PSL Avocat acompaña a los deployers de IA, a los editores SaaS y a las plataformas en la cartografía de sus obligaciones, la documentación contractual, la negociación de los contratos con proveedores LLM y la gestión de riesgos. Práctica operativa construida sobre quince años de asesoramiento in-house en organizaciones internacionales. En francés, inglés y español.
Proveedores y vendedores de IA, establecidos dentro o fuera de la UE, que venden a clientes europeos: lea nuestra guía sobre lo que el Digital Omnibus sobre IA cambia realmente para su calendario de cumplimiento.
AI Act: calendario de aplicación progresiva
El Reglamento (UE) 2026/1744 (Digital Omnibus sobre IA), publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, fija el calendario final del AI Act. Las fechas siguientes son definitivas.
Las prohibiciones del artículo 5 y la obligación de alfabetización en materia de IA (artículo 4) se aplican desde esta fecha, sin cambios.
Las obligaciones sobre los modelos de IA de uso general (capítulo V) se aplican desde esta fecha, sin cambios. Los modelos comercializados antes de esta fecha disponen de una transición hasta el 2 de agosto de 2027 (artículo 111, apartado 3).
El AI Act entra en aplicación general. Las obligaciones de transparencia del artículo 50 se aplican. Las multas del artículo 101 para los proveedores de modelos de IA de uso general pasan a ser aplicables.
La nueva prohibición del artículo 5 sobre los sistemas de IA que generan contenidos íntimos no consentidos o material de abuso sexual infantil se aplica. El período transitorio de la obligación de marcado legible por máquina del artículo 50, apartado 2, termina para los sistemas de IA generativa ya presentes en el mercado de la UE antes del 2 de agosto de 2026.
Las obligaciones de alto riesgo se aplican a los sistemas de IA del anexo III.
Las obligaciones de alto riesgo se aplican a los sistemas de IA integrados en productos cubiertos por el anexo I.
HR AI y ed-tech: los dos sectores en primera línea
Los proveedores de herramientas HR AI y los editores ed-tech pertenecen a dos ámbitos explícitamente enumerados en el anexo III del AI Act (educación y formación profesional, empleo y gestión de los trabajadores). La clasificación de alto riesgo es probable para la mayoría de los casos de uso. El deployer soporta obligaciones distintas de las del proveedor, que se suman al marco base del RGPD.
Plataformas de aprendizaje adaptativo, herramientas de puntuación automatizada, tutores de IA, sistemas de supervisión de exámenes, orientación algorítmica de los itinerarios formativos.
Clasificación de alto riesgo probable conforme al anexo III para la mayoría de los casos de uso escolares y universitarios.
Información reforzada a los alumnos y a las familias, en particular cuando los usuarios finales son menores (articulación entre las disposiciones del RGPD sobre datos de menores y las obligaciones de transparencia del AI Act).
Supervisión humana efectiva sobre toda decisión que afecte a la evaluación, la orientación o la selección.
Contratos con proveedores LLM revisados para trasladar en cascada las obligaciones del deployer.
Herramientas de sourcing, puntuación de candidaturas, análisis de vídeo de entrevistas, gestión algorítmica del desempeño, predicción de rotación, optimización de los horarios.
Clasificación de alto riesgo probable conforme al anexo III (contratación, gestión de los trabajadores).
Análisis de impacto sobre los derechos fundamentales (artículo 27 del AI Act) antes del despliegue.
Información al candidato o al empleado sobre la existencia y la lógica del tratamiento (artículo 14 del RGPD y artículo 50 del AI Act a partir del 2 de agosto de 2026).
Auditoría de sesgos y registro de pruebas, a raíz de la sentencia Foundever de la Audiencia Nacional (SAN 2867/2025, de 4 de julio de 2025), susceptible de recurso ante el Tribunal Supremo.
Información y consulta a los representantes de los trabajadores en Francia (artículo L. 2312-38 del Código de Trabajo) y en España (artículo 64.4.d del Estatuto de los Trabajadores desde la Ley 12/2021).
Decisiones de referencia
Tres decisiones que estructuran hoy la práctica para los deployers de IA en Francia, en España y a nivel europeo.
El artículo 22 del RGPD se aplica a las puntuaciones algorítmicas producidas por un tercero y utilizadas para fundamentar una decisión individual automatizada, incluso cuando quien utiliza la puntuación no es quien la calcula. Lectura directa para los deployers HR AI y ed-tech que se apoyan en herramientas de puntuación proporcionadas por un tercero.
Leer la decisiónPrimera decisión española que consagra el derecho de los representantes de los trabajadores a conocer los parámetros de los algoritmos utilizados en las relaciones laborales. Alineación entre el derecho francés y el derecho español sobre la transparencia de las herramientas de evaluación automatizada y de gestión algorítmica de la carrera.
Leer la decisiónPrimera sanción RGPD de envergadura contra un proveedor de IA generativa en Europa. La decisión establece que el entrenamiento de un gran modelo de lenguaje constituye un tratamiento de datos personales en sí mismo, sujeto a la identificación de una base jurídica, a la información de las personas concernidas y a la gestión de los incidentes. Referencia central para todo deployer de un LLM de terceros.
Leer la decisiónNIS2: ciberseguridad de las entidades esenciales e importantes
La Directiva (UE) 2022/2555, denominada NIS2, amplía el perímetro de las obligaciones de ciberseguridad a un número significativo de empresas tech, en particular los proveedores de servicios gestionados, los servicios cloud, los marketplaces y los editores SaaS que superan los umbrales de pyme. Las categorías de entidades esenciales e importantes se definen en los anexos I y II de la Directiva. La fecha límite de transposición estaba fijada el 17 de octubre de 2024. A fecha de 12 de mayo de 2026, ni Francia ni España han completado su transposición. En Francia, el proyecto de ley relativo a la resiliencia de las infraestructuras críticas y al refuerzo de la ciberseguridad continúa su tramitación parlamentaria y la promulgación se espera a lo largo de 2026. En España, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se encuentra en tramitación. La Comisión Europea dirigió un dictamen motivado a ambos Estados miembros el 7 de mayo de 2025 por falta de notificación. No obstante, las empresas concernidas están expuestas al régimen de la Directiva y a su efecto directo vertical para las disposiciones incondicionales, así como a las exigencias de los clientes europeos que ya aplican los estándares NIS2 en sus pliegos de condiciones.
¿Está usted dentro del ámbito de NIS2?
Tres preguntas binarias. Tres respuestas positivas indican una aplicabilidad probable y justifican un análisis en profundidad.
¿Su actividad pertenece a un sector enumerado en los anexos I o II de la Directiva 2022/2555 (energía, transporte, banca, salud, infraestructura digital, servicios gestionados TIC, proveedores cloud, marketplaces, motores de búsqueda, redes sociales, fabricación, investigación, etc.)?
¿Su empresa alcanza el umbral de mediana o gran empresa (al menos 50 empleados o 10 millones de euros de volumen de negocios anual)? Algunas entidades están dentro del ámbito con independencia de su tamaño.
¿Sus servicios se prestan a al menos un destinatario establecido en la Unión Europea?
Reglamentos conexos
Preguntas frecuentes
Mi empresa está establecida fuera de la UE pero vende a clientes europeos. ¿Se aplica el RGPD?
Sí. El RGPD se aplica desde el momento en que usted ofrece bienes o servicios a personas que se encuentran en la Unión, o realiza un seguimiento de su comportamiento, con independencia de que su empresa esté establecida en Europa o no. En la mayoría de los casos, deberá además designar un representante en la Unión.
¿Cómo saber si mi sistema de IA está sujeto al Reglamento de IA (AI Act)?
El Reglamento de IA clasifica los sistemas según su nivel de riesgo (inaceptable, alto, limitado, mínimo). La clasificación determina las obligaciones aplicables. Un análisis previo permite identificar rápidamente lo que se aplica a su situación concreta.
¿Cuál es la sanción máxima prevista por el Reglamento de IA?
El Reglamento de IA prevé tres niveles de multas administrativas según la naturaleza de la infracción. La comercialización o el uso de un sistema de IA de riesgo inaceptable (por ejemplo, la puntuación social generalizada o el reconocimiento facial en tiempo real en espacios públicos con fines policiales fuera de los supuestos taxativamente autorizados) expone a una multa de hasta 35 millones de euros o el 7 por ciento del volumen de negocios anual mundial, según el importe más elevado. El incumplimiento de las demás obligaciones, incluidas las de los proveedores y los responsables del despliegue y las obligaciones de transparencia para los sistemas que interactúan con personas, se sanciona con hasta 15 millones de euros o el 3 por ciento del volumen de negocios. Facilitar información inexacta, incompleta o engañosa a las autoridades o a los organismos notificados expone a una multa de hasta 7,5 millones de euros o el 1 por ciento del volumen de negocios. Para las pymes y las startups, cada multa se limita al importe más bajo entre el umbral fijo y el porcentaje del volumen de negocios.
Nuestra empresa despliega un LLM de terceros (OpenAI, Anthropic, Mistral). ¿Cuáles son nuestras obligaciones?
Sus obligaciones dependen de la clasificación de su caso de uso, no del hecho de que el modelo proceda de un tercero. Fuera del alto riesgo, el responsable del despliegue debe adoptar medidas para apoyar el desarrollo de la alfabetización en materia de IA de sus equipos y cumplir las obligaciones de transparencia del artículo 50 cuando resulten aplicables, en particular la información a las personas expuestas a contenidos generados o manipulados por el sistema. Para un uso clasificado como de alto riesgo (selección de personal, educación, evaluación de solvencia), el régimen es bastante más exigente: uso conforme a las instrucciones del proveedor, supervisión humana encomendada a personas competentes, pertinencia de los datos de entrada que usted controla, conservación de los registros generados por el sistema e información a los trabajadores afectados antes de cualquier uso en el lugar de trabajo. Estas obligaciones se aplican a partir del 2 de diciembre de 2027 para los supuestos del anexo III y del 2 de agosto de 2028 para la IA integrada en productos regulados, tras el aplazamiento introducido por el Reglamento (UE) 2026/1744. La evaluación de impacto sobre los derechos fundamentales y el registro solo afectan a determinados responsables del despliegue, principalmente organismos públicos, entidades privadas que prestan servicios públicos y operadores de crédito y de seguros. Una cartografía de sus casos de uso determina cuál de estos dos regímenes le corresponde.
Ya tenemos una política de protección de datos. ¿Somos conformes?
No necesariamente. El cumplimiento del RGPD no se reduce a un documento publicado en la web. Implica una organización interna, contratos con sus encargados del tratamiento, una gestión de los derechos de los interesados y una capacidad de respuesta ante incidentes. Una auditoría rápida permite identificar las carencias reales.
¿Cuánto tiempo requiere una puesta en conformidad con el RGPD?
A título indicativo, para una pyme o una startup, un primer nivel de cumplimiento operativo puede alcanzarse en 4 a 8 semanas según la complejidad de los tratamientos.
DSA y DMA: ¿es mi empresa una plataforma afectada?
El DSA se aplica a toda plataforma digital que ofrece servicios a usuarios en la UE: marketplaces, redes sociales, plataformas de contenidos, motores de búsqueda, proveedores de alojamiento. Las obligaciones varían según el tamaño. El DMA tiene un alcance más estrecho: los guardianes de acceso (gatekeepers) designados por la Comisión Europea. Si su empresa no está designada como gatekeeper, el DMA no se le aplica directamente, aunque puede afectar a sus condiciones de acceso a las plataformas que sí lo están.
¿Qué es el Data Act y a quién afecta?
El Data Act (Reglamento (UE) 2023/2854, aplicable desde septiembre de 2025) regula el acceso a los datos generados por los productos conectados y los servicios asociados. Se dirige principalmente a los fabricantes de productos conectados (IoT), a los editores de servicios digitales vinculados a esos productos y a los proveedores de servicios de tratamiento de datos (cloud, edge). Su objetivo es permitir a los usuarios, particulares y empresas, acceder a los datos que generan sus equipos y compartirlos con terceros de su elección.
Artículos relacionados en el blog
Actualizado el 28 de julio de 2026.
Solicitar una primera llamada
Describa su necesidad en pocas líneas. Respuesta en 24 horas hábiles.