Tu equipo ya usa inteligencia artificial. Y en algún momento de los últimos meses alguien te ha dicho que hay un reglamento europeo, que hay multas millonarias y que tienes que hacer algo urgentemente. La mitad de eso es falso, y la otra mitad es más simple de lo que te han contado.
Este artículo es el mapa completo: qué es el AI Act, qué obligaciones tiene tu despacho, gestoría o asesoría, y en qué fecha exacta empieza cada una. Te lo escribo como abogado, no como proveedor de miedo.
Qué es el AI Act y por qué te afecta
El AI Act es el Reglamento (UE) 2024/1689, la primera norma general del mundo sobre inteligencia artificial. Al ser un reglamento europeo se aplica directamente en España: no hay que esperar a que ninguna ley española lo traslade.
Su lógica es la siguiente: no regula la tecnología, regula el uso. El mismo modelo puede estar prohibido, ser de alto riesgo o no tener ninguna obligación según para qué se emplee. Esto explica por qué muchas de las respuestas empiezan con «depende», y por qué los titulares alarmistas se equivocan tanto.
Te afecta porque tu despacho utiliza sistemas de IA en un contexto profesional. Ahora bien, afectarte no es lo mismo que quedar sujeto a la parte pesada del Reglamento, y ahí es donde se está creando la confusión más rentable para algunos.
Tú no eres proveedor: eres responsable del despliegue
Esta es la distinción que más ahorra en tiempo y en dinero, y casi nadie te la explica antes de facturarte.
El Reglamento reparte obligaciones entre varias figuras. Las dos que importan aquí:
Proveedor es quien desarrolla un sistema de IA y lo introduce en el mercado con su nombre o marca. OpenAI es proveedor. La empresa que te vendió el chatbot es proveedor.
Responsable del despliegue es quien usa un sistema de IA bajo su propia autoridad en el ejercicio de su actividad profesional. Ese eres tú.
La inmensa mayoría de las obligaciones técnicas del Reglamento —documentación técnica, sistema de gestión de calidad, evaluación de conformidad, marcado CE, registro en la base de datos europea— recaen sobre el proveedor. Si alguien te está ofreciendo un marcado CE para tu despacho porque usáis ChatGPT, te está vendiendo algo que no necesitas.
Ojo con un matiz: puedes convertirte en proveedor sin querer. Si coges un sistema de un tercero, lo modificas sustancialmente o lo comercializas con tu marca, el Reglamento puede tratarte como proveedor. Montar un asistente propio y venderlo a tus clientes es cruzar esa línea.
Calendario: qué está vigente y qué llega
El Reglamento entró en vigor el 1 de agosto de 2024, pero se aplica por tramos. Este es el calendario real a fecha de julio de 2026.
Presta atención a esto porque circula mal contado: en 2026 se aprobó un aplazamiento de parte del calendario. Lo que se movió a diciembre de 2027 son las obligaciones de los sistemas de alto riesgo del Anexo III. La transparencia del artículo 50 no se aplazó. Es decir, se retrasó lo que probablemente no te aplica y se mantuvo lo que sí.
Si tienes un chat en la web, la fecha que te importa es el 2 de agosto de 2026.
Los cuatro niveles de riesgo del AI Act
Riesgo inaceptable. Prohibido desde febrero de 2025. Puntuación social, manipulación subliminal, categorización biométrica por creencias u orientación, reconocimiento de emociones en el trabajo. Ese último apartado sí puede rozarte: las herramientas que analizan el estado emocional de empleados en el entorno laboral están prohibidas, y alguna se sigue vendiendo.
Alto riesgo. Sistemas que deciden o influyen de forma relevante sobre derechos de las personas: cribado de currículums, evaluación crediticia, acceso a servicios esenciales, aplicación de la ley, administración de justicia. Obligaciones pesadas. Aplazado a diciembre de 2027.
Riesgo limitado. Obligaciones de transparencia. Aquí es donde cae el chatbot de tu web y el contenido generado con IA.
Riesgo mínimo. Sin obligaciones específicas. Aquí cae la mayoría de lo que usas: un asistente de redacción, un clasificador de documentos interno, un corrector, un traductor.
Qué te aplica de verdad a ti
Reduciendo a lo esencial, un despacho, gestoría o asesoría tiene hoy tres frentes.
Uno: alfabetización en IA. El artículo 4 está vigente desde febrero de 2025 y obliga a que quienes usan IA en tu organización tengan un nivel de conocimiento suficiente, proporcionado al contexto. Es una obligación de medios, no de resultado: no hay un examen ni un título que aprobar. Se trata de poder demostrar que tu gente sabe qué está usando y qué no debe hacer con ello.
Dos: transparencia. Desde el 2 de agosto de 2026, si tienes un asistente que habla con personas o publicas contenido generado con IA en determinados supuestos, hay que informar.
Tres, y es el que más te va a doler: no es AI Act. Cuando metes documentación de un cliente en una herramienta de terceros sin contrato de encargo de tratamiento, el problema es de RGPD y de secreto profesional. Ese frente lleva años abierto, tiene un régimen sancionador consolidado y una autoridad, la AEPD, que sí actúa. En un despacho, la reclamación llega por ahí mucho antes que por el AI Act.
Y sobre todo, qué del AI Act no te aplica
Esta sección es la que no vas a encontrar en las webs que venden cumplimiento, así que la escribo con detalle.
No necesitas marcado CE por usar herramientas de IA compradas a un tercero. No necesitas evaluación de conformidad. No tienes que registrarte en la base de datos europea de sistemas de alto riesgo. No necesitas un sistema de gestión de calidad conforme al artículo 17. Y salvo que hagas algo muy específico, tu despacho no maneja sistemas de alto riesgo.
Todas esas obligaciones existen y son reales. Pero son del proveedor, o de quien despliega sistemas de alto riesgo, y tú probablemente no eres ninguno de los dos. Parte del trabajo serio en esta materia consiste precisamente en documentar por qué no te aplican, para no acabar comprando un proyecto de cumplimiento diez veces mayor que el que necesitas.
Qué hacer ahora para cumplir el AI Act, por orden
Primero, saber qué tienes. Nadie puede cumplir nada sin un inventario de qué herramientas de IA se están usando en el despacho, quién las usa y con qué información. En la práctica siempre aparecen dos o tres que la dirección no conocía.
Segundo, decidir qué datos pueden salir. Qué información puede llegar a un modelo externo y cuál no sale nunca. Esto no lo resuelve el Reglamento: lo resuelve tu deber de confidencialidad, y hay que escribirlo.
Tercero, revisar a tus proveedores. Si hay encargo de tratamiento firmado, dónde se alojan los datos, si se usan para entrenar el modelo. Aquí es donde suele aparecer la sorpresa desagradable.
Cuarto, ponerlo por escrito y que se firme. Una política de uso de IA es lo que convierte todo lo anterior en algo demostrable. Sin firma y sin fecha, no acredita nada.
Quinto, los avisos de transparencia, si tienes chatbot o agente de voz. Es lo más rápido de los cinco.
El AI Act no va a cerrar tu despacho ni te obliga a montar un departamento de cumplimiento. Lo que hace es poner por escrito algo que ya era verdad antes: si usas herramientas que ven información de tus clientes, tienes que saber cuáles son, qué ven y quién responde.
Lo demás —el marcado CE, el alto riesgo, la evaluación de conformidad— es ruido para el 95% de los despachos españoles. Y distinguir una cosa de la otra es exactamente el trabajo.
Preguntas frecuentes
Es el Reglamento (UE) 2024/1689, la primera norma del mundo que regula de forma general la inteligencia artificial. No regula la tecnología en abstracto, sino los usos: clasifica los sistemas de IA por el riesgo que suponen para los derechos de las personas y asigna obligaciones distintas según ese nivel. Es un reglamento europeo, así que se aplica directamente en España sin necesidad de trasposición.
Entró en vigor el 1 de agosto de 2024 y se aplica por tramos. Las prácticas prohibidas y la obligación de alfabetización en IA del artículo 4 rigen desde el 2 de febrero de 2025. Las normas sobre modelos de uso general y el régimen sancionador, desde el 2 de agosto de 2025. Las obligaciones de transparencia del artículo 50, desde el 2 de agosto de 2026. Y las de los sistemas de alto riesgo del Anexo III se han aplazado al 2 de diciembre de 2027.
Se aplica a cualquier organización que use sistemas de IA en un contexto profesional, con independencia de su tamaño. Pero aplicarse no significa lo mismo que quedar sujeto a las obligaciones pesadas. Un despacho que usa herramientas de IA comerciales para redactar, resumir o clasificar es responsable del despliegue, no proveedor, y la mayoría de las obligaciones duras no le alcanzan.
Es la figura que el Reglamento asigna a quien utiliza un sistema de IA bajo su propia autoridad en el ejercicio de su actividad profesional. Es tu caso si contratas una herramienta de un tercero y la usas en el despacho. El proveedor es quien desarrolla el sistema y lo pone en el mercado con su nombre. La distinción importa porque casi todas las obligaciones técnicas recaen sobre el proveedor.
No. El Reglamento no prohíbe usar herramientas de IA generativa en el trabajo, y hacerlo no te convierte en incumplidor. Lo que sí existe es un deber de alfabetización desde febrero de 2025, y las obligaciones de transparencia si tienes un chatbot de cara al público. El riesgo mayor de usar ChatGPT con documentación de clientes no está en el AI Act, sino en el RGPD y en el deber de confidencialidad.
Son los sistemas listados en los anexos del Reglamento por su impacto potencial sobre derechos fundamentales: selección de personal, evaluación crediticia, acceso a servicios públicos esenciales, administración de justicia, biometría, entre otros. Un asistente de redacción o un clasificador documental interno no entra en esa categoría. La confusión es frecuente y suele venir de quien vende servicios de cumplimiento.
La Agencia Española de Supervisión de la Inteligencia Artificial, la AESIA, con sede en A Coruña. Cuando hay tratamiento de datos personales de por medio, la Agencia Española de Protección de Datos mantiene sus competencias, que son las que en la práctica se activan antes en un despacho.
El Reglamento no exige un documento con ese nombre. Pero es la forma práctica de acreditar que has hecho algo razonable en materia de alfabetización, de controlar qué información sale hacia herramientas de terceros, y de responder cuando un cliente te pregunta cómo usas la IA con sus datos. Es lo que permite demostrar diligencia, que es de lo que va todo esto.
¿Sabes qué herramientas de IA hay funcionando en tu despacho?
Ponemos por escrito qué se puede usar, con qué informacion de clientes y quien responde. En el diagnostico revisamos tu caso y te decimos qué te aplica de verdad y qué no.
Más sobre el servicio: gobernanza de IA y política de uso para despachos.
Guías relacionadas