Auditoría legal de inteligencia artificial: qué debe cumplir tu sistema según la normativa europea

Cada vez más empresas usan inteligencia artificial para seleccionar personal, atender clientes, puntuar riesgos o tomar decisiones. Casi ninguna se ha parado a comprobar si esa IA cumple la ley. Y desde 2024, Europa tiene una norma específica que dice exactamente qué debe cumplir.

En esta guía te explico, desde el punto de vista de un abogado, qué revisa esa auditoría, qué obligaciones son exigibles hoy y por qué cada vez más empresas la necesitan sin saberlo.

Qué es una auditoría legal de IA

Una auditoría legal de IA es una revisión estructurada que responde a una pregunta simple: ¿el sistema de inteligencia artificial que usa esta empresa cumple lo que la ley le exige? No es una auditoría técnica (no mide si el modelo funciona bien), ni una auditoría de cuentas. Es una revisión jurídica del sistema y de cómo se usa.

En la práctica, revisa tres planos que se solapan: el Reglamento Europeo de IA, la normativa de protección de datos y, cuando la IA afecta a personas trabajadoras, la normativa laboral. El objetivo es detectar los riesgos legales antes de que se conviertan en una reclamación o un problema con un cliente. Si lo que buscas es que te la hagan, este es nuestro servicio de auditoría legal de IA para despachos y pymes.

Por qué tu empresa la necesita (aunque no lo sepa)

El error más común es pensar que esto solo va con las grandes tecnológicas. No es así. La normativa no se fija en el tamaño de la empresa, sino en qué hace el sistema de IA y a quién afecta. Si usas IA para alguna de estas tareas, probablemente estés en territorio regulado:

• Filtrar o seleccionar candidatos en procesos de contratación.
• Evaluar, puntuar o tomar decisiones sobre tus trabajadores.
• Puntuar la solvencia o el riesgo de clientes.
• Atender a clientes con agentes que toman decisiones sobre ellos.
• Tratar datos personales para entrenar o alimentar el sistema.

Muchas empresas han incorporado herramientas de IA en cuestión de meses, sin revisar nada de esto. La auditoría existe para poner orden antes de que llegue una inspección o una reclamación.

El Reglamento Europeo de IA (AI Act): los 4 niveles de riesgo

La pieza central es el Reglamento (UE) 2024/1689, conocido como AI Act. Su lógica no es prohibir la IA, sino clasificarla según el riesgo que supone para las personas y exigir más cuanto mayor es ese riesgo. Hay cuatro niveles:

Riesgo inaceptable. Prácticas prohibidas (artículo 5): por ejemplo, la puntuación social de personas o ciertos usos manipulativos. No se pueden usar, sin más.

Alto riesgo. Aquí está la mayoría de los casos empresariales sensibles. El Anexo III incluye expresamente, entre otros, los sistemas usados en empleo (selección de personal, evaluación de trabajadores), en acceso a servicios esenciales o en concesión de crédito. Estos sistemas son legales, pero deben cumplir un paquete de requisitos: sistema de gestión de riesgos, buena gobernanza de los datos, documentación técnica, transparencia, supervisión humana y niveles adecuados de precisión y robustez.

Riesgo limitado. Sistemas como los chatbots: la obligación principal es de transparencia, es decir, que la persona sepa que está interactuando con una IA.

Riesgo mínimo. La mayoría de aplicaciones cotidianas, sin obligaciones específicas.

Calendario del AI Act: qué es exigible hoy

El AI Act no entró en vigor de golpe. Se aplica por tramos, y buena parte del ruido que hay en el mercado viene de mezclar fechas que aún no han llegado con obligaciones que ya están aquí. Este es el estado a día de hoy:

• Febrero de 2025 — Artículo 4: alfabetización en IAVigente. Obliga a los responsables del despliegue a garantizar que el personal que usa sistemas de IA tenga un nivel suficiente de conocimiento. Es una obligación de medios, no de resultado: hay que poder acreditar que se ha hecho algo razonable, y no lleva aparejada una multa autónoma en el artículo 99.
• Febrero de 2025 — Artículo 5: prácticas prohibidasVigente. Puntuación social, ciertas técnicas manipulativas y algunos usos biométricos. No afecta a la operativa de un despacho o una pyme normal.
• 2 de agosto de 2026 — Artículo 50: transparenciaAplicable. Si tienes un chatbot que conversa con personas o publicas contenido generado con IA, la persona tiene que saberlo. Esta fecha no se ha aplazado, y es la obligación que más despachos y pymes incumplen hoy sin saberlo.
• 2 de diciembre de 2027 — Anexo III: sistemas de alto riesgoAplazado. Las obligaciones duras de los sistemas de alto riesgo del Anexo III se retrasaron respecto del calendario original. El despacho o la pyme media no entra en esta categoría, y parte del valor de una auditoría es dejarlo documentado para no aplicarse exigencias que no tocan.

Diferencia entre el RGPD y el AI Act

Es la confusión más habitual, así que vamos a lo claro:

• El RGPD (y su desarrollo en España, la LOPDGDD) protege los datos personales: regula cómo se recogen, para qué se usan, cuánto se conservan y qué derechos tienen las personas.
• El AI Act regula el sistema de IA en sí, según su nivel de riesgo, trate o no datos personales.

No son alternativos: son complementarios. Un mismo sistema —por ejemplo, una IA que criba currículums— tiene que cumplir el AI Act (es alto riesgo) y el RGPD (trata datos personales de los candidatos). Una auditoría seria revisa ambos planos a la vez. Aquí entra una pieza clave del RGPD: el artículo 22, que reconoce a las personas el derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado cuando les afectan significativamente.

Un ejemplo lo aclara: una IA que criba currículums tiene que cumplir los dos. El AI Act porque el uso en selección de personal está en el Anexo III, y el RGPD porque trata datos personales de los candidatos. Una auditoría seria revisa ambos planos a la vez; revisar solo uno deja la mitad del riesgo sin tocar.

IA y derechos de los trabajadores: lo que casi nadie revisa

Este es el punto que la mayoría de artículos sobre "IA legal" se saltan, y es justo donde más empresas están expuestas sin saberlo. Si usas IA o algoritmos para organizar el trabajo, repartir turnos, evaluar el rendimiento o decidir sobre tu plantilla, en España ya existe una obligación concreta.

El artículo 64.4.d) del Estatuto de los Trabajadores, introducido por la Ley 12/2021 (la conocida como "Ley Rider"), obliga a la empresa a informar a la representación legal de los trabajadores sobre los parámetros, las reglas y las instrucciones en que se basan los algoritmos o sistemas de IA que afectan a las condiciones de trabajo, al acceso al empleo y a su mantenimiento, incluida la elaboración de perfiles.

El Ministerio de Trabajo publicó además una guía sobre información algorítmica en el ámbito laboral, y la Inspección de Trabajo ya puede pedir documentación sobre cómo funciona ese algoritmo. Es decir: no basta con que la herramienta "funcione bien"; hay que poder explicar su lógica y haber informado a quien corresponde.

Secreto profesional y confidencialidad

Para despachos y empresas que manejan información sensible de terceros, hay una capa más: el secreto profesional y la confidencialidad. Introducir datos de clientes o expedientes en una herramienta de IA sin las garantías adecuadas puede comprometer ese deber. Una auditoría revisa dónde se procesan los datos, con qué proveedor, bajo qué contrato y con qué medidas de seguridad, para que usar IA no se convierta en una brecha de confidencialidad.

Qué revisa una auditoría legal de IA

En la práctica, una auditoría legal de IA recorre, como mínimo, estos puntos:

• Inventario: qué sistemas de IA usa realmente la empresa (suele haber más de los que se cree). Aquí aparece casi siempre la shadow AI: cuentas personales, extensiones del navegador y transcriptores que nadie ha aprobado.
• Clasificación de riesgo: en qué nivel del AI Act encaja cada uno, empezando por descartar que haya alguno entre los usos de IA prohibidos.
• Protección de datos: base de licitud, información a los afectados, decisiones automatizadas (art. 22 RGPD) y, sobre todo, qué proveedores tratan los datos y con qué encargo de tratamiento firmado.
• Plano laboral: si la IA afecta a trabajadores, comprobación de las obligaciones de información del art. 64.4.d) ET.
• Supervisión humana: que las decisiones relevantes no queden 100% en manos de la máquina.
• Transparencia: si hay chatbot o contenido generado con IA, qué avisos deben aparecer en la web y en el chatbot desde el 2 de agosto de 2026.
• Documentación: que exista la trazabilidad y la información que la normativa exige poder mostrar, normalmente a través de una política de uso de IA firmada.

Por dónde empezar

No hace falta empezar con un gran proyecto. El primer paso útil es el más sencillo: hacer el inventario de qué IA usa tu empresa hoy y para qué. Solo con eso muchas empresas descubren que tienen sistemas de alto riesgo funcionando sin ninguna garantía de cumplimiento. A partir de ahí, se prioriza lo más expuesto y se ordena. Auditar no es frenar la IA: es poder usarla con tranquilidad y con el cumplimiento normativo asegurado.

Preguntas frecuentes

¿Desde cuándo es obligatorio cumplir el AI Act?

Por tramos. Las prácticas prohibidas del artículo 5 y la obligación de alfabetización del artículo 4 están vigentes desde febrero de 2025. Las obligaciones de transparencia del artículo 50 son aplicables desde el 2 de agosto de 2026. Las obligaciones de los sistemas de alto riesgo del Anexo III se aplazaron al 2 de diciembre de 2027, y el despacho o la pyme media no entra en esa categoría.

¿Qué diferencia hay entre una auditoría legal de IA y una auditoría técnica?

La auditoría técnica mide si el modelo funciona bien: precisión, sesgo, robustez, rendimiento. La auditoría legal comprueba si su uso está en regla y si puedes demostrarlo: qué sistemas hay, en qué nivel de riesgo encajan, con qué base jurídica tratan datos, qué proveedor los procesa y qué documentación existe. Son complementarias, y un sistema técnicamente impecable puede estar incumpliendo igualmente.

¿Usar ChatGPT en la empresa incumple el AI Act?

No por sí solo. El AI Act no prohíbe usar herramientas de IA generativa y usarlas no convierte a nadie en incumplidor. El riesgo real está en otro sitio: introducir datos de clientes o de la plantilla en una herramienta de terceros sin encargo de tratamiento firmado, lo que afecta al RGPD, al deber de confidencialidad y a las cláusulas que la propia empresa ha firmado.

¿Cuánto cuesta una auditoría legal de IA?

Depende del tamaño de la organización y del número de sistemas y proveedores que haya que revisar: no es lo mismo un despacho de cuatro personas que una asesoría con varios departamentos. Lo razonable es cerrar el presupuesto tras un diagnóstico previo, antes de empezar, y no trabajar con importes abiertos ni por horas.

¿Qué es una auditoría legal de inteligencia artificial?

Es una revisión que comprueba si un sistema de IA cumple la normativa que le aplica: el AI Act, la normativa de protección de datos (RGPD y LOPDGDD) y, cuando afecta a personas trabajadoras, la normativa laboral. Su objetivo es detectar riesgos legales antes de que se conviertan en sanciones o reclamaciones.

¿Cuál es la diferencia entre el RGPD y el AI Act?

El RGPD protege los datos personales; el AI Act regula el sistema de IA en sí según su nivel de riesgo, trate o no datos personales. Son complementarios y un mismo sistema puede tener que cumplir los dos.

¿Una empresa pequeña que usa IA también tiene que cumplir?

Sí. Las obligaciones dependen del uso y del riesgo del sistema, no del tamaño de la empresa. Una pyme que usa IA para seleccionar personal está usando un sistema de alto riesgo.

¿Qué pasa si uso IA para decisiones sobre mis trabajadores?

Entras en territorio regulado: el art. 64.4.d) del Estatuto de los Trabajadores obliga a informar a la representación de la plantilla sobre la lógica del algoritmo, y el art. 22 del RGPD reconoce el derecho a no ser objeto de decisiones únicamente automatizadas. La Inspección de Trabajo puede exigir documentación.

¿Quién supervisa el cumplimiento de la normativa de IA en España?

Principalmente la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) y la AEPD para la protección de datos, además de otras autoridades según el ámbito del sistema.