La primera distinción que hay que entender es entre proveedor y responsable del despliegue (deployer). El proveedor desarrolla e introduce en el mercado un sistema de IA; el responsable del despliegue lo utiliza en su propia actividad. La mayoría de las pymes son responsables del despliegue: usan herramientas construidas por otros. Las obligaciones más pesadas del reglamento —documentación técnica, gestión del riesgo, conformidad de producto— recaen sobre los proveedores. Al responsable del despliegue le corresponde sobre todo usar el sistema según las instrucciones, con una supervisión humana adecuada.
El segundo concepto clave es la pirámide del riesgo. Las prácticas prohibidas (manipulación, social scoring) no afectan a la operativa típica de una pyme. Los sistemas de alto riesgo tocan ámbitos concretos —selección de personal, acceso al crédito, infraestructuras críticas— y ahí las obligaciones crecen de verdad. La mayoría de los usos comerciales cotidianos, como la atención al cliente y el marketing, entran en cambio en los niveles de riesgo limitado o mínimo, donde la obligación central es la transparencia: las personas deben saber cuándo están interactuando con una IA.
Qué hacer en la práctica, hoy: inventariar dónde usas ya la IA en la empresa; verificar que tus herramientas declaren su naturaleza de IA en las conversaciones con los clientes; elegir proveedores capaces de darte documentación y trazabilidad —un rastro de auditoría de las acciones de los agentes también ayuda aquí—; formar a las personas que usan estas herramientas, porque la alfabetización en IA del personal está entre las primeras obligaciones ya aplicables.
Aviso: los plazos y los detalles de aplicación del reglamento evolucionan, y tu caso concreto puede tener particularidades. Para decisiones con impacto legal, acude a un profesional cualificado.