Regulaciones de IA en el sector legal - qué obligaciones trae la EU AI Act y cómo prepararse
Descubre cómo la EU AI Act afecta a tu firma legal: obligaciones, clasificación por riesgo y pasos clave para cumplir con la normativa de IA en el sector jurídico.
Regulaciones de IA en el sector legal - qué obligaciones trae la EU AI Act y cómo prepararse
La EU AI Act (Reglamento UE 2024/1689) es la primera legislación integral sobre inteligencia artificial en el mundo. Entró en vigor el 1 de agosto de 2024, se aplica de forma escalonada, y tiene implicaciones directas para cualquier firma legal que use o planee usar herramientas de IA en sus procesos.
Si diriges desde un despacho, pasando por una asesoría o hasta una firma de arbitraje en Europa, esto te afecta. No como posibilidad futura, sino como obligación regulatoria en desarrollo.
El enfoque es el riesgo, no la prohibición
La norma no prohíbe la IA en el sector legal. Lo que hace es establecer obligaciones proporcionales al riesgo. Cuanto mayor sea el impacto potencial de un sistema de IA sobre derechos fundamentales, más estrictas son las reglas.
Los sistemas de IA se clasifican en cuatro niveles (prohibido, alto riesgo, riesgo limitado y riesgo mínimo). Lo relevante para el sector jurídico está en el segundo.
Qué dice el Anexo III sobre el sector legal
El Anexo III del reglamento lista los usos de IA que se consideran de alto riesgo por defecto. En el apartado de "Administración de justicia y procesos democráticos" se incluyen expresamente los sistemas de IA diseñados para asistir en la preparación de resoluciones judiciales, en la evaluación de pruebas o en la interpretación de hechos y normativa aplicable.
Si una herramienta de IA influye materialmente en el resultado de una determinación legal, entra en la categoría de alto riesgo. No importa si la usa un tribunal o un despacho privado. Lo que importa es la función que cumple.
Hay una zona gris que aún no está resuelta del todo. ¿Un sistema que clasifica documentos en una due diligence es alto riesgo? Depende. Si su output condiciona directamente la decisión legal, probablemente sí. Si actúa como herramienta de apoyo preparatorio sin influir en la determinación final, podría no serlo. El artículo 6.3 permite a los proveedores argumentar que su sistema, pese a estar en el Anexo III, no supone un riesgo significativo, pero deben documentar esa evaluación antes de comercializarlo.
El calendario ha cambiado con el Digital Omnibus
Las obligaciones para sistemas de alto riesgo iban a aplicarse a partir del 2 de agosto de 2026. Pero en noviembre de 2025, la Comisión Europea propuso el paquete Digital Omnibus, que entre otras cosas retrasa esos plazos.
En marzo de 2026, el Consejo de la UE adoptó su posición negociadora y fijó nuevas fechas límite. El 2 de diciembre de 2027 para sistemas de alto riesgo autónomos (Anexo III) y el 2 de agosto de 2028 para los integrados en productos regulados.
El motivo es que los estándares técnicos armonizados que necesitan las empresas para cumplir todavía no están listos. CEN-CENELEC, el organismo responsable de redactarlos, ha indicado que podrían no estar disponibles antes de finales de 2026. El Consejo abre ahora negociaciones con el Parlamento Europeo. Hay voluntad política de cerrar rápido, pero el texto final puede cambiar.
Lo que ya está en vigor
El retraso del Digital Omnibus afecta a las obligaciones específicas de alto riesgo. Pero varias partes de la AI Act ya son aplicables.
Desde febrero de 2025, las prácticas prohibidas están en vigor. Manipulación subliminal, explotación de vulnerabilidades, scoring social generalizado e identificación biométrica remota en tiempo real en espacios públicos (con excepciones tasadas para seguridad). También es obligatorio desde esa fecha garantizar un nivel adecuado de alfabetización en IA entre el personal que trabaja con estos sistemas.
Desde agosto de 2025, las obligaciones para modelos de IA de propósito general son aplicables a sus proveedores. Esto no afecta directamente a los despachos como usuarios, pero sí condiciona qué garantías pueden exigir a sus proveedores tecnológicos.
Obligaciones concretas para quien usa IA de alto riesgo
Si tu firma despliega un sistema de IA clasificado como alto riesgo, el reglamento te asigna el papel de "deployer" o usuario profesional. Estas son las obligaciones principales.
Supervisión humana efectiva. Hay que designar personas formadas y competentes que puedan intervenir, modificar o anular las decisiones del sistema. No es supervisión nominal. La normativa exige capacidad real de intervención.
Uso conforme a instrucciones. El sistema debe usarse según las indicaciones del proveedor. Si un despacho modifica el uso previsto o hace cambios sustanciales, puede asumir obligaciones equivalentes a las de un proveedor, que son bastante más exigentes.
Conservación de registros. Los logs o registros que genera el sistema deben almacenarse durante un periodo adecuado. En caso de incidente, hay que poder reconstruir qué hizo el sistema y por qué.
Transparencia con las personas afectadas. Si el sistema de IA se usa para tomar o asistir decisiones que afectan a personas físicas, estas deben ser informadas. En el contexto legal, esto plantea preguntas muy concretas. ¿Hay que informar al cliente de que se usó IA para revisar su contrato?
Evaluación de impacto. En determinados casos (especialmente si se trata de entidades públicas o de usos que afectan derechos fundamentales) se requiere una evaluación de impacto previa al despliegue.
Tres pasos que un directivo legal puede dar hoy
El retraso a diciembre de 2027 no es una invitación a esperar. Es una ventana para prepararse sin presión.
Inventariar.
¿Qué herramientas de IA se usan en tu firma? ¿Quién las usa? ¿Para qué procesos? No solo las corporativas, sino también las que usan los profesionales por su cuenta. Según Litify, el 78% de los profesionales legales ya usa IA generativa a nivel personal, pero solo el 34% de las firmas tiene adopción organizacional.
Clasificar.
¿Cuáles de esas herramientas podrían caer en la categoría de alto riesgo? ¿Alguna influye materialmente en decisiones legales? Esta clasificación preliminar permite dimensionar el esfuerzo de cumplimiento.
Preguntar al proveedor.
Si usas una herramienta de IA específica del sector legal, pregúntale esto:
- ¿Qué documentación tiene preparada para cumplir con la AI Act?
- ¿Su sistema está registrado como alto riesgo?
- ¿Cómo gestiona los datos que introduces? Las respuestas te dirán mucho sobre su grado de madurez.
El dato que resume la situación
Según Thomson Reuters, solo el 22% de las organizaciones legales tiene una estrategia definida de IA. El 78% restante está usando IA sin un marco claro. La AI Act no exige tener una estrategia, pero sí cumplir con obligaciones concretas que, sin estrategia, son mucho más difíciles de implementar.
El plazo se ha movido. El problema, no.
Fuentes
- EU AI Act — Reglamento (UE) 2024/1689
- Anexo III — Sistemas de IA de alto riesgo (artificialintelligenceact.eu/annex/3)
- Posición del Consejo de la UE sobre el Digital Omnibus (marzo 2026)
- IAPP — Análisis del Digital Omnibus
- Litify State of AI Report 2025
- 8am Legal Industry Report 2026
- Thomson Reuters 2026
- DLA Piper — Obligaciones bajo la EU AI Act, agosto 2025