La conversación sobre inteligencia artificial ha cambiado de fase. Durante los últimos años, el debate en las pymes españolas giraba en torno a redactar correos o resumir documentos con un chatbot. En 2026 la pregunta es otra: cómo desplegar agentes de IA que ejecutan tareas de principio a fin (leer una factura, cotejarla con un pedido, actualizar el ERP y avisar al cliente) y qué modelo poner por debajo, ahora que los modelos abiertos de origen chino compiten de tú a tú con los cerrados de proveedores estadounidenses.
Para una empresa de Madrid, Barcelona, Valencia o Bilbao, esta doble novedad (agentes autónomos y modelos abiertos potentes y asequibles) abre una oportunidad enorme de productividad. Pero también coloca decisiones técnicas dentro del alcance directo de tres marcos que ninguna dirección puede ignorar: la Ley de IA de la UE, el RGPD y la doctrina de la Agencia Española de Protección de Datos (AEPD).
Qué es la IA agéntica y por qué cambia el riesgo
Un modelo de lenguaje convencional responde. Un sistema agéntico actúa: recibe un objetivo, lo descompone en pasos, invoca herramientas (una API interna, el correo, la base de datos, un navegador) y encadena esas acciones sin que una persona apruebe cada una. Ese salto de asistente que sugiere a sistema que ejecuta es exactamente donde el perfil de riesgo se dispara.
Cuando un agente tiene permisos para escribir en sistemas reales, un error de razonamiento deja de ser una frase equivocada y se convierte en un pedido duplicado, un dato personal enviado a la persona equivocada o un registro modificado sin rastro. Por eso, antes de hablar de qué modelo elegir, conviene entender que la parte crítica de un despliegue agéntico no es el modelo, sino los límites: qué herramientas puede tocar, con qué credenciales, con qué validaciones y con qué registro de auditoría. En una pyme, donde no sobra personal para vigilar sistemas, esa contención bien diseñada es lo que separa un piloto útil de un incidente.
Modelos abiertos chinos frente a modelos cerrados
El mapa de 2026 ya no es solo estadounidense. Familias de modelos abiertos de origen chino (los linajes tipo DeepSeek, Qwen de Alibaba o los modelos de Moonshot y Zhipu, entre otros) ofrecen pesos descargables, licencias permisivas y un rendimiento que, para muchas tareas de negocio, es indistinguible del de los modelos cerrados de primera fila. Para una pyme esto es relevante por una razón muy concreta: puedes ejecutarlos en tu propia infraestructura o en un proveedor cloud europeo, sin enviar cada consulta a una API en Estados Unidos.
La distinción clave no es abierto contra cerrado, sino dónde vive el modelo y quién ve tus datos:
- ▸Modelo cerrado por API (proveedor estadounidense): despliegue rápido, calidad muy alta, cero mantenimiento de infraestructura. A cambio, tus datos salen hacia el proveedor y entras en la lógica de transferencias internacionales del RGPD, con toda la carga documental que eso implica.
- ▸Modelo abierto autoalojado (incluidos los chinos): control total del dato, que nunca abandona tu perímetro o tu cloud europeo, y coste marginal por consulta muy bajo. A cambio, asumes el alojamiento, la actualización y la seguridad del propio despliegue.
- ▸Un matiz importante: descargar un modelo de pesos abiertos de origen chino y ejecutarlo en un servidor de Fráncfort o Madrid no es una transferencia de datos a China. El artefacto es un fichero de pesos; tus datos no viajan a ningún sitio. La procedencia del modelo es una cuestión de diligencia sobre licencia, seguridad de la cadena de suministro y sesgos, no un problema de transferencia internacional en sí.
Esa diferencia se malinterpreta constantemente en los comités de dirección, y conviene tenerla clara antes de descartar una opción por prejuicio en lugar de por análisis.
Lo que exigen la Ley de IA de la UE, el RGPD y la AEPD
La Ley de IA de la UE (el AI Act) ya está en aplicación escalonada, y en 2026 dos piezas afectan de lleno a las pymes. Primera: las obligaciones para modelos de propósito general implican que quien integra un modelo debe conocer y conservar su documentación técnica, algo directamente ligado a si eliges un modelo bien documentado o uno opaco. Segunda: la clasificación por riesgo. La mayoría de usos en una pyme (atención al cliente, back office, marketing) serán de riesgo limitado o mínimo, pero en cuanto un agente participa en decisiones sobre personas (selección de personal, scoring de clientes, acceso a servicios) puedes entrar en la categoría de alto riesgo, con obligaciones de supervisión humana, gestión de riesgos y trazabilidad.
Sobre esa capa se superpone el RGPD, con la interpretación práctica de la AEPD, que en España ha sido especialmente activa publicando criterios sobre IA. Los puntos que más veces incumple una pyme sin querer:
- ▸Usar datos personales de clientes para alimentar o afinar un modelo sin una base jurídica clara ni información previa a los interesados.
- ▸No poder explicar la lógica de una decisión automatizada, algo que el artículo 22 del RGPD exige cuando la decisión produce efectos significativos.
- ▸No haber hecho una evaluación de impacto (EIPD) antes de un despliegue que trata datos a gran escala o de forma novedosa.
- ▸Confundir anonimización con seudonimización y creer que ya no aplica el RGPD cuando sí lo hace.
Además, si operas en banca, seguros o eres proveedor tecnológico de una entidad financiera, DORA te obliga a controlar el riesgo de tus proveedores TIC, y si prestas servicios esenciales o eres proveedor relevante, NIS2 (transpuesta en España) eleva las exigencias de ciberseguridad sobre toda la cadena, incluidos tus sistemas de IA.
Checklist para desplegar IA agéntica con seguridad
Antes de poner un agente en producción, recorre estos pasos en orden:
1. Define el caso de uso y su nivel de riesgo según el AI Act: ¿toca decisiones sobre personas? Si es así, prepárate para obligaciones de alto riesgo. 2. Mapea los datos que tocará el agente y confirma la base jurídica del RGPD para cada tratamiento; informa a los interesados. 3. Elige el modelo por el dato, no por la marca: si tratas datos sensibles, prioriza un modelo abierto autoalojado en cloud europeo; si el dato es trivial, una API cerrada puede bastar. 4. Aplica el principio de mínimo privilegio al agente: credenciales acotadas, solo las herramientas imprescindibles y aprobación humana para acciones irreversibles. 5. Registra todo: cada acción del agente debe quedar auditada para poder explicarla y revertirla. 6. Realiza la EIPD cuando el volumen o la sensibilidad lo requieran, y documenta la supervisión humana. 7. Prueba los fallos, no solo los aciertos: inyección de prompts, alucinaciones y comportamientos fuera de límite antes de dar acceso real. 8. Revisa contratos y transferencias: cláusulas de encargado del tratamiento, ubicación de servidores y garantías si algún componente sale de la UE.
Por qué el nearshore desde Túnez encaja con una pyme española
Cumplir todo lo anterior con un equipo interno pequeño es difícil, y contratar perfiles senior de IA en España es caro y lento. Aquí es donde TuniCyberLabs aporta un modelo pensado para el mercado español: ingeniería nearshore desde Sousse (Túnez), con matriz en Estonia (Tallin) y oficina en Chipre (Limasol).
La ventaja empieza por lo práctico. Trabajamos en la misma franja horaria que España, así que las reuniones y el soporte ocurren en tu jornada, no de madrugada. El equipo es multilingüe (español, francés, inglés y árabe), lo que elimina la fricción cultural y de idioma que sufren muchos proyectos deslocalizados. Y, un punto decisivo para el cumplimiento: contratas a través de la matriz estonia, dentro de la UE, con contratos y garantías europeas de protección de datos, de modo que tu proveedor no se convierte en un problema de transferencia internacional.
A eso se suma un coste sensiblemente inferior al de contratar los mismos perfiles en Madrid o Barcelona, sin renunciar a calidad ni a estándares europeos. Para una pyme que quiere aprovechar la IA agéntica y los modelos abiertos sin exponerse ante la AEPD ni ante el AI Act, ese equilibrio (cercanía horaria, encaje lingüístico, marco jurídico europeo y coste contenido) es exactamente lo que hace que el nearshore desde Túnez sea una opción seria y no un simple ahorro.
La IA agéntica va a redefinir qué puede hacer una pequeña empresa en 2026. Elegir bien el modelo, contener el riesgo y cumplir la norma no es un freno: es la condición para que esa ventaja sea sostenible. Y hacerlo con un socio que entiende tanto la ingeniería como el marco europeo es la forma más rápida de llegar allí sin sustos.