La inteligencia artificial ya forma parte de la actividad cotidiana de empresas, profesionales y particulares. Se utiliza para redactar documentos, responder consultas, crear imágenes, seleccionar candidatos, analizar datos, automatizar tareas, prestar atención al cliente o apoyar decisiones comerciales, laborales y sanitarias.
Sin embargo, utilizar inteligencia artificial no consiste únicamente en abrir una aplicación y formular una pregunta. Dependiendo de la finalidad, los datos empleados, las personas afectadas y el grado de automatización, pueden entrar en juego normas sobre inteligencia artificial, protección de datos, consumidores, propiedad intelectual, relaciones laborales, responsabilidad civil, sanidad o Derecho internacional privado.
La norma europea de referencia es el Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial o AI Act. Su objetivo es promover el desarrollo y utilización de sistemas de inteligencia artificial seguros y fiables, protegiendo al mismo tiempo la salud, la seguridad y los derechos fundamentales. Para ello establece un sistema basado en niveles de riesgo.
Esta guía explica qué debe tener en cuenta una empresa, un trabajador autónomo o una persona particular antes de emplear herramientas como ChatGPT, Copilot, Gemini, asistentes automatizados, sistemas de generación de imágenes o programas que incorporen inteligencia artificial.
La cuestión no es únicamente qué herramienta de IA se utiliza, sino para qué se utiliza, con qué datos, quién resulta afectado y qué consecuencias puede producir su resultado.
¿QUÉ ES EL REGLAMENTO EUROPEO DE INTELIGENCIA ARTIFICIAL?
LA PRIMERA REGULACIÓN GENERAL DE LA IA EN LA UNIÓN EUROPEA
El Reglamento (UE) 2024/1689 establece normas armonizadas para el desarrollo, comercialización y utilización de sistemas de inteligencia artificial dentro de la Unión Europea.
Al tratarse de un reglamento europeo, es directamente aplicable en España sin necesidad de una ley nacional de transposición. No obstante, España debe completar determinados aspectos institucionales, procedimentales y sancionadores, especialmente en relación con las autoridades competentes y la supervisión administrativa.
La norma no regula únicamente a las grandes empresas tecnológicas. También puede afectar a cualquier empresa o profesional que utilice un sistema de IA en el desarrollo de su actividad.
El Reglamento distingue varias figuras:
- El proveedor, que desarrolla o comercializa el sistema bajo su nombre o marca.
- El responsable del despliegue, que utiliza profesionalmente el sistema bajo su autoridad.
- El importador o distribuidor.
- El fabricante de un producto que incorpora IA.
- El representante autorizado de un proveedor extranjero.
- La persona afectada por el funcionamiento del sistema.
Una pequeña empresa que utiliza una herramienta de IA no suele ser el proveedor del sistema. Normalmente será responsable del despliegue y tendrá obligaciones vinculadas a la forma concreta en que utiliza la herramienta.
¿CUÁNDO EMPIEZA A APLICARSE?
UN CALENDARIO PROGRESIVO, NO UNA ÚNICA FECHA
El Reglamento entró en vigor el 1 de agosto de 2024, pero su aplicación se ha organizado de manera progresiva. La fecha general prevista para la aplicación de la mayor parte de sus disposiciones es el 2 de agosto de 2026, aunque existen obligaciones anteriores y determinados regímenes posteriores.
Las principales fechas son:
Desde el 2 de febrero de 2025
Se aplican:
• Las prácticas de IA prohibidas.
• La obligación de alfabetización en materia de inteligencia artificial.
• Las disposiciones generales relacionadas con el objeto y definiciones del Reglamento.
Desde el 2 de agosto de 2025
Empezaron a aplicarse, entre otras:
• Las normas sobre modelos de IA de uso general.
• Parte del sistema de gobernanza.
• Determinadas disposiciones sancionadoras.
• Las funciones de la Oficina Europea de Inteligencia Artificial.
Desde el 2 de agosto de 2026
Está prevista la aplicación general de la mayor parte del Reglamento, incluidas numerosas obligaciones de transparencia y buena parte del régimen aplicable a sistemas de alto riesgo. Las reglas sobre transparencia de determinados contenidos generados o manipulados mediante IA también están previstas para esa fecha.
No obstante, las instituciones europeas han reconocido dificultades relacionadas con la disponibilidad de normas técnicas para los sistemas de alto riesgo y existen propuestas para modificar algunos plazos.
Mientras una modificación no sea aprobada y publicada, debe trabajarse sobre el calendario establecido por el Reglamento vigente.
LOS CUATRO NIVELES DE RIESGO
NO TODAS LAS UTILIZACIONES DE IA TIENEN LAS MISMAS OBLIGACIONES
El Reglamento europeo adopta un enfoque basado en el riesgo. Cuanto mayor sea la capacidad del sistema para perjudicar la seguridad, la salud o los derechos fundamentales, mayores serán las exigencias legales.
Riesgo inaceptable
Son prácticas prohibidas, salvo excepciones muy delimitadas.
Entre ellas se encuentran determinados usos manipuladores o engañosos, algunas técnicas de explotación de vulnerabilidades, ciertos sistemas de puntuación social y determinadas formas de identificación o categorización biométrica.
Una empresa no puede utilizar una herramienta prohibida aunque el proveedor extranjero afirme que su utilización es legal en su país.
Alto riesgo
Son sistemas autorizados, pero sometidos a controles reforzados. Pueden entrar en esta categoría determinados sistemas utilizados en:
- Selección y contratación de trabajadores.
- Evaluación del rendimiento laboral.
- Acceso a educación y formación.
- Concesión de crédito.
- Seguros.
- Acceso a servicios esenciales.
- Infraestructuras críticas.
- Administración de justicia.
- Migración y control fronterizo.
- Productos sanitarios u otros productos regulados.
No todo programa empleado en estos sectores es automáticamente de alto riesgo. Es necesario analizar su finalidad prevista y el papel que desempeña en la decisión.
Riesgo limitado
Incluye sistemas sujetos principalmente a obligaciones de transparencia. Por ejemplo:
- Chatbots que interactúan con personas.
- Sistemas de generación o manipulación de contenidos.
- Determinados sistemas de reconocimiento de emociones o categorización biométrica.
- Contenidos que puedan constituir un deepfake.
Riesgo mínimo
Comprende la mayoría de las aplicaciones habituales de productividad, siempre que no intervengan en decisiones relevantes ni generen riesgos especiales.
Por ejemplo:
- Corrección ortográfica.
- Organización de tareas.
- Generación de ideas.
- Resumen de documentos previamente anonimizados.
- Elaboración de borradores bajo supervisión humana.
- Traducciones internas no sensibles.
Que un uso sea de riesgo mínimo conforme al AI Act no significa que quede fuera del RGPD, la propiedad intelectual, el secreto profesional o la responsabilidad civil.
OBLIGACIONES CLAVE PARA EMPRESAS Y AUTÓNOMOS
LO QUE DEBE HACER CUALQUIER ORGANIZACIÓN QUE UTILICE IA
Para la mayoría de las pymes y autónomos, el primer objetivo no debe ser elaborar un expediente técnico como si fueran fabricantes de IA. Deben identificar correctamente qué herramientas utilizan y controlar su uso empresarial.
Elaborar un inventario de herramientas
La empresa debe saber qué sistemas se están utilizando realmente. El inventario puede recoger:
- Nombre de la herramienta.
- Proveedor.
- Finalidad.
- Departamentos o trabajadores que la utilizan.
- Datos introducidos.
- Personas afectadas.
- Nivel de intervención humana.
- Tipo de resultado generado.
- Posibles consecuencias de error.
Es habitual que una empresa considere que utiliza una única IA corporativa cuando, en realidad, sus trabajadores emplean varias aplicaciones gratuitas sin autorización.
Definir usos permitidos y prohibidos
La política interna debe distinguir entre actividades de bajo riesgo y actividades que requieren autorización.
Puede permitirse, por ejemplo:
- Generar ideas comerciales.
- Corregir estilo y ortografía.
- Preparar estructuras de documentos.
- Resumir información no confidencial.
- Crear borradores sujetos a revisión.
Debería prohibirse o someterse a autorización específica:
- Introducir datos personales sin una base jurídica y garantías adecuadas.
- Subir historias clínicas, nóminas, expedientes judiciales o documentos fiscales completos.
- Adoptar decisiones exclusivamente mediante IA.
- Crear perfiles de trabajadores o clientes sin evaluación previa.
- Generar comunicaciones engañosas.
- Suplantar a personas.
- Crear imágenes falsas de clientes, empleados o profesionales.
- Utilizar cuentas personales para información empresarial confidencial.
Garantizar alfabetización en IA
El artículo 4 del Reglamento obliga a proveedores y responsables del despliegue a adoptar medidas para garantizar un nivel suficiente de alfabetización en IA del personal y de otras personas que utilicen sistemas en su nombre.
La formación debe ser proporcional a:
- Los conocimientos del trabajador.
- La finalidad del sistema.
- El contexto de utilización.
- Las personas sobre las que puede producir efectos.
- El nivel de riesgo.
No se exige necesariamente una titulación oficial. Sí conviene poder demostrar que existe una formación real, instrucciones internas y actualización periódica.
Mantener supervisión humana
La persona que revisa el resultado debe estar capacitada para:
- Comprender las limitaciones del sistema.
- Detectar errores o respuestas inventadas.
- Contrastar la información.
- Rechazar la recomendación de la IA.
- Interrumpir el uso del sistema cuando exista riesgo.
- Evitar una confianza automática en el resultado.
Designar formalmente a una persona como supervisora no sirve si carece de tiempo, formación o autoridad para corregir la decisión.
Documentar las decisiones relevantes
Cuando la IA intervenga en decisiones sobre trabajadores, pacientes, clientes o usuarios, debe conservarse una trazabilidad suficiente.
Conviene poder responder:
- Qué herramienta se utilizó.
- Qué datos recibió.
- Qué resultado produjo.
- Quién lo revisó.
- Qué decisión final se adoptó.
- Por qué se aceptó o rechazó la propuesta de la IA.
Revisar a los proveedores
Antes de contratar una herramienta deben analizarse:
- Condiciones de uso.
- Política de privacidad.
- Ubicación de los datos.
- Transferencias internacionales.
- Posible utilización de los datos para entrenar modelos.
- Medidas de seguridad.
- Conservación y eliminación de información.
- Responsabilidad contractual.
- Ley y tribunales aplicables.
- Posibilidad de auditoría.
- Información sobre el cumplimiento del AI Act.
No basta con que el proveedor incluya en su página web una afirmación genérica de «IA responsable».
INTELIGENCIA ARTIFICIAL Y PROTECCIÓN DE DATOS
NO INTRODUZCAS DATOS PERSONALES SIN ANALIZAR EL TRATAMIENTO
El AI Act no sustituye al Reglamento General de Protección de Datos. Ambas normas pueden aplicarse simultáneamente.
Cuando una empresa introduce datos personales en una herramienta de IA debe determinar:
- Quién es el responsable del tratamiento.
- Si el proveedor actúa como encargado o como responsable independiente.
- Cuál es la base jurídica.
- Para qué finalidad se utilizarán los datos.
- Si existe una transferencia internacional.
- Durante cuánto tiempo se conservará la información.
- Si los datos se emplearán para entrenar el sistema.
- Qué derechos pueden ejercer los afectados.
- Si es necesaria una evaluación de impacto.
Debe extremarse la precaución con:
- Datos de salud.
- Información biométrica.
- Ideología, religión o afiliación sindical.
- Datos sexuales.
- Antecedentes penales.
- Información de menores.
- Nóminas y datos laborales.
- Expedientes judiciales.
- Información financiera o fiscal.
Utilizar una versión de pago o empresarial mejora normalmente las garantías contractuales, pero no convierte cualquier tratamiento en lícito.
DECISIONES AUTOMATIZADAS Y PERFILADO
LA IA NO DEBE CONVERTIRSE EN UN DECISOR INVISIBLE
El artículo 22 del RGPD reconoce garantías frente a determinadas decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente a una persona.
Puede existir una decisión automatizada relevante cuando un sistema:
- Descarta automáticamente a un candidato.
- Deniega financiación.
- Fija una prima de seguro.
- Bloquea a un cliente.
- Prioriza pacientes.
- Determina el acceso a un servicio.
- Evalúa automáticamente el rendimiento de un trabajador.
Una intervención humana meramente formal no elimina el carácter automatizado. La revisión debe ser real, crítica y capaz de modificar el resultado.
Cuando la decisión afecte significativamente a una persona, la organización debe analizar las obligaciones de información, intervención humana, impugnación, transparencia y protección de datos.
TRANSPARENCIA Y CONTENIDOS GENERADOS POR IA
¿HAY QUE INDICAR SIEMPRE QUE UN TEXTO O UNA IMAGEN SE HA CREADO CON IA?
No necesariamente.
El artículo 50 del Reglamento establece obligaciones específicas de transparencia para determinados sistemas y contenidos. Entre otros supuestos, deberá informarse cuando una persona interactúe directamente con un sistema de IA, salvo que resulte evidente por las circunstancias.
También existen obligaciones relacionadas con:
- Contenidos sintéticos.
- Deepfakes.
- Textos generados o manipulados mediante IA que se publiquen para informar al público sobre asuntos de interés general.
- Sistemas de reconocimiento de emociones.
Determinadas formas de categorización biométrica.
No toda corrección de una fotografía o todo texto publicitario requiere automáticamente una etiqueta visible. Debe analizarse si el contenido:
- Presenta como real algo que no ocurrió.
- Simula a una persona real.
- Puede inducir razonablemente a engaño.
- Se refiere a información de interés público.
- Modifica sustancialmente una imagen, voz o vídeo.
- Se utiliza con finalidad informativa, comercial o política.
Una empresa debe evitar presentar como fotografías reales de sus instalaciones, trabajadores, pacientes o productos imágenes completamente artificiales que puedan inducir a error.
DERECHO COMPARADO: CÓMO SE REGULA LA IA FUERA DE EUROPA
NO EXISTE UN ÚNICO MODELO INTERNACIONAL
La Unión Europea ha adoptado el modelo más sistemático y horizontal, pero otros países han optado por fórmulas diferentes.
Corea del Sur
Corea del Sur ha aprobado una legislación general sobre inteligencia artificial que contempla sistemas de alto impacto, transparencia y gestión de riesgos.
Su modelo se aproxima formalmente al europeo, aunque es más favorable a la innovación y menos exigente en algunos aspectos.
Japón
Japón cuenta con una ley nacional sobre inteligencia artificial y con unas directrices empresariales de gobernanza actualizadas en 2026.
El modelo japonés se basa en:
- Principios generales.
- Gestión voluntaria de riesgos.
- Cooperación entre empresas y autoridades.
- Gobernanza durante todo el ciclo de vida.
- Promoción de la innovación.
Las directrices japonesas reconocen expresamente que los usuarios empresariales de IA deben identificar riesgos y adoptar voluntariamente medidas adecuadas.
China
China ha adoptado un modelo fragmentado pero intenso. Existen normas específicas sobre:
- Servicios de IA generativa.
- Algoritmos de recomendación.
- Síntesis profunda.
- Contenidos.
- Datos personales.
- Ciberseguridad.
Las medidas provisionales sobre servicios de IA generativa entraron en vigor el 15 de agosto de 2023 y establecen obligaciones relacionadas con seguridad, contenidos, derechos de terceros y supervisión administrativa.
Estados Unidos
Estados Unidos no dispone de una única ley federal general equivalente al AI Act. La regulación se articula mediante:
- Normas federales sectoriales.
- Legislación de los distintos Estados.
- Protección de consumidores.
- Normativa laboral y antidiscriminatoria.
- Privacidad.
- Regulación financiera y sanitaria.
- Normas específicas sobre reconocimiento facial, deepfakes o decisiones automatizadas.
Por ello, una empresa que opere en Estados Unidos debe analizar tanto la legislación federal como la del Estado concreto.
Reino Unido
El Reino Unido ha optado principalmente por una regulación sectorial, aplicada a través de organismos ya existentes.
Sus principios se centran en:
- Seguridad.
- Transparencia.
- Equidad.
- Responsabilidad.
- Posibilidad de impugnación.
No existe actualmente un sistema general idéntico al europeo para todas las empresas y todos los sistemas de IA.
Comparativa internacional de regulación de IA
A nivel internacional no existe un único modelo. La Unión Europea apuesta por una regulación horizontal basada en niveles de riesgo, mientras que Corea del Sur ha optado por una ley general de orientación más flexible. Japón, por su parte, combina una ley marco con una gobernanza voluntaria supervisada, y China ha desarrollado una regulación centrada en la tecnología y los contenidos generados. Estados Unidos sigue un modelo federal, estatal y sectorial, sin una ley única equivalente al AI Act europeo, y el Reino Unido confía la supervisión a reguladores sectoriales ya existentes.
Comparativa internacional de regulación de IA
¿QUÉ LEY SE APLICA CUANDO LA IA ES EXTRANJERA?
EL DERECHO INTERNACIONAL PRIVADO TAMBIÉN IMPORTA
Una herramienta puede haber sido desarrollada en Estados Unidos, alojar sus servidores en otro país, ser contratada por una empresa española y afectar a un ciudadano francés.
En estos casos no se aplica automáticamente una única ley a toda la operación. Es necesario separar:
- La regulación administrativa del sistema.
- El contrato con el proveedor.
- El tratamiento de datos.
- La responsabilidad por daños.
- La relación laboral, sanitaria o de consumo.
- La competencia de los tribunales.
Ámbito territorial del AI Act
El Reglamento europeo tiene su propio ámbito territorial. Puede aplicarse, entre otros, a:
- Proveedores que comercializan sistemas en la Unión.
- Empresas que utilizan profesionalmente IA y están establecidas en la Unión.
- Proveedores o usuarios profesionales situados fuera de la UE cuando el resultado del sistema se utiliza dentro de la Unión.
Por tanto, una empresa española puede estar obligada por el AI Act aunque la herramienta sea estadounidense, china o japonesa.
Contratos internacionales: Reglamento Roma I
La ley aplicable a los contratos internacionales se determina, dentro de su ámbito, mediante el Reglamento (CE) 593/2008, Roma I.
Las partes pueden elegir la ley aplicable al contrato. Es frecuente que los proveedores establezcan la ley de California, Nueva York, Irlanda o Inglaterra.
La elección contractual no puede eliminar normas imperativas como:
- AI Act.
- RGPD.
- Protección de consumidores.
- Legislación laboral.
- Legislación sanitaria.
- Normas sobre seguridad de productos.
Cuando no existe elección, Roma I establece reglas según el tipo de contrato. En los contratos de prestación de servicios, la regla inicial conduce normalmente a la ley del país de residencia habitual del prestador, salvo excepciones.
Daños causados por IA: Reglamento Roma II
La ley aplicable a obligaciones extracontractuales se determina, como regla general, mediante el Reglamento (CE) 864/2007, Roma II.
La regla principal es la ley del país donde se produce el daño directo.
Por ejemplo, si una herramienta extranjera utilizada por una empresa española causa un daño a una persona en España, la ley española será normalmente el punto de partida para analizar la responsabilidad extracontractual.
Roma II contiene reglas especiales y excepciones, especialmente en materia de productos defectuosos, competencia desleal, propiedad intelectual o daños ambientales.
Competencia judicial
La ley aplicable y el tribunal competente son cuestiones diferentes.
En la Unión Europea, la competencia judicial internacional se determina principalmente mediante el Reglamento Bruselas I bis, además de otras normas europeas, convenios internacionales y, subsidiariamente, la Ley Orgánica del Poder Judicial.
Un tribunal español podría ser competente y tener que aplicar una ley extranjera. Del mismo modo, una cláusula de ley extranjera no implica necesariamente que los tribunales extranjeros sean los únicos competentes.
Código Civil español
Los artículos 8 a 12 del Código Civil contienen las reglas generales españolas de Derecho internacional privado.
Sin embargo, cuando existe un reglamento europeo aplicable, como Roma I o Roma II, este desplaza las normas internas españolas dentro de su ámbito material.
El Código Civil conserva una función residual en las materias no cubiertas por la normativa europea y respecto de determinadas cuestiones generales de aplicación del Derecho extranjero.
APLICACIÓN PRÁCTICA PARA EMPRESAS Y AUTÓNOMOS
QUÉ DEBE HACER UNA PEQUEÑA EMPRESA SIN CONVERTIRSE EN EXPERTA EN IA
Una pyme o un autónomo debería implantar, como mínimo, las siguientes medidas.
1. Identificar todas las herramientas
No únicamente las contratadas por la dirección. También las utilizadas de manera informal por empleados, colaboradores y profesionales externos.
2. Clasificar cada uso
Debe distinguirse entre:
- Productividad interna.
- Atención al cliente.
- Marketing.
- Gestión laboral.
- Selección de personal.
- Elaboración de perfiles.
- Decisiones comerciales.
- Análisis médico.
- Seguridad.
- Acceso a servicios.
3. Analizar los datos utilizados
Debe verificarse si se introducen:
- Datos personales.
- Información confidencial.
- Secretos empresariales.
- Datos de clientes.
- Datos de empleados.
- Datos de salud.
- Expedientes profesionales.
4. Establecer supervisión
Todo resultado relevante debe ser revisado por una persona cualificada.
5. Formar al personal
La organización debe acreditar una alfabetización proporcionada al uso real de las herramientas.
6. Informar a clientes y usuarios
Cuando una persona interactúe con una IA o resulte afectada por una decisión automatizada, debe revisarse qué información debe recibir.
7. Revisar contratos y proveedores
Especialmente:
- Tratamiento de datos.
- Confidencialidad.
- Seguridad.
- Entrenamiento de modelos.
- Responsabilidad.
- Ley aplicable.
- Subcontratación.
- Transferencias internacionales.
8. Crear un procedimiento de incidencias
Debe existir una vía para comunicar:
- Resultados discriminatorios.
- Filtraciones.
- Decisiones incorrectas.
- Contenidos falsos.
- Utilización no autorizada.
- Vulneraciones de derechos.
- Fallos relevantes del sistema.
UTILIZACIÓN DE IA EN UN DESPACHO PROFESIONAL
ABOGADOS, ASESORES, GRADUADOS SOCIALES Y GESTORES
La inteligencia artificial puede utilizarse para:
- Estructurar escritos.
- Preparar borradores.
- Resumir normativa.
- Organizar hechos.
- Detectar cuestiones jurídicas.
- Mejorar comunicaciones.
- Automatizar tareas administrativas.
Pero existen riesgos especialmente graves:
- Vulneración del secreto profesional.
- Introducción de datos de clientes.
- Citas jurídicas inexistentes.
- Jurisprudencia inventada.
- Uso de normativa derogada.
- Pérdida de confidencialidad.
- Falta de revisión profesional.
- Dependencia excesiva de la herramienta.
Una respuesta generada por IA nunca debe presentarse como asesoramiento jurídico definitivo sin verificarla en fuentes oficiales o bases jurídicas solventes.
Debe evitarse introducir nombres, DNI, domicilios, datos patrimoniales, historias familiares o documentos completos cuando no exista una herramienta específicamente contratada y evaluada para ello.
UTILIZACIÓN DE IA EN RECURSOS HUMANOS
UNO DE LOS ÁMBITOS DE MAYOR RIESGO
Los sistemas utilizados para selección, contratación, promoción, evaluación, asignación de tareas o extinción de relaciones laborales pueden quedar incluidos entre los sistemas de alto riesgo.
Una empresa no debería utilizar IA para:
- Descartar automáticamente candidatos.
- Analizar emociones en entrevistas.
- Puntuar la productividad sin transparencia.
- Predecir qué trabajadores abandonarán la empresa.
- Seleccionar despidos.
- Clasificar empleados mediante criterios opacos.
Antes de utilizar una herramienta de este tipo deben analizarse:
- Su clasificación conforme al AI Act.
- La base jurídica del tratamiento.
- El riesgo de discriminación.
- La información al trabajador.
- Los derechos de representación colectiva.
- La supervisión humana.
- La posibilidad de impugnar el resultado.
UTILIZACIÓN DE IA EN CLÍNICAS Y CENTROS SANITARIOS
LOS DATOS DE SALUD EXIGEN MÁXIMA PRECAUCIÓN
No es lo mismo utilizar IA para redactar una publicación en redes sociales que emplearla para interpretar una prueba, priorizar pacientes o recomendar un tratamiento.
Una clínica debe diferenciar:
Usos administrativos o comerciales
- Redacción de contenidos.
- Organización de agendas.
- Preparación de comunicaciones.
- Estadísticas anonimizadas.
Usos clínicos
- Diagnóstico.
- Análisis de imágenes.
- Valoración de riesgos.
- Recomendación terapéutica.
- Seguimiento automatizado.
- Priorización de pacientes.
Los usos clínicos pueden quedar sometidos conjuntamente a:
- AI Act.
- RGPD.
- Normativa sanitaria.
- Normativa de productos sanitarios.
- Responsabilidad profesional.
- Deber de información al paciente.
No debe introducirse una historia clínica en una IA generalista sin una evaluación jurídica, técnica y contractual específica.
UTILIZACIÓN DE IA EN COMERCIO, TURISMO Y ATENCIÓN AL CLIENTE
AUTOMATIZAR SIN ENGAÑAR AL USUARIO
La IA puede resultar útil para:
- Responder preguntas frecuentes.
- Traducir mensajes.
- Preparar descripciones.
- Gestionar reservas.
- Detectar incidencias.
- Personalizar comunicaciones.
- Chatbots que aparenten ser personas.
- Respuestas incorrectas sobre precios o condiciones.Discriminación en precios o acceso.
- Perfiles de huéspedes o clientes.
- Bloqueos automáticos.
- Creación de reseñas falsas.
- Imágenes engañosas de alojamientos o productos.
La empresa responde frente al cliente por la información que facilita, aunque haya sido redactada automáticamente.
QUÉ DEBE TENER EN CUENTA UNA PERSONA PARTICULAR
UTILIZAR IA NO ELIMINA LA RESPONSABILIDAD PERSONAL
Un usuario particular normalmente no soporta las obligaciones empresariales del AI Act, pero sigue sometido al resto del ordenamiento jurídico.
Debe evitar:
- Publicar imágenes falsas de otras personas.
- Suplantar identidades.
- Difundir datos personales.
- Crear audios o vídeos manipulados.
- Copiar obras protegidas.
- Utilizar IA para cometer fraude.
- Presentar trabajos ajenos como propios.
- Seguir recomendaciones médicas o jurídicas sin verificar.
- Introducir documentos personales sensibles.
También debe recordar que:
- La IA puede inventar información.
- Puede utilizar fuentes desactualizadas.
- Puede reproducir sesgos.
- No conoce necesariamente el contexto completo.
- No sustituye a un profesional.
- Las conversaciones pueden quedar almacenadas según las condiciones del servicio.
EJEMPLOS PRÁCTICOS Y VISUALES
CASOS QUE PERMITEN ENTENDER QUÉ NORMA SE APLICA
Ejemplo 1: autónomo que utiliza IA para redactar correos
Situación: un fontanero autónomo utiliza una IA para mejorar el texto de presupuestos y correos.
Nivel de riesgo: normalmente mínimo.
Debe vigilar:
- No introducir datos innecesarios de clientes.
- Revisar precios, fechas y condiciones.
- No enviar el texto sin comprobarlo.
- Revisar las condiciones de privacidad.
Normas relevantes: protección de datos, contratación y consumo.
Ejemplo 2: asesoría que sube una nómina completa
Situación: una asesoría introduce una nómina con nombre, DNI, salario y cuenta bancaria en una herramienta gratuita.
Riesgo: elevado desde la perspectiva de protección de datos y confidencialidad. Problemas:
- Comunicación de datos a un tercero.
- Posible transferencia internacional.
- Falta de contrato de encargo.
- Ausencia de minimización.
- Riesgo de utilización para entrenamiento.
Solución: anonimizar o utilizar una solución empresarial previamente evaluada y contratada.
Ejemplo 4: clínica que utiliza IA para interpretar una ecografía
Situación: el programa genera una valoración que influye en el diagnóstico.
Riesgo: alto. Normas aplicables:
- AI Act.
- RGPD.
- Normativa sanitaria.
- Productos sanitarios.
- Responsabilidad profesional.
Regla fundamental: la recomendación debe ser revisada por un profesional sanitario competente y la herramienta debe estar autorizada para esa finalidad.
Ejemplo 5: hotel que utiliza un chatbot
Situación: el huésped recibe respuestas automáticas sobre acceso, horarios y servicios.
Riesgo: limitado. Debe hacerse:
- Informar de que se trata de un asistente automatizado cuando no resulte evidente.
- Permitir acceso a una persona.
- Revisar periódicamente las respuestas.
- Evitar que el sistema invente precios o condiciones.
Ejemplo 6: creación de una imagen publicitaria falsa
Situación: una empresa publica una piscina generada por IA como si perteneciera a su alojamiento.
Riesgo: publicidad engañosa. Normas relevantes:
- Protección de consumidores.
- Competencia desleal.
- Publicidad.
- Transparencia de contenidos generados por IA.
No basta con que la imagen sea atractiva: debe representar fielmente el servicio ofrecido.
Ejemplo 7: proveedor estadounidense y empresa española
Situación: una empresa española contrata una IA cuya licencia se somete a la ley de California.
Aplicación jurídica:
- La ley de California puede regir parte del contrato.
- El AI Act puede aplicarse por utilizarse el sistema en la UE.
- El RGPD se aplica al tratamiento de datos europeo.
- La normativa española se aplica a trabajadores, pacientes y consumidores cuando corresponda.
La cláusula contractual no elimina las normas europeas imperativas.
Ejemplo 8: daño causado en España por una IA extranjera
Situación: una recomendación automatizada errónea causa un daño directo a una persona en España.
Regla inicial:
Roma II conduce normalmente a la ley del lugar donde se produjo el daño.
Puede resultar aplicable la ley española.
También deben analizarse las reglas especiales sobre productos defectuosos y la relación
contractual existente.
LISTA DE COMPROBACIÓN ANTES DE UTILIZAR IA
DIEZ PREGUNTAS QUE TODA EMPRESA DEBE RESPONDER
- ¿Qué herramienta estamos utilizando?
- ¿Quién es su proveedor?
- ¿Para qué finalidad concreta se emplea?
- ¿Qué datos se introducen?
- ¿Hay personas afectadas por el resultado?
- ¿La IA adopta o condiciona una decisión?
- ¿Existe revisión humana real?
- ¿Hemos informado adecuadamente al usuario?
- ¿Conocemos las condiciones contractuales y de privacidad?
- ¿Podemos explicar y documentar lo ocurrido si se produce un error?
Cuando varias de estas preguntas no puedan contestarse, el sistema no debería utilizarse hasta completar el análisis.
PREGUNTAS FRECUENTES SOBRE LA UTILIZACIÓN LEGAL DE IA
Sí, siempre que la utilización sea compatible con el AI Act, el RGPD, la confidencialidad, la propiedad intelectual y la normativa sectorial aplicable.
La herramienta no debe emplearse sin control para introducir datos sensibles o adoptar decisiones relevantes.
El Reglamento exige garantizar un nivel suficiente de alfabetización en IA. No impone con carácter general un título oficial concreto, pero la empresa debe poder acreditar formación e instrucciones proporcionadas al uso y al riesgo.
No. La obligación depende del tipo de contenido, su finalidad y su capacidad para inducir a engaño.
Debe prestarse especial atención a deepfakes, contenidos sintéticos que aparenten ser reales y textos sobre asuntos de interés público.
Solo cuando exista una base jurídica, se haya evaluado al proveedor, se cumplan las obligaciones de información y seguridad y los datos sean necesarios.
Como regla prudente, deben anonimizarse siempre que sea posible.
Sí. Utilizar una herramienta externa no elimina la responsabilidad de la empresa frente a clientes, trabajadores, pacientes o consumidores.
La empresa debe revisar el resultado y adoptar controles razonables.
Puede aplicarse. El Reglamento alcanza a empresas establecidas en la UE y a proveedores extranjeros que comercializan sistemas en Europa o cuyos resultados se utilizan dentro de la Unión.
No. Una cláusula de ley extranjera puede regular parte del contrato con el proveedor, pero no excluye las normas imperativas europeas y españolas.
En muchos casos no debería hacerlo. Las decisiones laborales automatizadas pueden quedar sujetas al AI Act, al RGPD, al Estatuto de los Trabajadores y a la normativa antidiscriminatoria.
Debe existir una intervención humana real, información suficiente y posibilidad de impugnación.
Cómo ACU Abogados puede ayudarte
Adaptarse al Reglamento Europeo de Inteligencia Artificial no significa paralizar el uso de estas herramientas, sino incorporarlas con las garantías legales adecuadas. En ACU Abogados te acompañamos en todo el proceso, adaptando nuestro asesoramiento al tamaño y las necesidades reales de tu negocio.
Si eres empresa
Te ayudamos a auditar qué herramientas de IA se están utilizando realmente en tu organización —muchas veces de forma informal por distintos departamentos— y a clasificar cada uso según su nivel de riesgo conforme al AI Act. Elaboramos políticas internas de uso de IA, revisamos los contratos con tus proveedores tecnológicos (condiciones de privacidad, transferencias de datos, responsabilidad), y te asesoramos en la implementación de medidas de supervisión humana y formación del personal. Si utilizas IA en procesos de selección, evaluación de empleados o atención al cliente, analizamos contigo si tu sistema puede considerarse de alto riesgo y qué obligaciones adicionales conlleva, evitando así sanciones y problemas de responsabilidad frente a trabajadores, clientes o consumidores.
Si eres Autónomo
Sabemos que no dispones del mismo tiempo ni recursos que una gran empresa, por eso te ofrecemos un asesoramiento ágil y proporcionado a tu actividad. Te ayudamos a identificar qué usos de IA son seguros para tu día a día (redacción de presupuestos, correos, organización de tareas) y cuáles requieren mayor precaución, especialmente si manejas datos de clientes, historiales o información sensible. Revisamos las condiciones de las herramientas que ya utilizas, te orientamos sobre qué datos puedes introducir con seguridad y cuáles debes evitar, y resolvemos tus dudas concretas sin necesidad de conocimientos técnicos previos.
No dudes en ponerte en contacto con nosotros para resolver cualquier duda.
Oficina: C/ Jardines 1, 4ºB, Castro Urdiales
Email: 
Teléfono: 942 102 965
