Te venden IA para cumplir la ley. Y te citan mal la ley.

Dentro del expediente

«La Agencia de Protección de Datos no te vigila. Solo actúa si hay denuncia previa.» Eso lo escribe alguien que vende a despachos un sistema para cumplir la ley. La frase se comprueba en dos minutos, abriendo el BOE. Y el BOE dice lo contrario, dos veces.

Estas tres frases las recogí de vendedores reales, en el barrido de LinkedIn del 20 de septiembre de 2026 que ya conté hace unos días. No doy nombres, porque el objeto de esta pieza es la frase y no la persona. Las tres usan la ley o un estudio como argumento de venta. Las comprobé una a una contra la fuente primaria. Una es falsa, otra está incompleta y la tercera cuenta una verdad que no es la que se vende.

La Agencia que solo actúa si la llaman

La frase completa, tal cual apareció.

«La Agencia de Protección de Datos no te vigila. Solo actúa si hay denuncia previa. No existe la inspección proactiva que conoces de Hacienda.»

El artículo 64.2 de la Ley Orgánica de Protección de Datos explica cómo empieza un procedimiento contra un posible responsable. Literal.

«Se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado» Fuente primaria ↗.

Dos puertas. Una es la reclamación de alguien. La otra es la propia Agencia, actuando sin que nadie la llame. El mismo apartado vuelve a usar la expresión unas líneas más abajo, al regular la fase previa, «en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa» Fuente primaria ↗.

Y el artículo 67.1 va más lejos de lo que la frase del vendedor imagina. «La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales» Fuente primaria ↗. Actuará. En todo caso. Qué cuenta como tráfico masivo lo dirá la Agencia en cada asunto, y esa decisión no la firma quien te vende la herramienta.

De otro vendedor llegó una frase parecida de tono.

«Una primera infracción por desconocimiento puede saldarse con un apercibimiento en lugar de una multa.»

El apercibimiento existe y conviene entenderlo bien. El artículo 58.2 del RGPD lo pone entre los poderes correctivos de la autoridad de control, junto a la advertencia, que avisa de que un tratamiento previsto podría infringir la norma, y junto a la multa, que puede imponerse además o en lugar de las demás medidas Fuente primaria ↗. La cuestión es quién decide cuándo se usa el apercibimiento, y ahí el artículo 64.3 de la LOPDGDD tiene una palabra que hace todo el trabajo. La Agencia, previa audiencia al responsable, «podrá» dirigir un apercibimiento «cuando así proceda en atención a la naturaleza de los hechos» y según los criterios del artículo 83.2 del RGPD Fuente primaria ↗.

Podrá, no deberá. Es una potestad de la Agencia y el infractor no tiene derecho a ella. Los criterios del 83.2 son once, y ninguno de los once es «primera infracción» ni «desconocimiento». Que no haya antecedentes pesa, como una circunstancia más. El desconocimiento no aparece como atenuante. Lo que aparece es «la intencionalidad o negligencia en la infracción» Fuente primaria ↗, un criterio que se valora y que puede jugar en contra. La ley española añade ocho criterios propios en su artículo 76.2, y ninguno de los ocho es la primera vez Fuente primaria ↗. La ley no premia no haberse enterado.

Formulación honesta de lo mismo. La Agencia puede resolver con apercibimiento en lugar de multa. No lo decide usted por ser su primera vez. Lo decide ella, mirando los hechos.

El Reglamento que solo regula una lista

La segunda frase es la más elaborada de las tres.

«El Reglamento Europeo de IA no prohíbe casi nada. Solo regula una lista concreta de usos prohibidos y de alto riesgo. Todo lo que no está en esa lista se puede hacer.»

Conviene empezar por lo que acierta, porque acierta bastante. Para la mayoría de usos de un despacho, redactar primeras versiones, resumir, buscar, no hay evaluación de conformidad, ni expediente técnico, ni marcado CE. Eso es cierto y este cuaderno no va a fingir lo contrario.

Lo falso es el remate. Fuera de esas listas hay un suelo de obligaciones, y dos de sus piezas ya son exigibles.

La primera es el artículo 4, el de la alfabetización. Aplica desde el 2 de febrero de 2025, porque el capítulo I del Reglamento entró antes que el resto Fuente primaria ↗. Su redacción cambió el 27 de julio de 2026, cuando el Reglamento 2026/1744 rebajó la obligación Fuente primaria ↗. Así está hoy.

«Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA [...]. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.» Fuente primaria ↗

Rebajada, sí. Suprimida, no. Un despacho que despliega IA tiene que hacer algo por el personal que la usa, aunque su uso no esté en ninguna lista. El vendedor dice que ahí no hay nada. El artículo dice que hay medidas. Los dos no pueden tener razón, y uno de los dos publicó su texto en el Diario Oficial.

La segunda pieza es el artículo 50, transparencia, que vive en un capítulo propio, fuera del de alto riesgo, y aplica desde el 2 de agosto de 2026. Reparte deberes. A los proveedores, dos que se reconocen a la primera. Diseñar los sistemas que interactúan con personas de forma que estas sepan que hablan con una IA, salvo que resulte evidente. Y marcar el contenido sintético de audio, imagen, vídeo o texto en un formato legible por máquina Fuente primaria ↗. A los responsables del despliegue, divulgar que un texto publicado para informar al público sobre asuntos de interés público se ha generado de manera artificial, cuando ese contenido no ha pasado por revisión humana o control editorial Fuente primaria ↗.

El incumplimiento de esas obligaciones de transparencia aparece en el artículo 99.4, letra g), con multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial del ejercicio anterior Fuente primaria ↗. Con una cautela que hay que decir entera. Ese importe es el marco que fija el Reglamento, no una carta de pago automática, porque su propio artículo 99.1 remite al régimen sancionador que desarrolle cada Estado Fuente primaria ↗. Lo que no sobrevive a la comprobación es el remate de la frase. En esa lista no están el artículo 4 ni el 50, y ahí siguen, con fecha de aplicación pasada.

El 79 % que viaja sin su pareja

La tercera frase no cita la ley. Cita un estudio.

«Según Clio, la adopción de IA entre profesionales jurídicos pasó del 19 % al 79 % entre 2023 y 2024.»

Clio es un fabricante de software de gestión para despachos, con producto de IA en catálogo. Su Legal Trends Report, novena edición, octubre de 2024, es, según cuenta la página que lo resume, investigación de marketing sobre su propia base de usuarios más una encuesta a más de mil profesionales, en Estados Unidos y Canadá Fuente primaria ↗. Nada de eso invalida el dato. Lo descuenta, y obliga a leer la frase entera.

Esto es lo que dice la página pública del informe, literal.

«79% of surveyed legal professionals are now using AI in some capacity in their practice, while 25% have adopted AI widely or universally» Fuente primaria ↗.

Tres cosas saltan. El 19 % de 2023 contaba despachos, según dice la misma página, y el 79 % de 2024 cuenta profesionales encuestados, así que no es la misma medida repetida. El 79 % abarca cualquier grado de uso que quepa en «in some capacity», sin que la cifra diga cuánto. Y el número que mide la amplitud viaja a su lado y es otro, el 25 % que declara haberla adoptado «widely or universally». La nota de prensa del propio fabricante resume el mismo dato como «79% of lawyers now using AI daily», cosa que la página del informe no dice, así que cuando alguien cite a Clio, que cite la página pública del informe y no la nota de prensa.

Presentado así, el salto del 19 al 79 deja la impresión de que ya no queda nadie fuera. La propia fuente añade que solo el 25 % declara una adopción amplia o universal. Una cosa es no quedarse fuera y otra haber cambiado el despacho.

Lo que hago yo con esto

Nada sofisticado. Tres gestos.

Cuando el argumento de venta sea un artículo, pedirlo con número y apartado, y abrirlo allí mismo. El BOE y EUR-Lex son gratuitos, cargan rápido y no piden licencia. Un proveedor puede equivocarse con un artículo, a todos nos pasa. Lo que enseña algo es lo que pasa después de enseñárselo.

Cuando el argumento sea un número, preguntar qué mide exactamente, sobre qué muestra y quién lo midió. Si el porcentaje llega sin su pareja, el 79 sin su 25, ya se sabe lo que hay.

Y empezar por lo barato. El método interno de un producto no se ve. Sus citas, sí.

Declaración de interés. Soy asesor, uso IA a diario y tengo líneas de negocio montadas con ella, así que compito por el mismo presupuesto que los vendedores de los que hablo. No vendo software jurídico ni formación sobre IA, y no tengo relación comercial con Clio ni con ninguna de las empresas de los vendedores citados. Las tres frases provienen de publicaciones reales de LinkedIn localizadas el 20 de septiembre de 2026, y no publico su autoría porque el objeto de la pieza es la frase. Las comprobaciones normativas se hicieron sobre el texto consolidado de la LOPDGDD, el RGPD y el Reglamento de IA con su modificación de 2026, y todo está enlazado abajo.

Comprobar un artículo cuesta un minuto y comprobar un producto cuesta meses. Empieza por el minuto.

Lo que me preguntan cuando cierro el portátil.

¿Puede la AEPD abrirme un expediente sin que nadie me haya denunciado?

Sí. El artículo 64.2 de la LOPDGDD dice que el procedimiento para determinar una infracción «se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación». Y el 67.1 añade que la Agencia «actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales». La denuncia es una de las dos puertas, no la única.

¿Si es mi primera infracción me pueden poner solo un apercibimiento?

Pueden, pero no por ser la primera. El artículo 64.3 de la LOPDGDD dice que la Agencia «podrá» dirigir un apercibimiento en atención a la naturaleza de los hechos y a los criterios del artículo 83.2 del RGPD, que son once y ninguno es «primera infracción» ni «desconocimiento». La carencia de infracciones anteriores pesa como una circunstancia más, y la negligencia juega en contra. Decide la Agencia, con audiencia previa.

¿Qué obliga el Reglamento de IA a un uso que no es de alto riesgo?

Como mínimo, dos artículos. El 4, vigente desde el 2 de febrero de 2025 y rebajado el 27 de julio de 2026 por el Reglamento 2026/1744, pide a proveedores y responsables del despliegue medidas para apoyar la promoción de la alfabetización en IA del personal que opera los sistemas. El 50, aplicable desde el 2 de agosto de 2026, impone a los proveedores diseñar para que quien interactúa con el sistema lo sepa, y marcar el contenido sintético; a los responsables del despliegue, divulgar el texto sintético publicado sobre asuntos de interés público cuando no ha pasado por revisión humana o control editorial. El incumplimiento de las obligaciones de transparencia del 50 aparece en el 99.4, con multas de hasta 15 millones de euros o el 3 % del volumen de negocios como marco máximo, cuyo desarrollo corresponde a cada Estado.

El expediente detrás del artículo.

Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales ↗BOE · LO 3/2018, texto consolidado; artículos citados en cada expediente · 2018
Texto consolidado; comprobar redacción aplicableReglamento General de Protección de Datos ↗EUR-Lex · artículos 22 y 88 · 2016
Normativa UEReglamento europeo de inteligencia artificial ↗EUR-Lex · Reglamento (UE) 2024/1689 · 2024
Normativa UE; comprobar versión y calendarioReglamento (UE) 2026/1744, modificación del Reglamento de IA ↗EUR-Lex · DO L de 24 de julio de 2026; modifica, entre otros, los artículos 4, 50.7 y 113, y añade el 111.4 · 2026
Normativa UELegal Trends Report 2024 ↗Clio · resumen público del informe en su blog, octubre; novena edición · 2024
Estudio de marketing del fabricante; muestra de EE. UU. y Canadá

Fuentes consultadas hasta el 1 de octubre de 2026. Las recomendaciones y ejemplos son elaboración editorial y no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.