Si tu empresa usa ChatGPT, Copilot, Gemini o cualquier otra herramienta de IA — o está evaluando integrarla en procesos con datos de clientes — probablemente te hayas encontrado con el término «evaluación de riesgos legales de IA» o «auditoría legal de inteligencia artificial» y no tengas del todo claro qué es, qué incluye exactamente, ni si tu empresa la necesita ya o puede esperar.
Este artículo lo explica sin rodeos: qué es, en qué se diferencia de una auditoría RGPD, qué debería incluir un informe serio, y cuándo conviene pedirla.
Qué es una evaluación de riesgos legales de IA (y en qué se diferencia de una auditoría RGPD)
Una evaluación de riesgos legales de IA es un análisis específico de cómo tu empresa usa (o planea usar) sistemas de inteligencia artificial, con el objetivo de identificar:
- Obligaciones normativas aplicables — principalmente el AI Act (Reglamento UE 2024/1689), pero también RGPD, propiedad intelectual y normativa sectorial cuando corresponda
- Nivel de riesgo de cada sistema o uso de IA, según la clasificación del propio AI Act (riesgo inaceptable, alto, limitado, mínimo)
- Puntos de exposición contractual: qué dice (o no dice) el contrato con tu proveedor de IA sobre uso de datos, entrenamiento de modelos y responsabilidad
- Brechas de gobernanza interna: si existe (o no) una política de uso de IA en la empresa, y si se cumple en la práctica
La diferencia con una auditoría RGPD es importante, y es una confusión muy habitual:
Una auditoría RGPD analiza el tratamiento de datos personales en general — bases de legitimación, plazos de conservación, medidas de seguridad. Una evaluación de riesgos legales de IA incluye una revisión de datos personales cuando la IA los trata, pero va más allá: analiza también la clasificación de riesgo del AI Act, la relación contractual con el proveedor de IA específicamente, y cuestiones que no son de protección de datos en absoluto — como quién es responsable si el modelo genera contenido erróneo, o qué pasa con la propiedad intelectual de lo que produce la IA.
En resumen: toda evaluación de riesgos de IA roza el RGPD, pero no toda auditoría RGPD cubre los riesgos específicos de la IA.
Qué buscan las empresas cuando dicen «auditoría legal de IA»
En la práctica, cuando una empresa pide una «auditoría de inteligencia artificial legal» suele estar buscando respuesta a una de estas preguntas:
- «¿Podemos meter datos de clientes en ChatGPT sin problema?»
- «¿Qué pasa si nuestro chatbot de atención al cliente da una respuesta incorrecta o discriminatoria?»
- «¿Tenemos que informar a nuestros clientes de que interactúan con una IA?»
- «¿El contrato que firmamos con nuestro proveedor de IA nos protege o nos deja expuestos?»
- «¿Nos afecta el AI Act si solo usamos herramientas de productividad, no desarrollamos IA propia?»
La buena noticia (y quizá sorprendente): la mayoría de pymes que usan IA para productividad — redactar emails, resumir documentos, generar código — están en la categoría de riesgo mínimo o limitado del AI Act, no en la de alto riesgo. Pero «riesgo mínimo» no significa «sin riesgo»: el RGPD y las obligaciones contractuales con el proveedor siguen aplicando igual.
Qué incluye una evaluación de riesgos legales de IA completa
Un informe serio no es una checklist genérica. Debería incluir, como mínimo:
Inventario de herramientas de IA en uso
Qué herramientas usa la empresa (ChatGPT, Copilot, Gemini, herramientas verticales de IA), en qué departamentos, y para qué tareas concretas. Muchas empresas descubren en esta fase que se usan más herramientas de las que Dirección sabía.
Clasificación según el AI Act
Para cada uso identificado, determinar en qué categoría de riesgo entra: inaceptable (prohibido), alto riesgo (Anexo III o Anexo I), riesgo limitado (obligaciones de transparencia) o riesgo mínimo.
Revisión de datos y RGPD
Qué datos personales pasan por cada herramienta, si hay un encargo de tratamiento y un DPA con el proveedor, cómo se cubren las transferencias internacionales, y si el proveedor de IA usa esos datos para entrenar sus modelos (esto es crítico y muchas empresas no lo saben).
Revisión de contratos con proveedores
Términos de servicio, DPA (Data Processing Agreement), cláusulas de entrenamiento de modelos, ubicación de los servidores, y qué pasa en caso de brecha de seguridad. Si hace falta, va de la mano de una revisión de contratos.
Política interna de uso de IA
Si existe, si es coherente con lo que realmente hace la plantilla, y si cubre escenarios como qué información no debe introducirse en herramientas de IA externas.
Fechas clave del AI Act 2026–2028
El Reglamento (UE) 2024/1689 se aplica de forma escalonada. El Digital Omnibus sobre IA — Reglamento (UE) 2026/1744, votado por el Parlamento Europeo el 16 de junio de 2026 y en vigor desde el 27 de julio de 2026 — no congela la norma: aplaza parte del alto riesgo y añade cambios puntuales. El calendario queda así:
| Fecha | Qué entra en vigor |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas y alfabetización en IA (ya exigibles) |
| 2 de agosto de 2025 | Obligaciones de modelos de propósito general (GPAI), gobernanza institucional y régimen de sanciones |
| 2 de agosto de 2026 | Aplicación más amplia, incluida la transparencia del art. 50: informar cuando se interactúa con un chatbot o sistema de IA |
| 2 de diciembre de 2026 | Nuevas prohibiciones del art. 5 (contenido íntimo no consentido y material de abuso de menores) y, para sistemas generativos ya en el mercado, el marcado técnico del art. 50(2) |
| 2 de agosto de 2027 | Los modelos GPAI comercializados antes de agosto de 2025 deben estar en plena conformidad |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del Anexo III (aplazado desde agosto de 2026 por el Digital Omnibus) |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados (Anexo I) |
El matiz importante: el aplazamiento del Digital Omnibus movió las obligaciones de alto riesgo del Anexo III de agosto de 2026 a diciembre de 2027 — pero no afecta a las obligaciones de transparencia del artículo 50, que siguen aplicándose desde agosto de 2026. El 2 de diciembre de 2026 no es un «paquete genérico de prohibiciones nuevas» para todas las empresas: es un cambio acotado. Si tu empresa usa un chatbot de cara al cliente, la obligación de transparencia no se ha retrasado.
Para el desarrollo completo de cada fecha y qué implica para tu empresa según el tipo de uso que hagas de la IA, tienes la guía completa: AI Act para empresas: guía 2026–2028.
ChatGPT, Copilot y datos de clientes: cuándo ya hay riesgo
Este es probablemente el escenario más común y menos vigilado en las empresas:
Un empleado copia el email de un cliente, o un fragmento de un contrato, en ChatGPT para pedirle que lo resuma o mejore la redacción. Parece inocuo. Pero ahí ya pueden concurrir varios riesgos a la vez:
- Riesgo RGPD: si el texto contiene datos personales, estás tratando datos a través de un tercero (el proveedor de la IA). Lo habitual no es que «no exista base legal», sino que falte un DPA, no estén claras las transferencias internacionales, o el proveedor use esos datos para entrenar
- Riesgo de entrenamiento: dependiendo del plan contratado y la configuración, ese contenido puede usarse para entrenar el modelo — es decir, información confidencial de tu cliente puede acabar «dentro» de un sistema que no controlas
- Riesgo contractual: si tienes un acuerdo de confidencialidad con ese cliente, introducir sus datos en una herramienta externa puede constituir un incumplimiento
Esto no significa que haya que prohibir el uso de IA: significa que el riesgo aparece mucho antes de lo que la mayoría de empresas piensa, y no hace falta «hacer algo avanzado con IA» para estar expuesto. Basta con el uso cotidiano de herramientas de productividad.
Si quieres ver ejemplos concretos de cómo se materializa esto en el día a día (más allá de la teoría), tenemos casos prácticos en 6 señales de que tu empresa necesita una evaluación legal de IA.
Qué tiene que ver con tus contratos (SaaS, ChatGPT Enterprise, DPA, cláusulas de entrenamiento)
Aquí es donde la evaluación de riesgos legales de IA se conecta directamente con algo muy concreto: el contrato que ya has firmado (o estás a punto de firmar) con tu proveedor de IA.
Da igual lo bien diseñada que esté tu política interna de uso de IA si el contrato con el proveedor:
- No especifica claramente si tus datos se usan para entrenar el modelo
- No incluye un DPA (Data Processing Agreement) válido conforme al RGPD
- No indica dónde se alojan los servidores (dentro o fuera del Espacio Económico Europeo)
- No define responsabilidades claras en caso de que el sistema genere un resultado erróneo o dañino
- Contiene cláusulas de limitación de responsabilidad desproporcionadas a favor del proveedor
Esto aplica tanto si usas una licencia estándar de ChatGPT como si tienes un contrato de ChatGPT Enterprise, Copilot para empresas, o cualquier herramienta SaaS con componente de IA integrado. Cuanto más «empresarial» es el plan, más margen de negociación suele haber en estas cláusulas — pero solo si sabes qué pedir.
Por eso la evaluación de riesgos legales de IA y la revisión de contratos van de la mano: una identifica los riesgos, la otra los cierra sobre el papel. Amplía en la guía de cláusulas de IA en contratos SaaS.
Cuándo basta el Quick Check y cuándo hace falta el Assessment completo
No todas las empresas necesitan el mismo nivel de análisis. Como orientación:
El AI Act Quick Check (sesión de unos 30 minutos) tiene sentido si:
- Quieres una primera foto rápida de en qué categoría de riesgo del AI Act encajan tus usos de IA
- Aún no tienes claro si necesitas ir más allá
- Es tu primer acercamiento al tema
El AI Legal Assessment (evaluación completa, 5–10 días laborables) tiene sentido si:
- Ya usas varias herramientas de IA en distintos departamentos y quieres una foto completa, no solo una primera aproximación
- Vas a firmar (o renovar) un contrato relevante con un proveedor de IA
- Manejas datos de clientes sensibles o en volumen a través de herramientas de IA
- Necesitas poder acreditar diligencia (frente a clientes, socios o una eventual inspección)
Preguntas frecuentes sobre la evaluación de riesgos legales de IA
¿Es obligatoria una evaluación de riesgos legales de IA?
El AI Act no exige un documento con ese nombre para todas las empresas. El riesgo limitado (por ejemplo un chatbot) implica sobre todo transparencia del artículo 50. La gestión de riesgos y la documentación más exigente corresponden a los sistemas de alto riesgo; las obligaciones del Anexo III, tras el Digital Omnibus, se aplazarán hasta el 2 de diciembre de 2027. La evaluación es la vía práctica para identificar qué te aplica a ti y poder demostrarlo.
¿Cuánto dura el proceso?
Un Quick Check es una sesión de unos 30 minutos. El Assessment completo, para la mayoría de pymes, tarda entre 5 y 10 días laborables desde que compartes herramientas y procesos.
¿Sustituye a una auditoría RGPD?
No. Son complementarias. La evaluación de riesgos de IA incluye una revisión de datos personales cuando la IA los trata, pero no sustituye una auditoría RGPD general de la empresa.
¿Aplica si solo usamos IA para tareas internas, no de cara al cliente?
Sí, aunque las obligaciones cambian. Un chatbot de atención al cliente tiene obligaciones de transparencia específicas (art. 50); una herramienta de uso interno para redactar informes tiene un perfil de riesgo distinto, pero el RGPD y las cláusulas contractuales con el proveedor siguen siendo relevantes en ambos casos.
¿Qué pasa si no hacemos nada?
El AI Act contempla sanciones de hasta 35 millones de euros o el 7 % de la facturación mundial anual para infracciones graves, y de hasta 15 millones o el 3 % para otras (por ejemplo, transparencia). Más allá de la sanción, el riesgo más inmediato suele ser contractual o reputacional: una filtración de datos de un cliente a través de una herramienta de IA mal configurada, o un contrato de proveedor sin las garantías adecuadas.
Base legal: Reglamento (UE) 2024/1689 (AI Act) y Reglamento (UE) 2026/1744 (Digital Omnibus sobre IA). Contenido revisado en agosto de 2026. Orientación general; no sustituye un asesoramiento legal personalizado.