Derecho Digital e Inteligencia Artificial
Innovación tecnológica con rigor jurídico y visión empresarial
Una empresa que implanta inteligencia artificial debe saber cinco cosas: para qué usa el sistema, qué papel tiene según el Reglamento (UE) 2024/1689 (proveedor o responsable del despliegue), qué datos trata, qué le garantiza su proveedor y quién supervisa los resultados. De esas respuestas dependen sus obligaciones, que se aplican de forma escalonada y conviven con el RGPD y con la normativa de cada sector.
- 2 feb. 2025
- Aplicación de las prácticas de IA prohibidas (art. 5 del Reglamento de IA)
- 2 ago. 2025
- Obligaciones de los modelos de IA de uso general, gobernanza y régimen sancionador
- 2 dic. 2027
- Sistemas de alto riesgo del anexo III, tras el aplazamiento aprobado en 2026
- 35 M€ o 7 %
- Multa máxima por prácticas prohibidas: la mayor entre ambas cifras, sobre facturación mundial (art. 99)
Tu papel determina tus obligaciones
El Reglamento no regula «la IA» en abstracto. Asigna deberes según lo que cada operador hace con el sistema.
| Rol | Quién es | Obligaciones principales en alto riesgo |
|---|---|---|
| Proveedor | Quien desarrolla un sistema, o lo encarga, y lo introduce en el mercado o lo pone en servicio con su nombre o marca | Gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, supervisión humana por diseño, evaluación de conformidad y marcado CE |
| Responsable del despliegue | La empresa que utiliza el sistema bajo su autoridad en su actividad profesional | Uso conforme a las instrucciones, supervisión humana por personas competentes, conservación de registros, información a los trabajadores afectados y a sus representantes |
| Importador y distribuidor | Quien introduce en la Unión o comercializa un sistema de un tercero | Verificar que el proveedor ha cumplido y no comercializar sistemas no conformes |
| Usuario convertido en proveedor | Quien pone su marca en un sistema ajeno, lo modifica sustancialmente o cambia su finalidad hacia un uso de alto riesgo | Asume las obligaciones del proveedor |
La mayoría de las empresas son responsables del despliegue. El riesgo habitual es pasar a proveedor sin advertirlo, al personalizar o revender una herramienta.
Usos que más consultas generan
Selección y evaluación de personal
Filtrar currículos, asignar tareas o evaluar el rendimiento con IA figura entre los usos de alto riesgo del anexo III. Además, la normativa laboral obliga a informar a la representación de los trabajadores sobre los algoritmos que inciden en sus condiciones.
Solvencia y precios de seguros
La evaluación de solvencia de personas físicas y la tarificación de seguros de vida y salud son usos de alto riesgo. Se añade el derecho del afectado a no quedar sometido a decisiones únicamente automatizadas con efectos significativos.
Asistentes generativos en el trabajo diario
Empleados que pegan contratos, datos de clientes o código en una herramienta externa. El problema aquí es de confidencialidad, secreto empresarial y protección de datos antes que del Reglamento de IA.
Contenido creado con IA
Textos, imágenes o código generados por un modelo. Hay que saber quién es titular de lo generado, si puede protegerse y si el proveedor responde frente a reclamaciones de terceros.
Desarrollo a medida con un proveedor
Quién es titular del modelo ajustado y de los datos de entrenamiento, qué niveles de servicio se garantizan y quién responde si el sistema falla o discrimina.
Qué revisa una auditoría legal de IA
- Inventario de sistemas y herramientas de IA en uso, incluidas las no autorizadas.
- Finalidad de cada sistema y clasificación: prohibido, alto riesgo, con obligaciones de transparencia o sin requisitos específicos.
- Rol de la empresa en cada caso y supuestos en los que puede pasar a ser proveedor.
- Datos personales tratados, base jurídica y necesidad de evaluación de impacto.
- Contratos con proveedores: uso de los datos del cliente para entrenar, confidencialidad, responsabilidad y auditoría.
- Titularidad de los resultados y protección de secretos empresariales.
- Supervisión humana: quién revisa, con qué formación y con qué capacidad de corregir.
- Política interna de uso, formación del personal y registro de incidentes.
De la auditoría al programa de gobierno
Inventario
Se identifica qué sistemas existen, quién los contrató y para qué se usan realmente, que no siempre coincide con lo previsto.
Clasificación y brechas
Cada uso se encuadra en el Reglamento, el RGPD y la normativa sectorial. Se señalan los incumplimientos y los plazos aplicables.
Contratos
Se renegocian o completan los contratos de licencia y desarrollo, y se fijan cláusulas tipo para nuevas contrataciones.
Gobierno interno
Política de uso, responsables, procedimiento de aprobación de nuevos casos de uso y reporte al órgano de administración.
Dos límites que conviene tener claros
El calendario europeo se mueve. Las fechas de aplicación de las obligaciones de alto riesgo se han aplazado respecto del texto original, y las normas técnicas que concretan los requisitos siguen publicándose. Un plan de cumplimiento debe revisarse periódicamente y no darse por cerrado.
Ninguna herramienta sustituye el criterio profesional. En esta firma, cualquier uso de tecnología en el trabajo jurídico pasa por la revisión humana de las fuentes y de las decisiones. Es el mismo estándar que recomendamos a los clientes: la supervisión no es un trámite, es quien responde.
El marco general se desarrolla en el área de derecho digital e inteligencia artificial. Los tratamientos de datos personales se trabajan con protección de datos y ciberseguridad, y la titularidad de modelos y resultados con propiedad intelectual e industrial.
Preguntas frecuentes sobre IA en la empresa
¿Me afecta el Reglamento de IA si solo uso herramientas de terceros?
Sí, como responsable del despliegue. Si el uso es de alto riesgo tendrás deberes de supervisión, registro e información. Si no lo es, pueden aplicarse obligaciones de transparencia, como informar a las personas de que interactúan con un sistema de IA, además de las reglas de protección de datos que ya te vinculan.
¿Qué prácticas están prohibidas?
Entre otras, la manipulación subliminal o engañosa que cause perjuicios, la explotación de vulnerabilidades, la puntuación social, la inferencia de emociones en el lugar de trabajo y en centros educativos salvo por motivos médicos o de seguridad, y la creación de bases de datos de reconocimiento facial mediante extracción no selectiva de imágenes.
¿Puede el proveedor usar mis datos para entrenar su modelo?
Solo si el contrato lo permite y existe base jurídica cuando hay datos personales. Muchas condiciones estándar lo prevén por defecto en las versiones gratuitas o de consumo. Es uno de los primeros puntos que revisar, junto con la ubicación de los datos y los plazos de conservación.
¿Quién es el dueño de lo que genera una IA?
Depende del contrato con el proveedor y de la intervención humana. La propiedad intelectual protege creaciones originales de una persona, por lo que un resultado generado sin aportación creativa humana relevante puede carecer de protección por derecho de autor. Puede protegerse por otras vías, como el secreto empresarial o el contrato.
¿Necesito una evaluación de impacto?
El RGPD exige evaluación de impacto en protección de datos cuando el tratamiento entrañe probablemente un alto riesgo, lo que es frecuente con perfiles o decisiones automatizadas. El Reglamento de IA añade, para determinados responsables del despliegue de sistemas de alto riesgo, una evaluación de impacto sobre derechos fundamentales.
Cuéntanos tu asunto
Un abogado valorará los antecedentes y si podemos asumir el encargo, previa comprobación de conflictos de intereses. Enviar una solicitud no supone aceptación del encargo ni suspende plazos legales.