Qué está pasando
Desde que el Artículo 50 del AI Act entró en vigor el 2 de agosto (lo explicamos aquí antes de la fecha y aquí justo después), algo que anticipábamos ha empezado a materializarse: las grandes empresas no se limitan a cumplir ellas mismas, también están revisando a su cadena de proveedores. Bancos, aseguradoras, administraciones públicas y grandes corporaciones han comenzado a enviar cuestionarios y solicitudes de evidencia a las pymes con las que trabajan, preguntando cómo usan la inteligencia artificial y si pueden demostrarlo por escrito.
No es una anomalía aislada: es el comportamiento típico de cualquier marco regulatorio nuevo con sanciones reales. Las grandes empresas gestionan su propio riesgo trasladando parte de la exigencia a quienes les proveen servicios — igual que ya ocurre desde hace años con protección de datos (RGPD) o ciberseguridad.
Por qué te llega a ti aunque no vendas "IA"
El error más común es pensar que el AI Act solo afecta a empresas que desarrollan o venden sistemas de inteligencia artificial. No es así. El reglamento distingue entre proveedores (quienes desarrollan el sistema) y responsables del despliegue (quienes lo usan en su actividad), y ambos tienen obligaciones.
Si tu empresa paga una suscripción a ChatGPT, tiene Copilot activado en Microsoft 365, usa un chatbot de atención al cliente, o tiene cualquier herramienta con IA integrada detrás de su CRM o su web, eres responsable del despliegue a efectos del reglamento. Y si esa herramienta interactúa con clientes o genera contenido, entran en juego las obligaciones de transparencia del Artículo 50 que ya cubrimos en artículos anteriores.
La brecha real: adopción alta, gobernanza baja
El motivo por el que este tipo de requerimientos está pillando a tantas pymes a contrapié es una brecha bien documentada: la adopción de IA en las pymes españolas es de las más altas de Europa, pero la gobernanza no ha seguido el mismo ritmo. Según datos de IONOS/YouGov, el 41% de las pymes españolas ya usa IA a diario, liderando la adopción en Europa, y según Adigital el 89% de las empresas españolas espera ganar eficiencia con la IA. Pero medios especializados como La Ecuación Digital han documentado que buena parte de esa adopción avanza sin la gobernanza mínima que ahora exige el reglamento: sin inventario de qué herramientas se usan, sin política interna, sin nadie designado como responsable.
Es exactamente ese vacío el que un cuestionario de un banco o de un gran cliente pone en evidencia de golpe.
Qué te están pidiendo exactamente
Aunque el formato varía según la empresa, la mayoría de estos requerimientos giran en torno a lo mismo:
- Inventario de herramientas de IA en uso — qué sistemas usas, para qué procesos y desde cuándo.
- Evidencia de transparencia de cara al cliente — si un chatbot o contenido generado por IA llega a usuarios finales, prueba de que está identificado como tal (Artículo 50).
- Una política interna mínima de uso responsable de IA — no hace falta un documento de 40 páginas, pero sí algo formal y fechado.
- Un responsable designado — una persona de contacto para temas de cumplimiento de IA, aunque sea la misma que ya lleva RGPD.
- Registro de cuándo empezasteis a evaluar esto — la fecha importa: demuestra diligencia incluso si el proceso no está terminado.
No te están pidiendo perfección, te están pidiendo evidencia de que gestionas el riesgo. Un banco no espera que una pyme de 8 personas tenga el mismo aparato de compliance que un banco. Espera ver que el tema está sobre la mesa, documentado y con alguien al mando.
Qué hacer esta semana si te llegó el email
- No lo ignores ni lo dejes para "cuando haya tiempo". Estos cuestionarios suelen tener plazo de respuesta, y no responder puede afectar la relación comercial, no solo el cumplimiento legal.
- Haz el inventario en 48 horas. Lista qué herramientas de IA usa tu empresa hoy: chat de atención al cliente, generación de contenido, Copilot, CRM con IA, lo que sea. Sé exhaustivo, no solo lo obvio.
- Redacta una política de una página. Qué herramientas están permitidas, para qué usos, quién es responsable, y cómo se etiqueta el contenido generado por IA de cara al público.
- Responde al cuestionario con lo que tengas, fechado. Es mejor una respuesta honesta y en proceso que el silencio o una respuesta genérica sin sustancia.
- Guarda todo. El email recibido, tu respuesta, la fecha del inventario y de la política. Esa documentación es tu evidencia si AESIA o el propio cliente vuelven a preguntar.
Cómo evitar que la próxima vez te pille por sorpresa
Si esta vez ha sido un cliente el que te ha hecho reaccionar, la próxima puede ser una inspección de AESIA, una auditoría de otro cliente, o una due diligence en una operación de financiación. Tener el inventario y la política ya preparados —aunque nadie te los pida todavía— convierte una situación de estrés en un trámite de cinco minutos.
Conclusión
El AI Act ha dejado de ser una preocupación abstracta sobre sanciones lejanas: ya se está trasladando por la cadena de suministro, de empresa grande a proveedor pyme, en forma de cuestionarios muy concretos. Las empresas que respondan con una base mínima de gobernanza —inventario, política, responsable— no solo evitan fricción con clientes importantes, también llegan mejor preparadas al día en que la inspección sea de AESIA directamente.
En Dataverse Solutions ayudamos a pymes a montar esa base de cumplimiento en días, no meses, para que un email de un cliente o de AESIA deje de ser una emergencia.