EU AI Act 2026-2027 para pyme española: 30 escenarios reales con categoría, obligaciones y presupuesto.
El EU AI Act lleva en vigor desde agosto 2024 y su aplicación general llega en agosto 2027. La mayoría de artículos en español explican las 4 categorías de riesgo abstractamente. Esta guía hace lo contrario: parte de 30 escenarios reales de pyme española y para cada uno te dice categoría, obligaciones, calendario y rango de presupuesto. Pensada para que un Director General pueda decidir en 15 minutos si su próximo proyecto de IA es 'riesgo limitado a 2.000 €' o 'alto riesgo a 50.000 €'.
A quién aplica y por qué importa
El Reglamento (UE) 2024/1689, conocido como EU AI Act, entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada hasta el 2 de agosto de 2027. Es la primera regulación horizontal del mundo sobre sistemas de inteligencia artificial y opera con un enfoque basado en riesgo: clasifica los sistemas en cuatro categorías y aplica obligaciones proporcionales.
Para una pyme española de 20 a 500 empleados que despliega IA en operaciones internas (copilots, agentes, RAG, automatización con LLM), el 80% de los proyectos típicos caen en “riesgo mínimo” o “riesgo limitado” — con coste de cumplimiento bajo (1.000-3.000 €). Pero una decisión mal calibrada en un caso de alto riesgo (selección de personal, scoring crediticio, decisiones automatizadas con impacto en derechos) puede convertir un proyecto de 80.000 € en uno de 140.000 € — y exponerte a sanciones hasta el 7% del facturado global o 35 M€ si te equivocas.
Esta guía no es un análisis abstracto del reglamento. Es una herramienta operativa: parte de 30 escenarios reales que pyme española está desplegando en 2026 y para cada uno te dice exactamente en qué categoría está, qué obligaciones aplican, cuál es el calendario y cuánto cuesta cumplir. Si tu proyecto se parece a uno de los 30, tienes la respuesta en 2 minutos.
El cumplimiento del EU AI Act en pyme no es complicado en la mayoría de casos. Lo complicado es saber con precisión cuándo sí lo es.
Las 4 categorías de riesgo (refresh rápido)
Riesgo inaceptable (prohibido)
Sistemas que el reglamento prohíbe directamente. Coste cumplimiento: no aplica (no puedes desplegarlos):
- Reconocimiento facial en espacios públicos en tiempo real (con excepciones limitadas para seguridad)
- “Social scoring” gubernamental o privado
- Manipulación cognitiva o explotación de vulnerabilidades
- Categorización biométrica basada en raza, religión u orientación
Probabilidad en pyme: prácticamente cero. Si tu caso cae aquí, el problema es legal antes que técnico.
Alto riesgo (obligaciones fuertes)
El reglamento permite estos sistemas pero impone obligaciones estrictas. Los que pueden aparecer en pyme:
- IA en procesos de selección o evaluación de personal (cribado de CVs, evaluación de desempeño automatizada)
- IA en scoring crediticio o evaluación de solvencia para servicios esenciales
- IA en componentes de seguridad de productos sometidos a marcado CE
- IA en gestión de infraestructura crítica (energía, transporte, agua)
- IA en acceso a servicios públicos (no aplica a pyme privada)
Si caes aquí, las obligaciones se acumulan: registro en base de datos UE, evaluación de conformidad, documentación técnica, sistema de gestión de calidad, supervisión humana significativa, transparencia con usuarios afectados, monitoring post-comercialización. Coste cumplimiento típico: 15.000-60.000 € según complejidad.
Riesgo limitado (obligaciones ligeras)
Sistemas con obligaciones de transparencia mínima. Aquí cae la mayor parte de la IA conversacional y generativa en pyme:
- Chatbots que conversan con clientes → debes informar al usuario que interactúa con IA
- Sistemas que generan contenido sintético (texto, imagen, audio) → deben marcarse como generados por IA
- Sistemas de reconocimiento de emociones o categorización biométrica → consentimiento del afectado
Coste cumplimiento típico: 1.000-3.000 € (alfabetización personal + ajustes UI + plantillas de disclosure).
Riesgo mínimo (sin obligaciones específicas)
Filtros antispam, recomendadores de productos, asistentes internos para empleados, copilots de productividad. Sin obligaciones específicas más allá del cumplimiento general (GDPR, derechos del consumidor, propiedad intelectual). Coste cumplimiento típico: incluido en buenas prácticas de IT y cero adicional.
Calendario real 2024-2027 por trimestres
Pasado (ya en vigor)
- 2 de febrero de 2025: aplicación de las prohibiciones de riesgo inaceptable + obligación general de alfabetización en IA del personal que opera sistemas.
- 2 de agosto de 2025: obligaciones para modelos generativos de propósito general (GPAI). Afecta directamente a OpenAI, Anthropic, Google, Mistral, Meta — no a tu pyme, pero sí a tus proveedores de modelo (lo cual puede impactarte indirectamente vía cláusulas contractuales nuevas).
Próximo (acciones inmediatas)
- Q3 2026 (a partir de agosto): aplicación general del reglamento, incluyendo obligaciones de alto riesgo para sistemas nuevos. Si tu pyme va a desplegar IA en selección de personal o scoring crediticio durante 2026, el cumplimiento es exigible desde el primer día de uso.
- Q4 2026: previsible publicación por parte de la EU AI Office de guidelines actualizadas para evaluación de conformidad de sistemas de alto riesgo. Si estás planeando un proyecto de alto riesgo, retrasa la documentación final a este Q para reducir reescrituras.
Medio plazo
- Q3 2027 (a partir de agosto): aplicación de obligaciones para sistemas de alto riesgo embebidos en productos con marcado CE (Anexo I del reglamento). Si tu pyme fabrica producto regulado y embebe IA, este es el hito.
El corazón del pillar · 30 escenarios reales con categoría, obligaciones y presupuesto
Esta es la sección que diferencia esta guía de cualquier artículo de internet sobre EU AI Act. Para cada escenario te indicamos:
- Descripción operativa (2-3 líneas para que reconozcas si es tu caso)
- Categoría EU AI Act
- Obligaciones aplicables (las que sí pesan)
- Fecha límite de cumplimiento
- Rango de horas de cumplimiento (no incluye implementación técnica del sistema en sí, solo lo regulatorio)
- Rango de presupuesto (€ a day-rate 70-120 €/h, típico en consultoría compliance pyme España)
Sector Industrial · 6 escenarios
Visión por computador en línea de producción para control de calidad
IndustrialDescripción: Cámaras + modelo de visión detectan defectos visuales (manchas, deformaciones, etiquetado incorrecto) en producto durante envasado o empaquetado. Reportan al operario para retirar lote o ajustar máquina.
Obligaciones aplicables:
- Alfabetización en IA del operario que valida las alertas
- Buenas prácticas generales (GDPR si grabaciones identifican empleados, propiedad intelectual del modelo)
Detalle cumplimiento: 1 sesión formativa al equipo de planta + documentación interna del sistema.
Mantenimiento predictivo de maquinaria industrial
IndustrialDescripción: Modelo analiza señales de sensores (vibración, temperatura, consumo) para predecir fallos próximos y planificar mantenimiento. El responsable de mantenimiento decide qué intervenir.
Obligaciones aplicables: alfabetización en IA del equipo de mantenimiento.
Cierre mensual multi-ERP con BI conversacional
IndustrialDescripción: Asistente que ingiere datos de 2-4 ERPs distintos, los normaliza y responde preguntas en lenguaje natural (“¿facturación abril por planta vs marzo?”) con visualizaciones. CFO valida cierre.
Obligaciones aplicables: alfabetización del CFO + equipo financiero. Asistente interno, decisión humana final.
Captura de pedidos no estructurados (WhatsApp/PDF/email) hacia ERP
IndustrialDescripción: Sistema extrae datos de pedidos enviados como texto libre o adjunto (PDF, foto), los normaliza a estructura ERP, y un operativo valida en pantalla antes de confirmar. Interactúa con datos personales del cliente.
Obligaciones aplicables:
- Alfabetización del operativo
- Si el sistema responde al cliente sobre estado del pedido en lenguaje natural: transparencia (disclosure de que es IA)
- Vista al GDPR: tratamiento de datos personales del cliente
Detalle cumplimiento: alfabetización + ajuste UI con disclosure + revisión GDPR del proceso.
Optimización de stocks y predicción de demanda
IndustrialDescripción: Modelo predice demanda por SKU/región usando histórico ventas + factores externos (calendario, promociones). Genera propuesta de reposición. Responsable compras decide.
Obligaciones aplicables: alfabetización del responsable de compras.
Asistente de operaciones en planta (soporte operario)
IndustrialDescripción: Copilot que responde preguntas técnicas del operario sobre procedimientos, manuales o histórico de incidencias. Disponible en tablet en planta.
Obligaciones aplicables: alfabetización del personal operativo. Si responde al operario en lenguaje natural y este puede confundirlo con un humano: disclosure (aunque en uso interno es opcional).
Sector Distribución B2B · 6 escenarios
Conciliación factura-albarán-pedido (OCR + LLM)
Distribución B2BDescripción: Sistema OCR captura datos de facturas en papel/PDF, matchea con albaranes y pedidos, y propone reconciliación. Excepciones se escalan a operativo administrativo. Proceso interno con validación humana en excepciones.
Obligaciones aplicables: alfabetización del equipo administrativo.
Recuperación de cuentas dormidas (scoring + outreach automatizado)
Distribución B2BDescripción: Modelo identifica clientes que han bajado actividad y prioriza por probabilidad de recuperación. Sistema envía secuencia de outreach automático (email) hasta que cliente responde o se descarta. Email automatizado que conversa con cliente externo.
Obligaciones aplicables:
- Alfabetización del equipo comercial
- Transparencia: el cliente debe poder identificar fácilmente que el email viene de un sistema automatizado
- GDPR: consentimiento o interés legítimo para tratamiento del histórico
- Si el outreach incluye personalización de oferta vía LLM: marcado de contenido generado por IA en el email
Detalle cumplimiento: alfabetización + revisión legal del flujo + plantillas con disclosure + tests.
Pricing dinámico por SKU/cliente
Distribución B2BDescripción: Modelo sugiere precio para cada SKU según cliente, histórico, elasticidad y stock. Comercial aprueba o ajusta antes de comunicar a cliente.
Obligaciones aplicables: alfabetización del equipo comercial. Decisión humana final.
Copilot comercial (propuestas, follow-up)
Distribución B2BDescripción: Asistente que ayuda al comercial a redactar propuestas técnicas, follow-up emails y notas CRM tras llamadas. El comercial revisa antes de enviar. Propuestas y emails llegan a clientes externos.
Obligaciones aplicables:
- Alfabetización del comercial
- Transparencia opcional: si el cliente final podría confundir el contenido como humano puro, considerar disclosure en el pie del email tipo “este documento ha sido elaborado con asistencia de IA y revisado por [persona]”
Búsqueda semántica en catálogo (clientes B2B)
Distribución B2BDescripción: Cliente final usa buscador inteligente del portal B2B (“busco junta tórica diámetro 32 EPDM 200°C”) y sistema responde con productos relevantes del catálogo. Interacción con cliente externo en lenguaje natural.
Obligaciones aplicables:
- Transparencia: el cliente debe poder identificar que está usando un buscador automatizado vs. un humano (típicamente trivial — está en una UI de buscador)
- Si las respuestas se generan con LLM (no solo retrieval): aviso de “respuestas generadas por IA”
Forecasting demanda + planificación de rutas de reparto
Distribución B2BDescripción: Modelo predice volumen de pedidos por zona y propone rutas óptimas para flota. Jefe de logística revisa y ajusta.
Obligaciones aplicables: alfabetización del jefe de logística + planificadores.
Sector Servicios profesionales · 6 escenarios
Generación de propuestas técnicas (RAG sobre histórico)
Servicios profesionalesDescripción: Consultor introduce contexto del cliente y sistema genera primer borrador de propuesta basado en propuestas pasadas similares + librería de casos. Consultor edita y envía. Revisión humana significativa antes de envío.
Obligaciones aplicables: alfabetización del equipo de pre-sales. Transparencia opcional al cliente final via pie de página tipo “este documento ha sido elaborado con asistencia de IA”.
Knowledge graph interno (SharePoint/Drive/Confluence)
Servicios profesionalesDescripción: Sistema indexa documentación interna y responde preguntas del equipo en lenguaje natural sobre procedimientos, casos, criterios técnicos.
Obligaciones aplicables:
- Alfabetización del personal usuario
- Control de acceso a documentos sensibles (no es obligación del AI Act per se, sino buena práctica de seguridad)
Revisión documental (contratos, normativa)
Servicios profesionalesDescripción: Sistema analiza contratos o documentos normativos y detecta desviaciones respecto a plantilla base, alerta de cláusulas atípicas. Abogado/auditor revisa antes de actuar. Asistente interno con decisión humana final.
Obligaciones aplicables: alfabetización del equipo legal/compliance.
RAG legal sobre jurisprudencia / normativa sectorial
Servicios profesionalesDescripción: Asistente que responde preguntas del equipo legal sobre normativa actualizada o jurisprudencia, con citaciones de las fuentes.
Obligaciones aplicables: alfabetización del equipo legal + claridad sobre que las respuestas son referencia, no consejo legal definitivo.
Asistente de pre-sales / discovery cliente
Servicios profesionalesDescripción: Sistema entrevista al cliente potencial vía chat o llamada (con voice) para entender necesidades antes de la primera reunión humana. Interacción con cliente externo, posible reconocimiento de emociones si analiza tono de voz.
Obligaciones aplicables:
- Transparencia: cliente debe saber que está hablando con un sistema, no un humano
- Si analiza tono de voz para clasificar urgencia o disposición: consentimiento explícito y posiblemente disclosure adicional
- GDPR: grabación de voz es dato biométrico si se procesa para identificar
Detalle cumplimiento: alfabetización + revisión legal del flujo + disclosure + consentimiento si voz.
Asistente para redacción de informes ejecutivos
Servicios profesionalesDescripción: Sistema genera resumen ejecutivo de informe largo o consolida múltiples documentos en single page para C-suite. Senior revisa antes de presentar.
Obligaciones aplicables: alfabetización del equipo senior.
Sector Retail · 4 escenarios
Recomendador de productos en e-commerce
RetailDescripción: Sistema personaliza productos mostrados a cada cliente según histórico de navegación, compras y comportamiento similar de otros clientes. Caso de uso explícitamente listado como “low risk” en el reglamento si es solo recomendación, no decisión que afecte derechos.
Obligaciones aplicables:
- Alfabetización del equipo digital
- GDPR: consentimiento para tracking + perfiles
- Buenas prácticas de fairness (que el algoritmo no excluya sistemáticamente a grupos)
Atención al cliente 24/7 (chatbot conversacional)
RetailDescripción: Chatbot atiende dudas, gestiona devoluciones, cambia direcciones de envío, escalando a humano cuando no puede resolver. Interacción directa con cliente externo en lenguaje natural.
Obligaciones aplicables:
- Transparencia obligatoria: la primera respuesta del chatbot debe identificar que es IA + ofrecer escalada a humano (“Soy un asistente automatizado. Si necesitas hablar con una persona, escribe AGENTE”)
- Alfabetización del equipo de soporte
- GDPR + retención de logs
Forecasting demanda + reposición automatizada
RetailDescripción: Sistema predice demanda por tienda/SKU y dispara pedidos automáticos al proveedor. Responsable revisa excepciones.
Obligaciones aplicables: alfabetización del equipo logístico.
Detección de fraude transaccional
RetailDescripción: Modelo analiza patrones de transacciones en tiempo real, marca operaciones sospechosas para revisión humana. Cliente puede ver transacción bloqueada con motivo.
Frontera: por defecto es riesgo limitado (impacto en derechos del cliente si bloquea transacción legítima). Puede escalar a alto riesgo si:
- Se vincula a scoring crediticio de la persona
- Decisión automatizada sin revisión humana posible
- Afecta a servicios esenciales (banca para particular)
Obligaciones aplicables:
- Transparencia: cliente puede saber que su transacción se evaluó automáticamente y solicitar revisión humana
- Documentación del sistema y sus criterios
- Si es alto riesgo: documentación técnica + sistema de gestión calidad + supervisión humana significativa
Sector Salud · 4 escenarios
Priorización de citas y agendas (no decisional médico)
SaludDescripción: Sistema reorganiza agenda médica considerando urgencia declarada por paciente, histórico y disponibilidad. Personal administrativo confirma cada cambio. Gestión administrativa, no decisión clínica.
Obligaciones aplicables:
- Alfabetización del personal administrativo
- GDPR especial (datos de salud son categoría especial)
Soporte clínico no-decisional (resumen de historia clínica)
SaludDescripción: Asistente que resume historia clínica del paciente para el médico antes de la consulta. Médico toma todas las decisiones diagnósticas y terapéuticas.
Frontera: por defecto es riesgo limitado (asistencia a profesional, no diagnóstico). Si el sistema sugiere diagnóstico o tratamiento → escala a alto riesgo (productos sanitarios con marcado CE).
Obligaciones como riesgo limitado:
- Alfabetización del personal clínico
- Transparencia: claridad de que el resumen es referencia y no sustituye la evaluación médica completa
- GDPR datos de salud
- Si se mezcla con sugerencia diagnóstica: marcado CE de producto sanitario + alto riesgo
Análisis epidemiológico agregado / dashboards
SaludDescripción: Dashboards que agregan datos anonimizados de pacientes para detección de patrones epidemiológicos. Resultado consultado por dirección médica. Datos agregados, no decisión sobre individuos.
Obligaciones aplicables:
- Anonimización validada (importante: pseudonimización ≠ anonimización en GDPR)
- Alfabetización del equipo directivo
Asistente administrativo (gestión seguros, facturación)
SaludDescripción: Sistema gestiona reclamaciones a seguros, conciliación con mutuas, validación de coberturas. Personal administrativo supervisa. Proceso administrativo, no decisión clínica.
Obligaciones aplicables:
- Alfabetización del equipo administrativo
- GDPR datos de salud (categoría especial)
Sector Construcción / Inmobiliaria · 4 escenarios
Revisión técnica de proyectos (OCR + matching normativa)
Construcción / InmobiliariaDescripción: Sistema extrae datos de planos y memorias técnicas, los matchea con normativa aplicable (CTE, ordenanzas locales) y reporta desviaciones. Arquitecto/ingeniero revisa. Asistente técnico interno.
Obligaciones aplicables: alfabetización del equipo técnico.
Scoring crediticio de leads
Construcción / InmobiliariaDescripción: Modelo evalúa solvencia de leads (compradores potenciales) usando datos públicos y declarados para priorizar comercial. Alto riesgo si se usa para tomar decisiones que afectan al acceso del cliente al servicio (denegar reserva, exigir aval adicional, etc.).
Obligaciones aplicables:
- Registro en base de datos UE de sistemas de alto riesgo
- Documentación técnica detallada del sistema
- Sistema de gestión de calidad
- Supervisión humana significativa (no decisión 100% automatizada)
- Transparencia con el afectado: derecho a explicación de la decisión + revisión humana
- Monitoring post-comercialización
- GDPR art. 22 (decisiones automatizadas)
Sistemas pre-existentes tienen plazos extendidos.
Planificación de obras + predicción de retrasos
Construcción / InmobiliariaDescripción: Modelo predice retrasos en cronograma de obra según meteorología, disponibilidad de subcontratas, histórico. Jefe de obra ajusta planificación.
Obligaciones aplicables: alfabetización del jefe de obra + equipo planificación.
Asistente para tasaciones (no decisional final)
Construcción / InmobiliariaDescripción: Sistema sugiere valoración de inmueble basándose en datos comparables del mercado. Tasador certificado firma la tasación final. Decisión humana certificada.
Caveat: Si el sistema reemplazara al tasador certificado → escala a alto riesgo + posible incumplimiento normativa profesional.
Obligaciones aplicables: alfabetización del equipo tasador.
Las 3 obligaciones que pesan en TODA pyme (incluso en riesgo mínimo)
Más allá de las obligaciones específicas por categoría, hay 3 obligaciones operativas que aplican a cualquier pyme que despliegue IA, incluso si su caso es “riesgo mínimo”:
1. Alfabetización en IA del personal
Desde febrero 2025, las empresas que despliegan sistemas de IA están obligadas a garantizar un nivel suficiente de “alfabetización en IA” entre el personal que los opera. Esto no significa formación técnica profunda — significa que quien usa o supervisa el sistema entiende qué hace, qué limitaciones tiene, qué outputs son fiables y cuándo hay que escalar a humano.
Cómo cumplir en pyme:
- Sesión formativa de 2-3 horas por departamento que use el sistema
- Documento interno con “cómo funciona X, qué hace bien, qué hace mal, cuándo escalar”
- Repetir la formación cuando haya actualizaciones significativas
- Mantener registro de quién recibió la formación (sirve como evidencia ante una auditoría)
Una consultora seria debería incluir esta sesión en cualquier proyecto de despliegue. Si no lo hace, levanta la mano.
2. Transparencia con usuarios afectados
Si tu IA interactúa con clientes externos (chatbot, asistente conversacional, recomendador con explicación) tienes que informar de forma clara que están interactuando con un sistema de IA, no con un humano. La práctica recomendada:
- En la primera respuesta del chatbot: “Soy un asistente automatizado de [empresa]. Te puedo ayudar con X, Y, Z. Si necesitas hablar con una persona, escribe AGENTE.”
- En contenido generado (emails, propuestas que van a cliente final con asistencia LLM): aviso al pie tipo “este documento ha sido elaborado con asistencia de IA y revisado por [persona]”
Esto no se aplica a sistemas internos (copilot que solo usan tus empleados, agente que actúa entre sistemas internos sin contacto con cliente final).
3. Trazabilidad y supervisión humana
Aunque no entres en alto riesgo, una buena práctica que se va a convertir en estándar de mercado (y que muchas RFPs de cliente B2B grande ya exigen) es mantener:
- Logs de cada interacción significativa: quién pidió qué, qué respondió el sistema, qué humano validó si aplica
- Capa de supervisión humana en decisiones que afecten a personas (clientes, empleados, proveedores)
- Mecanismo de revisión y corrección cuando el sistema se equivoque
Esto no lo exige el reglamento para “riesgo limitado” o “mínimo”, pero sí lo va a exigir cualquier auditoría de cliente B2B o cualquier evaluación de proveedor que hagas en 2026-2027. Adelantarse cuesta poco.
Encaje con GDPR · matriz rápida
EU AI Act no sustituye GDPR, lo complementa. Si despliegas IA con datos personales, ambos aplican simultáneamente. La distinción rápida:
| Cuestión | EU AI Act | GDPR |
|---|---|---|
| ¿Qué regula? | El sistema de IA en sí (qué hace, su categoría de riesgo) | El tratamiento de datos personales que el sistema usa |
| ¿Cuándo aplica? | Siempre que despliegues IA en la UE | Cuando el sistema procese datos identificables de personas |
| Disclosure al usuario | Que está interactuando con IA | Qué datos se recogen, para qué, base legal, derechos |
| Decisiones automatizadas con impacto | Categoría “alto riesgo” + obligaciones específicas | Art. 22: derecho a no estar sujeto + intervención humana |
| Documentación obligatoria | Documentación técnica + evaluación de conformidad (si alto riesgo) | Registro de actividades + DPIA (si alto riesgo para derechos) |
| Sanción máxima | 7% facturación global o 35 M€ | 4% facturación global o 20 M€ |
Implicación práctica: si tu caso es alto riesgo bajo AI Act, casi seguro también requiere DPIA bajo GDPR. Hazlas juntas para ahorrar trabajo.
Checklist mínimo de cumplimiento por trimestre 2026
- Inventario interno de sistemas de IA desplegados o en piloto (incluye copilots y RAG)
- Clasificación de cada uno por categoría de riesgo EU AI Act
- Sesión de alfabetización para personal que opera cada sistema
- Disclosure activado en cualquier sistema que interactúe con clientes externos en lenguaje natural
- Si tienes sistema en categoría “alto riesgo”: iniciar documentación técnica
- Revisión de contratos con proveedores de modelos (OpenAI, Anthropic, etc.) para verificar cláusulas GPAI
- DPIA actualizada en sistemas que tratan datos personales con alta tasa de decisión
- Capa de logs y trazabilidad operativa
- Si tienes alto riesgo: registro en base de datos UE iniciado
- Plantillas de disclosure actualizadas en todos los puntos de contacto cliente
- Auditoría interna anual de sistemas IA + actualización de documentación
- Capacitación recurrente del personal (mínimo 1 sesión refresh)
- Procesos de monitoring post-comercialización para alto riesgo
- Si fabricas producto regulado con IA embebida: planificación de marcado CE para Q3 2027
Próximos pasos · 3 caminos según donde estés
Si tu pyme aún no ha clasificado sus sistemas
El inventario + clasificación inicial es la prioridad. Cubre el 80% del cumplimiento con un sprint de 1-2 semanas. Si lo haces internamente, el playbook “Mapa de procesos” sirve como guía estructural. Si quieres acompañamiento, el Diagnóstico Flash cubre esto en 4-5 días.
Si tu pyme tiene sistemas en “riesgo limitado” sin disclosure activado
Es la situación más común y la más fácil de cerrar. Plantillas de disclosure + sesión de alfabetización + ajustes UI = 2-3 semanas de trabajo. El playbook “GDPR + RAG” cubre la parte de tratamiento de datos.
Si tu pyme está planeando un sistema de alto riesgo (selección personal, scoring crediticio)
Aquí es donde se concentra el riesgo regulatorio y económico. El coste de cumplimiento (15.000-60.000 €) debe estar en el business case del proyecto desde el día uno. Si no lo está, recalcúlalo antes de seguir. El Diagnóstico Operativo está pensado para casos donde la complejidad técnica + regulatoria justifica un blueprint formal antes de empezar.