2027 en un calendario: lo que tu empresa tiene que cumplir en IA y facturación

Las obligaciones de IA para empresas en 2027 se reparten en tres bloques: lo que ya es exigible desde 2025 (prácticas prohibidas y alfabetización en IA del artículo 4 del Reglamento Europeo de IA, más la transparencia de chatbots y contenido generado del artículo 50), lo que entra con Verifactu en 2027 (1 de enero para sociedades y 1 de julio para autónomos y resto de obligados) y lo que llega el 2 de diciembre de 2027 con los sistemas de alto riesgo del Anexo III. Para una pyme que vende online, lo urgente no es el alto riesgo: es tener identificado tu chatbot como IA, tener a tu equipo formado y tener la facturación preparada. Los plazos y supuestos del AI Act están en revisión por el paquete Ómnibus digital, así que conviene revalidarlos antes de tomar decisiones de inversión.

Soy Oscar Álvarez, fundador de SEOscar, agencia de ecommerce en Barcelona. En diciembre todos los clientes con los que hablo hacen lo mismo: cuadrar presupuesto y calendario del año siguiente. Y casi todos llegan con la misma pregunta mal formulada: «¿me afecta lo de la IA?». La respuesta corta es que las obligaciones IA empresas 2027 ya te afectan hoy en parte, y que lo que de verdad te va a tocar el año que viene es más aburrido de lo que parece: un aviso en tu chat, una formación interna documentada y un sistema de facturación homologado.

Este artículo es un calendario, no un tratado jurídico. Yo no soy abogado ni asesor fiscal: soy quien monta el agente de ventas IA, los flujos de automatización y la capa de datos en tiendas online, y quien ve lo que falta cuando llega la fecha. Lo que te cuento aquí es el esqueleto con el que yo planifico el año de un ecommerce, con las fechas que hoy están sobre la mesa y una advertencia importante: este terreno se mueve.

Aviso antes de empezar: el calendario de 2027 está vivo

El Reglamento Europeo de Inteligencia Artificial (Reglamento UE 2024/1689, conocido como AI Act) tiene una aplicación escalonada entre 2025 y 2027, pero la Comisión Europea ha abierto en 2025 un paquete de simplificación digital, el llamado Ómnibus digital, que plantea retrasar y aligerar parte de las obligaciones, sobre todo las de alto riesgo. Mientras ese paquete no esté cerrado y publicado, cualquier fecha de 2026 y 2027 es una fecha provisional.

Mi recomendación práctica: planifica con las fechas actuales, pero no firmes contratos de cumplimiento a tres años basándote en ellas. Revalida el calendario cada trimestre en el Diario Oficial de la Unión Europea y en la web de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA). Si alguien te vende hoy un paquete cerrado de «cumplimiento AI Act 2027» con precio fijo, desconfía.

Ya vigente: prácticas prohibidas y alfabetización en IA (artículo 4)

Desde el 2 de febrero de 2025 son aplicables dos obligaciones del AI Act que afectan a cualquier pyme que use inteligencia artificial: la prohibición de determinadas prácticas de IA (artículo 5) y la alfabetización en IA (artículo 4). La alfabetización en IA es la obligación de garantizar que las personas que manejan estos sistemas en tu empresa tengan un nivel de conocimiento suficiente para usarlos con criterio. No existe un título oficial para esto: hay que poder demostrarlo con documentos propios.

Qué cuenta como alfabetización en IA para una pyme

La norma es proporcional: no se le pide lo mismo a una multinacional que entrena modelos que a una tienda online de doce personas que usa ChatGPT para fichas de producto y un agente de ventas en la web. En las empresas con las que trabajo, un plan razonable de alfabetización en IA empresas cabe en tres piezas documentadas.

• Un inventario de los sistemas de IA que usáis de verdad: generadores de texto e imagen, asistentes de atención al cliente, recomendadores del ecommerce, herramientas de selección de personal, scoring de clientes. Nombre, proveedor, para qué se usa y quién es el responsable interno.

• Una formación básica por perfil, con fecha y lista de asistentes: qué puede y qué no puede hacer la herramienta, qué datos no se pegan nunca en un modelo externo, cómo se revisa lo que genera y a quién se avisa si algo sale raro.

• Una política interna de uso de IA de dos o tres páginas, firmada y accesible. Nada de plantillas de 40 páginas que nadie lee.

Lo que veo en auditorías: casi ninguna pyme tiene esto escrito, y casi todas lo cumplen de facto a medias. El coste de ponerlo en orden es una tarde de trabajo y un documento compartido. El coste de no tenerlo es no poder demostrar nada el día que alguien pregunte.

Las prácticas prohibidas que sí pueden rozar a un ecommerce

El grueso de las prácticas prohibidas del artículo 5 (puntuación social, identificación biométrica remota en tiempo real en espacios públicos, policía predictiva) no va contigo si vendes zapatillas. Dos sí pueden rozarte: las técnicas manipuladoras o engañosas que distorsionan el comportamiento de forma sustancial y causan un perjuicio, y la explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica.

Traducido al día a día de una tienda online: si tu personalización dinámica sube precios a un perfil concreto, inventa urgencia falsa o empuja a compras a personas identificadas como vulnerables, ahí hay un problema que ya no es solo de prácticas comerciales desleales. En el trabajo de CRO, optimización de la tasa de conversión, la frontera entre persuadir e inducir a error lleva años siendo fina. Ahora esa frontera tiene también una norma de IA detrás.

Ya vigente: transparencia de chatbots y contenido generado (artículo 50)

El artículo 50 del AI Act obliga a informar a las personas de que están interactuando con un sistema de inteligencia artificial, salvo que sea evidente por el contexto, y a marcar el contenido sintético generado o manipulado por IA en formato legible por máquina. Es la obligación más fácil de incumplir sin darte cuenta y la más fácil de arreglar. Su aplicación plena está prevista para el 2 de agosto de 2026, pero el diseño conviene hacerlo ya.

Cómo se cumple en una tienda online, en concreto

• El asistente de la web se presenta como IA en el primer mensaje y en la cabecera del widget: «Soy el asistente virtual de la tienda, funciono con inteligencia artificial». Sin letra pequeña.

• Hay una salida clara a una persona: un enlace a WhatsApp, correo o teléfono visible desde la primera respuesta. Un asistente que vende y no deja escapar al cliente es un asistente que acaba generando reclamaciones.

• Si usas voz sintética en llamadas o en vídeos, se avisa al principio. Si usas imágenes o vídeo generados con IA en publicidad o en fichas, se etiquetan.

• Las reseñas, los testimonios y los textos de autoridad no se generan con IA. Eso no es un problema de transparencia, es un problema de publicidad engañosa.

Cuando monto un agente de ventas IA en un Shopify o un WooCommerce, la identificación como IA va en el propio prompt de sistema y en la interfaz, no como un aviso legal escondido. Mi experiencia es que decirlo de frente no baja la conversión: lo que la baja es que el asistente invente stock, plazos o precios. Por eso lo anclo siempre al catálogo real con una arquitectura RAG, que es la técnica de hacer que el modelo responda solo con los datos de la tienda que se le recuperan en cada consulta.

Un asistente que vende no es un chatbot que molesta: dice que es IA, responde con tu catálogo real y pasa a una persona cuando toca.

1 de enero y 1 de julio de 2027: Verifactu

Verifactu es el sistema de facturación verificable que exige la Ley Antifraude y su reglamento, desarrollado en España por el Real Decreto 1007/2023 y modificado en su calendario por el Real Decreto-ley 15/2025. Las fechas vigentes hoy son: 1 de enero de 2027 para los contribuyentes del Impuesto sobre Sociedades y 1 de julio de 2027 para el resto de obligados, principalmente autónomos y entidades en atribución de rentas. Los fabricantes de software ya debían ofrecer productos adaptados desde julio de 2025.

Qué significa Verifactu 2027 para tu ecommerce

Significa que el programa con el que emites facturas tiene que generar registros de facturación encadenados, con huella digital, inalterables y con un código QR en cada factura, y debe poder remitirlos a la Agencia Tributaria (modo Verifactu) o conservarlos firmados y a disposición de la inspección (modo no verificable). No es un plugin estético: afecta a cómo tu tienda emite las facturas de los pedidos.

• Haz inventario de por dónde sale cada factura: Shopify o WooCommerce, el ERP, el programa del asesor, hojas sueltas de Excel para facturas B2B. Casi siempre hay más de una vía de la que recuerdas.

• Pregunta por escrito a cada proveedor de software si su producto cumple el Reglamento de requisitos de los sistemas informáticos de facturación y con qué versión y fecha. Guarda la respuesta.

• Decide pronto entre modo Verifactu (envío automático a la AEAT) y modo no verificable con registro firmado. El primero suele ser más simple de mantener para una pyme pequeña.

• Unifica: si facturas desde tres sitios distintos, 2027 es la excusa para dejarlo en uno. Esa decisión es de negocio, no de informática.

• No esperes a diciembre de 2026. El cuello de botella no será la ley, serán los asesores y los integradores saturados.

La parte que me toca a mí en los proyectos de automatización de procesos es la fontanería: que el pedido de la tienda llegue limpio al sistema de facturación, sin duplicados ni pedidos huérfanos. En las tiendas que audito, el problema previo a Verifactu casi nunca es legal, es que los datos de facturación llegan sucios desde el checkout. Si vas a tocar la facturación en 2027, limpia primero el origen.

2 de diciembre de 2027: alto riesgo del Anexo III (lo que casi ninguna pyme hace)

El 2 de agosto de 2026 estaba previsto que fueran aplicables las obligaciones de los sistemas de IA de alto riesgo del Anexo III del AI Act, con una ventana adicional hasta el 2 de agosto de 2027 para los sistemas integrados en productos regulados. El paquete Ómnibus digital propuesto por la Comisión Europea plantea desplazar la exigibilidad del Anexo III hasta diciembre de 2027, condicionada a que estén listas las normas armonizadas. Por eso esta fecha es la más incierta de todo el calendario.

¿Tu pyme tiene algún sistema de alto riesgo? Probablemente no, pero mira estos tres

El Anexo III lista usos de alto riesgo como biometría, infraestructuras críticas, educación, empleo, servicios esenciales, migración o justicia. Una tienda online normal no toca casi nada de eso. Hay tres excepciones que sí veo en empresas pequeñas y que conviene revisar antes de dar por cerrado el tema.

• Selección de personal: usar IA para filtrar currículums, puntuar candidatos o analizar entrevistas en vídeo entra de lleno en el ámbito de empleo del Anexo III.

• Gestión de trabajadores: herramientas que asignan tareas, monitorizan rendimiento o influyen en promociones y despidos basándose en IA.

• Evaluación de solvencia: si ofreces pago aplazado o financiación propia y usas un modelo para decidir a quién se la concedes, ahí hay scoring crediticio.

Si usas uno de los tres, no eres necesariamente el proveedor del sistema, sino el responsable del despliegue, y tus obligaciones son más ligeras: usar la herramienta según las instrucciones, garantizar supervisión humana, conservar registros y informar a las personas afectadas. Aun así, el primer paso es el mismo: ponerlo en el inventario y preguntarle al proveedor por escrito cómo clasifica su producto.

Checklist trimestral para 2027

Repartir el trabajo por trimestres evita el atasco de diciembre. Este es el reparto que propongo a los ecommerce con los que trabajo, pensado para que cada bloque se pueda cerrar en una o dos sesiones de trabajo real y deje un documento guardado.

Primer trimestre: inventario y transparencia

• Inventario de sistemas de IA en uso, con responsable interno por cada uno.

• Revisar que el asistente de la web, el de WhatsApp y cualquier voz sintética se identifican como IA en el primer contacto.

• Política interna de uso de IA redactada y comunicada al equipo.

• Comprobar el estado de Verifactu en Sociedades si tu empresa es contribuyente del Impuesto sobre Sociedades: debería estar ya funcionando desde el 1 de enero.

Segundo trimestre: alfabetización y facturación de autónomos

• Sesión de formación en IA por perfiles, con acta, fecha y asistentes.

• Cierre de la adaptación a Verifactu para autónomos y entidades en atribución de rentas antes del 1 de julio.

• Revisar el flujo pedido a factura: duplicados, pedidos sin NIF, abonos y devoluciones.

Tercer trimestre: proveedores y datos

• Pedir por escrito a cada proveedor de IA su clasificación de riesgo y su documentación técnica.

• Revisar bases legales y tratamiento de datos personales de lo que entra en los modelos, incluidas las conversaciones del asistente.

• Comprobar el etiquetado de imágenes y vídeos generados con IA en campañas y fichas.

Cuarto trimestre: alto riesgo y revalidación

• Revisar si usáis IA en selección de personal, gestión de trabajadores o evaluación de solvencia y, si es así, documentar supervisión humana y registros.

• Revalidar el calendario completo según el estado final del Ómnibus digital y las guías de la AESIA.

• Planificar presupuesto del año siguiente con las fechas confirmadas, no con las previstas.

Qué haría yo desde SEOscar en tu caso

Si fueras cliente mío, lo primero que haría no sería un informe legal: sería abrir tu Google Analytics 4, tu Search Console y el histórico de conversaciones del asistente para ver qué está pasando de verdad en la tienda. Casi siempre, las obligaciones digitales y la oportunidad de negocio apuntan al mismo sitio: datos limpios, un asistente que dice la verdad porque está anclado al catálogo y un flujo de pedido a factura que no pierde información por el camino.

Después pondría las cuatro fechas en un calendario compartido con responsable y fecha de revisión, y dejaría la parte técnica resuelta sobre tu propia plataforma, sin migraciones: así trabajo en Shopify, en WooCommerce y en Magento, y el código y los flujos quedan en propiedad del cliente. Lo jurídico fino lo coordino con tu asesoría, que es quien firma.

Cierre: pon las cuatro fechas en el calendario esta semana

Las obligaciones IA empresas 2027 no son un muro, son cuatro hitos y un hábito trimestral. Lo que ya es exigible (alfabetización y transparencia) se resuelve con documentación y un par de cambios en la interfaz. Verifactu se resuelve con tiempo y un buen proveedor de software. Y el alto riesgo, para la mayoría de las tiendas online, simplemente no aplica.

Si quieres que revise cómo está hoy tu tienda, tu asistente y tu flujo de datos antes de planificar el año, reserva el diagnóstico: es una semana de trabajo con tus datos reales y el plan es tuyo, sigas conmigo o no. Puedes ver antes cómo trabajo en el método de cuatro etapas.

Preguntas frecuentes

¿Qué obligaciones de IA tiene ya una pyme española en 2026 y 2027?

Desde el 2 de febrero de 2025 son aplicables la prohibición de determinadas prácticas de IA y la obligación de alfabetización en IA del artículo 4 del Reglamento Europeo de Inteligencia Artificial, que exige que quien usa estos sistemas tenga conocimiento suficiente para manejarlos. La transparencia del artículo 50 (identificar chatbots como IA y marcar el contenido generado) tiene aplicación plena prevista para agosto de 2026. Las obligaciones de alto riesgo del Anexo III se han propuesto desplazar a diciembre de 2027 dentro del paquete Ómnibus digital, por lo que conviene revalidar la fecha antes de planificar inversiones.

¿Cuándo entra en vigor Verifactu en 2027 y a quién afecta?

Según el calendario fijado tras el Real Decreto-ley 15/2025, Verifactu es exigible desde el 1 de enero de 2027 para los contribuyentes del Impuesto sobre Sociedades y desde el 1 de julio de 2027 para el resto de obligados, principalmente autónomos y entidades en régimen de atribución de rentas. Los fabricantes de software de facturación debían ofrecer productos adaptados desde julio de 2025. Si facturas desde tu tienda online, el software que emite esas facturas también tiene que cumplir.

¿Tengo que avisar de que mi chatbot es una inteligencia artificial?

Sí. El artículo 50 del Reglamento Europeo de Inteligencia Artificial obliga a informar a las personas de que están interactuando con un sistema de IA, salvo que resulte evidente por el contexto. En la práctica basta con que el asistente se presente como IA en su primer mensaje y en la cabecera del widget, y con ofrecer una vía clara de contacto con una persona. También hay que etiquetar imágenes, vídeos o audios generados o manipulados con IA.

¿Qué es la alfabetización en IA y cómo la demuestro en mi empresa?

La alfabetización en IA es la obligación del artículo 4 del AI Act de garantizar que las personas que desarrollan o utilizan sistemas de inteligencia artificial en la organización tengan un nivel suficiente de conocimiento, proporcional a su rol y al riesgo del sistema. No existe un certificado oficial obligatorio. Para una pyme suele bastar con un inventario de herramientas de IA en uso, una formación interna documentada con fecha y asistentes, y una política breve de uso interno accesible para todo el equipo.

¿Mi tienda online tiene sistemas de IA de alto riesgo según el Anexo III?

En la mayoría de los ecommerce, no. El Anexo III cubre usos como biometría, infraestructuras críticas, educación, empleo, servicios esenciales o justicia. Las tres excepciones habituales en empresas pequeñas son usar IA para filtrar currículums o puntuar candidatos, para monitorizar y evaluar a trabajadores, y para decidir la concesión de financiación o pago aplazado. Si usas alguna, actúas normalmente como responsable del despliegue, con obligaciones más ligeras que las del proveedor: supervisión humana, registros e información a los afectados.

¿Las fechas del AI Act para 2027 son definitivas?

No del todo. La Comisión Europea ha impulsado en 2025 un paquete de simplificación digital, el Ómnibus digital, que plantea retrasar y aligerar parte de las obligaciones, especialmente las de alto riesgo del Anexo III. Hasta que el texto final se publique en el Diario Oficial de la Unión Europea, conviene planificar con las fechas actuales pero revalidarlas cada trimestre en fuentes oficiales y en la Agencia Española de Supervisión de la Inteligencia Artificial.

¿Por dónde empiezo si no he hecho nada todavía?

Empieza por el inventario: lista todas las herramientas de IA que se usan de verdad en tu empresa, quién las usa y para qué, y por dónde sale cada factura de tu tienda. Con eso en una hoja ya sabes qué te aplica y qué no. Después, en el primer trimestre, resuelve lo barato y visible: identificar el asistente como IA, una formación interna documentada y confirmar por escrito con tu proveedor de software que está adaptado a Verifactu.