Primer, una precisió que els titulars d'avui no estan fent bé: la llei NO s'ha votat al Congrés. El que ha passat avui és que el Consell de Ministres ha aprovat el projecte de llei i comença la tramitació parlamentària per via d'urgència. Encara pot tenir esmenes. Però l'estructura base ja està definida i, sobretot, el Reglament Europeu d'IA (l'AI Act) ja és vigent i a partir del 2 d'agost de 2026 entrarà en plena aplicació amb règim sancionador inclòs.

Què vol dir això per a tu, que tens una pime al Penedès, a Tarragona o on sigui? Que tinguis o no la llei espanyola publicada al BOE, l'AI Act europeu ja t'obliga. La llei espanyola només adapta l'AI Act al nostre ordenament jurídic i defineix qui inspecciona i qui sanciona aquí: l'AESIA (Agència Espanyola de Supervisió de la IA), amb seu a la Corunya.

L'AESIA ja opera des de febrer de 2025 i té plena autoritat sancionadora des del 2 d'agost de 2025. La novetat d'avui és que el projecte de llei espanyola fixa les sancions concretes en l'ordenament intern, defineix pràctiques prohibides addicionals (com els deepfakes sexuals) i estableix com es coordinaran les diferents autoritats.

Per què t'afecta encara que "només" facis servir ChatGPT

Aquesta és la confusió més habitual: "però jo no construeixo IA, només la faig servir". L'AI Act distingeix dos rols: proveïdor (qui desenvolupa el sistema d'IA i el comercialitza) i desplegador (qui el fa servir dins la seva organització). El segon ets tu si:

Si fas qualsevol d'aquestes coses, ets desplegador d'IA als ulls de la llei. I tens obligacions. Diferents segons el risc, però existeixen.

Les quatre categories de risc (i on caus tu)

L'AI Act classifica els sistemes d'IA en quatre nivells. Cada nivell té obligacions diferents.

1. Risc inacceptable (prohibits)

Sistemes que no es poden utilitzar mai. Si la teva pime fa alguna d'aquestes coses, has de parar avui:

2. Alt risc (obligacions estrictes)

Sistemes permesos però amb compliance fort. Inclou:

Si caus aquí (per exemple, una gestoria que fa servir un sistema d'IA per pre-filtrar CVs de candidats), la teva carrega de compliance és seriosa: avaluació de riscos documentada, governança de dades, documentació tècnica, registre d'activitats, supervisió humana real (no només "el botó d'aprovar"), transparència cap a l'usuari afectat i declaració de conformitat.

3. Risc limitat (transparència)

On cau la majoria de pimes que utilitzen IA generativa:

L'obligació principal aquí és transparència: l'usuari ha de saber clarament que està interactuant amb una IA o que un contingut ha estat generat per IA. No hi ha multes draconianes si compleixes això i, en general, els proveïdors d'IA grans (OpenAI, Anthropic, Google) ja t'ho posen fàcil amb marques visibles i metadades.

4. Risc mínim (sense obligacions específiques)

Filtres de spam, recomanadors bàsics, generadors d'imatges no destinats al públic. Sense obligacions específiques, però la norma exigeix que tinguis "alfabetització d'IA" suficient en l'equip: que la gent que fa servir aquestes eines entengui què fan i quins són els seus límits.

Les sancions: el rang que importa

Aquí és on els titulars criden l'atenció: fins a 35 milions d'euros o el 7% de la facturació anual mundial, el que sigui més gran. Però cal entendre el rang:

Per a una pime de 500K€ de facturació anual, una sanció lleu seria de 2.500 € (el 0,5%). No és catastròfic, però sumat al cost reputacional i al fet que AESIA pot retirar el sistema d'IA del mercat provisionalment, és un risc innecessari.

El meu missatge aquí és simple: les pimes no han de patir per multes milionàries del titular. Han d'entendre quina és la seva categoria de risc, complir les obligacions corresponents (que en risc limitat són senzilles) i documentar-ho mínimament. La complicació real és per a sistemes d'alt risc, que poques pimes despleguen.

El calendari real

Les dates que importen:

Què has de fer aquesta setmana (els 5 passos pragmàtics)

Si tens una pime i fas servir IA d'alguna manera, fes això abans del 2 d'agost:

1. Inventari real d'IA en ús.

Fes una llista de tots els sistemes d'IA que utilitza el teu equip. Inclou ChatGPT (i amb quin nivell — Free, Plus, Business?), Claude, Gemini, Copilot, eines de scoring de leads, generadors d'imatges, recomanadors a la web, agents al WhatsApp, etc. Tothom hi tendeix a oblidar el 30% real.

2. Classifica cada sistema en una categoria de risc.

Per a cadascun, identifica si està prohibit, és d'alt risc, de risc limitat o de risc mínim. La eina de diagnòstic gratuïta que he creat et fa aquesta classificació en cinc minuts.

3. Documenta el propòsit i les dades de cada sistema.

Per a cada IA, anota: per a què la utilitzes (cas d'ús concret), quines dades li dones (especialment si són personals), qui supervisa les seves sortides, i com informes els usuaris afectats. No cal un PDF de 50 pàgines; un document de 2 pàgines per sistema és suficient per a la majoria de pimes.

4. Posa marcadors de transparència on calgui.

Si tens un chatbot, ha de dir clarament que és una IA al primer missatge. Si publiques imatges generades per IA al teu web o xarxes, marca-les. Si fas servir scoring automàtic per a clients (per exemple, per decidir qui rep una proposta abans), informa que hi ha un component automatitzat i ofereix revisió humana a petició.

5. Forma l'equip (alfabetització d'IA).

L'AI Act exigeix que les persones que utilitzen IA entenguin què fan aquests sistemes. Per a una pime, això vol dir una sessió formativa d'una o dues hores explicant com funciona la IA generativa, què pot fer bé i què no, quins biaixos pot tenir i com revisar les seves sortides. No cal un màster — cal entendre els fonaments.

Si caus en alt risc: la conversa és més seriosa

Si la teva pime té sistemes d'alt risc (selecció de personal, scoring crediticí, sanitat, infraestructures), no facis-ho pel teu compte. Necessites un compliance officer o un consultor extern que t'ajudi a muntar el sistema de gestió de riscos, la documentació tècnica i el procés de declaració de conformitat. El cost d'aquest compliance és real (entre 5K i 20K en consultoria per a una pime típica), però és una fracció del que pots pagar en sancions o en haver de retirar el sistema.

Per què sóc relativament optimista (però alerta)

L'AI Act és la primera regulació seriosa d'IA al món i, en general, està ben dissenyada. La distinció per nivells de risc és sensata: no posa la mateixa càrrega a algú que fa servir ChatGPT per escriure correus que a algú que decideix qui rep un crèdit hipotecari. Per a la majoria de pimes catalanes que fan servir IA generativa "normal", el compliance real és gestionable: transparència, supervisió humana, documentació mínima.

Però hi ha tres alertes que cal recordar:

Recursos oficials

Eina pràctica: classifica la teva IA en 5 minuts

He construït una eina de diagnòstic gratuïta. Respons sis preguntes sobre com fa servir IA la teva empresa i et dóna: la categoria de risc on caus, una llista concreta d'obligacions específiques per al teu cas, i una checklist de pasos a fer abans del 2 d'agost.

Cap registre, cap email, res que enviem a tercers. Tot el processament passa al teu navegador. La fas servir, te'n vas amb el resultat.

Si caus en alt risc o vols ajuda per documentar el teu compliance

No vull ser el teu compliance officer permanent — això ho fan millor els despatxos jurídics especialitzats. Però sí puc ajudar-te a muntar el inventari inicial, classificar els teus sistemes, posar els marcadors de transparència on calgui i fer la formació d'alfabetització d'IA per al teu equip. Tres o quatre sessions i tens la base feta.

Parlem-ne 15 minuts