La ley ya se aplica. Desde antes de la IA.

Serie «Entender la IA», nota 9 de 12. Las ocho anteriores explicaron la tecnología y cómo se lleva a la empresa. Esta explica qué dice la ley, con una advertencia previa: no soy abogado, esta nota no es asesoría jurídica, y lo que hace es ordenar lo que su asesor le confirmará. Léala para llegar a esa reunión con las preguntas hechas.

Lunes, 11:20, una inmobiliaria en Marbella. Una comercial tiene que preparar un contrato de arras para un comprador de Zúrich y, para ir rápido, pega en una cuenta gratuita de un asistente de IA el pasaporte escaneado del comprador, su número de cuenta y el contrato anterior de otro cliente como modelo. En cuarenta segundos tiene un borrador impecable. Tres semanas después, en una auditoría de protección de datos pedida por el grupo suizo que acaba de comprar la agencia, alguien pregunta dónde están los datos de ese pasaporte. Nadie lo sabe. El asistente era gratuito, y en las cuentas gratuitas de algunos proveedores lo que se escribe puede usarse para entrenar el modelo.

La escena es imaginaria. La pregunta de la auditoría, no, y es la primera que hay que saber responder. En esta nota le doy las tres capas de ley que afectan a una empresa que usa IA, en Suiza y en España, con lo que exige cada una y las fechas que de verdad le tocan. Verá que la mayor parte no es nueva: es la ley de protección de datos de siempre, aplicada a una herramienta nueva. Y verá dónde sí hay novedades con fecha.

La IA no creó obligaciones nuevas sobre los datos de sus clientes. Creó una forma muy rápida de incumplir las que ya tenía.

Capa 1. La protección de datos, que ya está en vigor.

En España rige el Reglamento General de Protección de Datos de la Unión Europea, el RGPD, desde mayo de 2018. En Suiza rige la Ley federal de protección de datos revisada, en vigor desde el 1 de septiembre de 2023, que se redactó para quedar cerca del RGPD. Ninguna de las dos menciona a los modelos de lenguaje. Y las dos se aplican a ellos por completo. El Comisionado federal suizo de protección de datos lo dijo por escrito en mayo de 2025: la ley actual es directamente aplicable al tratamiento de datos con IA, con independencia de cualquier regulación futura.

Lo que esas leyes exigen, traducido a un sistema de IA, cabe en seis puntos. Los enumero con la obligación y con el ejemplo de la inmobiliaria.

• Finalidad y base jurídica. Cada dato personal se trata para un fin concreto y con una razón que la ley admite. Los datos del comprador se recogieron para firmar una compraventa, no para alimentar un sistema externo con fines desconocidos. Pegarlos en una cuenta gratuita es un tratamiento nuevo sin base.
• Transparencia. Las personas tienen derecho a saber qué se hace con sus datos y, según el Comisionado suizo, a saber que hablan con una máquina y si lo que escriben puede usarse para mejorar el sistema. Un asistente en su web que se hace pasar por una persona incumple esto en Suiza hoy, y en la Unión Europea desde agosto de 2026 por una segunda vía, como verá en la capa 2.
• Decisiones automatizadas. Si una decisión con efectos jurídicos o significativos sobre una persona la toma solo una máquina, esa persona tiene derecho a que la revise alguien. El RGPD lo recoge en su artículo 22 y la ley suiza en una regla propia. Un sistema que rechaza solo una solicitud de alquiler, un crédito o una candidatura entra de lleno aquí.
• Evaluación de impacto. Cuando un tratamiento supone un riesgo alto para las personas, hay que analizarlo por escrito antes de empezar; el RGPD lo llama evaluación de impacto, artículo 35, y la ley suiza exige lo mismo para la IA de alto riesgo. Datos de salud, de menores, perfiles, vigilancia: antes de encender, el papel.
• Encargados y contratos. El proveedor del modelo trata datos por cuenta de su empresa, así que es un encargado del tratamiento y hace falta un contrato que diga qué hace con ellos, dónde, cuánto tiempo y cómo los borra. El artículo 28 del RGPD lo detalla. Una cuenta gratuita no tiene ese contrato.
• Transferencias fuera de Europa y de Suiza. La mayoría de los grandes proveedores de modelos están en Estados Unidos. Enviar datos allí exige una garantía reconocida, que los proveedores serios ofrecen en sus condiciones para empresas y que hay que comprobar. Pregunte dónde se procesan sus datos y con qué garantía. Si el proveedor no sabe contestar, es su respuesta.

Hay un punto que conviene separar con claridad: no es lo mismo una cuenta de consumo que una cuenta de empresa. Anthropic, por ejemplo, documenta que por defecto no usa lo que las empresas envían a través de su API ni a sus productos comerciales para entrenar sus modelos, salvo que el cliente lo autorice o envíe comentarios, y que las cuentas personales se rigen por otras condiciones. Otros proveedores tienen distinciones parecidas. La regla práctica es simple: datos de clientes, solo en cuentas de empresa con contrato. Lo demás es la inmobiliaria de Marbella.

Capa 2. El Reglamento europeo de IA, con sus fechas.

El Reglamento (UE) 2024/1689, conocido como Ley de IA, entró en vigor el 1 de agosto de 2024 y se aplica por fases. En julio de 2026 un segundo reglamento, el llamado Ómnibus Digital, retrasó algunas de esas fases. Le doy el calendario tal como queda, y con una aclaración importante: se aplica a quien usa o pone en el mercado sistemas de IA en la Unión Europea, tenga su sede dentro o fuera, así que una empresa suiza que atiende a clientes en España o Alemania con un sistema de IA está dentro.

• Desde el 2 de febrero de 2025: las prácticas prohibidas, como la puntuación social o la manipulación subliminal, y el artículo 4, la obligación de que las personas que usan sistemas de IA en nombre de la empresa tengan un nivel suficiente de alfabetización en IA. Ya está en vigor. Es la formación del paso 8 de la nota 6.
• Desde el 2 de agosto de 2025: las obligaciones de los proveedores de los grandes modelos de propósito general. Le afectan de forma indirecta: son las que le permiten exigir documentación a su proveedor.
• Desde el 2 de agosto de 2026: el artículo 50, transparencia. Un sistema de IA que habla con personas debe estar hecho para que sepan que hablan con una máquina, salvo que sea evidente. Las imágenes, audios y vídeos generados con IA que puedan pasar por reales deben marcarse. Esto sí es nuevo y sí le toca: el asistente de su web, la voz que atiende el teléfono, la foto generada de su hotel.
• Desde el 2 de diciembre de 2027 (antes era agosto de 2026): los sistemas de alto riesgo del anexo III, como los usados en selección de personal, en evaluación de solvencia o en acceso a servicios esenciales, con sus obligaciones de supervisión humana, registro y documentación. El Ómnibus lo aplazó; no lo eliminó. Si su empresa usa IA para filtrar candidaturas, tiene hasta entonces para hacerlo bien.
• Desde el 2 de agosto de 2028: los sistemas de alto riesgo integrados en productos regulados del anexo I, como dispositivos médicos o maquinaria.

Observe el detalle que más se pasa por alto, y que ya traté en una nota anterior sobre este calendario: la ley distingue entre el proveedor, quien desarrolla el sistema, y el responsable del despliegue, quien lo usa. Casi todas las empresas se ven como lo segundo. Pero si una empresa toma un modelo, lo configura, le pone su marca y lo ofrece a sus clientes como propio, puede estar convirtiéndose en proveedor, con obligaciones mayores. Es una pregunta para su asesor, y es mejor hacerla antes de poner el logotipo en el asistente.

Capa 3. Suiza: sin ley de IA, con una decisión tomada.

Suiza no tiene hoy una ley específica de inteligencia artificial, y ha decidido no copiar la europea. El 12 de febrero de 2025, el Consejo Federal optó por un enfoque sectorial: ratificar el convenio del Consejo de Europa sobre IA, que firmó en marzo de 2025, y adaptar las leyes existentes donde haga falta, con un anteproyecto para consulta previsto antes de que termine 2026, centrado en transparencia, protección de datos, no discriminación y supervisión. Mientras tanto, lo que rige es la capa 1: la ley de protección de datos, que el Comisionado federal considera suficiente para lo esencial, y las normas de cada sector, como las del mercado financiero o las de la salud.

Para una empresa suiza esto tiene dos consecuencias prácticas. La primera: no espere a una ley suiza de IA para ordenar sus datos, porque la ley que le obliga ya existe. La segunda: si vende en la Unión Europea, el calendario de la capa 2 es el suyo, aunque su sede esté en Lugano o en Zúrich. Las dos cosas se resuelven con el mismo trabajo.

Lo que miran los reguladores, en un caso.

El 18 de diciembre de 2024, el Comité Europeo de Protección de Datos, que reúne a las autoridades de todos los países de la Unión, publicó un dictamen sobre los modelos de IA a petición de la autoridad irlandesa. Tres ideas de ese texto le sirven aunque nunca vaya a entrenar un modelo. Primera: un modelo entrenado con datos personales no es anónimo por el hecho de ser un modelo; hay que demostrar, caso por caso, que no se puede identificar a nadie ni extraer sus datos con preguntas. Segunda: el interés legítimo puede servir de base jurídica para desarrollar y usar modelos, pero solo tras una prueba en tres pasos y con las expectativas razonables de las personas en cuenta. Tercera: si un modelo se construyó con datos tratados de forma ilegal, eso puede afectar a la legalidad de usarlo. Traducido: la procedencia de los datos de su proveedor es también su problema, y es legítimo preguntarle por ella.

Lo que hacer antes de llamar a su abogado.

Ninguna de estas cosas exige conocimientos jurídicos, y todas hacen que la consulta con su asesor sea más corta y más barata.

• El inventario. Qué sistemas de IA usa la empresa, incluidos los que la gente usa por su cuenta, con qué datos y de qué proveedor. Sin inventario no hay cumplimiento posible, solo suerte.
• Los contratos. Para cada proveedor, el contrato de encargo: dónde procesa, si entrena con sus datos, cuánto conserva, cómo borra, qué garantía usa para sacar datos de Europa o de Suiza. Si no existe, cuenta de empresa con contrato o nada.
• La regla de dos líneas. Qué datos no se pegan nunca en ningún asistente que no sea el de la empresa: datos de clientes, de empleados, de salud, financieros, contratos de terceros. Escrita, firmada, repetida.
• La máquina dice que es una máquina. En todo asistente que hable con clientes, desde la primera frase. En Suiza ya es una expectativa del Comisionado; en la Unión Europea es obligación desde agosto de 2026.
• Nadie decide solo. Toda decisión con efectos sobre una persona, un rechazo, una tarifa, una selección, pasa por alguien con nombre que puede cambiarla. Es la ley y es la nota 2.
• El papel antes del riesgo. Antes de usar IA con datos de salud, de menores, con perfiles o con candidaturas, una evaluación de impacto escrita. Y para las candidaturas, el calendario de diciembre de 2027 ya en la agenda.
• Las imágenes, marcadas. Desde agosto de 2026, lo generado con IA que pueda pasar por real se señala. Una política de una línea para marketing resuelve el 90 % de los casos.
• La formación, registrada. Quién ha recibido qué formación sobre los sistemas que usa. El artículo 4 no pide un certificado; pide poder demostrar que se hizo.

1. Esta semana

   Haga el inventario con amnistía

   Pregunte a cada equipo qué asistentes usa y con qué datos, sin consecuencias. Anote proveedor y tipo de cuenta.

2. Esta semana

   Cierre las cuentas gratuitas con datos de clientes

   Y sustitúyalas por cuentas de empresa con contrato. Es la única acción urgente de esta nota.

3. Este mes

   Pida los contratos y las tres respuestas

   Dónde procesan, si entrenan, cómo borran. Guarde las respuestas con fecha.

4. Antes de agosto de 2026

   Revise el asistente de su web y las imágenes generadas

   Que diga que es una máquina y que lo generado se marque. Dos cambios pequeños con fecha fija.

5. Con todo lo anterior

   Vaya a su asesor con el inventario en la mano

   La consulta pasa de «¿qué tenemos que hacer con la IA?» a «¿está bien esto?». Es otra factura.

Cómo lo planteo yo.

Los sistemas que construyo usan modelos a través de cuentas de empresa con contrato, los datos de clientes no salen del flujo acordado, el asistente dice que es una máquina en su primera frase y en los seis idiomas, y las imágenes generadas se declaran en el pie. El inventario y la regla de dos líneas forman parte de la entrega. Y la revisión jurídica la hace su abogado, con mi documentación delante, porque cada uno hace su trabajo.

Una prueba sin abogado. Pregunte mañana a tres personas de su equipo, de departamentos distintos, si alguna vez han pegado un documento de un cliente en un asistente de IA. Pregúntelo sin tono de reproche, o no le dirán la verdad.

Las respuestas le dirán más sobre su situación real que cualquier lectura del reglamento. Y abren una pregunta más incómoda: ¿alguien en su empresa decidió que eso estaba permitido, o simplemente nadie dijo que no?

Siguiente nota: la seguridad. Los diez riesgos que una organización de expertos en seguridad ha catalogado para los sistemas con modelos de lenguaje, explicados con una carta de un estafador, y los tres casos públicos que enseñan más que cualquier manual.