El Reglamento Europeo de Inteligencia Artificial (Reglamento UE 2024/1689), conocido como AI Act, entró en vigor el 1 de agosto de 2024. Desde entonces, las empresas en España afrontan un calendario de obligaciones escalonadas que culmina el 2 de agosto de 2026, fecha en que la normativa se aplica plenamente a los sistemas de IA de alto riesgo. Con la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) ya con plenas competencias inspectoras y sancionadoras desde agosto de 2025, contar con un abogado especialista en AI Act ha dejado de ser opcional para muchas organizaciones.
Qué obligaciones ya están vigentes en España
El AI Act no es una ley futura: varias de sus exigencias ya son de obligado cumplimiento. Desde el 2 de febrero de 2025, están prohibidas las prácticas de IA consideradas de riesgo inaceptable (como la puntuación social o la manipulación subliminal), y el Artículo 4 obliga a garantizar un nivel adecuado de alfabetización en IA entre el personal que trabaja con estos sistemas.
Desde agosto de 2025, rigen las reglas de gobernanza y las obligaciones para modelos de IA de propósito general (GPAI), incluyendo documentación técnica, cumplimiento de derechos de autor y políticas de transparencia. La AESIA, según informó Cinco Días el 1 de agosto de 2025, asumió desde esa fecha la potestad sancionadora sobre el uso de la inteligencia artificial por parte de empresas.
El plazo final para los sistemas de alto riesgo (RRHH, biometría, infraestructuras críticas, educación, justicia) es el 2 de agosto de 2026. Ese día, la AESIA podrá imponer multas de hasta 35 millones de euros o el 7% de la facturación anual global por infracciones muy graves.
Para qué sirve exactamente un abogado especialista en AI Act
El perfil de abogado especializado en AI Act combina conocimiento regulatorio europeo con comprensión técnica de cómo funcionan los sistemas de IA. Sus tareas principales incluyen:
Inventario y clasificación de sistemas de IA: determinar si los sistemas que usa o desarrolla una empresa son de riesgo mínimo, limitado o alto, con las distintas obligaciones que ello implica.
Auditorías de cumplimiento: revisar que los procesos internos, la documentación técnica y los registros de actividad satisfacen las exigencias del reglamento.
Alineación RGPD y AI Act: ambas normativas se solapan en el tratamiento de datos. Un especialista evalúa cómo aplican conjuntamente y qué medidas adicionales requiere el AI Act respecto al RGPD ya implantado.
Revisión de contratos con proveedores de IA: cuando una empresa integra herramientas de terceros (un chatbot, un sistema de selección automática de candidatos, un motor de recomendación), el abogado delimita responsabilidades, garantías de cumplimiento y propiedad de los datos.
Formación interna y gobernanza: diseñar protocolos de supervisión humana y planes de formación que cumplan con el Artículo 4 del AI Act.
Preparación ante inspecciones de la AESIA: disponer de la documentación necesaria para responder a requerimientos del regulador sin exposición innecesaria.
Qué sectores tienen mayor urgencia
No todas las empresas tienen la misma exposición. Los sectores con mayor impacto inmediato son aquellos que ya usan IA en procesos que afectan directamente a personas: selección de personal, evaluación crediticia, atención sanitaria, educación online, sistemas de seguridad con reconocimiento biométrico y gestión de infraestructuras críticas. Para estas organizaciones, el plazo de agosto de 2026 no es flexible: el incumplimiento expone a multas graves, pero también a daños reputacionales y a la paralización de sistemas operativos.
Las empresas tecnológicas y de negocio digital, aunque muchas veces integran IA como usuarias (no como desarrolladoras), siguen siendo destinatarias del reglamento. El AI Act se aplica tanto a proveedores como a desplegadores.
Qué perfil de despacho o firma buscar
El asesoramiento en AI Act requiere un perfil concreto. Algunas consideraciones prácticas:
Experiencia en derecho tecnológico europeo: el AI Act se superpone al RGPD, al Data Act y al Cyber Resilience Act. Un despacho que ya gestione cumplimiento en protección de datos tiene una base sólida, pero necesita actualización específica en la nueva regulación de IA.
Orientación a negocio: la clasificación de riesgo no es un ejercicio teórico; depende de cómo se usa realmente el sistema dentro de la organización. Un abogado que entiende el negocio del cliente clasifica con más precisión.
Capacidad de trazar cumplimiento: la AESIA puede requerir evidencia documentada de que la empresa ha adoptado las medidas necesarias. No basta con tener un informe; hace falta trazabilidad.
Legal Army trabaja con empresas tecnológicas y negocios digitales que necesitan asesoramiento legal integrado con su operativa diaria. Su modelo de asesoría jurídica externalizada incluye soporte en Compliance y Regulación con certificación en normativas europeas e internacionales, y usa tecnología para generar trazabilidad del cumplimiento, lo que es especialmente relevante cuando la AESIA solicita evidencia de las medidas adoptadas.
Se puede consultar más detalles sobre las implicaciones prácticas en su guía sobre el AI Act para empresas y sus obligaciones al usar inteligencia artificial.
Las sanciones que establece el AI Act en España
El régimen sancionador del AI Act se estructura en tres tramos:
Infracciones muy graves (uso de sistemas prohibidos, incumplimiento de requisitos del Artículo 10): hasta 35 millones de euros o el 7% del volumen de negocio anual global.
Infracciones graves: hasta 15 millones de euros o el 3% de la facturación.
Infracciones leves: hasta 500.000 euros o el 0,5% del volumen de negocio.
Para las pequeñas y medianas empresas, estas cifras se modulan según su tamaño, pero el límite porcentual sobre facturación puede resultar igualmente significativo.
Cómo actuar ahora si una empresa usa IA
El camino práctico pasa por tres pasos: primero, identificar qué sistemas de IA utiliza o integra la empresa; segundo, clasificarlos según el nivel de riesgo del AI Act; tercero, implementar las medidas de gobernanza, documentación y supervisión que correspondan.
Este proceso no tiene que ser largo si se cuenta con asesoramiento especializado que entienda el negocio y pueda trabajar con el equipo interno desde el primer día. Las empresas que ya tienen implantado el RGPD tienen una parte del camino avanzada: la lógica de gestión de riesgos es similar, aunque los requisitos técnicos del AI Act son más específicos.
La clave no es solo cumplir antes del 2 de agosto de 2026. Es hacerlo con documentación sólida que permita demostrarlo. El regulador no valora la intención; valora la evidencia.