Harvey AI y la Ley de IA de la UE: guía de cumplimiento para el responsable del despliegue
Harvey AI: asistente jurídico para investigar y redactar. En general riesgo mínimo bajo la Ley de IA. Deberes: alfabetización art. 4 y confidencialidad.
Probablemente no es de alto riesgo. Harvey es un asistente jurídico de IA —construido sobre modelos de IA de propósito general (GPAI) para investigación legal, redacción, revisión de documentos y resolución de dudas sobre un asunto—, usado por despachos y equipos jurídicos internos. La Ley de IA de la UE clasifica los sistemas por su finalidad prevista, no por el nombre del producto, y la investigación, redacción y revisión jurídica corriente no encaja en ninguna de las categorías de alto riesgo. El trabajo real de cumplimiento es acotado: alfabetización en IA del artículo 4, confidencialidad y gobernanza de datos sobre el asunto privilegiado del cliente, y transparencia del artículo 50 solo cuando el resultado llega a un tribunal o a un tercero. Esta es la visión del responsable del despliegue sobre Harvey en sí —no un repaso del sector legaltech, ni el caso distinto de una IA que asiste a un tribunal.
Harvey funciona sobre modelos GPAI suministrados por un proveedor de modelos, y las obligaciones del capítulo V sobre esos modelos (artículos 51 a 55, en vigor desde el 2 de agosto de 2025) recaen en ese proveedor, no en el despacho que despliega.
¿Es Harvey AI de alto riesgo bajo la Ley de IA de la UE? En general, no
Conforme al artículo 6 y al anexo III del Reglamento (UE) 2024/1689, un sistema solo es de alto riesgo cuando su finalidad prevista cae dentro de una categoría enumerada: biometría, infraestructuras críticas, educación, empleo, servicios esenciales, garantía del cumplimiento del Derecho, migración o administración de justicia. No hay ninguna línea para «ayudar a un abogado a investigar el Derecho». La investigación, redacción y revisión jurídica corriente no está en ninguna de ellas.
Pon la expectativa con honestidad. Para el responsable del despliegue típico, Harvey es de riesgo mínimo a limitado: sin evaluación de la conformidad, sin documentación técnica del anexo IV, sin registro en la base de datos de la UE. Los deberes que se aplican son la alfabetización del artículo 4, la gobernanza de datos sobre el asunto del cliente que introduces y la transparencia del artículo 50 cuando el resultado sale del despacho.
Una indicación hacia adelante: la IA que asiste a una autoridad judicial en la administración de justicia es el anexo III, punto 8 —otro actor, cubierto en la guía sobre IA de decisión judicial. Un despacho que usa Harvey para preparar su propio trabajo no está haciendo eso.
Dónde se sitúa Harvey: un mapa de niveles de riesgo por patrón de uso
La tabla
El nivel sigue al flujo de trabajo, no a la herramienta. La misma licencia de Harvey puede situarse en riesgo mínimo en un uso y arrastrar deberes de alto riesgo en otro, según lo que alimente el resultado.
| Patrón de uso | Nivel probable | Disposición que rige |
|---|---|---|
| Investigación legal / búsqueda de jurisprudencia y normativa para un letrado | Riesgo mínimo | Ninguna categoría del anexo III; aplica el artículo 4 |
| Ayudas a la redacción y revisión de documentos para uso interno del abogado | Riesgo mínimo | Trabajo preparatorio de asesoramiento; lógica de filtro del artículo 6(3) |
| Resultado generativo mostrado a un cliente o contraparte (carta o memorando redactado por IA) | Riesgo limitado en esa vía | Transparencia del artículo 50 |
| Chatbot de captación / preguntas dirigido al cliente construido sobre Harvey | Riesgo limitado | Aviso de IA del artículo 50(1) |
| Resultado de Harvey conectado a una decisión de RR. HH. del despacho (selección, evaluación del desempeño) | Flujo de alto riesgo | Anexo III, punto 4 (el flujo, no Harvey) |
| Sistema vendido a / desplegado por un tribunal para asistir la decisión judicial | Alto riesgo, otro actor | Anexo III, punto 8 (fuera de alcance; ver guía hermana) |
Cómo leer la tabla: se clasifica el flujo de trabajo, no la herramienta
Las obligaciones autónomas de alto riesgo del artículo 6(2) se adhieren a un flujo construido encima, no al asistente. Conecta el resultado de Harvey a una decisión del anexo III y habrás construido algo que la Ley trata como de alto riesgo; úsalo para redactar una cláusula más rápido y no lo habrás hecho. El filtro del artículo 6(3) lo refuerza: las ayudas de revisión que hacen trabajo preparatorio que un abogado comprueba y sobre el que actúa quedan fuera del alto riesgo, porque el abogado sigue siendo quien decide.
La exposición real: confidencialidad, secreto profesional y gobernanza de datos sobre el asunto del cliente
Por qué este es el riesgo dominante de Harvey, no el conjunto de obligaciones de alto riesgo
Para Harvey, el trabajo de cumplimiento que obliga es la confidencialidad y la gobernanza de datos sobre el asunto privilegiado del cliente que pones en la herramienta, no el conjunto de obligaciones de alto riesgo.
Sube documentos de cliente, correspondencia o asesoramiento privilegiado a un asistente jurídico de IA de terceros y el despacho es el responsable del tratamiento del RGPD, no el encargado. La base de tratamiento, la minimización y la limitación de la finalidad deben resolverse antes de la subida, conforme al artículo 5(1)(c) y al artículo 5(1)(f) del RGPD —una responsabilidad que no puedes delegar en el proveedor.
El secreto profesional y los deberes de confidencialidad de los colegios de abogados quedan fuera de la Ley de IA, pero son el motor más inmediato: el privilegio puede verse comprometido si el material llega a un proveedor sin garantías adecuadas. Este es un trabajo del artículo 32 del RGPD y del artículo 28 del RGPD, no un paso de conformidad de la Ley de IA —pero es innegociable antes de indexar el asunto del cliente.
Diligencia debida sobre el proveedor antes de introducir datos del cliente
Antes de que el material privilegiado llegue a la herramienta, resuelve:
- Un compromiso documentado de no entrenar con los datos del cliente por parte del proveedor.
- Un contrato de encargado de tratamiento (artículo 28 del RGPD) que rija el tratamiento.
- Segregación del acceso a nivel de asunto, de modo que los datos de un cliente no sean recuperables desde asuntos no relacionados.
- Residencia de datos en la UE, o una transferencia con garantías adecuadas para la UE cuando el tratamiento ocurra fuera del EEE.
- Controles de conservación y supresión que puedas ejercer.
Qué debes realmente como responsable del despliegue de Harvey
Alfabetización en IA del artículo 4 y el deber sobre las alucinaciones
La alfabetización en IA del artículo 4 está en vigor desde el 2 de febrero de 2025. Los letrados y el personal de apoyo que usen Harvey deben entender que los resultados están sintetizados, pueden ser incompletos o erróneos, y deben verificarse contra la fuente de autoridad antes de basarse en ellos —un deber de uso competente, no un programa de certificación.
El modo de fallo específico del ámbito jurídico son las citas de jurisprudencia fabricadas por la IA. La verificación independiente de cada cita antes de presentarla es exactamente la competencia que codifica el deber, y refleja las normas de responsabilidad profesional que un letrado ya está obligado a cumplir; un módulo breve sobre «verifica cada cita contra la fuente» cumple la sustancia del artículo 4.
Inventaría y registra la clasificación (artículo 26)
Incorpora Harvey a tu registro de IA con el proveedor, el uso previsto, la determinación de riesgo mínimo/limitado y la fecha. El artículo 26 fija la diligencia básica del responsable del despliegue —usar el sistema según las instrucciones del proveedor y mantener la supervisión humana— y registrar la clasificación es la pista de auditoría, incluso para una herramienta de bajo riesgo.
Transparencia del artículo 50 — solo cuando el resultado llega a un tribunal o a un tercero
La transparencia del artículo 50 aplica solo cuando el resultado de la IA llega a terceros, o podría confundirse con contenido escrito por una persona o con contenido interactivo. Un chatbot de captación de clientes construido sobre Harvey debe revelar que es un sistema de IA conforme al artículo 50(1). El contenido presentado externamente puede necesitar etiquetado: el artículo 50, incluido el marcado de contenido, se aplica desde el 2 de agosto de 2026 (el Ómnibus Digital solo da hasta el 2 de diciembre de 2026 a los sistemas generativos ya introducidos en el mercado antes del 2 de agosto de 2026). El resultado que llega a un tribunal o a una contraparte es el desencadenante; la redacción interna no lo es.
El ancla de las sanciones: las infracciones del artículo 50 se sitúan en el tramo de 15 millones de euros o el 3 % del volumen de negocios anual mundial total bajo el artículo 99(4), la cifra que sea mayor; el artículo 99(6) limita las multas a las pymes y empresas emergentes a la menor de la suma fija o el porcentaje.
Los casos límite que cambian la clasificación — y el artículo 25
Construir un flujo de decisión sobre Harvey
Harvey solo se acerca al alto riesgo si un responsable del despliegue conecta su resultado a una decisión del anexo III —por ejemplo, las decisiones de selección o de empleo del propio despacho bajo el anexo III, punto 4 (4(a) selección, 4(b) durante el empleo). Incluso entonces, lo que se clasifica es el flujo de RR. HH., no el asistente: redactar una descripción de puesto no es de alto riesgo; puntuar candidatos sí.
Cuándo un despacho o un proveedor legaltech se convierte en proveedor
El artículo 25 rige el cambio de rol. Un responsable del despliegue se convierte en proveedor —con todas las obligaciones de proveedor— si pone su propio nombre o marca en un sistema de alto riesgo, hace una modificación sustancial, o reorienta un sistema de modo que pase a ser de alto riesgo. Apuntar el resultado de Harvey hacia una decisión del anexo III es exactamente esa reorientación; la investigación y redacción corrientes no lo son.
Un proveedor legaltech que construye una herramienta para asistir a una autoridad judicial en la administración de justicia está construyendo un sistema de alto riesgo del anexo III, punto 8 —otro actor y otro análisis, cubierto en la guía sobre IA de decisión judicial, no lo que hace un despacho que despliega Harvey para su propio trabajo.
El ejemplo trabajado
Lindqvist & Ríos LLP, un despacho mercantil de la UE con 280 abogados, despliega Harvey para investigación, redacción y revisión de contratos. La clasificación queda en riesgo mínimo para el trabajo interno y riesgo limitado para un chatbot de captación dirigido al cliente. El trabajo que obliga es breve: un contrato de encargado del artículo 28 del RGPD con un compromiso de no entrenamiento y residencia de datos en la UE; segregación del acceso a nivel de asunto; un módulo de alfabetización del artículo 4 de 30 minutos sobre verificación de citas; una entrada en el registro de IA con la conclusión fechada; un aviso de transparencia del artículo 50 en el bot de captación. Sin conjunto de obligaciones de alto riesgo y sin EIDF.
Una salvedad de calendario para cualquier flujo de alto riesgo construido encima. El aplazamiento del Ómnibus Digital ya está adoptado —voto en el pleno del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026, publicación en el DOUE el 24 de julio de 2026 y entrada en vigor el 27 de julio de 2026—, así que la norma autónoma del anexo III (artículo 6(2)) se aplica desde el 2 de diciembre de 2027. Son fechas de calendario fijas: la propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas, con fechas límite de reserva, pero los colegisladores adoptaron fechas fijas.
Cómo ayuda Confir
Añade Harvey a tu inventario y el motor de clasificación de Confir pregunta cómo se usa —su rol, los datos que toca, quién ve el resultado— y luego asigna el uso de investigación, redacción y revisión al nivel correcto. Para el caso normal devuelve riesgo mínimo o limitado con el conjunto de obligaciones reales y breve (alfabetización del artículo 4, una entrada en el registro, el trabajo de confidencialidad) más un registro fechado y auditable. Describe la conexión del resultado a una decisión del anexo III y el motor señala en su lugar el cambio de rol del artículo 25.
El motor es determinista y basado en reglas —sin inferencia de modelo, sin alucinación. La misma entrada produce la misma conclusión, y la regla que se activó está escrita en lenguaje claro para que cualquier revisor la compruebe. El manejo de GPAI es responsabilidad del proveedor del modelo aguas arriba, no una oferta de Confir.
Preguntas frecuentes
¿Es Harvey AI de alto riesgo bajo la Ley de IA de la UE?
En general, no. La Ley clasifica los sistemas por su finalidad prevista, no por el nombre del producto (artículo 6, anexo III), y la investigación, redacción y revisión documental jurídica corriente no es una categoría enumerada del anexo III. Para un despacho o equipo interno típico, Harvey es de riesgo mínimo a limitado —sin evaluación de la conformidad, sin documentación del anexo IV, sin registro en la base de datos de la UE. Los deberes realistas son la alfabetización del artículo 4, la gobernanza de datos sobre el asunto del cliente, y la transparencia del artículo 50 cuando el resultado llega a un tribunal o a un tercero.
¿Cuál es el riesgo real, bajo la Ley de IA, de introducir el asunto del cliente en Harvey?
El riesgo práctico dominante es la confidencialidad y la gobernanza de datos, no el conjunto de obligaciones de alto riesgo. Cuando subes documentos de cliente o asesoramiento privilegiado eres el responsable del tratamiento del RGPD, así que la base de tratamiento, la minimización y la limitación de la finalidad deben resolverse primero (artículo 5(1)(c) y 5(1)(f) del RGPD). El secreto profesional y los deberes de confidencialidad colegial quedan fuera de la Ley de IA pero son el motor más inmediato. Antes de indexar datos de cliente, asegura un compromiso de no entrenamiento, un contrato de encargado del artículo 28 del RGPD, segregación del acceso a nivel de asunto y residencia de datos en la UE.
¿Tengo que hacer algo bajo la Ley de IA antes de desplegar Harvey?
Sí, pero la lista es corta. Proporciona alfabetización en IA del artículo 4 para que los letrados entiendan que los resultados de Harvey están sintetizados y deben verificarse —incluyendo la comprobación independiente de cada cita de jurisprudencia (en vigor desde el 2 de febrero de 2025). Registra Harvey en tu registro de IA con su uso previsto y su clasificación de riesgo mínimo/limitado como diligencia básica del responsable del despliegue del artículo 26. Resuelve las condiciones de confidencialidad y tratamiento de datos antes de introducir el asunto del cliente.
¿Aplica la transparencia del artículo 50 a Harvey?
Solo cuando el resultado llega a terceros o podría confundirse con contenido escrito por una persona o contenido interactivo. Un chatbot de captación o de preguntas dirigido al cliente construido sobre Harvey debe revelar que es IA conforme al artículo 50(1). El contenido generado por IA presentado externamente —a un tribunal o a una contraparte— puede necesitar etiquetado, con los deberes del artículo 50, incluido el marcado de contenido, aplicables desde el 2 de agosto de 2026 (los sistemas generativos ya introducidos en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026). La redacción puramente interna para tus propios abogados no activa el artículo 50, y la infracción se sitúa en el tramo de 15 M€/3 % bajo el artículo 99(4).
¿Quién gestiona las obligaciones de GPAI de los modelos que hay detrás de Harvey?
El proveedor del modelo de IA de propósito general, no tu despacho. Las obligaciones del capítulo V (artículos 51 a 55) —documentación técnica, información para usuarios posteriores, política de derechos de autor y resumen de los datos de entrenamiento— recaen en el proveedor del modelo y se aplican desde el 2 de agosto de 2025. Como responsable del despliegue de la aplicación Harvey eres un responsable del despliegue del artículo 26, no un proveedor de GPAI, así que te beneficias del cumplimiento aguas arriba sin heredar esos deberes de proveedor.
¿Podría usar Harvey convertir alguna vez a mi despacho en proveedor de un sistema de alto riesgo?
Solo si construyes un flujo de alto riesgo encima. Conforme al artículo 25 un responsable del despliegue se convierte en proveedor si pone su nombre en un sistema de alto riesgo, hace una modificación sustancial, o reorienta un sistema de modo que pase a ser de alto riesgo. La investigación y redacción corrientes no hacen esto —pero conectar el resultado de Harvey a tus propias decisiones de selección o de empleo (anexo III, punto 4) podría hacer de alto riesgo ese flujo de RR. HH. y arrastrar las obligaciones de proveedor sobre ti. La IA usada por una autoridad judicial (anexo III, punto 8) es otro actor y otro análisis.
¿Cuándo se aplican los plazos de alto riesgo y afectan a Harvey?
Para el uso normal de Harvey no se aplican —no hay ninguna obligación de alto riesgo que cumplir. Si has diseñado un flujo autónomo del anexo III encima, el plazo es el 2 de diciembre de 2027 (artículo 6(2)): el Ómnibus Digital que lo aplaza ya está adoptado —pleno del Parlamento Europeo el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026— y se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio de 2026. El aplazamiento son fechas de calendario fijas, no un «parar el reloj».
Guías relacionadas
- crea tu inventario de IA para la Ley de IA
- la Ley de IA para despachos y equipos jurídicos
- Article 50 transparency requirements
- qué significa el riesgo limitado
- Annex III judicial decision-support rules
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →