Reglamento Europeo de IA 2026: Lo que tu despacho necesita hacer antes de la fecha límite

El 30 de enero, el Consejo General de la Abogacía Española (CGAE) presentó su Libro Blanco sobre Inteligencia Artificial y Abogacía. El dato más destacado: el 60% de los abogados españoles ya utiliza aplicaciones con inteligencia artificial en su trabajo diario.

El problema: solo el 8% afirma tener un conocimiento profundo de las herramientas que usa. La mitad reconoce que su nivel de comprensión es bajo.

Esa brecha entre adopción y comprensión está a punto de tener un coste real. El 2 de agosto de 2026 entran en vigor las principales obligaciones del Reglamento Europeo de Inteligencia Artificial para sistemas de IA de alto riesgo. Para los despachos que usan IA para procesar contratos, revisar documentos o evaluar riesgo legal, el reloj ya corre.

Este artículo detalla lo que tu despacho necesita hacer. Sin teoría. Sin resúmenes del reglamento. Un checklist práctico.

Dónde encajan los despachos en la clasificación de riesgo

El Reglamento de IA clasifica los sistemas en cuatro niveles: riesgo inaceptable (prohibidos), alto riesgo (regulados), riesgo limitado (obligaciones de transparencia) y riesgo mínimo (sin regulación).

La mayoría de los despachos asumen que sus herramientas de IA caen en "riesgo limitado" o "riesgo mínimo". A menudo se equivocan.

El Anexo III del Reglamento incluye expresamente los sistemas de IA utilizados en "administración de justicia y procesos democráticos" como alto riesgo. Si tu despacho usa IA para interpretación jurídica, predicción de resultados de casos, análisis de documentos legales o decisiones sobre acceso a la justicia, esos sistemas son de alto riesgo por defecto.

Incluso herramientas de IA que no tocan directamente la interpretación legal pueden activar la clasificación de alto riesgo. Usar IA para decisiones de RRHH (selección, evaluaciones de rendimiento), evaluaciones crediticias o procesamiento de datos biométricos para control de acceso: todo esto entra en las categorías del Anexo III.

El primer paso es mapear cada sistema de IA que usa tu despacho, desde la herramienta de revisión de contratos que utilizan tus asociados hasta el chatbot de la web, y clasificar cada uno.

La fecha límite de agosto de 2026: qué entra en vigor

La implementación del Reglamento es progresiva. Las prácticas de IA prohibidas (puntuación social, sistemas manipulativos) se prohibieron en febrero de 2025. Las obligaciones de alfabetización en IA también comenzaron entonces.

El 2 de agosto de 2026 es cuando las reglas principales para sistemas de alto riesgo se vuelven exigibles:

• Sistemas de gestión de riesgos operativos (Artículo 9)
• Gobernanza de datos aplicable (Artículo 10)
• Documentación técnica preparada para cada sistema de alto riesgo (Artículo 11)
• Registro automático de eventos del sistema operativo (Artículo 12)
• Mecanismos de supervisión humana implementados (Artículo 14)
• Estándares de precisión, robustez y ciberseguridad cumplidos (Artículo 15)
• Obligaciones de transparencia activas para todos los sistemas cubiertos (Artículo 50)
• Los Estados miembros deben tener al menos un sandbox regulatorio de IA operativo

Las sanciones por incumplimiento: hasta 35 millones de euros o el 7% de la facturación anual mundial para prácticas prohibidas, y hasta 15 millones o el 3% para otras infracciones.

Una nota sobre el Digital Omnibus: la Comisión Europea propuso un paquete a finales de 2025 que podría retrasar algunas obligaciones de alto riesgo hasta diciembre de 2027. No planifiques en torno a esto. La legislación no ha sido aprobada, y los despachos prudentes tratan agosto de 2026 como la fecha vinculante.

Trazabilidad: el requisito que la mayoría ignora

El Artículo 12 del Reglamento exige que los sistemas de IA de alto riesgo "permitan técnicamente el registro automático de eventos (registros) durante toda la vida útil del sistema".

Estos registros deben capturar tres categorías de eventos:

1. Situaciones en las que el sistema pueda presentar un riesgo o sufrir una modificación sustancial
2. Datos necesarios para la vigilancia poscomercialización
3. Registros de operación del sistema para supervisión

Los registros deben conservarse al menos seis meses. Para sistemas que procesan datos personales, las normas de retención del RGPD pueden ampliar este plazo.

Aquí es donde esto se concreta para los despachos. Si tus asociados usan una herramienta de IA para revisar contratos, necesitas un registro de cada consulta enviada, cada respuesta generada y cada decisión tomada en base a esa respuesta. Si la IA marca una cláusula como de bajo riesgo y el abogado acepta esa valoración sin revisión adicional, esa interacción debe quedar registrada.

El Libro Blanco del CGAE señaló esto directamente. A pesar del 60% de adopción, la mayoría de los despachos españoles no tienen un registro sistemático de su uso de IA. El análisis de Grok sobre los datos del CGAE señaló las "lagunas en los registros de auditoría" como uno de los principales riesgos de cumplimiento.

La mayoría de las herramientas de IA comerciales no ofrecen registros conformes al Artículo 12 por defecto. Si tu despacho usa ChatGPT, Claude u otro LLM generalista para trabajo jurídico, comprueba si puedes exportar un registro completo de interacciones con marcas temporales, identificadores de usuario y respuestas del sistema. En la mayoría de los casos, no puedes.

Supervisión humana: qué exige realmente el Artículo 14

El Artículo 14 establece que los sistemas de IA de alto riesgo deben diseñarse para que "personas físicas" puedan supervisarlos eficazmente durante su uso. No es una recomendación. Es un requisito estructural.

El reglamento define capacidades específicas que debe tener el supervisor humano:

• Comprender las limitaciones del sistema. La persona que revisa la salida de la IA debe conocer qué puede y qué no puede hacer la herramienta, incluyendo sus tasas de error y modos de fallo conocidos.
• Interpretar correctamente los resultados. El despacho debe proporcionar herramientas de interpretación y formación para que los supervisores puedan evaluar si el resultado de la IA es fiable.
• Anular o descartar. Cualquier persona en el circuito debe poder rechazar la salida de la IA sin fricción. Si tu flujo de trabajo hace más fácil aceptar la sugerencia de la IA que rechazarla, eso es un problema de cumplimiento.
• Protegerse contra el sesgo de automatización. El diseño del sistema debe contrarrestar activamente la tendencia de los humanos a confiar en exceso en las salidas automatizadas.

Para los despachos, esto significa que necesitas procedimientos documentados para el trabajo asistido por IA. ¿Quién revisa las salidas de la IA? ¿Qué formación ha recibido? ¿Qué ocurre cuando la IA produce un resultado con el que el revisor no está de acuerdo? ¿Cómo se registra ese desacuerdo?

El CGPJ publicó la Instrucción 2/2026 el 28 de enero, reforzando que los sistemas de IA en contextos judiciales deben ser "instrumentos de apoyo o asistencia" exclusivamente. El mismo principio aplica a los despachos: la IA asiste, las personas deciden.

Residencia de datos: la intersección RGPD-Reglamento de IA

El Reglamento de IA no impone requisitos explícitos de residencia de datos. Pero funciona "de la mano" del RGPD, que sí lo hace.

Cuando tu despacho usa IA para procesar contratos de clientes, estás procesando datos personales. El RGPD restringe las transferencias transfronterizas de datos personales fuera de la UE salvo que el país de destino tenga un nivel "adecuado" de protección de datos o se hayan implementado salvaguardas apropiadas (Cláusulas Contractuales Tipo o Normas Corporativas Vinculantes).

La mayoría de las plataformas comerciales de IA procesan datos en infraestructura estadounidense. Para un despacho europeo que maneja documentos de clientes con datos personales (nombres, direcciones, datos financieros, información sanitaria), esto crea un riesgo de cumplimiento tanto bajo el RGPD como bajo el Reglamento de IA.

El Artículo 10 del Reglamento de IA añade requisitos de gobernanza de datos específicos para IA: los conjuntos de datos de entrenamiento y validación deben gestionarse con procesos documentados, medidas de detección de sesgos y controles de calidad. Si tu proveedor de IA no puede decirte dónde se procesan tus datos, cómo se entrenaron sus modelos y qué salvaguardas tiene implementadas, tienes un problema.

Los reguladores europeos de privacidad ya investigan a las empresas de IA en estos puntos. El Nordic AI Institute señaló que los organismos europeos de protección de datos están investigando plataformas de IA por cumplimiento del RGPD, con "consentimiento y transparencia" como foco central.

La solución práctica: utilizar infraestructura de IA alojada dentro de la UE. Azure, AWS y Google Cloud ofrecen procesamiento con residencia en la UE. Esto no elimina las obligaciones de cumplimiento, pero elimina por completo el riesgo de transferencia transfronteriza.

Tu checklist de cumplimiento antes de agosto de 2026

Esto es lo que tu despacho debería tener preparado antes de la fecha límite:

1. Inventario de sistemas de IA

• Listar cada herramienta de IA utilizada en el despacho (incluyendo las que abogados individuales adoptaron por su cuenta)
• Clasificar cada una por nivel de riesgo (inaceptable, alto, limitado, mínimo)
• Documentar el propósito previsto y el uso real de cada sistema

2. Evaluación de riesgos por sistema

• Para cada sistema de alto riesgo, completar una evaluación formal de riesgos
• Identificar riesgos para la salud, la seguridad y los derechos fundamentales
• Documentar las medidas de mitigación

3. Infraestructura de trazabilidad

• Implementar registros conformes al Artículo 12 para todos los sistemas de alto riesgo
• Asegurar que los registros capturen entradas, salidas, acciones del usuario y marcas temporales
• Establecer políticas de retención (mínimo seis meses, más si lo exige el RGPD)

4. Procedimientos de supervisión humana

• Definir quién revisa la salida de la IA para cada caso de uso
• Documentar los requisitos de formación para los revisores
• Crear procedimientos de anulación que no generen fricción
• Registrar las instancias en que se anula o descarta la salida de la IA

5. Verificación de residencia de datos

• Confirmar dónde procesa los datos cada proveedor de IA
• Para procesamiento fuera de la UE, verificar que existan CCT o NCV adecuadas
• Considerar la migración a infraestructura de IA alojada en la UE

6. Documentación técnica

• Preparar documentación conforme al Artículo 11 para cada sistema de alto riesgo
• Incluir capacidades del sistema, limitaciones, propósito previsto y perfil de riesgo

7. Formación del personal

• El requisito de alfabetización en IA (Artículo 4) ya está en vigor
• Asegurar que todo el personal que usa herramientas de IA comprenda las capacidades y limitaciones del sistema
• Documentar la finalización de la formación

8. Estructura de gobernanza

• Asignar responsabilidad clara sobre el cumplimiento en IA
• Establecer un proceso interno de revisión para adoptar nuevas herramientas de IA
• Crear un procedimiento de notificación de incidentes para fallos de sistemas de IA

Qué significa esto para tu despacho

La encuesta del CGAE reveló que el 53% de los abogados españoles planea invertir en herramientas de IA en los próximos años. Esa inversión necesita hacerse dentro de un marco de cumplimiento, no fuera de él.

Los despachos que acierten aquí tendrán una ventaja competitiva real. No porque el cumplimiento normativo sea emocionante, sino porque los clientes van a preguntar cada vez más: ¿dónde se procesan mis datos? ¿Quién revisa las salidas de vuestra IA? ¿Podéis mostrarme un registro de auditoría?

Si puedes responder a esas preguntas, ganas el mandato. Si no, lo pierde frente a un despacho que sí pueda.

En Gradion, construimos agentes de automatización documental para firmas de servicios profesionales en la UE. Cada sistema funciona sobre Azure. Residencia de datos completa en la UE, sin riesgo de transferencia transfronteriza. Cada interacción se registra con trazabilidad conforme al Artículo 12. Cada resultado pasa por revisión humana antes de llegar a tu cliente.

Nuestro programa piloto de 10 días permite a tu despacho probar un agente de IA funcional con tus propios documentos, en tu flujo de trabajo real, con toda la infraestructura de cumplimiento desde el primer día. Sin implementaciones de seis meses. Sin hojas de ruta teóricas. Un sistema funcionando en diez días.

La fecha límite de agosto de 2026 está a menos de seis meses. El momento de empezar es ahora.