AI Act y abogacía en 2026: qué obliga de verdad a un despacho tras el Ómnibus digital

Lo que ha cambiado en 2026

El AI Act (Reglamento UE 2024/1689) entró en vigor el 1 de agosto de 2024 y se aplica con carácter general desde el 2 de agosto de 2026, según su artículo 113. Unos días antes, el 27 de julio de 2026, entró en vigor el Ómnibus digital sobre IA, el Reglamento (UE) 2026/1744, que modificó el AI Act: entre otras cosas, retrasó las obligaciones de los sistemas de alto riesgo, suavizó la de alfabetización en IA y añadió prohibiciones nuevas.

Para un despacho, una gestoría o una asesoría que usa IA en su trabajo, la conclusión es menos dramática de lo que se ha contado: el AI Act le obliga a poco, y lo que de verdad pesa sobre quien firma un escrito sale de su propio Estatuto y del RGPD. Este artículo lo separa, artículo por artículo, sobre el texto consolidado a 27 de julio de 2026.

El calendario vigente

Tras el Ómnibus, las fechas del artículo 113 quedan así:

Fecha	Qué se aplica
1 ago 2024	Entrada en vigor del Reglamento
2 feb 2025	Capítulos I y II: disposiciones generales, alfabetización en IA (art. 4) y prácticas prohibidas (art. 5)
2 ago 2025	Modelos de IA de uso general (capítulo V), gobernanza y sanciones, salvo el artículo 101
27 jul 2026	Entra en vigor el Ómnibus digital; se aplican los artículos 102 a 110
2 ago 2026	Aplicación general, incluida la transparencia del artículo 50
2 dic 2026	Prohibiciones nuevas del artículo 5: generar imágenes íntimas o sexuales de una persona sin su consentimiento, y pornografía infantil (Directiva 2011/93/UE)
2 dic 2027	Sistemas de alto riesgo del anexo III (entre ellos, los de la administración de justicia)
2 ago 2028	Sistemas de alto riesgo del artículo 6.1 y el anexo I (productos regulados)

La versión anterior de este artículo, de mayo de 2026, daba agosto de 2026 y agosto de 2027 para el alto riesgo. El Ómnibus lo cambió.

¿Es de alto riesgo la IA que usa un despacho?

No por el hecho de usarla un despacho. En el ámbito de la justicia, el anexo III, punto 8, letra a), califica de alto riesgo los sistemas de IA «destinados a ser utilizados por una autoridad judicial, o en su nombre, para ayudar a una autoridad judicial en la investigación e interpretación de hechos y de la ley», o a ser utilizados de forma similar en una resolución alternativa de litigios.

Una herramienta con la que un abogado investiga, redacta o revisa para su cliente no es eso. La excepción a vigilar es la de la resolución alternativa de litigios: quien use IA para resolver un arbitraje o una mediación sí puede entrar en el supuesto. Y aun en ese caso, las obligaciones de alto riesgo del anexo III no se aplican hasta el 2 de diciembre de 2027.

Esto importa porque la supervisión humana del artículo 14 y las obligaciones del artículo 26 son exigencias de los sistemas de alto riesgo. No son obligaciones generales de cualquier despacho que use IA, como se ha repetido a veces (también en la primera versión de este artículo).

Lo que el AI Act sí pide a un despacho

Un despacho que usa IA en su trabajo es «responsable del despliegue»: según el artículo 3.4, lo es quien utiliza un sistema de IA bajo su propia autoridad, salvo en una actividad personal no profesional. Como tal, le afectan dos artículos.

Alfabetización en IA (artículo 4)

Tras el Ómnibus, el artículo 4 dice que los proveedores y los responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal y de quienes usan los sistemas en su nombre, teniendo en cuenta su formación y el contexto de uso. Y añade: «Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización». En la práctica: formar a quien usa la herramienta en lo que hace bien, en lo que hace mal y en cómo se comprueba.

Transparencia (artículo 50), solo en algunos casos

El artículo 50 no obliga a un despacho a decir a su cliente que ha usado IA. Sus obligaciones son otras:

• Los proveedores de sistemas que hablan con personas deben hacer que la persona sepa que habla con una IA (art. 50.1).
• Quien despliega un sistema que genera ultrafalsificaciones de imagen, audio o vídeo debe hacerlo público (art. 50.4, primer párrafo).
• Quien publica textos generados por IA para informar al público sobre asuntos de interés público debe divulgarlo, salvo que el texto haya pasado por revisión humana o control editorial y una persona tenga la responsabilidad editorial de la publicación (art. 50.4, segundo párrafo).

Un escrito para un juzgado o un informe para un cliente no están en esos supuestos. Un artículo del blog del despacho, en principio, tampoco: si alguien del despacho lo revisa y responde de lo que se publica, se aplica la excepción.

Lo que pesa de verdad: el Estatuto y el RGPD

La diligencia de quien firma

El Estatuto General de la Abogacía Española (Real Decreto 135/2021) no menciona la IA, ni le hace falta. Su artículo 47.3 obliga a cumplir «con la máxima diligencia la misión de asesoramiento o defensa», y el 47.4 a actuar «bajo su responsabilidad», «ateniéndose a las exigencias técnicas y deontológicas adecuadas». El Código Deontológico de la Abogacía Española, de 2019, es todavía más directo. Su artículo 21 trata del empleo de las tecnologías de la información: usarlas «no exime de cumplir las normas deontológicas» y hay que hacerlo de forma «responsable y diligente, debiendo extremar el cuidado en la preservación de la confidencialidad y del secreto profesional». Y su artículo 12.A.8 obliga a asesorar y defender «con el máximo celo y diligencia asumiéndose personalmente la responsabilidad del trabajo encargado».

Una cita inventada por una IA y llevada a un escrito es, por tanto, un fallo de diligencia de quien firma, con independencia de la herramienta.

Es lo que pasó en el caso Mata contra Avianca, en Estados Unidos: los abogados presentaron sentencias que ChatGPT se había inventado y el tribunal los sancionó.

El secreto profesional

El artículo 21 del Estatuto impone el deber de guardar secreto de todo lo que se conoce por razón de la actuación profesional. Antes de pegar los datos de un cliente en una herramienta, hay que saber qué hace el proveedor con ellos.

El proveedor como encargado del tratamiento

Si la herramienta trata datos personales por cuenta del despacho, el proveedor es un encargado del tratamiento. El artículo 28 del RGPD obliga a elegir uno que ofrezca «garantías suficientes» y a regir el tratamiento por un contrato que fije su objeto, su duración, su finalidad y las instrucciones del despacho. Es una obligación del RGPD, anterior al AI Act y que el AI Act no cambia.

Lo que no exige el AI Act

Para no gastar energía en obligaciones que no existen:

• No prohíbe usar IA en la abogacía. Las prácticas prohibidas del artículo 5 son otras (técnicas subliminales o manipuladoras, puntuación social, inferir emociones en el trabajo o en la escuela y, desde el 2 de diciembre de 2026, generar imágenes íntimas sin consentimiento).
• No obliga a declarar en cada escrito qué partes se han hecho con IA.
• No impone la supervisión del artículo 14 a un despacho que usa una herramienta que no es de alto riesgo.

Lo que conviene tener, aunque no lo pida el AI Act

Ninguno de estos documentos aparece con ese nombre en el Reglamento, pero ayudan a demostrar la diligencia ante un cliente, un colegio o un tribunal:

1. Una política interna de uso de IA: qué herramientas se usan, para qué tareas y para cuáles no.
2. Un procedimiento de verificación antes de firmar: quién comprueba las citas y contra qué fuente.
3. Las medidas de alfabetización del artículo 4: qué formación ha recibido quien usa la herramienta.
4. Los contratos del artículo 28 del RGPD con cada proveedor que trate datos personales.
5. Una mención al uso de IA en la hoja de encargo: no la exige el AI Act, pero es transparente con el cliente.

La verificación es más rápida cuando la herramienta enlaza la fuente de cada afirmación: comprobar una cita con un clic cuesta segundos; rehacer la búsqueda en el BOE o en el CENDOJ, minutos. Es la razón de que Legatiq cite y enlace la fuente.

Para profundizar

• La sanción que fijó el criterio sobre responsabilidad profesional con IA: caso Mata contra Avianca.
• Qué tipos de error debe cazar la verificación: alucinaciones de IA en derecho.
• Cómo elegir una herramienta para un despacho: criterios para elegir una IA legal.