¿Es seguro usar ChatGPT en un despacho de abogados?
Sí se puede, y ninguna norma lo prohíbe. El riesgo no es la herramienta: es qué información le entregas y con qué garantías detrás.
AI Act para despachos de abogados: qué obliga y qué no
Casi nadie explica lo importante: un despacho no fabrica sistemas de IA, los usa. Y las obligaciones de una figura y otra no son las mismas.
El reglamento europeo de inteligencia artificial no se ha aplazado. Lo que se aplazó en julio de 2026 fueron las obligaciones de los sistemas de alto riesgo, que llegan en diciembre de 2027 y agosto de 2028. El resto sigue en pie: las prácticas prohibidas y el deber de apoyar la formación del equipo, aplicables desde febrero de 2025, y las obligaciones de transparencia, desde el 2 de agosto de 2026. Y para un despacho hay algo que importa más que las fechas: normalmente no eres quien desarrolla el sistema, sino quien lo usa, y las obligaciones de una figura y de otra no son las mismas.
El malentendido del aplazamiento
En julio se publicó el Reglamento (UE) 2026/1744, conocido como Ómnibus digital, que modifica el reglamento de inteligencia artificial. Los titulares hablaron de aplazamiento, y mucha gente entendió que todo quedaba pospuesto a 2027.
No es eso lo que pasó.
Lo que se aplazó son los requisitos de los sistemas de alto riesgo. Los del anexo III pasan al 2 de diciembre de 2027, y los que van integrados en productos ya regulados, del anexo I, al 2 de agosto de 2028.
Lo que no se aplazó es todo lo demás. Y «todo lo demás» incluye precisamente lo que afecta al uso cotidiano de la inteligencia artificial en una empresa.
| Fecha | Qué pasa |
|---|---|
| 2 de febrero de 2025 | Ya aplicable: prácticas prohibidas y deber de alfabetización |
| 2 de agosto de 2025 | Ya aplicable: gobernanza, obligaciones de los modelos de propósito general y régimen sancionador |
| 27 de julio de 2026 | Entra en vigor el Ómnibus digital |
| 2 de agosto de 2026 | Fecha general de aplicación. Obligaciones de transparencia y vigilancia del mercado |
| 2 de diciembre de 2026 | Nuevas prohibiciones y fin de la transición para determinados sistemas de contenido sintético |
| 2 de diciembre de 2027 | Requisitos de los sistemas de alto riesgo del anexo III |
| 2 de agosto de 2028 | Requisitos de los sistemas de alto riesgo del anexo I |
Conviene tenerlo claro porque la confusión tiene un efecto práctico: un despacho que dio por hecho que tenía hasta 2027 lleva desde agosto con obligaciones vivas.
Tú no fabricas sistemas de IA: los usas
Esta es la parte que casi nadie explica, y es la que más cambia las cosas.
El reglamento distingue entre quien desarrolla o comercializa un sistema de inteligencia artificial y quien lo utiliza. La mayor parte de las obligaciones recaen sobre el primero. Documentación técnica, evaluaciones de conformidad, sistemas de gestión de riesgos: todo eso es cosa de quien construye la herramienta, no de quien la contrata.
Un despacho que usa una herramienta de IA para trabajar con su documentación está en la segunda posición, no en la primera.
Eso reduce bastante lo que se le aplica. No lo elimina, pero lo reduce. Y saber en qué lado estás es el primer paso para no gastar energía en obligaciones que no son tuyas.
Hay una excepción que conviene tener presente: si el despacho desarrolla su propia herramienta, o la personaliza hasta el punto de cambiar su finalidad, la cosa cambia. Pero no es el caso habitual.
Qué se le aplica hoy a un despacho que usa IA
Son 3 cosas, y ninguna de ellas se ha aplazado.
Formar al equipo
El reglamento incluye un deber de alfabetización en inteligencia artificial que afecta a cualquier organización que la use. Sigue vigente.
Y tiene un matiz que se ha contado poco: tras el Ómnibus, la obligación consiste en adoptar medidas que apoyen esa formación, no en garantizar que el equipo alcance un nivel determinado. Es una diferencia importante, porque convierte algo difícil de demostrar en algo razonable de cumplir.
En la práctica: que la gente del despacho sepa qué hace la herramienta que usa, dónde están sus límites y qué no debe entregarle. Una sesión interna documentada vale más que un certificado.
Transparencia
Las obligaciones de transparencia son aplicables desde el 2 de agosto de 2026. Para un despacho tienen 2 supuestos frecuentes.
Si hay un asistente conversacional en la web, el visitante tiene que saber que está hablando con un sistema automatizado, salvo que resulte evidente. Y tiene que saberlo como muy tarde en la primera interacción, no enterarse leyendo la política de privacidad. El reglamento pone esta obligación en quien proporciona el sistema, pero es el despacho quien lo coloca delante de sus visitantes, así que conviene comprobar que se cumple.
Si se publican imágenes, audio o vídeo que constituyan una ultrasuplantación, o textos generados con IA para informar al público sobre asuntos de interés público, hay que indicar que son artificiales. En el caso de los textos, no hace falta cuando han pasado por revisión humana o control editorial y alguien asume la responsabilidad editorial de la publicación.
Lo que un despacho hace puertas adentro con sus propios documentos no entra aquí. Esto va de lo que se presenta a terceros.
No hacer lo que está prohibido
Las prácticas prohibidas nunca se aplazaron y son las que uno esperaría: sistemas de puntuación social, determinados usos biométricos, manipulación. No es territorio donde un despacho se mueva habitualmente, pero conviene saber que existe.
Y lo que todavía no se le aplica
Los requisitos de alto riesgo. Con un caso que sí toca de cerca a cualquier despacho que crezca: usar inteligencia artificial para seleccionar personal está clasificado como uso de alto riesgo, y por tanto entra en el paquete aplazado a diciembre de 2027.
Aplazado no significa recomendable. Significa que las obligaciones formales llegan más tarde, no que los problemas de sesgo en una criba automática hayan desaparecido entretanto.
Qué pasa si se incumple, y quién vigila
En España, el organismo llamado a supervisar el cumplimiento es la Agencia Española de Supervisión de la Inteligencia Artificial. Las sanciones previstas en el reglamento alcanzan, en los casos más graves, el 7% de la facturación global anual.
Esas cifras están pensadas para quien desarrolla y comercializa sistemas a gran escala, no para un despacho de 6 personas. Conviene decirlo, porque el titular de la multa millonaria genera una alarma desproporcionada en quien solo usa una herramienta.
Pero hay una vía que un abogado tiene mucho más cerca que cualquier autoridad de inteligencia artificial: la deontológica.
El Colegio y el Consejo General de la Abogacía actúan sobre la conducta profesional con independencia de lo que haga cualquier otro organismo. Un escrito presentado sin la debida revisión, un dato de un cliente entregado donde no debía, una falta de diligencia demostrable: eso se juzga en su propio terreno y con sus propias reglas, que existían mucho antes que el reglamento europeo.
Para la mayoría de los despachos, ahí es donde está el riesgo real.
Lo que conviene hacer, exista o no la obligación
Son 4 cosas: 3 son sensatas y la otra es una obligación.
Doble verificación antes de firmar. Que lo que sale de una herramienta lo revise alguien distinto de quien lo pidió. El reglamento no lo exige con carácter general para este caso, pero es una práctica barata que evita el tipo de error que más caro sale: la cita que nadie comprobó porque parecía correcta.
Dejar constancia de quién revisa y firma. No hace falta un sistema: basta con que en el despacho esté claro quién responde de cada salida con efecto hacia fuera.
Formar al equipo. Esta sí es obligación, y es la más fácil de cumplir y la más fácil de olvidar.
Y decirlo en la hoja de encargo. Un párrafo al principio de la relación con el cliente resuelve una conversación que, si llega tarde, llega mal.
Si te interesa el otro lado de esta cuestión —qué información se le puede entregar a una herramienta de IA y con qué garantías—, lo tratamos en otro artículo: ¿Es seguro usar ChatGPT en un despacho de abogados? →
Fuentes
- Reglamento (UE) 2024/1689, de inteligencia artificial
- Reglamento (UE) 2026/1744, Ómnibus digital sobre IA, publicado en el DOUE el 24 de julio de 2026
- Agencia Española de Supervisión de la Inteligencia Artificial (AESIA)
Preguntas frecuentes
- ¿Se ha aplazado el AI Act?
- Solo en parte. El Ómnibus digital aplazó las obligaciones de los sistemas de alto riesgo: las del anexo III a diciembre de 2027 y las del anexo I a agosto de 2028. Las prácticas prohibidas, la transparencia, la alfabetización y las obligaciones de los modelos de propósito general mantienen sus fechas.
- ¿Mi despacho tiene que cumplir algo del reglamento de IA?
- Si usa herramientas de inteligencia artificial, sí. Principalmente el deber de apoyar la formación del equipo y, si presenta contenido o interacciones automatizadas a terceros, las obligaciones de transparencia. La mayor parte del reglamento, en cambio, recae sobre quien desarrolla y comercializa los sistemas.
- ¿Tengo que avisar a mis clientes de que uso IA?
- Las obligaciones de transparencia del reglamento se refieren sobre todo a interacciones automatizadas y a contenido generado artificialmente que se presenta a terceros. Al margen de lo que exija la norma, informar de ello en la hoja de encargo es una buena práctica: convierte en información algo que, si sale a la luz más tarde, se convierte en explicación.
- ¿Hay ya sanciones en España?
- El régimen sancionador existe y la autoridad competente está designada. Lo que conviene tener presente es que, para un despacho, la vía deontológica está más cerca: el Colegio y el Consejo General actúan sobre la conducta profesional con sus propias reglas.
- ¿Usar IA para seleccionar personal es de alto riesgo?
- Sí, los usos relacionados con el empleo están clasificados como de alto riesgo, y por tanto entran en el paquete aplazado a diciembre de 2027. Que las obligaciones formales lleguen más tarde no elimina el problema de fondo: una criba automática puede reproducir sesgos que nadie ha revisado.
Seguir leyendo