Ley de IA para servicios profesionales: qué se aplica de verdad
Cómo aplica la Ley de IA a consultoras, asesorías, agencias y selección: por qué casi nada es de alto riesgo y las cuatro obligaciones clave.
Lo más probable es que no sea de alto riesgo. Una consultora que redacta informes, una asesoría que resume expedientes de auditoría o una agencia que genera textos publicitarios: ninguna roza el nivel de alto riesgo de la Ley de IA de la UE, y tratarlas como si lo fueran malgasta presupuesto en obligaciones que nunca llegan a aplicar.
El Reglamento (UE) 2024/1689 clasifica la IA por caso de uso, no por sector. La mayor parte del trabajo de los servicios profesionales se sitúa en riesgo limitado o mínimo, así que la exposición real proviene de cuatro frentes concretos: la obligación de alfabetización en IA, la confidencialidad sobre los datos del cliente, la transparencia cuando el resultado llega al cliente y la trampa por la que una firma que renombra y revende una herramienta de IA se convierte en proveedor. Esta página cubre esos cuatro frentes, más la única línea de alto riesgo genuina: el cribado de candidatos en el lado de la selección de personal.
Por qué la mayor parte de la IA en servicios profesionales no es de alto riesgo
La condición de alto riesgo se define por lo que hace un sistema, no por quién lo despliega. Según el artículo 6, un sistema es de alto riesgo solo en dos casos: cuando es un componente de seguridad de un producto cubierto por el anexo I (máquinas, productos sanitarios, vehículos), o cuando entra en una de las ocho áreas del anexo III. Nada en el Reglamento crea una categoría de "servicios profesionales".
Si contrastas los usos consultivos ordinarios con las ocho áreas del anexo III, no encajan en ninguna. Redactar informes, resumir documentos, hacer investigación documental, revisar un modelo financiero, generar diapositivas, escribir textos de marketing o buscar información en bases de conocimiento interno: nada de eso es biometría, infraestructuras críticas, educación, decisiones de empleo sobre tu propia plantilla, servicios esenciales como la evaluación de solvencia, aplicación de la ley, migración ni justicia. Todo se sitúa en riesgo limitado o mínimo.
La consecuencia es importante. Como la clasificación no se activa, tampoco lo hace el bloque de obligaciones de alto riesgo de los artículos 8 a 15: gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, precisión y solidez. No hay evaluación de la conformidad, ni registro en la base de datos de la UE conforme al artículo 49, ni expediente técnico del anexo IV para el uso cotidiano de la IA. Ese bloque está pensado para proveedores de sistemas que criban candidatos o puntúan solicitudes de préstamo, no para un consultor que lanza una consulta de investigación. Las obligaciones de una firma de asesoramiento proceden, en cambio, de cuatro frentes, ninguno dependiente de una etiqueta de alto riesgo: la alfabetización del artículo 4, la confidencialidad sobre los datos del cliente, la transparencia del artículo 50 y la trampa del proveedor del artículo 25.
Artículo 4: la obligación de alfabetización en IA que ya se aplica a toda firma
El artículo 4 exige a proveedores y responsables del despliegue adoptar medidas para apoyar la alfabetización en materia de IA de su personal y demás personas que operen los sistemas de IA en su nombre, de forma proporcionada a los conocimientos, la experiencia y el contexto de uso de esas personas. Es la redacción vigente desde el 27 de julio de 2026: el Ómnibus Digital (Reglamento (UE) 2026/1744) sustituyó el texto original por este deber más suave, que ya no exige garantizar un nivel concreto. Alcanza a toda firma, sea cual sea su clase de riesgo.
Esta obligación se aplica desde el 2 de febrero de 2025, no está aplazada. Una firma que solo use herramientas de riesgo limitado igual tiene que cumplirla; no hay exención para el riesgo mínimo.
En servicios profesionales el alcance es concreto. Los consultores, asesores, gestores de cuentas y analistas que usan IA en el trabajo del cliente son "personas que operan" esos sistemas en el sentido del artículo 4. Deben entender qué puede hacer cada herramienta con fiabilidad, dónde falla y qué cuenta como uso adecuado: un resumen de las cuentas de un cliente generado por IA sigue necesitando una revisión humana antes de salir de la firma.
El artículo 4 no tiene un artículo de sanciones dedicado en exclusiva, pero es una obligación documentada por la que pueden preguntar tanto las autoridades como los clientes en un cuestionario de diligencia debida, y un breve programa de alfabetización con un registro de quién lo completó es la prueba. Es un principio proporcionado, no un temario prescriptivo.
Confidencialidad y gobernanza sobre los datos del cliente
Las firmas de servicios profesionales custodian información confidencial de clientes, datos personales y obligaciones de confidencialidad reguladas o contractuales. Introducir ese material en herramientas de IA plantea cuestiones reales de gobernanza, pero esas cuestiones se sitúan junto a la Ley de IA, no bajo ella.
La Ley de IA no crea un nuevo régimen de confidencialidad para los responsables del despliegue de herramientas de riesgo limitado. Las normas que rigen son el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), los deberes de secreto profesional del derecho nacional y las cláusulas de confidencialidad de las cartas de encargo con el cliente, no la propia Ley de IA.
Las reglas de gobernanza de datos de la propia Ley son estrechas. El artículo 10 —que cubre los datos de entrenamiento, validación y prueba— obliga a los proveedores de sistemas de alto riesgo, y el artículo 78 protege la confidencialidad de la información obtenida por las autoridades conforme al Reglamento dentro del régimen de alto riesgo. Una firma de asesoramiento ordinaria que usa herramientas de terceros de riesgo limitado queda fuera de ambos.
Los controles prácticos sirven a la vez como prueba para el artículo 4 y el artículo 50: un registro de cada proveedor y herramienta de IA y de qué datos de cliente toca cada uno; cláusulas contractuales de tratamiento de datos que confirmen que la firma sigue siendo el responsable; una norma sobre qué datos identificativos del cliente pueden introducirse en una herramienta; y una norma sobre cuándo hay que avisar a un cliente o a un tercero de que ha intervenido IA.
Artículo 50: transparencia cuando el resultado de la IA llega a clientes o terceros
El artículo 50 impone obligaciones de transparencia, no una clasificación de riesgo: se aplica a interacciones y resultados concretos sea o no de alto riesgo el sistema, así que una firma de riesgo limitado está de lleno dentro de su ámbito. Importan tres supuestos. Conforme al artículo 50(1), un chatbot que interactúa con clientes o posibles clientes debe avisarles de que están tratando con un sistema de IA, salvo que sea evidente. Conforme al artículo 50(2), un proveedor de IA generativa debe marcar sus resultados como generados artificialmente en un formato legible por máquina. Conforme al artículo 50(4), las ultrafalsificaciones y las imágenes, audios o vídeos sintéticos —y los textos publicados para informar al público sobre asuntos de interés público— deben divulgarse como generados o manipulados artificialmente.
Las obligaciones de marcado de contenido del artículo 50 surten efecto desde el 2 de agosto de 2026 (hasta el 2 de diciembre de 2026 para sistemas generativos ya introducidos en el mercado antes). El Reglamento Ómnibus Digital fue adoptado (Parlamento Europeo: 16 de junio de 2026; Consejo: 29 de junio de 2026) y está en vigor desde el 27 de julio de 2026, así que planifica frente al 2 de diciembre de 2027.
La línea práctica: fija una norma interna sobre el etiquetado de los entregables asistidos por IA y de cualquier chatbot de cara al cliente. La obligación recae sobre la firma que opera la interacción, no sobre el cliente.
La trampa del artículo 25: cuando tu firma se convierte en proveedor
Esta es la exposición más infravalorada para agencias y consultoras que productizan IA. Conforme al artículo 25(1), un responsable del despliegue, distribuidor o importador se considera el proveedor de un sistema de alto riesgo —y asume el bloque completo de obligaciones del proveedor— cuando hace cualquiera de estas tres cosas: pone su propio nombre o marca en el sistema, le introduce una modificación sustancial, o modifica la finalidad prevista de modo que el sistema pase a ser de alto riesgo.
El detonante clásico es el primero: una firma construye una herramienta de IA interna, le pone marca y la licencia a clientes bajo su propio nombre. Entonces se calza los zapatos de proveedor —y hereda la evaluación de la conformidad, la documentación del anexo IV y las obligaciones de registro—, pero solo si el uso productizado también entra en el anexo III.
Esa condición es la parte que las firmas pasan por alto, así que sé preciso con la prueba de dos pasos. El artículo 25 cambia quién es el proveedor; el artículo 6 y el anexo III siguen decidiendo si el producto es de alto riesgo. Poner tu marca a un asistente de redacción de documentos de uso general te convierte en su proveedor, pero ese asistente no está en el anexo III, así que eres el proveedor de un producto que no es de alto riesgo. Es el caso de uso, no la etiqueta, lo que arrastra a los artículos 8 a 15.
La regla de decisión es corta. Construir para uso consultivo interno te convierte en responsable del despliegue con obligaciones de riesgo limitado; renombrar y vender a clientes significa que vuelves a aplicar la prueba del anexo III antes del lanzamiento. El único uso renombrado que cruza al alto riesgo es el cribado.
La única línea clara de alto riesgo: cribado en selección de personal y servicios de RR. HH.
La excepción a la tesis de "casi nunca de alto riesgo" está en el lado del staffing. Una firma de selección de personal, RPO o servicios de RR. HH. que usa IA para cribar, filtrar, clasificar o evaluar candidatos por cuenta de clientes opera en el anexo III, punto 4(a) —contratación y selección— y ese uso es de alto riesgo. La consultoría de asesoramiento ordinaria no cruza esta línea.
Por encima del nivel de alto riesgo hay una capa de prácticas prohibidas. El artículo 5(1)(f) prohíbe el reconocimiento de emociones en el lugar de trabajo y en la educación, y el artículo 5(1)(g) prohíbe la categorización biométrica que infiere atributos sensibles como la raza, las opiniones políticas o la orientación sexual; ambas con excepciones estrechas, en vigor desde el 2 de febrero de 2025. Un proveedor de cribado que acopla análisis de emociones a una videoentrevista se sitúa en el nivel prohibido, no solo en el de alto riesgo.
Operar una herramienta de cribado de terceros convierte a la firma en responsable del despliegue; construir y poner marca a la suya propia también puede convertirla en proveedor conforme al artículo 25, heredando el bloque completo de los artículos 8 a 15. El mapeo detallado —proveedor frente a responsable del despliegue, ruta de conformidad, el solapamiento con el artículo 22 del RGPD— vive en la guía específica de RR. HH. y selección de personal.
Mapeo de los usos comunes de IA en servicios profesionales a niveles de riesgo
Cómo leer la tabla: el caso de uso decide el nivel, no la firma
Solo dos filas salen del territorio limitado o mínimo: revender una herramienta con marca (que cambia el rol) y el cribado de candidatos (alto riesgo de pleno). "Riesgo limitado" significa solo obligaciones de transparencia, principalmente el artículo 50. "Riesgo mínimo" significa ninguna obligación específica de la Ley de IA más allá de la alfabetización del artículo 4 que se aplica a todos.
| Caso de uso típico | Ejemplo | Nivel de riesgo | Obligación principal | Artículo / anexo clave |
|---|---|---|---|---|
| Redacción / resumen de documentos | Informe para el cliente, resumir cuentas | Limitado / mínimo | Formación en alfabetización en IA | Artículo 4 |
| Investigación documental / análisis | Análisis de mercado, revisión de modelos | Limitado / mínimo | Formación en alfabetización en IA | Artículo 4 |
| Chatbot de cara al cliente | Bot de captación o soporte en la web | Limitado | Comunicar que es IA | Artículo 50(1) |
| Imágenes / audio / vídeo generados por IA | Visuales sintéticos en una campaña | Limitado | Marcado legible por máquina* | Artículo 50(2), 50(4) |
| Revender una herramienta de IA con marca a clientes | Licenciar un asistente bajo tu nombre | Rol de proveedor | Volver a aplicar la prueba del anexo III | Artículo 25 + anexo III |
| Cribado de candidatos para un cliente | Clasificar o filtrar solicitantes | Alto riesgo* | Bloque completo de proveedor/responsable | Anexo III punto 4(a), artículos 8-15 |
| Reconocimiento de emociones en contratación / trabajo | Inferir el estado de ánimo en una videoentrevista | Prohibido | No desplegar | Artículo 5(1)(f) |
Qué cambia el nivel (reventa, cribado, contenido de interés público)
*Las obligaciones de marcado de contenido del artículo 50 surten efecto desde el 2 de agosto de 2026; las obligaciones autónomas de alto riesgo del artículo 6(2) se aplican desde el 2 de diciembre de 2027 (originalmente, el 2 de agosto de 2026). Tres cosas sacan a una firma de las filas cómodas: revender una herramienta con marca, el cribado de candidatos y publicar contenido sintético de interés público. Sin ellas, la IA de asesoramiento se queda en riesgo limitado o mínimo: toda la huella de la firma es un registro de formación, un registro de proveedores y un aviso en el chatbot.
Ejemplo trabajado: una consultora de 140 personas productiza una herramienta de IA
El trabajo de asesoramiento: riesgo limitado, solo artículos 4 y 50
Imagina Meridian Advisory, una consultora de gestión y asesoría de 140 personas en Dublín. Sus consultores usan IA para redacción, investigación documental y análisis en los encargos de cliente, y operan un pequeño chatbot de soporte en su web.
El trabajo cotidiano no tiene mayor trascendencia: la redacción y la investigación son de riesgo limitado o mínimo y no tocan ningún área del anexo III. Las obligaciones de Meridian son, por tanto, la formación en alfabetización del artículo 4, una política de introducción de datos de cliente respaldada por un registro de proveedores y una comunicación del artículo 50(1) en el chatbot. Sin evaluación de la conformidad, sin expediente del anexo IV, sin registro del artículo 49.
El lanzamiento del producto: donde el artículo 25 invierte el rol
Entonces Meridian da un giro. Empaqueta su asistente interno de revisión de modelos, le pone la marca "Meridian Assure" y lo licencia a los equipos financieros de sus clientes. Ese producto con marca convierte a Meridian en el proveedor conforme al artículo 25. Aplica la prueba de dos pasos: un asistente de documentos financieros de uso general no está en el anexo III, así que Meridian es el proveedor de un producto que no es de alto riesgo; la transparencia del artículo 50 puede aplicarse, pero el bloque de los artículos 8-15 no. Cambia un solo dato: si "Meridian Assure" cribara candidatos para los empleadores clientes, caería en el anexo III, punto 4(a) y activaría el bloque completo de proveedor de alto riesgo.
La misma firma carga con obligaciones triviales por su trabajo de asesoramiento y con una carga materialmente más pesada en el momento en que renombra y revende hacia un uso de alto riesgo. El doble paso del artículo 25 más el anexo III es la decisión que importa.
Plazos y sanciones que afectan a las firmas de servicios profesionales
Qué está en vigor ahora frente a lo aplazado
Tres obligaciones ya están activas: las prohibiciones del artículo 5 y la obligación de alfabetización en IA del artículo 4 desde el 2 de febrero de 2025, y las obligaciones de los modelos de GPAI conforme a los artículos 51 a 55 desde el 2 de agosto de 2025 (que obligan al proveedor del modelo, no a sus responsables del despliegue).
Aún por llegar: las obligaciones autónomas de alto riesgo del anexo III conforme al artículo 6(2) se aplican desde el 2 de diciembre de 2027 (originalmente, el 2 de agosto de 2026); el marcado de contenido del artículo 50 ya surte efecto desde el 2 de agosto de 2026. El Reglamento Ómnibus Digital que fija estas fechas ya fue adoptado, así que planifica conforme a las fechas aplazadas.
Exposición a sanciones por obligación
Las multas escalan con la infracción:
- las infracciones de prácticas prohibidas —incluido el reconocimiento de emociones en la contratación— hasta 35 000 000 EUR o el 7 % del volumen de negocios anual mundial total, la cifra que sea mayor (artículo 99(3));
- la mayoría de las demás infracciones de proveedores, responsables del despliegue y operadores hasta 15 000 000 EUR o el 3 % (artículo 99(4));
- facilitar información incorrecta, incompleta o engañosa a las autoridades hasta 7 500 000 EUR o el 1 % (artículo 99(5)).
Para pymes y empresas emergentes, el artículo 99(6) limita la multa a la menor de las dos cifras: el importe fijo o el porcentaje. Para una firma de asesoramiento, la exposición realista es el nivel de prohibición del artículo 5(1)(f)/(g) (solo si toca el reconocimiento de emociones o la categorización sensible en la contratación) y el nivel de exactitud de la información del artículo 99(5), no las multas de alto riesgo.
Cómo ayuda Confir
La mayoría de las firmas de servicios profesionales necesitan dos cosas: un inventario de cada herramienta de IA en uso y una clasificación honesta de cada una para que el esfuerzo recaiga donde recae la obligación. El motor basado en reglas de Confir lleva cada herramienta por el análisis del artículo 6 y el anexo III —preguntando por la finalidad prevista, por si la firma es responsable del despliegue o proveedor conforme al artículo 25, y por si el uso es cribado o contenido de interés público— y luego registra el nivel de riesgo y las obligaciones que se activan. El razonamiento es determinista y basado en reglas: sin inferencia de modelos, sin alucinaciones. Para una firma que productiza una herramienta, señala cuándo un cambio de marca activa la nueva prueba del artículo 25. El soporte del flujo de GPAI es parcial y está en la hoja de ruta.
Preguntas frecuentes
¿Es de alto riesgo la IA usada en consultoría o asesoría conforme a la Ley de IA de la UE?
Casi nunca. La condición de alto riesgo depende del caso de uso, no del sector. La redacción, el resumen, la investigación documental y el apoyo al análisis financiero no encajan en ninguna de las ocho áreas del anexo III conforme al artículo 6, así que se sitúan en riesgo limitado o mínimo, sin evaluación de la conformidad, sin expediente técnico y sin registro. Las obligaciones que sí se aplican vienen de la alfabetización del artículo 4, la transparencia del artículo 50, el RGPD y la confidencialidad del cliente, y la trampa del proveedor del artículo 25 si la firma revende una herramienta de IA con marca.
¿Mi firma tiene que formar al personal en IA aunque nuestras herramientas sean de bajo riesgo?
Sí. El artículo 4 exige a proveedores y responsables del despliegue adoptar medidas para apoyar la alfabetización en IA de las personas que operan los sistemas de IA en su nombre (sin garantizar un nivel concreto, desde el Ómnibus Digital), y se aplica desde el 2 de febrero de 2025 con independencia de la clase de riesgo. Para una firma de servicios profesionales, eso significa que los consultores, asesores y analistas que usan IA en el trabajo del cliente deben entender las capacidades, los límites y el uso adecuado de cada herramienta. El artículo 4 es un principio, no un temario fijo, pero un programa de formación documentado es la prueba que esperan las autoridades y los clientes.
¿Cuándo se convierte una firma de servicios profesionales en "proveedor" conforme a la Ley de IA?
Conforme al artículo 25(1), un responsable del despliegue se convierte en proveedor cuando pone su propio nombre o marca en un sistema, le introduce una modificación sustancial o cambia la finalidad prevista de modo que el sistema pase a ser de alto riesgo. El detonante clásico es construir una herramienta de IA interna, ponerle marca y licenciarla a clientes. El artículo 25 cambia quién es el proveedor; si el producto es de alto riesgo sigue dependiendo del artículo 6 y el anexo III, así que vuelve a aplicar esa prueba antes del lanzamiento. El nombre por sí solo no hace de alto riesgo una herramienta que no lo es: lo que importa es el caso de uso.
¿Tenemos que avisar a los clientes cuando un entregable se hizo con IA?
Depende del formato, no de una regla general. El artículo 50(1) te obliga a informar a las personas cuando interactúan con un chatbot o IA conversacional, salvo que sea evidente. El artículo 50(2) y el 50(4) exigen el marcado legible por máquina de los resultados de IA generativa y la comunicación de imágenes, audios o vídeos sintéticos y de ciertos textos de interés público. Estas obligaciones de marcado de contenido surten efecto desde el 2 de agosto de 2026 (hasta el 2 de diciembre de 2026 para sistemas generativos ya introducidos en el mercado antes). Un simple texto asistido por IA en un informe interno no suele ser un entregable etiquetado, pero una norma interna de etiquetado coherente te mantiene del lado correcto de la obligación de comunicación del chatbot.
¿Es de alto riesgo el cribado de candidatos con IA de una firma de selección de personal o staffing?
Sí. La IA usada para cribar, filtrar, clasificar o evaluar candidatos entra en el anexo III, punto 4(a) y es de alto riesgo, lo que activa el bloque de obligaciones de los artículos 8-15. El reconocimiento de emociones en la contratación o en el lugar de trabajo está prohibido por separado conforme al artículo 5(1)(f), y la categorización biométrica que infiere atributos sensibles conforme al artículo 5(1)(g). Esta es la línea de alto riesgo más clara en los servicios profesionales, y la consultoría de asesoramiento ordinaria no la cruza. El mapeo detallado de proveedor frente a responsable del despliegue vive en nuestra guía de RR. HH. y selección de personal.
¿Cuáles son las sanciones si una firma se equivoca en esto?
Las multas escalan con la infracción. Las infracciones de prácticas prohibidas —por ejemplo, el reconocimiento de emociones en la contratación— alcanzan hasta 35 000 000 EUR o el 7 % del volumen de negocios anual mundial total, la cifra que sea mayor, conforme al artículo 99(3). La mayoría de las demás infracciones de operadores alcanzan hasta 15 000 000 EUR o el 3 % conforme al artículo 99(4). Facilitar información incorrecta, incompleta o engañosa a las autoridades alcanza hasta 7 500 000 EUR o el 1 % conforme al artículo 99(5). Para pymes y empresas emergentes, el artículo 99(6) limita la multa a la menor de las dos cifras. Para la mayoría de las firmas de asesoramiento, la exposición realista es el nivel de exactitud de la información.
¿Qué plazos de la Ley de IA afectan ahora mismo a las firmas de servicios profesionales?
Dos obligaciones ya están activas: las prohibiciones del artículo 5 y la obligación de alfabetización en IA del artículo 4, ambas en vigor desde el 2 de febrero de 2025. Las obligaciones de GPAI conforme a los artículos 51-55 se aplican desde el 2 de agosto de 2025. El marcado de contenido del artículo 50 surte efecto desde el 2 de agosto de 2026 (hasta el 2 de diciembre de 2026 para sistemas generativos ya introducidos en el mercado antes). Las obligaciones autónomas de alto riesgo conforme al artículo 6(2) se aplican desde el 2 de diciembre de 2027 (originalmente, el 2 de agosto de 2026). El Reglamento Ómnibus Digital que fija estas fechas ya fue adoptado, así que planifica conforme a las fechas aplazadas.
Guías relacionadas
- IA en RR. HH. y selección de personal bajo la Ley de IA de la UE
- Cumplimiento de la Ley de IA de la UE para despachos de abogados
- Artículo 25: cuándo te conviertes en proveedor
- Obligaciones de transparencia del artículo 50
- Artículo 4: alfabetización en IA
- qué significa el riesgo limitado
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →