Las disposiciones importantes del Reglamento europeo sobre inteligencia artificial entraron en vigor el 2 de agosto de 2026, aunque Bruselas aplazó los requisitos más estrictos, como la selección de personal, la evaluación de la solvencia crediticia, el diagnóstico médico o el uso en infraestructuras críticas, hasta diciembre de 2027, y hasta 2028 en el caso de aquellos ya integrados en productos regulados. El otro plazo no admite prórrogas: desde el 11 de septiembre, el Reglamento sobre ciberresiliencia exige la notificación de vulnerabilidades e incidentes graves en un plazo de 24 horas; su aplicación generalizada llegará en 2027. Sigue leyendo. El filtro de los clientes. Antes de que la Ley de IA se endurezca, el mercado ya ha impuesto su propio control. Los grandes departamentos jurídicos comparten con sus despachos externos las condiciones de uso de la IA, tal y como describe Daniel Acevedo, director general de Bredia. «Muy pocos bufetes de abogados habrían implantado por iniciativa propia un sistema de gestión de la seguridad con auditoría externa», afirma, y lo hicieron porque un gran cliente lo exigió. El riesgo es que la condición acabe dictando el método de trabajo: «Exigir una norma certificable no es lo mismo que prescribir cómo trabaja el proveedor», señala Acevedo.
Las nuevas normas sobre inteligencia artificial dan un vuelco a las labores de control en las empresas para evitar sanciones
Noticias MRSS-S
El 2 de agosto de 2026, entraron en vigor las disposiciones clave del Reglamento europeo sobre inteligencia artificial, aunque Bruselas pospuso las más exigentes —acciones consideradas de alto riesgo, como la selección de personal, la evaluación de la solvencia crediticia, el diagnóstico médico o el uso en infraestructuras críticas— hasta diciembre de 2027, y hasta 2028 para aquellas ya integradas en productos regulados. El otro plazo no admite prórrogas: desde el 11 de septiembre, el Reglamento sobre ciberresiliencia exige la notificación de vulnerabilidades e incidentes graves en un plazo de 24 horas, y su aplicación general se extenderá hasta 2027. El aplazamiento de las obligaciones para los sistemas de alto riesgo no supone, en la práctica, una prórroga: las empresas que los utilizan ya están sujetas al régimen sancionador previsto en las disposiciones del reglamento, que son de obligado cumplimiento desde este mes de agosto. De lo contrario, podrían enfrentarse a sanciones que podrían ascender a millones. Contratar a un abogado no bastará. Los expertos advierten de que el nuevo paquete de obligaciones exige un esfuerzo organizativo sin precedentes hasta la fecha: desarrollar sistemas de IA, clasificarlos según el riesgo, auditar los datos de entrenamiento y evitar posibles fugas de ciberseguridad. Se trata de un proceso que no se puede improvisar en los meses previos a la fecha límite. Esta función integrada ya se conoce como «gobernanza de la IA». «La normativa está convirtiendo algo tecnológico en un problema de gobernanza, riesgo y cumplimiento», afirma Eugenia Navarro, consultora estratégica en innovación jurídica y asesora del Consejo General de la Abogacía Española. «Necesitamos saber qué sistemas utiliza la empresa, con qué datos y quién los supervisa», añade. Rodolfo Tesone, presidente emérito y fundador de ENATIC (Asociación Española de Abogados y Derecho Digital) y director general de Meta Legal Group, corrobora este cambio: «Hemos pasado de una fase de concienciación a otra de implementación. Las empresas ya no se preguntan qué dice la normativa sobre IA, sino qué sistemas tienen, qué riesgos presentan y qué deben hacer para utilizarlos con garantías». Este cambio, sostiene, requiere equipos jurídicos, técnicos y organizativos, con perfiles híbridos de gobernanza de la IA. El cumplimiento de este conjunto de normas tendrá un coste, aunque este no será uniforme. «Depende del rol: el proveedor tiene unos costes más elevados que el responsable de la implantación», explica Moses Barrio, miembro del Consejo de Estado y experto en regulación digital, que ha participado en el «regulatory sandbox» (entorno de pruebas) español de la IA. La factura más elevada la generan los sistemas de alto riesgo, mientras que gran parte de la infraestructura es gratuita: «Hay guías y formación disponibles en el Servicio de Asistencia de la Ley de IA», afirma. Y señala que la normativa no exige el nombramiento de un responsable de IA: «Es un coste asumido frente a los riesgos de sistemas defectuosos». El coste del incumplimiento. Rodolfo Tesone traslada el debate a lo que cuesta no cumplir: «No se puede reducir a cuánto cuesta cumplir, sino a cuánto cuesta no regular la IA: sanciones, riesgos reputacionales o malas decisiones», advierte. «Cumplir tiene un coste, pero debemos convertirlo en una inversión rentable», añade, exigiendo «una mejor regulación, especialmente para las pymes». Las multas para las empresas que ignoren la normativa dan que pensar: hasta el 7 % de la facturación global o 35 millones de euros, lo que sea mayor, lo que convierte a la Ley de IA en la normativa sobre IA más severa del planeta. La amenaza de las primeras sanciones empuja a las empresas a destinar presupuesto a auditorías y a reforzar la supervisión humana antes de que llegue una inspección. Ese movimiento presupuestario ya tiene repercusión en el mercado. «Aún es pronto para dar una cifra fiable, pero es un ámbito de práctica que crecerá significativamente», afirma Navarro. El abogado especializado en normativa ya no es suficiente: «Necesitamos abogados que entiendan de tecnología, pero también ingenieros, expertos en datos, ciberseguridad y auditoría», y ya están surgiendo perfiles híbridos como los responsables de gobernanza de la IA o los ingenieros jurídicos. Los grandes bufetes responden con alianzas tecnológicas, pero Navarro señala que el sector está reservado a las grandes empresas: «La IA puede abrir oportunidades a las firmas más pequeñas». Un bufete especializado puede asociarse con un proveedor tecnológico sin disponer de una plataforma propia. ¿Esta normativa resta o añade competitividad a Estados Unidos y China? Barrio rechaza rotundamente que la Ley de IA frene la innovación europea: «Es radicalmente falso. Es la norma jurídica horizontal más completa que existe: una ley, 27 países». Estados Unidos, recuerda, carece de una ley federal equivalente y arrastra «un mosaico caótico de legislaciones diferentes» entre los estados, mientras que China regula aún con más detalle la IA antropomórfica. Los verdaderos frenos de Europa, afirma, residen en el «mercado de capitales fragmentado», así como «en la dificultad para escalar y el elevado coste de la energía». Rodolfo Tesone coincide en que la culpa no es de Bruselas: «No comparto del todo que la regulación europea de la IA sea la causa de nuestra desventaja competitiva. Según él, esta desventaja es anterior a la normativa, y señala las causas reales de los problemas que ya han identificado los informes de Draghi y Letta: la dificultad para hacer crecer las empresas innovadoras y la fragmentación del mercado interior. Y añade: «En la UE, ya no podemos ser los primeros en la carrera de la IA, pero aún podemos ser los mejores si queremos contar con una inteligencia artificial responsable y fiable». Entre el plazo que ya está en marcha desde este mes de septiembre y el que da un respiro hasta 2027, las empresas españolas dan por hecho que la gobernanza de la IA ha dejado de ser un mero requisito de cumplimiento para convertirse en una función transversal, como lo fue anteriormente la protección de datos. El filtro del cliente. Antes de que se endurezca la Ley de IA, el mercado ya ha impuesto su propio control. Los grandes departamentos jurídicos comparten con sus despachos externos las condiciones de uso de la IA, tal y como describe Daniel Acevedo, director general de Bredia. «Muy pocos bufetes de abogados habrían implantado por iniciativa propia un sistema de gestión de la seguridad con auditoría externa», afirma, y lo hicieron porque un gran cliente lo exigió. El riesgo es que esa condición acabe dictando el método de trabajo: «Exigir una norma certificable no es lo mismo que dictar cómo debe trabajar el proveedor», señala Acevedo.
