Tecnología e innovación
Tecnología contratada y regulada con criterio jurídico
El área digital de Gold and Koleman asesora a empresas que desarrollan, compran o integran tecnología. Redactamos y negociamos contratos de software, SaaS y licencias; clasificamos los sistemas de inteligencia artificial según el Reglamento (UE) 2024/1689 y preparamos su cumplimiento; adaptamos tiendas en línea y marketplaces a la normativa europea, y protegemos el código, los datos y el conocimiento como secreto empresarial.
Digital e inteligencia artificial
Casi toda empresa depende hoy de software que no es suyo y de datos alojados en servidores ajenos. El contrato con el proveedor decide qué ocurre cuando el servicio cae, cuando el proyecto se retrasa o cuando hay que cambiar de plataforma, y decide también de quién es lo que se ha desarrollado. Son cuestiones que suelen firmarse sobre el modelo del proveedor, sin negociar, y que salen a la luz cuando la relación ya está rota.
A esa capa contractual se ha sumado una regulación europea que avanza por fases: el Reglamento de Inteligencia Artificial, el de Servicios Digitales, el de Datos y la nueva responsabilidad por productos, que alcanza al software. No todas las obligaciones afectan a todas las empresas ni son exigibles en la misma fecha. Nuestro trabajo es decir con precisión cuáles te corresponden, según tu papel como proveedor, responsable del despliegue, importador o distribuidor, y desde cuándo.
Trabajamos junto a protección de datos y ciberseguridad y propiedad intelectual e industrial, porque un mismo contrato tecnológico suele tocar las tres materias: quién trata los datos, de quién es el código y qué obligaciones regulatorias asume cada parte. Para implantar un sistema de gobierno de la IA en la organización, con inventario de usos, política interna y formación, consulta el servicio de inteligencia artificial para empresas.
En qué trabajamos
Contratos de software
En un desarrollo a medida hay que pactar la titularidad del código. El programa creado por un empleado pertenece a la empresa, pero el encargado a un proveedor externo no: sin cesión expresa, el cliente solo adquiere el uso necesario para la finalidad del contrato, y una cesión sin plazo se limita a cinco años. Regulamos además especificaciones, hitos, pruebas de aceptación, garantía, entrega del código fuente y componentes de terceros.
Arts. 43 y 95-104 TRLPI
Contratos SaaS
En el software como servicio (SaaS) no se entrega un programa, se presta acceso. Importan los niveles de servicio y sus compensaciones, los límites de responsabilidad, el encargo de tratamiento de datos, la subcontratación y la salida. El Reglamento de Datos, aplicable desde el 12 de septiembre de 2025, obliga a los proveedores de servicios en la nube a facilitar el cambio de proveedor con plazos máximos y a eliminar progresivamente los cargos por hacerlo.
Arts. 23-31 Reglamento (UE) 2023/2854
Regulación de inteligencia artificial
El Reglamento europeo de IA clasifica los sistemas por riesgo: prácticas prohibidas, alto riesgo, obligaciones de transparencia y riesgo mínimo. Inventariamos los sistemas que tu empresa desarrolla o utiliza, determinamos su categoría y tu papel en la cadena, y preparamos la documentación exigible. Las prohibiciones y el deber de formación del personal se aplican desde el 2 de febrero de 2025; el régimen de alto riesgo se ha aplazado a 2027 y 2028.
Reglamento (UE) 2024/1689
Responsabilidad por IA
No existe todavía un régimen europeo específico de responsabilidad civil por inteligencia artificial: la propuesta de directiva fue retirada. Se aplican las reglas generales de responsabilidad contractual y extracontractual, la normativa de protección de datos sobre decisiones automatizadas y, para productos comercializados desde diciembre de 2026, la nueva directiva de productos defectuosos, que incluye el software. Repartimos el riesgo en contrato entre proveedor, integrador y usuario, y lo coordinamos con las pólizas de seguro.
Art. 1902 CC; art. 22 RGPD
Comercio electrónico
Una tienda en línea debe identificar al titular, informar antes de contratar, confirmar el pedido y, si vende a consumidores, reconocer un desistimiento de 14 días naturales que pasa a doce meses adicionales si no se informa de él. La garantía legal de los bienes es de tres años. Revisamos condiciones generales, proceso de compra, precios y promociones, y la venta a otros países de la Unión.
Arts. 10 y 27-28 LSSI; arts. 102-108 TRLGDCU
Marketplace
La plataforma que intermedia entre vendedores y compradores no responde, en principio, del contenido ajeno si no lo conoce y actúa con diligencia cuando se le notifica. A cambio debe identificar y verificar a los comerciantes, disponer de un sistema de notificación y motivar las suspensiones de cuenta. Frente a sus vendedores profesionales debe publicar condiciones claras, avisar de sus cambios con 15 días y explicar los criterios de clasificación.
Reglamentos (UE) 2022/2065 y 2019/1150
Licencias tecnológicas
Licenciar software, patentes o conocimiento técnico exige definir con exactitud el objeto, el territorio, la exclusividad, los usos permitidos, las mejoras y la contraprestación. Vigilamos dos riesgos frecuentes: las licencias de código abierto con obligación de liberar el código derivado, que pueden contaminar un producto propio, y las restricciones entre licenciante y licenciatario contrarias al Derecho de la competencia. La licencia de patente debe inscribirse para ser oponible a terceros.
Arts. 79 y 83 Ley 24/2015
Secretos empresariales digitales
Código fuente, algoritmos, datos de entrenamiento, listas de clientes o condiciones comerciales solo están protegidos como secreto si son reservados, tienen valor por serlo y la empresa ha adoptado medidas razonables para mantenerlos así. Sin esas medidas no hay acción. Implantamos controles de acceso, acuerdos de confidencialidad y protocolos de salida de empleados, y actuamos frente a la fuga: las acciones civiles prescriben a los tres años.
Arts. 1 y 11 Ley 1/2019
Calendario de aplicación del Reglamento europeo de IA
Fechas vigentes tras el Reglamento (UE) 2026/1744, que en julio de 2026 aplazó las obligaciones de los sistemas de alto riesgo.
| Desde | Qué se aplica | A quién afecta sobre todo |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5) y alfabetización en IA del personal (art. 4) | Cualquier empresa que desarrolle o utilice sistemas de IA |
| 2 de agosto de 2025 | Obligaciones de los modelos de uso general, gobernanza y régimen sancionador | Proveedores de modelos y autoridades nacionales |
| 2 de agosto de 2026 | Transparencia (art. 50): avisar de que se interactúa con una IA y etiquetar contenido sintético | Proveedores y empresas que despliegan asistentes o generan imagen, audio, vídeo o texto |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III: empleo, crédito, educación, biometría, servicios esenciales | Proveedores y responsables del despliegue |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados del anexo I | Fabricantes de maquinaria, productos sanitarios, vehículos y similares |
Los sistemas de generación de contenido ya comercializados antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para incorporar el marcado legible por máquina.
Consultas que recibimos de empresas
IA en selección de personal
Usar un sistema para filtrar candidatos o evaluar a la plantilla lo sitúa en la categoría de alto riesgo y obliga ya a informar a la representación de los trabajadores sobre el algoritmo.
Proveedor que no entrega el código
El proyecto termina mal y el cliente descubre que no tiene derecho al código fuente ni a modificarlo. La respuesta está en la cláusula de titularidad, si existe.
Empleado que se lleva información
Un directivo técnico se marcha a un competidor con repositorios o bases de datos. Hay que actuar rápido con medidas cautelares y prueba pericial informática.
Migración de plataforma
El proveedor de servicios en la nube dificulta la salida o cobra por exportar los datos. El Reglamento de Datos fija plazos y limita esos cargos.
Cláusulas que no deben faltar en un contrato tecnológico
- Titularidad de los desarrollos y alcance de la cesión: derechos, duración, territorio y código fuente
- Especificaciones, hitos de entrega y procedimiento de aceptación con plazos
- Niveles de servicio medibles y compensación automática por incumplimiento
- Límite de responsabilidad y supuestos excluidos del límite
- Tratamiento de datos personales, ubicación de los datos y subencargados
- Uso de los datos del cliente para entrenar modelos de IA: permitido o prohibido
- Componentes de terceros y de código abierto, con sus licencias
- Plan de salida: exportación de datos, asistencia en la transición y borrado
- Depósito del código fuente y supuestos de liberación
- Confidencialidad y medidas de seguridad exigibles al proveedor
Preguntas frecuentes sobre contratos tecnológicos e IA
¿Qué obligaciones del Reglamento de IA se aplican ya a una empresa usuaria?
Dos desde febrero de 2025: no utilizar prácticas prohibidas, como el reconocimiento de emociones en el trabajo o la puntuación social, y adoptar medidas para que el personal que maneja sistemas de IA tenga formación suficiente. Desde agosto de 2026 se suma informar a las personas de que interactúan con una IA y etiquetar las ultrasuplantaciones. Las obligaciones de alto riesgo llegan en diciembre de 2027.
¿De quién es el software que encargo a un proveedor?
Del proveedor, salvo que el contrato ceda los derechos de explotación. La regla que atribuye el programa al empresario solo opera con trabajadores asalariados. Sin cláusula, el cliente tiene un derecho de uso limitado a la finalidad del encargo, y una cesión que no fije plazo ni territorio se entiende hecha por cinco años y para el país donde se firma.
¿Qué sanciones prevé el Reglamento de IA?
Hasta 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas, y hasta 15 millones o el 3 % por incumplir las demás obligaciones, aplicándose la cifra mayor (art. 99). Para pymes rige la menor de las dos. En España la supervisión corresponde a la Agencia Española de Supervisión de Inteligencia Artificial, junto con los supervisores sectoriales.
¿Puedo cambiar de proveedor de servicios en la nube sin penalización?
El Reglamento de Datos reconoce el derecho a cambiar de proveedor con un preaviso máximo de dos meses y un periodo de transición de 30 días, ampliable si es técnicamente inviable. Los cargos por el cambio deben reducirse y quedan prohibidos desde el 12 de enero de 2027. Conviene revisar aparte los compromisos de permanencia y los descuentos vinculados a ellos.
Jurisprudencia de referencia
Resoluciones que marcan cómo se deciden hoy estos asuntos.
STJUE C-634/21, SCHUFA Holding (Scoring) · TJUE (Sala Primera) ·
El scoring crediticio puede ser una decisión automatizada prohibida
Generar automáticamente un valor de probabilidad sobre la solvencia de una persona es una decisión individual automatizada cuando de él depende de forma determinante que un tercero celebre, ejecute o termine un contrato con ella.
Texto oficial en EUR-LexSTS 805/2020, de 25 de septiembre · Tribunal Supremo, Sala Cuarta (Social), Pleno ·
Los repartidores de plataforma digital son trabajadores por cuenta ajena
Concurren dependencia y ajenidad cuando la plataforma organiza el servicio, fija precios y condiciones y es titular del activo esencial, la aplicación. El repartidor carece de organización empresarial propia.
Texto oficial en CENDOJSTJUE C-131/12, Google Spain · TJUE (Gran Sala) ·
Google Spain: el buscador responde del tratamiento de datos personales
El gestor de un motor de búsqueda es responsable del tratamiento y queda sujeto al Derecho europeo si tiene una filial publicitaria en un Estado miembro. Debe retirar de los resultados por nombre los enlaces cuando proceda.
Texto oficial en EUR-Lex
Resoluciones reales consultadas en fuentes oficiales. El resumen es propio y no sustituye la lectura del texto íntegro ni el análisis de cada caso.
Áreas relacionadas
- Tecnología e innovaciónProtección de datos y ciberseguridadAuditoría RGPD, brechas de seguridad en 72 horas, delegado de protección de datos y defensa ante la AEPD. Qué exige la norma y qué plazos corren.
- Tecnología e innovaciónPropiedad intelectual e industrialRegistro y defensa de marcas, patentes, software y secretos empresariales. Qué protege cada derecho, cuánto dura y qué plazo hay para reclamar.
- Litigación y defensaCompliance e investigacionesModelos de prevención de delitos, canal interno de información, mapas de riesgo, prevención del blanqueo e investigaciones internas que resisten un juicio.
- Personas y patrimonioSeguros y responsabilidad civilSiniestros rehusados o infravalorados, pólizas de administradores y profesionales, daños por productos y reclamaciones de responsabilidad civil, con sus plazos.
Cuéntanos tu asunto
Un abogado valorará los antecedentes y si podemos asumir el encargo, previa comprobación de conflictos de intereses. Enviar una solicitud no supone aceptación del encargo ni suspende plazos legales.