Inteligencia artificial y responsabilidad jurídica empresarial

Resumen ejecutivo

• El calendario ha cambiado. El Reglamento (UE) 2026/1744 aplazó las obligaciones de alto riesgo al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (anexo I). Las prohibiciones, la alfabetización y la transparencia no se aplazaron.
• Tu papel determina tus obligaciones. La mayoría de las empresas son responsables del despliegue, no proveedores. Pero poner tu marca en un sistema o cambiar su finalidad puede convertirte en proveedor.
• Protección de datos se aplica hoy, sin periodo transitorio. Base jurídica, información, evaluación de impacto, contrato de encargo y transferencias internacionales son exigibles a cualquier sistema que trate datos personales.
• El contrato con el proveedor es tu principal protección. Uso de tus datos para entrenamiento, confidencialidad, titularidad de los resultados, indemnidad por infracciones y niveles de servicio.
• La responsabilidad por daños sigue las reglas generales. No existe hoy un régimen especial de responsabilidad civil por IA. Responde quien usa el sistema frente a quien sufre el daño.
• Gobernanza mínima: inventario, clasificación, responsable interno, formación, supervisión humana documentada y registro de incidentes.

1. Regulación de IA

El Reglamento (UE) 2024/1689 regula los sistemas de inteligencia artificial según su riesgo y según el papel de cada operador.

Papeles. Proveedor es quien desarrolla un sistema, o lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio con su nombre o marca. Responsable del despliegue es quien utiliza un sistema bajo su propia autoridad en una actividad profesional (art. 3). Un distribuidor, importador o responsable del despliegue pasa a ser considerado proveedor de un sistema de alto riesgo si pone su nombre o marca en él, lo modifica sustancialmente o altera su finalidad prevista de modo que se convierta en alto riesgo (art. 25).

Clasificación.

• Prácticas prohibidas (art. 5): manipulación subliminal dañina, explotación de vulnerabilidades, puntuación social, inferencia de emociones en el trabajo y en centros educativos salvo razones médicas o de seguridad, y determinadas formas de categorización e identificación biométrica, entre otras.
• Alto riesgo (art. 6): sistemas que son componentes de seguridad de productos regulados (anexo I) y sistemas de los ámbitos del anexo III, como biometría, infraestructuras críticas, educación, empleo y gestión de trabajadores, acceso a servicios esenciales (solvencia crediticia, seguros de vida y salud), aplicación de la ley, migración y justicia.
• Transparencia (art. 50): sistemas que interactúan con personas, generan contenido sintético o ultrasuplantaciones, o reconocen emociones.
• Riesgo mínimo: sin obligaciones específicas más allá de la alfabetización.

Calendario vigente. El Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026, modificó el artículo 113.

Alfabetización. Tras la reforma, proveedores y responsables del despliegue deben adoptar medidas para apoyar la alfabetización en IA de su personal, atendiendo a sus conocimientos y al contexto de uso. La norma aclara que no exige garantizar un nivel específico a cada persona (art. 4).

Obligaciones del responsable del despliegue de alto riesgo (art. 26, exigibles desde la fecha indicada): usar el sistema conforme a las instrucciones, encomendar la supervisión humana a personas competentes, vigilar su funcionamiento, conservar los registros generados, informar a los trabajadores y a sus representantes antes de implantarlo en el lugar de trabajo e informar a las personas sujetas a decisiones. Determinados responsables del despliegue deben realizar además una evaluación de impacto sobre derechos fundamentales (art. 27).

Sanciones (art. 99): hasta 35 millones de euros o el 7 % del volumen de negocios mundial por prácticas prohibidas; hasta 15 millones o el 3 % por otras obligaciones; hasta 7,5 millones o el 1 % por información incorrecta. Para pymes y pequeñas empresas de mediana capitalización se aplica la menor de las dos cifras.

2. Datos y contratos

El Reglamento de IA no desplaza la normativa de protección de datos. Cuando el sistema trata datos personales, se aplican el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 sin periodo transitorio.

Lo que exige el RGPD.

• Base jurídica para cada tratamiento (art. 6) y, si hay categorías especiales, una excepción del artículo 9.
• Información al interesado, incluida la existencia de decisiones automatizadas y la lógica aplicada (arts. 13 y 14).
• Decisiones automatizadas: derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o afecte significativamente, salvo excepciones y con garantías como la intervención humana (art. 22).
• Evaluación de impacto cuando el tratamiento entrañe alto riesgo, lo que es habitual en perfilado y uso de nuevas tecnologías (art. 35).
• Contrato de encargo con el proveedor que trata datos por tu cuenta (art. 28).
• Transferencias internacionales con garantías adecuadas si el proveedor o sus subencargados están fuera del Espacio Económico Europeo (arts. 44 y siguientes).

En el ámbito laboral, el comité de empresa tiene derecho a ser informado de los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de IA que afectan a decisiones sobre condiciones de trabajo, acceso y mantenimiento del empleo, incluida la elaboración de perfiles (art. 64.4 d ET).

El contrato con el proveedor debe resolver, como mínimo:

• Entrenamiento. Si el proveedor puede usar tus datos, instrucciones y resultados para entrenar o mejorar sus modelos. La respuesta por defecto en muchos servicios es afirmativa; hay que excluirlo de forma expresa.
• Confidencialidad y secretos empresariales. Una información solo es secreto empresarial si su titular adopta medidas razonables para mantenerla en secreto (art. 1 de la Ley 1/2019). Introducirla en una herramienta sin garantías contractuales puede comprometer esa protección.
• Derechos sobre los resultados. La Ley de Propiedad Intelectual considera autor a la persona natural que crea la obra (art. 5). Un resultado generado sin aportación creativa humana puede carecer de protección por derecho de autor. El contrato debe atribuir a la empresa lo que sea atribuible y regular el uso por el proveedor.
• Infracción de derechos de terceros. Indemnidad del proveedor si el resultado o el entrenamiento infringen derechos de propiedad intelectual, con sus exclusiones.

3. Riesgos y daños

No existe hoy un régimen especial de responsabilidad civil por inteligencia artificial. Se aplican las reglas generales.

Contractual. Si tu empresa presta un servicio apoyándose en IA y el resultado es defectuoso, respondes frente a tu cliente. Podrás repetir contra el proveedor en la medida en que el contrato lo permita: las limitaciones de responsabilidad de los proveedores suelen ser estrictas.

Extracontractual. Frente a terceros sin contrato, por ejemplo un candidato descartado o un consumidor perjudicado, la diligencia exigible incluye haber elegido un sistema adecuado, haberlo usado conforme a sus instrucciones y haberlo supervisado.

Productos. La Directiva (UE) 2024/2853 incluye expresamente el software, y por tanto los sistemas de IA, en el concepto de producto, y facilita la prueba al perjudicado. Se aplica a los productos introducidos en el mercado a partir del 9 de diciembre de 2026, fecha límite de transposición. Comprueba el estado de la transposición española.

Prueba. Quien reclama debe acreditar el daño y su causa, lo que con sistemas opacos es difícil. Para la empresa, la mejor defensa es poder mostrar los registros de funcionamiento, las instrucciones seguidas y la intervención humana en cada decisión. Sin registros no hay defensa.

4. Gobernanza

Un programa razonable para una empresa que no desarrolla IA, sino que la utiliza, tiene seis piezas.

1. Inventario. Todos los sistemas en uso, incluidos los integrados en programas ya contratados y los que los empleados utilizan por su cuenta. Para cada uno: proveedor, finalidad, datos que trata, área responsable y personas afectadas.
2. Evaluación de riesgos. Clasificación conforme al Reglamento, papel de la empresa, necesidad de evaluación de impacto de protección de datos y, cuando proceda, de derechos fundamentales.
3. Política y responsables. Usos permitidos y prohibidos, procedimiento de aprobación de nuevas herramientas, responsable interno y coordinación con el delegado de protección de datos y con cumplimiento normativo.
4. Formación. Adaptada al puesto y documentada. Es la forma de acreditar las medidas de alfabetización del artículo 4.
5. Controles. Supervisión humana con capacidad real de corregir, pruebas antes de la puesta en producción, revisión de sesgos, conservación de registros y revisión de proveedores.
6. Incidentes y revisiones. Registro de errores, reclamaciones y brechas; procedimiento de respuesta; revisión periódica del inventario y tras cada cambio relevante de modelo o de finalidad.

5. Abogacía

El uso de IA en la prestación de servicios jurídicos plantea exigencias propias, que conviene conocer tanto si diriges un departamento jurídico como si contratas a un despacho.

Secreto profesional. Las comunicaciones entre abogado y cliente son confidenciales (art. 16 de la Ley Orgánica 5/2024, del Derecho de Defensa), y el deber de secreto está recogido en el Estatuto General de la Abogacía. Introducir información de un cliente en una herramienta que la conserva, la usa para entrenar o la aloja sin garantías es incompatible con ese deber. Solo cabe con herramientas contratadas con garantías de confidencialidad y de encargo de tratamiento.

Verificación de jurisprudencia y normativa. Los modelos generativos pueden producir citas inexistentes o inexactas. Toda referencia debe contrastarse en la fuente oficial antes de usarse. Presentar ante un tribunal citas no verificadas puede considerarse contrario a la buena fe procesal, con posible multa (art. 247 LEC) y consecuencias deontológicas.

Revisión humana. El abogado responde del escrito, del informe y del consejo. La herramienta puede asistir en la búsqueda, la ordenación de documentos o un primer borrador; el criterio jurídico y la decisión son de una persona identificada.

Caso práctico

Supuesto hipotético con fines ilustrativos. Sociedad y cifras ficticias.

Hechos. Moda Litoral, S.A. es una cadena de tiendas con 420 trabajadores y 60 millones de euros de facturación. Utiliza tres sistemas: un programa de un proveedor estadounidense que puntúa currículos y descarta automáticamente a los candidatos por debajo de un umbral; un asistente conversacional en su web para atención al cliente; y un asistente generativo de uso interno contratado por el departamento de marketing con cuentas individuales. Un candidato descartado reclama y el comité de empresa pide explicaciones. Fecha: noviembre de 2026.

Paso 1. Inventario y papeles. En los tres casos la empresa es responsable del despliegue. No ha modificado ni puesto su marca en ningún sistema.

Paso 2. Clasificación.

• Filtrado de currículos: alto riesgo (anexo III, empleo). Las obligaciones del Reglamento de IA serán exigibles desde el 2 de diciembre de 2027.
• Asistente de atención al cliente: obligación de transparencia. El usuario debe saber que interactúa con un sistema de IA; aplicable desde el 2 de agosto de 2026.
• Asistente generativo interno: riesgo mínimo en el Reglamento, pero con riesgo de confidencialidad y de datos.

Paso 3. Lo que ya se incumple hoy.

• El descarte automático sin intervención humana es una decisión basada únicamente en tratamiento automatizado con efectos significativos (art. 22 RGPD). Falta información a los candidatos y no hay evaluación de impacto.
• No se informó al comité de empresa (art. 64.4 d ET).
• El proveedor está en Estados Unidos: hay que verificar el contrato de encargo y el mecanismo de transferencia.
• Las cuentas individuales del asistente generativo carecen de contrato corporativo: no hay garantía sobre el uso de los datos para entrenamiento.

Paso 4. Medidas inmediatas. Se suspende el descarte automático: el sistema ordena, y una persona de recursos humanos decide y lo deja registrado. Se actualiza la información a candidatos. Se realiza la evaluación de impacto. Se informa al comité. Se comprueba que el asistente web se identifica como sistema automatizado. La solicitud del candidato que reclamó se revisa por una persona y se le responde.

Paso 5. Contratos. Se renegocia con el proveedor de selección: documentación técnica, registros, pruebas de sesgo, asistencia para la evaluación de impacto e indemnidad. Se sustituye el asistente generativo por una licencia corporativa que excluye el entrenamiento con datos de la empresa.

Paso 6. Exposición futura. Con ese tamaño y esa facturación, la empresa puede encajar en la categoría de pequeña empresa de mediana capitalización, lo que debe verificarse. De ser así, el límite de una multa por incumplir obligaciones de alto riesgo sería la menor de dos cifras: 15 millones de euros o el 3 % de 60 millones, es decir, 1,8 millones.

Qué revisar antes de actuar

• Inventario completo de sistemas, incluidos los integrados en otros programas y los no autorizados.
• Papel de la empresa en cada uno y riesgo de convertirse en proveedor.
• Clasificación de riesgo y fecha de aplicación de cada obligación.
• Base jurídica, información, evaluación de impacto y decisiones automatizadas.
• Contrato de encargo, subencargados y transferencias internacionales.
• Cláusulas de entrenamiento, confidencialidad, titularidad de resultados e indemnidad.
• Información a la representación de los trabajadores.
• Supervisión humana: quién, cómo y dónde queda constancia.
• Formación impartida y documentada.
• Estado de la normativa española de desarrollo y de la transposición de la directiva de productos defectuosos.

El servicio de inteligencia artificial para empresas ordena este trabajo junto con las áreas de protección de datos y ciberseguridad y compliance e investigaciones.

Normativa citada

• Reglamento (UE) 2024/1689, de Inteligencia Artificial: arts. 3 a 6, 25 a 27, 50, 99 y 113, y anexos I y III.
• Reglamento (UE) 2026/1744, Ómnibus digital sobre IA, que modifica el anterior.
• Reglamento (UE) 2016/679, General de Protección de Datos: arts. 6, 9, 13, 14, 22, 28, 35 y 44.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
• Directiva (UE) 2024/2853, sobre responsabilidad por los daños causados por productos defectuosos.
• Real Decreto Legislativo 1/2007, texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios: libro tercero.
• Código Civil: arts. 1101, 1902, 1964 y 1968.
• Real Decreto Legislativo 2/2015, texto refundido de la Ley del Estatuto de los Trabajadores: art. 64.4.
• Real Decreto Legislativo 1/1996, texto refundido de la Ley de Propiedad Intelectual: art. 5.
• Ley 1/2019, de Secretos Empresariales: art. 1.
• Ley Orgánica 5/2024, del Derecho de Defensa: art. 16.
• Real Decreto 135/2021, Estatuto General de la Abogacía Española.
• Ley 1/2000, de Enjuiciamiento Civil: art. 247.