Saltar al contenido
Founderz: inicio de la Guía de uso responsable de la IA

en colaboración con Microsoft

Material de consulta

Qué dice la ley

Cuándo consultar a los equipos jurídico, de privacidad o de RR. HH. antes de usar IA en el trabajo.

Introducción

La ley establece los requisitos mínimos para tu trabajo. Las normas aplicables dependen de tu país, sector y función. Antes de compartir datos personales, usar IA en un proceso de selección o trabajar con archivos de un cliente, averigua qué normas se aplican. Si tienes dudas sobre un caso concreto, consulta al equipo jurídico.

Datos personales

La normativa de protección de datos se aplica siempre que la IA trata información sobre personas identificables. En la UE, el RGPD define los datos personales de forma amplia, como cualquier información relativa a una persona identificada o identificable, y exige una base jurídica, una finalidad clara y solo los datos necesarios. Sustituir los nombres por códigos no impide que sigan siendo datos personales. Otros países tienen sus propias normas, como el RGPD británico, la LGPD de Brasil y la PIPEDA de Canadá.

El artículo 22 del RGPD limita las decisiones íntegramente automatizadas que tengan efectos jurídicos u otras consecuencias de importancia comparable para la persona afectada. La persona afectada tiene derecho a obtener una revisión humana, expresar su punto de vista e impugnar la decisión cuando esta sea necesaria para celebrar o ejecutar un contrato con ella o cuando haya dado su consentimiento explícito a esa decisión. Si la decisión está autorizada por el Derecho de la UE o de un Estado miembro, esa norma debe establecer garantías adecuadas.

El Reglamento de IA de la UE

El Reglamento de IA de la UE se aplica por fases, y el AI Omnibus de julio de 2026 modificó varias fechas. Estas son algunas de las disposiciones que más afectan al trabajo:

  • Desde el 2 de febrero de 2025, se prohíben algunas prácticas, entre ellas la IA que infiere las emociones de las personas en el trabajo o en la educación, salvo por motivos médicos o de seguridad.
  • Las organizaciones que proporcionan o utilizan sistemas de IA deben tomar medidas para favorecer la alfabetización en IA de su personal. La modificación de julio de 2026 mantuvo esta obligación sin fijar un nivel exigido.
  • Desde el 2 de agosto de 2026, se aplican las normas de transparencia. Por regla general, los proveedores deben avisar a las personas cuando interactúan directamente con un sistema de IA, salvo que resulte evidente por el contexto. Las organizaciones que generan deepfakes con IA deben, por regla general, indicar que los han generado o manipulado con esta tecnología. Los sistemas generativos que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026 para marcar el contenido sintético.
  • A partir del 2 de diciembre de 2026, el AI Omnibus prohíbe determinados usos de la IA para crear o alterar imágenes íntimas de personas identificables sin su consentimiento o para crear o alterar material de abuso sexual infantil.
  • A partir del 2 de diciembre de 2027, se aplican las obligaciones para los usos de alto riesgo enumerados en el Reglamento, entre ellos la IA utilizada para contratar, promocionar, despedir o evaluar a trabajadores.

El Reglamento también puede aplicarse a organizaciones de fuera de la UE, por ejemplo, cuando los resultados de sus sistemas de IA se utilizan en la UE. Tu equipo jurídico puede indicarte qué función tiene tu organización respecto a cada sistema.

Decisiones sobre personas

La legislación laboral y contra la discriminación se aplica a las decisiones sobre personas, intervenga o no la IA. Consulta a RR. HH. y al equipo jurídico antes de usar IA para seleccionar personal o tomar decisiones sobre ascensos, retribuciones, evaluaciones del desempeño o despidos. En la UE, los sistemas que filtran candidaturas o ayudan a decidir a quién ascender suelen considerarse de alto riesgo. Una herramienta que solo programa entrevistas puede quedar fuera de esa categoría. En ambos casos, la normativa de protección de datos sigue aplicándose a la información personal de las candidaturas y los expedientes de personal. El principio 1 explica por qué estas decisiones siguen en manos de las personas.

Derechos de autor y tus contenidos

El país y las licencias aplicables determinan tanto la titularidad del trabajo realizado con IA como los materiales que puedes introducir en estas herramientas. En Estados Unidos, el informe de 2025 de la Copyright Office concluyó que los derechos de autor protegen la autoría humana y que el material generado exclusivamente por IA no está protegido. Consulta las normas de tu organización antes de publicar imágenes, textos o código generados por IA y respeta las licencias de lo que subas.

Contratos y condiciones de los clientes

Tus clientes y proveedores pueden tener condiciones contractuales sobre la IA: si se puede usar en los encargos que realizas para ellos, cómo se pueden tratar sus datos y cuándo se debe comunicar su uso. Compruébalo antes de usar IA en un encargo de un cliente. En 2025, un departamento del Gobierno australiano pidió a Deloitte que devolviera el último pago por un informe. En su carta, señaló errores en el trabajo y afirmó que la consultora había incumplido su propia política para informar al cliente del uso de IA.

Marcos voluntarios

Muchas organizaciones utilizan marcos voluntarios junto con la ley. Entre los más utilizados están los OECD AI Principles, el NIST AI Risk Management Framework y su perfil de IA generativa, la norma ISO/IEC 42001 para sistemas de gestión de IA y, para los agentes, el Model AI Governance Framework for Agentic AI de Singapur. Ninguno de ellos es una ley. Orientan a las organizaciones que quieren llevar a la práctica las recomendaciones de este estándar.

Pasos prácticos

  1. 01Consulta a tu equipo jurídico, de privacidad o de RR. HH. antes de usar IA de una forma nueva con datos personales, para decisiones sobre personas o en una actividad regulada.
  2. 02Revisa el contrato antes de usar IA en un encargo de un cliente.
  3. 03En caso de duda, deja que la IA prepare un borrador y toma tú la decisión.

Fuentes

Estas fuentes respaldan los hechos que se exponen en esta página. En cada caso explicamos qué demuestra la fuente y hasta dónde llega. Las recomendaciones son nuestras. Consultar todas las fuentes.

  1. Regulation (EU) 2016/679 (General Data Protection Regulation) European Union, Official Journal · 27 de abril de 2016 · Legislación Define los datos personales de forma amplia (artículo 4) y reconoce derechos a las personas ante decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o les afecten significativamente de modo similar (artículo 22). Límites: Otros países tienen sus propias leyes de protección de datos. La Comisión Europea ha propuesto cambios en el artículo 22, por lo que debes comprobar si se han adoptado.
  2. Regulation (EU) 2024/1689 (Artificial Intelligence Act) European Union, Official Journal · 13 de junio de 2024 · Legislación El texto vinculante del Reglamento de IA de la UE, incluidas las definiciones de alfabetización en materia de IA y ultrasuplantación (artículo 3), las prácticas prohibidas, como el reconocimiento de emociones en el trabajo (artículo 5), la supervisión humana que protege frente al sesgo de automatización (artículo 14) y las obligaciones de transparencia (artículo 50). Límites: Se aplica por fases y se modificó en julio de 2026 (véase el AI Omnibus). Las obligaciones aplicables dependen del papel de la organización y del sistema. Los resúmenes de este sitio no son asesoramiento jurídico.
  3. Regulation (EU) 2026/1744 (AI Omnibus) European Union, Official Journal · Adoptado el 8 de julio de 2026; en vigor desde el 27 de julio de 2026 · Legislación Modifica el Reglamento de IA. Mantiene la obligación de proveedores y responsables del despliegue de fomentar la alfabetización en materia de IA, sin exigir que se garantice un nivel concreto. Aplaza la aplicación de las obligaciones para sistemas de alto riesgo hasta el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I). Los sistemas generativos ya comercializados tienen hasta el 2 de diciembre de 2026 para incorporar el marcado de contenido sintético. A partir de esa misma fecha se añaden prohibiciones relativas a las ultrasuplantaciones íntimas no consentidas y al material de abuso sexual infantil. Límites: Es una norma modificativa. Debe leerse junto con el texto consolidado del Reglamento de IA.
  4. AI Act: regulatory framework for AI European Commission · Actualizado el 19 de octubre de 2026 · Resumen oficial El resumen de la Comisión sobre el Reglamento de IA. Incluye entre los usos de alto riesgo las herramientas de IA para el empleo, la gestión de trabajadores y el acceso al trabajo por cuenta propia, como los programas de clasificación de currículos, con obligaciones a partir del 2 de diciembre de 2027. Límites: Es un resumen, no el texto legal.
  5. Code of Practice on transparency of AI-generated content European Commission · Versión definitiva del 10 de junio de 2026. La Comisión la consideró adecuada el 8 de julio de 2026. · Código voluntario Un código voluntario para marcar contenido generado por IA (proveedores) y etiquetar deepfakes y determinados textos (responsables del despliegue), que la Comisión consideró adecuado para el artículo 50 del Reglamento de IA. Límites: Es voluntario. Firmarlo no constituye una prueba concluyente de cumplimiento y las obligaciones legales se aplican en cualquier caso.
  6. Deloitte’s AI mess just got worse, and HR should be paying close attention Human Resources Director Australia · 14 de noviembre de 2025 · Información periodística Según la correspondencia publicada por el departamento y recogida por el medio, el departamento reclamó 97 587,11 dólares australianos. Citó los problemas del informe y el hecho de que Deloitte había incumplido su propia política de comunicar al cliente el uso de IA. Límites: Una información periodística sobre correspondencia publicada.
  7. Recommendation of the Council on Artificial Intelligence (OECD AI Principles) OECD · Recomendación adoptada el 22 de mayo de 2019 y revisada el 3 de mayo de 2024 · Principios intergubernamentales Propone medidas de protección como la capacidad de intervención y supervisión humanas (principio 1.2), la rendición de cuentas con trazabilidad de conjuntos de datos, procesos y decisiones (1.5), y sistemas que puedan anularse, repararse o apagarse de forma segura (1.4). Límites: No es jurídicamente vinculante.
  8. AI Risk Management Framework US National Institute of Standards and Technology · AI RMF 1.0, enero de 2023 · Marco voluntario Un marco voluntario de uso extendido para gestionar los riesgos de la IA en las organizaciones. Límites: Es voluntario. El NIST indica que el marco está en revisión.
  9. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1) US National Institute of Standards and Technology · 26 de julio de 2024 · Marco voluntario Enumera doce riesgos de la IA generativa, entre ellos la confabulación (contenido falso expresado con seguridad, a veces con citas inventadas) y la configuración de la relación entre personas e IA, que abarca el sesgo de automatización y la dependencia excesiva. Límites: Es voluntario. Se publicó en virtud de una orden ejecutiva que después se revocó y el marco general está en revisión.
  10. ISO/IEC 42001: Artificial intelligence management system ISO and IEC · 2023 · Norma internacional La norma internacional para los sistemas de gestión de la IA en las organizaciones. Límites: Establece requisitos para las organizaciones que gestionan sistemas de IA. No ofrece orientaciones para usuarios individuales.
  11. Model AI Governance Framework for Agentic AI Infocomm Media Development Authority, Singapore · Versión 1.5, 20 de mayo de 2026 (primera publicación: 22 de enero de 2026) · Marco voluntario Atribuye a las organizaciones y a quienes supervisan a los agentes la responsabilidad por las acciones de estos. Recomienda exigir aprobación humana en los puntos de revisión importantes, por ejemplo, antes de borrar datos, enviar mensajes o hacer pagos. Siempre que sea posible, el propio sistema debe exigir esa aprobación. Si las revisiones duran muy poco o los revisores casi nunca rectifican una decisión del agente, es posible que estén aprobando por costumbre. Límites: Son orientaciones voluntarias, no legislación. Los casos prácticos los aportaron las propias empresas.
  12. Correspondence relating to the Targeted Compliance Framework Assurance Review – Final Report Australian Department of Employment and Workplace Relations · diciembre de 2025 · Correspondencia oficial En una carta a Deloitte, el departamento solicitó la devolución de 97 587,11 dólares australianos. Señaló los problemas del informe y recordó que la propia Deloitte había reconocido que no siguió su política de informar al cliente del uso de IA. Límites: La carta deja constancia de la solicitud de devolución. Más adelante, un portavoz del departamento confirmó a CFO Dive que se había efectuado el reembolso.