El 2 de agosto de 2026 media prensa española titulará que entra en vigor el Reglamento Europeo de Inteligencia Artificial. Silvana López Merino lo desmiente en la primera línea de esta entrevista: entró en vigor el 1 de agosto de 2024. Lo que arranca hoy es otra cosa —la aplicación de las obligaciones de transparencia—, y confundir ambas fechas es el primer síntoma de un problema mayor: casi nadie sabe realmente qué le exige la norma.
López Merino es abogada digital especializada en inteligencia artificial, licenciada en Derecho por la Universidad de Murcia y profesora externa de IA en ENAE Business School. Fundadora de Academia de IA y de LegalPrompt, se dedica a lo menos glamuroso y más urgente del sector: sentarse con empresas que ya usan IA sin saberlo y ponerles orden. Es el primer perfil jurídico que pasa por El Domingo de Iberia.
En esta conversación desmonta el ruido de las multas millonarias, explica qué aplazó de verdad el Digital Omnibus —y qué no—, y señala el agujero por el que hoy se escapa la información de la mayoría de las empresas: la shadow AI. Su frase para enmarcar: «No se puede gobernar una inteligencia artificial cuya existencia se desconoce».
La entrevista
¿Qué cambia de verdad el 2 de agosto para una empresa española que usa IA? ¿Y qué es puro ruido?
Lo primero que conviene aclarar es que el AI Act no entra en vigor el 2 de agosto de 2026. Entró en vigor el 1 de agosto de 2024. Lo que sucede ahora es que comienza la aplicación general de buena parte de sus disposiciones.
Para una empresa, uno de los cambios más visibles está en las obligaciones de transparencia. Por ejemplo, informar cuando una persona interactúa con determinados sistemas de IA, identificar técnicamente contenidos sintéticos y advertir cuando se difunden deepfakes o determinados textos generados con IA sobre asuntos de interés público. También se consolida el marco de supervisión y podrán exigirse y sancionarse las obligaciones que ya resulten aplicables.
¿Y qué es ruido? Pensar que todas las empresas tienen que certificar sus sistemas, que cualquier uso de ChatGPT es de alto riesgo o que todos los textos e imágenes creados con IA deben llevar una etiqueta visible. El AI Act no funciona así. Las obligaciones dependen del papel que desempeña la empresa, de la finalidad del sistema y del riesgo que puede generar.
Lo verdaderamente importante es que las empresas sepan qué herramientas están utilizando, para qué las utilizan, qué datos introducen y qué consecuencias pueden producir sus resultados.
El Digital Omnibus ha movido parte del calendario del AI Act: ¿qué se ha aplazado realmente y qué sigue en vigor aunque muchos crean lo contrario?
El principal aplazamiento afecta a las obligaciones específicas de los sistemas de alto riesgo.
Las reglas aplicables a los sistemas incluidos en el Anexo III (por ejemplo, determinados usos en empleo, educación, crédito, servicios públicos, migración o justicia) se trasladan al 2 de diciembre de 2027. Para los sistemas de alto riesgo integrados en productos regulados, como determinados dispositivos médicos, maquinaria, juguetes o ascensores, la fecha pasa al 2 de agosto de 2028.
Pero el Ómnibus no ha paralizado el AI Act. Las prácticas prohibidas se aplican desde febrero de 2025. Las obligaciones relativas a los modelos de propósito general se aplican desde agosto de 2025. Las reglas de transparencia comienzan a aplicarse el 2 de agosto de 2026.
También se mantiene la alfabetización en IA. Lo que cambia es su formulación: las empresas deben adoptar medidas que apoyen el desarrollo de la alfabetización de las personas que utilizan sistemas de IA en su nombre, teniendo en cuenta su conocimiento, su formación, el contexto de uso y las personas afectadas. Ya no se les exige garantizar que cada individuo alcance un nivel concreto, pero sí adoptar medidas razonables y adaptadas.
Por tanto, el mensaje correcto no es «se ha aplazado el AI Act», sino «se han reorganizado determinados plazos, especialmente los de alto riesgo».
Las organizaciones dominan el RGPD, pero ¿están igual de preparadas para las implicaciones legales de la IA? ¿Cuál es el error más común que ve?
En general, no. Muchas empresas conocen el RGPD porque llevan años trabajando con él, aunque eso tampoco significa que siempre lo apliquen correctamente. Con la inteligencia artificial estamos todavía en una fase mucho más inicial.
El error más habitual es reducir todo el cumplimiento de la IA a la protección de datos. El RGPD es fundamental, pero el AI Act introduce otras preguntas: qué función cumple el sistema, qué riesgo genera, quién toma la decisión final, cómo se supervisa el resultado, qué información recibe la persona afectada y qué evidencias conserva la empresa.
Otro error frecuente es pensar que, por utilizar una herramienta conocida o contratar a un proveedor europeo, la responsabilidad desaparece. No es así. El proveedor tendrá sus obligaciones, pero la empresa que utiliza el sistema también debe analizar su propio contexto de uso.
Y probablemente el problema más inmediato sea la llamada shadow AI: empleados que utilizan ChatGPT, Copilot, Gemini u otras herramientas sin que la organización sepa qué información introducen ni para qué las están utilizando.
Por eso, antes de redactar una política o contratar una auditoría compleja, recomiendo empezar por un inventario real. No se puede gobernar una inteligencia artificial cuya existencia se desconoce.
Sanciones: ¿de qué magnitudes hablamos y quién debería preocuparse primero, la gran empresa o la pyme que usa ChatGPT a diario?
El AI Act establece límites máximos elevados: hasta 35 millones de euros o el 7 % del volumen de negocio mundial por determinadas prácticas prohibidas; hasta 15 millones o el 3 % por otros incumplimientos; y hasta 7,5 millones o el 1 % por facilitar información incorrecta, incompleta o engañosa a las autoridades.
Pero debemos evitar utilizar estas cifras únicamente como argumento de miedo. Son límites máximos, no sanciones automáticas. La autoridad debe valorar la gravedad, la duración, las consecuencias, la cooperación de la empresa, su tamaño y su capacidad económica. En las pymes se aplica, con carácter general, el menor de los dos límites: el porcentaje o la cantidad fija.
¿Quién debe preocuparse? Ambos tipos de empresa, aunque por motivos diferentes.
La gran empresa puede tener sistemas más complejos, más personas afectadas y una exposición económica mayor. La pyme suele tener menos recursos y un uso más informal: empleados que introducen datos de clientes, contratos, currículos o información interna en herramientas de IA sin normas claras.
Una pyme no necesita comenzar con una estructura burocrática. Pero sí necesita saber qué IA utiliza, establecer límites, formar a las personas y dejar evidencias de las medidas adoptadas.
Usted pasó del Derecho «tradicional» a abogada digital y fundadora de sus propios proyectos de IA: ¿qué le diría a los profesionales jurídicos que ven la IA como una amenaza?
Les diría que la amenaza no es la inteligencia artificial en sí misma, sino quedarse fuera de la transformación y perder capacidad para entender cómo está cambiando nuestra profesión.
La IA puede ayudarnos a investigar, organizar información, comparar documentos, preparar estructuras o detectar cuestiones que requieren revisión. Pero no sustituye el criterio jurídico, la comprensión del contexto, la estrategia procesal ni la responsabilidad profesional.
El abogado no debe utilizarla como una máquina que ofrece respuestas definitivas, sino como una herramienta que amplía su capacidad de trabajo. Eso exige verificar los resultados, proteger la confidencialidad, conocer las condiciones del proveedor y mantener siempre la supervisión humana.
Mi transición hacia el Derecho Digital y la inteligencia artificial no ha supuesto abandonar el Derecho. Ha supuesto aplicarlo a una realidad nueva.
Los profesionales jurídicos tenemos una oportunidad importante: ayudar a que la innovación se incorpore con garantías. Para hacerlo, no basta con conocer la norma. También hay que comprender mínimamente cómo funciona la tecnología y cómo se utiliza dentro de una organización.
La IA no eliminará la necesidad de abogados. Pero sí cambiará qué valor espera el cliente de nosotros.
¿Qué significa realmente alfabetizar en inteligencia artificial?
Existe cierta confusión porque algunas empresas están presentando cualquier curso genérico sobre ChatGPT como si fuera suficiente para cumplir el AI Act.
La alfabetización en IA no consiste en entregar un diploma ni en enseñar una lista de herramientas. Consiste en que las personas comprendan los sistemas que utilizan, sus posibilidades, sus límites y los riesgos asociados a su trabajo.
Una persona que utiliza IA debería saber, por ejemplo, qué información no debe introducir, por qué el sistema puede inventar datos, cómo detectar sesgos, cuándo debe comprobar una respuesta, qué decisiones no puede delegar y cómo actuar ante un resultado incorrecto.
Además, la alfabetización debe adaptarse. No necesita la misma formación una persona que utiliza IA para redactar un correo que un equipo de recursos humanos que la emplea para evaluar candidatos o un departamento que trabaja con datos sensibles.
Por eso, cuando trabajo con una empresa, no comienzo por un temario estándar. Comienzo por conocer qué herramientas utiliza, quién las utiliza y para qué.
Un curso puede ser una medida de alfabetización, pero no convierte automáticamente a una empresa en cumplidora. El cumplimiento se construye con formación adecuada, reglas internas, supervisión y evidencias.
Foto cortesía de Silvana López Merino.
Contenido elaborado con la asistencia tecnológica de IBERIA y supervisión editorial. Fermín Sánchez es el responsable editorial de LaPrensaIA, diario de divulgación sobre inteligencia artificial. Cubrimos la actualidad de la IA con criterio propio —tecnología, empresas y sociedad— de forma clara para el público no técnico.
