aplica por fases. El 2 de agosto de 2026 fue la fecha de las obligaciones de transparencia del artículo 50. Desde entonces, las personas deben poder reconocer que hablan con un sistema de IA, y el contenido sintético debe poder marcarse como generado artificialmente. La fase de supervisión también ha comenzado, así que las autoridades competentes pueden preguntar.

En paralelo, el Ómnibus Digital sobre IA se ha publicado en el Diario Oficial de la Unión Europea y ya está en vigor. Mueve varios plazos, y para la mayoría de las empresas esa es la buena noticia: las obligaciones para sistemas de alto riesgo del artículo 6, apartado 2, y del anexo III ya no empiezan en agosto de 2026, sino el 2 de diciembre de 2027. Los sistemas del anexo I siguen el 2 de agosto de 2028. Quien ya tenía en el mercado antes del 2 de agosto de 2026 un sistema que genera audio, imagen, vídeo o texto sintético dispone hasta el 2 de diciembre de 2026 para las obligaciones de transparencia del artículo 50, apartado 2.

Lo que eso significa para una empresa mediana normal: el bloque pesado de cumplimiento se ha retrasado. La obligación que te afecta primero como operador de un chatbot de atención al cliente o de un asistente interno es la transparencia. Y la transparencia no se ha aplazado. Está en vigor.

A eso se suma el ambiente dentro de las empresas. Un estudio del TÜV-Verband y la BSI publicado en octubre de 2026 concluye que el 84 por ciento de las empresas encuestadas teme decisiones erróneas de los agentes de IA, y cuatro de cada cinco hablan de miedo a perder el control. Al mismo tiempo, un sondeo de septiembre de 2026 mostró que solo una de cada cuatro pymes utiliza agentes de IA. El escepticismo es alto, la adopción todavía baja, y en esa brecha nacen las instalaciones a medio terminar que después generan preguntas.

Quien hoy opera un agente en producción normalmente no tiene un departamento de cumplimiento. Tampoco hace falta. Hace falta una documentación breve y honesta, y la disciplina de mantenerla.

Responsable del despliegue o proveedor: tu rol lo decide todo

El EU AI Act distingue dos roles que se confunden constantemente. El proveedor desarrolla un sistema de IA o lo introduce en el mercado con su propio nombre. El responsable del despliegue, el deployer, utiliza un sistema de IA en el ámbito profesional. Si alojas n8n en tu propio servidor, construyes un agente sobre un modelo de OpenAI, Anthropic o de código abierto y lo usas para tus propios clientes o procesos, normalmente eres responsable del despliegue. Si lo construyes y lo entregas a otras empresas como tu producto, pasas rápidamente a ser proveedor con bastantes más obligaciones.

Esa distinción no es una formalidad. Decide cuánto tienes que documentar. Como responsable del despliegue necesitas sobre todo supervisión humana, responsabilidades claras y la capacidad de demostrar qué hizo el agente y cuándo. Como proveedor se añaden documentación técnica, evaluación de conformidad y un sistema de gestión de riesgos. Las agencias que construyen por encargo deberían aclarar esta cuestión antes del primer taller, no después.

Hay un segundo punto que se pasa por alto: si tu agente prepara decisiones relevantes para las personas, como una solicitud de crédito, una candidatura o un siniestro de seguro, el sistema puede caer en la categoría de alto riesgo. En la mayoría de los proyectos para pymes no es el caso, porque se trata de citas, presupuestos, soporte e investigación interna. Pero la delimitación debe quedar por escrito, porque si no acabarás discutiéndola con un auditor en lugar de contigo mismo.

En la práctica, una frase en la carpeta del proyecto no basta. Necesitas una descripción breve del sistema, la finalidad prevista y la constatación explícita de que no se trata de un caso de alto riesgo del anexo III. Eso son diez minutos de trabajo y te ahorra semanas.

Qué debes documentar

La obligación de transparencia del artículo 50 es sencilla en su núcleo. Una persona debe saber que habla con una máquina, salvo que sea evidente. En la práctica significa: una ventana de chat necesita un aviso visible, no una nota al pie escondida. Un asistente telefónico de IA debe identificarse al inicio de la comunicación. Un correo enviado automáticamente y redactado por un modelo debería indicarlo si el destinatario podría tomarlo por un mensaje personal.

A eso se añade el marcado legible por máquina del contenido sintético. Si tu agente genera imágenes, vídeo o voz, esas salidas deben poder detectarse como generadas artificialmente, y para los sistemas existentes el plazo es el 2 de diciembre de 2026. Para texto plano en contexto de empresa la situación es más pragmática, porque el destinatario conoce al remitente. Aun así, una nota en el pie de un boletín automatizado no es un error.

Lo que casi siempre falta en la práctica es la trazabilidad. Tres cosas que deberías documentar, y en un lugar que encuentres en cinco minutos:

• Finalidad: Un párrafo sobre qué debe hacer el agente y qué no debe hacer bajo ninguna circunstancia. “Responde preguntas sobre plazos de entrega, nunca emite abonos” es una buena frase.
• Límites y aprobaciones: Qué puede hacer el agente solo y qué requiere aprobación humana. Si una acción cuesta dinero o toca un contrato, debe haber una persona en medio. Cómo construir eso correctamente está en nuestro artículo sobre permisos y mínimo privilegio para agentes de IA.
• Registro: Qué hizo el agente, cuándo, con qué entrada y qué resultado. Un registro de escritura en la base de datos es suficiente, siempre que sea legible y no rote a los siete días.

Consejo práctico: Guarda la documentación donde está tu plan de emergencia. Una referencia que nadie encuentra en un incidente no es documentación.

La segunda parte es la supervisión. El EU AI Act exige una supervisión humana que funcione de verdad. Alguien que mira un panel una vez al trimestre no es supervisión. Alguien que aprueba acciones críticas y verifica el resultado sí lo es. La diferencia no es jurídica sino organizativa, y decide si tu instalación aguanta en el día a día. Quien ha visto a un agente dejar de trabajar en silencio sabe lo importante que es el monitoreo. Los detalles están en fallos silenciosos en producción.

Implementación en 30 días

No necesitas un ejército de consultores ni software nuevo. Necesitas cuatro citas en el calendario.

Semana 1: inventario. Enumera cada agente y cada automatización en producción que tenga relación con personas o datos de clientes. Por entrada: finalidad, modelo, fuente de datos y responsable. La mayoría de las empresas encuentran entre dos y nueve entradas, de las cuales dos ya no recuerda nadie. Esas dos son el hallazgo real.

Semana 2: roles y transparencia. Anota por entrada si eres responsable del despliegue o proveedor. Después coloca los avisos visibles: ventana de chat, mensaje telefónico, pie de correo. En la mayoría de los sistemas es un cambio de configuración de pocos minutos. Luego compruébalo tú mismo, en el canal real y no en la vista previa.

Lista de control por agente
[ ] Finalidad descrita en un párrafo
[ ] Finalidades excluidas nombradas explícitamente
[ ] Rol: responsable del despliegue o proveedor
[ ] Sin caso de alto riesgo del anexo III
[ ] Aviso de transparencia visible en el canal real
[ ] Aprobaciones definidas para acciones críticas
[ ] Registro activo y retención definida
[ ] Persona responsable designada
[ ] Interruptor de emergencia probado

Semana 3: registro y aprobaciones. Si no tienes registro, créalo ahora. En n8n basta un nodo después de cada paso crítico que escriba petición, respuesta, marca de tiempo y resultado en una tabla. Si necesitas aprobaciones, constrúyelas como una parada real, no como un aviso dentro de un correo. Un agente que espera una aprobación y no continúa sin ella es una aprobación. Un agente que sigue adelante y envía un correo en paralelo no lo es.

Semana 4: prueba y entrega. Simula una caída apagando el agente y mide cuánto tarda alguien en notarlo. Verifica que el interruptor de emergencia funciona como se describe en interruptor de emergencia para agentes de IA. Después entrega la documentación a una segunda persona. Si esa persona puede explicar en diez minutos qué hace el agente y dónde están sus límites, la documentación está bien. Si no puede, es demasiado complicada.

Para despachos profesionales y otros sectores con secreto profesional hay una capa adicional, porque las obligaciones de confidencialidad aplican con independencia del AI Act. Si construyes en ese ámbito, mira nuestros servicios para ver cómo lo resolvemos.

Y un último punto que no está en ninguna ley pero aparece en toda auditoría: si tu web dice que construyes automatización con IA para otros, revisa primero tu propia instalación. La forma más rápida de terminar una conversación de cumplimiento es admitir que tu propio agente lleva meses funcionando sin registro. Cómo lo resolvemos internamente está descrito en la página de nuestro sistema B.R.A.I.N.: agentes con roles fijos, puntos de aprobación definidos y un protocolo que un auditor puede leer.

Conclusión

La noticia más importante de esta semana es incómoda y tranquilizadora a la vez. Incómoda, porque las obligaciones de transparencia se aplican desde agosto de 2026 y la supervisión ya ha comenzado. Tranquilizadora, porque el Ómnibus Digital trasladó la parte pesada a diciembre de 2027 y agosto de 2028. Tienes tiempo para el gran trabajo de cumplimiento. No tienes tiempo para el punto ciego.

El esfuerzo del primer paso es pequeño. Un inventario, un párrafo de finalidad por agente, un aviso visible, un registro y una persona designada. Son cuatro horas de trabajo y una cita recurrente en el calendario. Quien lo hace ahora tendrá después una conversación mucho más agradable, ya sea con clientes, aseguradoras o supervisores.

Si ya estás en ello: empieza por el agente que tiene más contacto con clientes. Ahí el riesgo es mayor y la documentación rinde más rápido.

Sobre MadeByBrain: Construimos automatización con IA para pymes: agentes de IA propios, flujos de n8n y estrategias GEO, en uso real. Desde la primera idea hasta la automatización en producción.

Solicita una consultoría gratuita →