El 2 de agosto de 2026 entraron en vigor disposiciones clave del Reglamento Europeo de Inteligencia Artificial, aunque Bruselas aplazó lo más exigente —las actuaciones consideradas de alto riesgo, como la selección de personal, el scoring crediticio, el diagnóstico médico o el uso en infraestructuras críticas— hasta diciembre de 2027, y hasta 2028 para los ya integrados en productos regulados. El otro reloj no admite prórroga: desde este 11 de septiembre el reglamento de Ciberresiliencia obliga a notificar vulnerabilidades e incidentes graves en 24 horas; su aplicación general llegará en 2027.
El filtro de los clientes
Antes de que el AI Act apriete, el mercado ya ha impuesto su propio control. Grandes departamentos jurídicos reparten entre sus despachos externos pliegos de condiciones sobre el uso de IA, según describe Daniel Acevedo, consejero delegado de Bredia. “Muy pocos bufetes habrían levantado por iniciativa propia un sistema de gestión de seguridad con auditoría externa”, señala, y lo hicieron porque un cliente grande lo exigió. El riesgo es que la condición pase a prescribir el método de trabajo: “Exigir un estándar certificable no es lo mismo que prescribir cómo trabaja el proveedor”, asevera Acevedo.
Las nuevas reglas de inteligencia artificial ponen patas arriba el trabajo de control en las compañías para evitar sanciones
El 2 de agosto de 2026 entraron en vigor disposiciones clave del Reglamento Europeo de Inteligencia Artificial, aunque Bruselas aplazó lo más exigente —las actuaciones consideradas de alto riesgo, como la selección de personal, el scoring crediticio, el diagnóstico médico o el uso en infraestructuras críticas— hasta diciembre de 2027, y hasta 2028 para los ya integrados en productos regulados. El otro reloj no admite prórroga: desde este 11 de septiembre el reglamento de Ciberresiliencia obliga a notificar vulnerabilidades e incidentes graves en 24 horas; su aplicación general llegará en 2027.
El aplazamiento de las obligaciones para los sistemas de alto riesgo no equivale, en la práctica, a más tiempo: las empresas que los despliegan ya están sujetas al régimen sancionador por las disposiciones del reglamento que sí resultan exigibles desde este agosto. En caso contrario, podrían recibir sanciones que pueden ser millonarias. Contratar un abogado no será suficiente. Los expertos advierten que el nuevo paquete de obligaciones exige un esfuerzo organizativo hasta ahora inaudito: inventariar los sistemas IA, clasificarlos por riesgo, auditar los datos de entrenamiento y evitar posibles fugas de ciberseguridad. Es un proceso que no se improvisa en los meses previos al vencimiento del plazo. Esa función integrada ya tiene nombre: AI Governance. “La regulación está convirtiendo algo tecnológico en un problema de gobernanza, riesgo y cumplimiento”, resume Eugenia Navarro, consultora estratégica de innovación legal y consejera del Consejo General de la Abogacía Española. “Hay que saber qué sistemas utiliza la compañía, con qué datos y quién los supervisa”, añade.
Rodolfo Tesone, presidente emérito y fundador de ENATIC (Asociación Española de la Abogacía y el Derecho Digital) y consejero delegado de Meta Legal Group, certifica ese giro: “Hemos pasado de una fase de sensibilización a otra de implementación. Las empresas ya no preguntan qué dice el reglamento de IA, sino qué sistemas tienen, qué riesgos presentan y qué deben hacer para utilizarlos con garantías”. Ese cambio, sostiene, exige equipos jurídicos, técnicos y organizativos, con perfiles híbridos de gobernanza de IA.
Cumplir con este paquete de normas tendrá un coste, aunque este no será uniforme. “Depende del rol: el proveedor tiene mayores costes que el responsable del despliegue”, explica Moisés Barrio, letrado del Consejo de Estado y experto en regulación digital, que ha participado en el sandbox (entorno de pruebas) regulatorio español de la IA. La factura más alta la generan los sistemas de alto riesgo, mientras buena parte del andamiaje es gratuito: “Hay guías y formación abiertas en el AI Act Service Desk”, señala. Y matiza que el reglamento no obliga a nombrar un AI Officer: “Es un coste asumible frente a los riesgos de sistemas defectuosos”.
El coste de incumplir
Rodolfo Tesone traslada el debate a lo que cuesta no cumplir: “No puede reducirse a cuánto cuesta cumplir, sino a cuánto cuesta no gobernar la IA: sanciones, riesgos reputacionales o decisiones deficientes”, advierte. “Cumplir tiene un coste, pero debemos convertirlo en una inversión rentable”, añade, reclamando “regular mejor, especialmente para las pymes”. Las multas para las firmas que ignoren el reglamento son para pensárselo dos veces: hasta el 7% de la facturación global o 35 millones de euros, lo que resulte mayor, lo que convierte al AI Act en la normativa de IA más severa del planeta. La amenaza de recibir las primeras sanciones empuja a las compañías a movilizar presupuesto hacia auditorías y a reforzar la supervisión humana antes de que llegue una inspección.
Ese movimiento presupuestario ya tiene reacción en el mercado. “Todavía es pronto para una cifra fiable, pero es un área de práctica que va a crecer de manera significativa”, sostiene Navarro. El abogado especializado en regulación no basta por sí solo: “Necesitamos abogados que entiendan de tecnología, pero también ingenieros, datos, ciberseguridad y auditoría”, y ya aparecen perfiles híbridos como AI Governance Officers o Legal Engineers.
Los grandes despachos responden con alianzas tecnológicas, pero Navarro discute que el negocio quede reservado a los gigantes: “La IA puede abrir oportunidades a firmas más pequeñas”. Una boutique puede asociarse con un proveedor tecnológico sin plataforma propia.
¿Resta o suma competitividad esta regulación frente a Estados Unidos y China? Barrio rechaza de plano que el AI Act frene la innovación europea: “Es radicalmente falso. Es la norma jurídica horizontal más completa que existe: una sola ley, 27 países”. Estados Unidos, recuerda, carece de ley federal equivalente y arrastra “un mosaico caótico de legislación dispar” entre Estados, mientras que China regula con más detalle incluso la IA antropomórfica. Los verdaderos frenos de Europa, sostiene, están en el “mercado de capitales fragmentado”, además de “en la dificultad de escalar y el alto coste de la energía”.
Rodolfo Tesone coincide en que la culpa no es de Bruselas: “No comparto del todo que la regulación europea de la IA sea la causa de nuestra desventaja competitiva. Esa desventaja es anterior al reglamento”, señala, situando las causas reales donde ya las apuntaron los informes Draghi y Letta: fragmentación del mercado interior y dificultades para escalar empresas innovadoras. Y remata: “En la UE ya no podemos ser los primeros en la carrera de la IA, pero todavía podemos ser los mejores si apostamos por una inteligencia artificial responsable y confiable”. Entre el reloj que ya corre desde este septiembre y el que da un respiro hasta 2027, las empresas españolas asumen que la gobernanza de la IA ha dejado de ser una casilla de compliance para convertirse en una función tan transversal, como antes lo fue la protección de datos.
El filtro de los clientes
Antes de que el AI Act apriete, el mercado ya ha impuesto su propio control. Grandes departamentos jurídicos reparten entre sus despachos externos pliegos de condiciones sobre el uso de IA, según describe Daniel Acevedo, consejero delegado de Bredia. “Muy pocos bufetes habrían levantado por iniciativa propia un sistema de gestión de seguridad con auditoría externa”, señala, y lo hicieron porque un cliente grande lo exigió. El riesgo es que la condición pase a prescribir el método de trabajo: “Exigir un estándar certificable no es lo mismo que prescribir cómo trabaja el proveedor”, asevera Acevedo.
Feed MRSS-S Noticias
