El Reglamento (UE) 2024/1689 no es solo una norma más: es el primer marco regulatorio integral sobre inteligencia artificial en el mundo y establece obligaciones directas para cualquier despacho u organización que utilice sistemas de IA. Esta guía analiza qué deben hacer los abogados españoles para cumplirlo.
El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, relativo a la inteligencia artificial —conocido como AI Act o Reglamento IA— constituye el primer marco normativo horizontal y vinculante sobre inteligencia artificial en el mundo. Publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024, entró en vigor el 1 de agosto de 2024 con aplicación progresiva según el tipo de disposición.
La norma no se dirige exclusivamente a las grandes tecnológicas. Cualquier empresa, despacho profesional o institución pública que utilice, desarrolle o distribuya sistemas de inteligencia artificial en el territorio de la UE —o cuyos sistemas afecten a personas en la UE— queda sujeta a sus obligaciones. Esto incluye a los despachos de abogados que emplean herramientas como asistentes de redacción basados en LLM, sistemas de búsqueda jurisprudencial con IA, software de revisión documental automatizada o plataformas de análisis predictivo.
Definición legal de "sistema de IA"
El art. 3.1 del AI Act define sistema de IA como «un sistema basado en máquina diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras su implantación y que, a partir de las entradas que recibe, infiere cómo generar salidas tales como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales». Esta definición es deliberadamente amplia e incluye la mayoría del software basado en modelos de lenguaje o aprendizaje automático.
El AI Act estructura sus obligaciones en torno a cuatro categorías de riesgo, cuya determinación es el primer paso del proceso de compliance:
| Nivel de riesgo | Descripción | Ejemplos en despachos | Régimen |
|---|---|---|---|
| Inaceptable | Sistemas prohibidos por vulnerar derechos fundamentales | Sistemas de puntuación social, manipulación subliminal | Prohibición absoluta |
| Alto riesgo | Sistemas que afectan a ámbitos críticos como justicia, empleo o servicios esenciales | IA para valoración de riesgo en litigios, software predictivo de resoluciones judiciales, sistemas de evaluación de solvencia en operaciones societarias | Obligaciones estrictas: evaluación de conformidad, registro, supervisión humana |
| Riesgo limitado | Sistemas con obligaciones de transparencia | Chatbots de atención al cliente, asistentes de redacción (ChatGPT, Copilot) | Obligación de informar al usuario que interactúa con IA |
| Riesgo mínimo | Sistemas sin obligaciones específicas | Filtros de correo spam, correctores gramaticales básicos | Sin obligaciones adicionales |
Para la mayoría de despachos, el grueso de las herramientas de IA que utilizan hoy —asistentes basados en LLM como ChatGPT, Gemini o Claude— caen en la categoría de riesgo limitado. Sin embargo, si esas herramientas se emplean en el contexto de toma de decisiones con efectos jurídicos directos para clientes —valoración de estrategias procesales, análisis de viabilidad de reclamaciones, selección de candidatos en un proceso de due diligence— pueden elevarse a la categoría de alto riesgo según el uso concreto y el sector.
El primer paso es identificar y documentar todos los sistemas de IA que el despacho utiliza, ha contratado a terceros o ha desarrollado internamente. Este inventario debe recoger al menos: nombre del sistema, proveedor, versión, finalidad de uso, datos que procesa, y clasificación de riesgo provisional.
En la práctica, muchos despachos descubren en este proceso que utilizan IA sin saberlo: plataformas de gestión procesal con recomendaciones automatizadas, sistemas de búsqueda jurisprudencial con filtrado semántico, o herramientas de OCR inteligente para documentos.
Los sistemas clasificados como alto riesgo requieren, antes de su puesta en servicio, una evaluación de conformidad (art. 43 AI Act). Esto incluye: análisis de riesgos documentado, especificación técnica del sistema, métricas de precisión y fiabilidad, descripción de los datos de entrenamiento y validación, y plan de supervisión post-comercialización.
Para sistemas desarrollados por terceros (lo más habitual en despachos), el despacho actúa como deployer (desplegador) y debe verificar que el proveedor ha cumplido sus propias obligaciones como provider (proveedor), exigiendo la documentación técnica correspondiente.
El art. 14 del AI Act establece que los sistemas de alto riesgo deben diseñarse y desarrollarse de manera que puedan ser supervisados eficazmente por personas físicas. Esta supervisión implica que el profesional responsable:
Este requisito tiene consecuencias prácticas inmediatas: un abogado que firma un escrito generado íntegramente por IA sin revisarlo, o que acepta sin contraste una valoración de riesgo producida por un algoritmo predictivo, no cumple con la obligación de supervisión humana.
El AI Act exige documentar las decisiones adoptadas con el apoyo de sistemas de IA de alto riesgo, de modo que sea posible una auditoría posterior. Para los despachos, esto puede traducirse en la incorporación de notas al expediente que identifiquen cuándo y cómo se utilizó una herramienta de IA, qué salidas produjo, y cómo se supervisó el resultado.
La aplicación simultánea del Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y el AI Act genera un marco de obligaciones acumuladas cuando el sistema de IA procesa datos personales —lo que ocurre en la práctica totalidad de las herramientas jurídicas que operan sobre expedientes de clientes.
En estos casos, el despacho debe cumplir simultáneamente con:
La figura del Delegado de Protección de Datos (DPO) cobra especial relevancia en este contexto: sus funciones de supervisión del cumplimiento normativo se extienden naturalmente al control del AI Act, aunque formalmente este no atribuye al DPO un papel específico. Es recomendable que el despacho amplíe expresamente el mandato del DPO o designe un responsable de cumplimiento IA.
El AI Act establece un calendario de aplicación progresiva con hitos específicos:
En España, el Ministerio de Asuntos Económicos y Transformación Digital trabaja en la designación de la autoridad nacional de supervisión de IA y en el desarrollo reglamentario complementario, aunque a la fecha de este análisis el proceso está pendiente de conclusión.
El AI Act establece un régimen sancionador de tres niveles (art. 99):
Para las PYMEs —categoría en la que se encuadra la mayoría de despachos españoles— se aplica el límite más favorable entre la cuantía fija y el porcentaje de facturación.
Doctrina, jurisprudencia y práctica forense sobre IA y Derecho en su bandeja de entrada, cada lunes.
Suscribirse al boletín