El problema: ¿de quién son los datos que alimentan la IA? 

El desarrollo de modelos de inteligencia artificial, en particular los grandes modelos generativos, requiere procesar cantidades masivas de texto, imágenes, vídeos y otros contenidos, gran parte de ellos protegidos por derechos de autor. Lo que hasta hace poco era una práctica silenciosa se ha convertido en el epicentro de la litigiosidad en propiedad intelectual: editoriales, medios de comunicación, artistas y titulares de bases de datos exigen saber si sus obras fueron utilizadas para entrenar sistemas de IA y si alguien obtuvo su consentimiento. 

La tensión es clara: los desarrolladores argumentan que la extracción automatizada de datos (text and data mining o TDM) es necesaria para la innovación, los titulares responden que usar sus obras sin autorización sigue siendo una infracción. Los primeros pronunciamientos judiciales y regulatorios de 2024–2025 empiezan a trazar los límites. 

Entrenar no es una sola conducta 

El entrenamiento es una cadena de operaciones: se accede o adquiere el contenido, se descarga, ordena y depura para crear un dataset, se procesa durante el entrenamiento, parte de la información puede quedar representada o ser recuperable desde el modelo, y, finalmente, el sistema genera outputs. Cada fase puede tener una calificación jurídica distinta. Obtener una obra desde una fuente ilícita no equivale a analizar una copia obtenida legítimamente, del mismo modo que extraer patrones no es lo mismo que permitir que el modelo reproduzca fragmentos reconocibles. 

La clave pasa a ser, por tanto, qué ocurrió con cada contenido, en qué fase y bajo qué título jurídico. 

El marco europeo: excepciones de TDM, opt-out y Reglamento de IA 

La Directiva sobre Derechos de Autor en el Mercado Único Digital (Directiva DSM 2019/790) introdujo dos excepciones para la minería de textos y datos: una para investigación científica (artículo 3) y otra de alcance general (artículo 4). Esta última permite determinadas reproducciones y extracciones sobre contenidos a los que se tenga acceso lícito, salvo que el titular haya reservado expresamente esos usos. En contenidos disponibles en internet, la reserva debe expresarse de forma adecuada, especialmente mediante medios legibles por máquina. España incorporó este régimen principalmente mediante el artículo 67 del Real Decreto-ley 24/2021. 

Conviene evitar una simplificación frecuente: la ausencia de opt-out (opción de exclusión voluntaria) no convierte automáticamente en lícito cualquier uso de una obra para entrenar IA. Significa que determinadas copias o extracciones pueden quedar cubiertas por la excepción de TDM si se cumplen los demás requisitos. Siguen siendo relevantes el acceso lícito, las licencias, los derechos sobre bases de datos, las medidas tecnológicas de protección, los contratos y, cuando proceda, la protección de datos. 

El Reglamento de Inteligencia Artificial (UE) 2024/1689 añade obligaciones específicas para los proveedores de modelos de IA de uso general (GPAI). Su artículo 53 exige adoptar una política de cumplimiento del derecho de autor de la UE, identificar y respetar las reservas de derechos y publicar un resumen suficientemente detallado del contenido utilizado para entrenar el modelo. Para los nuevos modelos, estas obligaciones se aplican desde el 2 de agosto de 2025 y, desde el 2 de agosto de 2026, la Comisión puede aplicar el régimen de multas previsto para los proveedores de GPAI. El marco se completa con el Código de Buenas Prácticas para GPAI, publicado en julio de 2025, de adhesión voluntaria. 

¿Qué están diciendo los primeros tribunales? 

En Estados Unidos, Thomson Reuters v. Ross Intelligence sigue siendo una referencia. En febrero de 2025, el Tribunal del Distrito de Delaware concluyó que Ross había infringido los derechos de Thomson Reuters al utilizar, sin licencia, resúmenes editoriales de Westlaw para desarrollar un motor de búsqueda jurídica competidor. La defensa de fair use fue rechazada atendiendo, entre otros factores, al carácter comercial, la escasa transformación y el impacto sobre el mercado potencial de licencias. Cuando el producto entrenado compite directamente con la fuente de los datos, el riesgo aumenta. 

En Europa, los casos recientes muestran por qué es esencial separar las fases. En LAION, el tribunal superior de Hamburgo confirmó en diciembre de 2025 una decisión favorable a la entidad que había descargado una imagen para comprobar su correspondencia con una descripción y construir un dataset de pares imagen-texto1. Entendió que esa operación podía quedar cubierta por la excepción alemana de TDM y consideró insuficiente, en aquel caso, la reserva de derechos invocada. La sentencia no declaró lícito cualquier entrenamiento comercial: analizó una fase anterior, la creación y depuración del dataset. A 9 de septiembre de 2026, el asunto está pendiente ante el Bundesgerichtshof. 

En GEMA v. OpenAI, el Landgericht München I consideró en noviembre de 2025 que determinadas letras de canciones podían recuperarse mediante outputs muy próximos a los textos originales y trató esa “memorización” como una forma de reproducción. La resolución distinguió entre las copias técnicas del procesamiento, la eventual permanencia reproducible de la obra en el modelo y los outputs. La sentencia no es firme. 

La cuestión prejudicial C-250/25, Like Company v. Google Ireland, puede resultar aún más decisiva. El Tribunal de Justicia de la Unión Europea debe pronunciarse, entre otros extremos, sobre si utilizar material protegido para entrenar un gran modelo de lenguaje constituye una reproducción y si puede acogerse a la excepción general de TDM del artículo 4 de la Directiva DSM. A 9 de septiembre de 2026 el asunto sigue pendiente. 

Comparativa UE–EE. UU.: dos caminos, riesgos compartidos 

La UE dispone de excepciones legales específicas para TDM, sujetas a requisitos y, en el artículo 4, a la posibilidad de reserva por el titular. Estados Unidos carece de una excepción equivalente y somete cada caso al análisis multifactorial del fair use. La U.S. Copyright Office, en la tercera parte de su informe sobre IA generativa y copyright publicada en mayo de 2025, también evita reglas absolutas y destaca factores como la finalidad del uso, el origen de las copias, el efecto sobre el mercado y la existencia de mercados de licencias. 

Pese a las diferencias, ambos sistemas convergen en preguntas similares: ¿de dónde salió la obra?, ¿qué copia se hizo?, ¿para qué?, ¿qué quedó en el modelo? y ¿qué puede reaparecer en el output? Para operadores internacionales, un mismo corpus puede superar el análisis de una fase o jurisdicción y generar problemas en otra. 

Implicaciones prácticas para cada actor 

• Desarrolladores de modelos de IA: documentar la procedencia de cada conjunto de datos, implementar sistemas de detección de reservas de derechos y conservar evidencia de las licencias obtenidas. 

• Plataformas que integran modelos de terceros: exigir garantías contractuales sobre la licitud del entrenamiento y prever cláusulas de indemnización frente a reclamaciones de propiedad intelectual. 

• Editoriales y medios de comunicación: implementar reservas de derechos técnicas y jurídicas (robots.txt, metadatos, condiciones de uso) y establecer programas de licenciamiento para usos de IA. 

• Titulares de grandes catálogos (bases de datos, archivos): auditar si sus contenidos están siendo utilizados sin autorización y activar los mecanismos de exclusión voluntaria (opt-out) disponibles. 
• Empresas de extracción de datos (scraping) y proveedores de datasets: verificar que los datos suministrados respetan las reservas de derechos vigentes y que su obtención no implica elusión de medidas de protección. 

El panorama regulatorio avanza con rapidez, pero una cosa es segura: la época del entrenamiento masivo sin control ha terminado. Tanto desarrolladores como titulares de derechos necesitan asesoramiento especializado para navegar un entorno en el que las decisiones técnicas tienen consecuencias legales inmediatas. 

Alba Terés  | Departamento IA-Gobernanza Digital

La entrada Entrenar IA con obras ajenas: qué enseñan los primeros litigios sobre conjuntos de datos (datasets), licencias y extracción de contenidos se publicó primero en Rebes - Ferrer.

La responsabilidad penal de las personas jurídicas ha reforzado la necesidad de que las entidades dispongan de mecanismos adecuados para identificar, prevenir y gestionar los riesgos penales asociados a su actividad. En este contexto, el compliance penal no debe limitarse a la elaboración de un conjunto de documentos y políticas internas, sino que debe configurarse como un sistema de prevención y control integrado en el funcionamiento de la organización. 

El punto de partida de todo sistema de compliance penal debe ser una identificación y evaluación rigurosa de los riesgos penales. El análisis de los procesos internos y las áreas con mayor exposición permite determinar los escenarios en los que podrían materializarse conductas delictivas y establecer, a partir de ellos, medidas de prevención y control adecuadas. Un sistema desactualizado o desvinculado de la realidad de la organización difícilmente podrá cumplir eficazmente su función preventiva. 

Sobre esta base deben articularse políticas, procedimientos y controles internos que delimiten pautas claras de actuación y establezcan mecanismos adecuados de supervisión. 

El Código Ético, los protocolos específicos y las políticas corporativas constituyen instrumentos fundamentales para trasladar los principios de cumplimiento a la operativa diaria. Su eficacia, sin embargo, no depende únicamente de su aprobación formal, sino de su correcta comunicación, aplicación y seguimiento. En este ámbito, la formación y sensibilización continuada de empleados y directivos resulta indispensable. 

Otro elemento esencial es disponer de un Sistema Interno de Información eficaz, acompañado de procedimientos adecuados para la recepción, análisis y gestión de las comunicaciones recibidas. La detección temprana de posibles incumplimientos permite a la organización reaccionar antes de que determinadas conductas generen consecuencias de mayor alcance. Cuando resulte necesario iniciar una investigación interna, esta deberá desarrollarse con criterios de rigor y confidencialidad. 

La verdadera eficacia de un sistema de compliance penal se acredita, por tanto, en su funcionamiento efectivo. No basta con disponer de documentación corporativa: es necesario acreditar que los controles se aplican, que los riesgos se revisan periódicamente, que existe una supervisión adecuada y que la organización responde de forma diligente ante eventuales incumplimientos. 

Esta cuestión adquiere especial relevancia desde la perspectiva de la responsabilidad penal de la persona jurídica. El Código Penal atribuye a los modelos de organización y gestión eficaces una incidencia directa sobre dicha responsabilidad, pudiendo, cuando concurran los requisitos legalmente establecidos, operar como causa de exención o atenuación. De ahí la importancia de concebir el compliance penal como un sistema de prevención, control y mejora continua integrado en la propia estructura de gobierno de la organización. 

En R-F diseñamos, implantamos y revisamos modelos de prevención de riesgos penales adaptados a la estructura, actividad y circunstancias específicas de cada organización. Nuestro objetivo es dotar a empresas y órganos de gobierno de sistemas de cumplimiento operativos y jurídicamente rigurosos, capaces no solo de reducir su exposición penal, sino también de reforzar una cultura corporativa basada en la prevención, la integridad y el cumplimiento normativo. 

Eduard Rafales  | Departamento Penal-Compliance

La entrada Compliance penal: modelos que previenen delitos se publicó primero en Rebes - Ferrer.

En esta nueva publicación de Rebés Ferrer, Carlos Pavón, miembro de nuestro departamento fiscal, analiza el alcance de las medidas fiscales contempladas en el Real Decreto-ley 26/2026, de 29 de septiembre, por el que se adoptan medidas urgentes para la protección de la función social de la vivienda y la ampliación de la oferta de vivienda asequible, publicado en el BOE el 30 de septiembre de 2026.

El análisis aborda los siguientes aspectos:

• Las principales modificaciones en el IRPF relativas al tratamiento fiscal de los arrendamientos de viviendas.
• Las novedades en el Impuesto sobre Bienes Inmuebles (IBI), la plusvalía municipal y el régimen especial de las SOCIMI.
• Las principales características de la Cuenta de Ahorro e Inversión Financia Europa.

La entrada Novedades fiscales del RDL 26/2026 se publicó primero en Rebes - Ferrer.

Durante 2024 y 2025, buena parte de la conversación empresarial sobre inteligencia artificial giró alrededor de una pregunta bastante concreta: qué podía hacer un modelo con información (redactar, resumir, traducir, clasificar o contestar preguntas). En 2026, la cuestión empieza a ser distinta y, desde el punto de vista jurídico, bastante más delicada: qué estamos dispuestos a dejar que haga por nosotros. Hoy, los sistemas de IA más avanzados planifican, deciden y ejecutan secuencias completas de acciones dentro de los procesos de negocio con intervención humana mínima. Es lo que se conoce como IA agéntica, y su llegada plantea oportunidades extraordinarias, pero también obligaciones legales que ninguna organización debería ignorar.

Del chatbot al agente: la diferencia está en la capacidad de actuar

La distinción entre chatbot, copiloto y agente sigue siendo útil para entender este cambio, siempre que no se confunda con una clasificación legal cerrada:

1. Chatbot. Genera respuestas dentro de una conversación, pero no tiene capacidad propia para modificar sistemas externos. Un bot que informa sobre horarios o políticas de devolución sería el ejemplo más sencillo.
2. Copiloto de IA. Asiste a una persona dentro de un flujo de trabajo: propone un correo, resume un expediente, prepara una cláusula o formula una recomendación, pero la acción final sigue dependiendo de una persona.
3. Agente de IA. Persigue un objetivo mediante una secuencia de acciones y puede utilizar herramientas, APIs o aplicaciones corporativas para ejecutarlas. La intervención humana puede existir, pero concentrarse en determinados puntos de control en lugar de producirse en cada paso. A modo de ejemplo: un agente que recibe un pedido, verifica stock en el ERP, negocia plazos con el proveedor, genera la orden de compra y actualiza la contabilidad, sin que un operador intervenga en cada paso.

El Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act) define los sistemas de IA como sistemas diseñados para funcionar con “distintos niveles de autonomía”. La IA agéntica se sitúa en el extremo más elevado de esa escala y exige las mayores garantías de cumplimiento.

El verdadero perímetro de riesgo son los permisos del agente

En la IA agéntica, el riesgo ya no se limita a que una respuesta sea correcta o incorrecta. El problema aparece cuando esa respuesta se convierte automáticamente en una acción. Un error en un chatbot puede generar una información equivocada. El mismo error en un agente con permisos suficientes puede modificar una base de datos, enviar una comunicación a un cliente, aprobar una operación o iniciar un proceso difícil de revertir.

Por eso, la gobernanza debería construirse alrededor de la autoridad efectiva que se delega en el agente. Esto obliga a definir, entre otras cuestiones, su identidad, el sistema de autenticación, los permisos mínimos necesarios, los límites de importe o volumen, las acciones autorizadas y prohibidas, los puntos que requieren aprobación humana, los registros de actividad y los mecanismos de revocación. El informe europeo sobre IA agéntica publicado en enero de 2026 apunta precisamente en esa dirección: cuanto mayor sea la capacidad de actuación del sistema, más claros y auditables deben ser los puntos de control.

Este enfoque cobra especial importancia ante riesgos como la inyección indirecta de instrucciones. Un agente puede procesar un correo, una página web o un documento que contenga instrucciones maliciosas y, si dispone de permisos suficientes, transformar un contenido no confiable en una acción corporativa. En este contexto, la ciberseguridad deja de ser una cuestión separada del cumplimiento normativo y pasa a formar parte del propio diseño jurídico del sistema.

Obligaciones de transparencia: ya aplicables desde agosto de 2026 

El artículo 50 RIA resulta especialmente relevante para los agentes que interactúan directamente con personas. Desde el 2 de agosto de 2026, los proveedores de sistemas destinados a interactuar directamente con personas deben diseñarlos de forma que estas sean informadas de que están interactuando con una IA, salvo que resulte evidente para una persona razonablemente informada, observadora y prudente en el contexto concreto. Para un agente de atención al cliente o un asistente comercial, identificar con claridad su naturaleza artificial deja de ser una mera buena práctica y pasa a formar parte del cumplimiento normativo.

Implicaciones en materia de protección de datos

Cuando un agente trata datos personales, el RGPD se aplica de forma acumulativa con el RIA. La organización debe poder identificar para qué trata los datos, cuál es la base jurídica, qué información resulta realmente necesaria, quiénes son los destinatarios, qué encargados y subencargados intervienen, si existen transferencias internacionales y durante cuánto tiempo se conservan los datos. En un sistema agéntico, este análisis no puede limitarse al dato introducido inicialmente por el usuario. Debe extenderse a toda la cadena de accesos, consultas y acciones que el agente puede realizar de forma autónoma.

Las obligaciones más críticas, entre otras, son: 

• Base de legitimación (art. 6 RGPD). Cada tratamiento del agente debe ampararse en una base legal válida. Que la acción la ejecute una máquina no exime de esta exigencia.

• Minimización de datos (art. 5.1.c RGPD). El agente solo debe acceder a los datos estrictamente necesarios para su finalidad. 

• Responsabilidad proactiva y evaluación de impacto (arts. 24 y 35 RGPD). El responsable del tratamiento debe demostrar el cumplimiento en todo momento. Si el agente realiza tratamientos de alto riesgo (perfilado o decisiones automatizadas con efectos jurídicos) será obligatoria una Evaluación de Impacto (EIPD) antes del despliegue.

• Supervisión humana efectiva (art. 22 RGPD y AI Act). Los interesados tienen derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados. La empresa debe garantizar mecanismos reales de intervención humana que permitan interrumpir o corregir las acciones del agente, requisito clave para sistemas con elevado nivel de autonomía.

En febrero de 2026, la AEPD publicó unas orientaciones específicas sobre IA agéntica desde la perspectiva de la protección de datos. La Agencia identifica como elementos especialmente sensibles la interacción con el entorno, la integración con servicios, la memoria y la autonomía, y advierte de que incorporar agentes a un tratamiento exige reabrir el ciclo de gestión de riesgos. Entre las medidas que propone figuran la compartimentación de la memoria, catálogos o listas blancas de servicios, límites a las herramientas accesibles, puntos de aprobación humana para acciones sensibles o irreversibles y mecanismos de reversibilidad. 

Asimismo, en julio de 2026, la AEPD publicó además criterios específicos sobre exactitud, calidad y minimización de datos en tratamientos con IA. En el caso de los agentes, esto obliga a revisar no solo qué información reciben, sino también qué información son capaces de buscar por su cuenta y cómo la incorporan a decisiones posteriores.

¿Cuándo puede el agente comprometer jurídicamente a la empresa?

Uno de los aspectos más interesantes de la IA agéntica aparece cuando el sistema puede realizar actos con relevancia contractual: aceptar un pedido, renovar un servicio, comunicar una cancelación o negociar determinadas condiciones. Llegados a este punto, hablar simplemente de “alucinaciones” resulta insuficiente. El problema pasa a ser de atribución, consentimiento, representación y prueba.

El Derecho español ya contempla la contratación mediante dispositivos automáticos. El artículo 1262 del Código Civil establece que, en los contratos celebrados mediante dispositivos automáticos, existe consentimiento desde que se manifiesta la aceptación. Por su parte, el artículo 1259 CC establece que nadie puede contratar a nombre de otro sin estar autorizado o sin ostentar su representación legal.

Estas normas no resuelven todas las cuestiones que pueden plantear los agentes actuales, pero sí permiten descartar una idea peligrosa: que una actuación ejecutada automáticamente carece de relevancia jurídica porque “la decidió una IA”. La cuestión central vuelve a ser qué facultades ha atribuido la empresa al sistema. Si un agente puede aceptar pedidos, contratar servicios o asumir determinadas condiciones, deberían establecerse previamente límites de importe, proveedores autorizados, operaciones prohibidas, cláusulas que requieran aprobación humana y mecanismos de bloqueo o ratificación.

Cuanto mayor sea la autonomía técnica, más preciso debe ser el perímetro jurídico de la delegación.

De la supervisión del modelo a la gobernanza de la actuación

Desplegar un agente autónomo sin revisión previa de cumplimiento normativo puede resultar enormemente costoso. Los riesgos principales:

1. 1. Sanciones bajo el RGPD: multas de hasta 20 millones de euros o el 4 % de la facturación global anual.
   2. Régimen sancionador del AI Act (arts. 99 y ss.): multas de hasta 35 millones de euros o el 7 % de la facturación mundial para las infracciones más graves. En España, las competencias sancionadoras se distribuyen entre la AESIA, la AEPD y el CGPJ según el tipo de sistema.
   3. Decisiones automatizadas sin garantías (art. 22 RGPD): responsabilidad directa frente a los afectados y posible nulidad de las decisiones adoptadas sin intervención humana adecuada.
   4. Además, el artículo 4 del AI Act exige que el personal que opere sistemas de IA disponga de alfabetización adecuada en inteligencia artificial: la organización debe comprender qué hace la tecnología y qué límites tiene.

La pregunta no es cuánta autonomía tiene el agente, sino qué autoridad le hemos dado. La IA agéntica desplaza la frontera entre asistencia y actuación empresarial. Ya no basta con comprobar si el modelo es preciso, si el proveedor ofrece determinadas garantías de protección de datos o si existe una política interna de uso de IA. Hay que saber a qué información puede acceder el agente, qué herramientas puede utilizar, qué decisiones puede adoptar, qué actos puede ejecutar, en qué momento debe detenerse y si la organización podrá reconstruir después cada paso de su actuación.

A mi juicio, uno de los errores más probables en los próximos años será tratar estos sistemas como si fueran simplemente “chatbots con más funciones”. Desde la perspectiva del riesgo, no lo son. Un agente supone una delegación técnica de capacidad de actuación. La buena gobernanza no consiste necesariamente en eliminar esa autonomía, sino en convertirla en una autoridad limitada, trazable y revocable. Ahí estará probablemente la diferencia entre utilizar agentes para ganar eficiencia, y permitir que la organización pierda control sobre procesos que siguen produciendo efectos jurídicos, económicos y reputacionales plenamente reales.

Alba Terés  | Departamento IA-Gobernanza Digital

La entrada IA agéntica: cuando la inteligencia artificial deja de asistir y empieza a actuar de forma autónoma.  se publicó primero en Rebes - Ferrer.

La Comisión Europea ha dado un nuevo paso en la supervisión de los grandes servicios digitales. El 31 de agosto de 2026 designó a ChatGPT como motor de búsqueda en línea de muy gran tamaño (Very Large Online Search Engine o VLOSE) al amparo del Reglamento (UE) 2022/2065 de Servicios Digitales (Digital Services Act o DSA). Paralelamente, Reddit y Roblox han sido designadas como plataformas en línea de muy gran tamaño (Very Large Online Platforms o VLOP).

La decisión es especialmente relevante porque evidencia una tendencia regulatoria cada vez más clara: la regulación europea de las grandes plataformas digitales y la regulación de la inteligencia artificial están empezando a converger.

¿Por qué ChatGPT puede ser considerado un motor de búsqueda?

La respuesta está en la evolución funcional del servicio. ChatGPT ya no se limita únicamente a generar respuestas mediante modelos de inteligencia artificial, sino que, determinadas funcionalidades permiten también buscar información en Internet y utilizar contenidos disponibles en la web para responder a las consultas de los usuarios. Precisamente por ello, la Comisión Europea califica ChatGPT como un “servicio híbrido”: además de interactuar y generar respuestas, puede realizar búsquedas en línea. Esta funcionalidad permite encajarlo en el concepto de “motor de búsqueda en línea” previsto en el artículo 3.j) del DSA.

La definición del Reglamento es tecnológicamente neutra. Lo determinante no es que el servicio presente una lista tradicional de enlaces, como ocurre con los buscadores clásicos, sino que permita introducir una consulta para buscar información en sitios web y ofrecer resultados relacionados con dicha consulta.

A ello se suma un segundo elemento: la escala del servicio. Según los datos considerados por la Comisión, ChatGPT cuenta con 159,1 millones de usuarios activos mensuales medios en la Unión Europea, superando ampliamente el umbral de 45 millones de usuarios previsto en el artículo 33 del DSA para la designación como VLOSE. El proveedor identificado a estos efectos es OpenAI Ireland Limited.

¿Qué cambia jurídicamente para ChatGPT?

ChatGPT ya estaba sujeto a determinadas obligaciones generales del DSA. Sin embargo, su designación como VLOSE activa el régimen reforzado aplicable a aquellos servicios que, por su dimensión y alcance, pueden generar riesgos sistémicos para la sociedad europea.

De conformidad con el artículo 33.6 del DSA, estas obligaciones adicionales comienzan a aplicarse cuatro meses después de la notificación de la designación. Por ello, según ha indicado la Comisión, ChatGPT deberá cumplir plenamente este régimen reforzado en enero de 2027.

Entre las principales obligaciones destacan:

1. Evaluación de riesgos sistémicos asociados al diseño, funcionamiento y utilización del servicio y de sus sistemas algorítmicos, conforme al artículo 34 DSA.
2. Adopción de medidas de mitigación razonables, proporcionadas y efectivas frente a dichos riesgos, de acuerdo con el artículo 35.
3. Auditorías independientes periódicas, al menos anuales, conforme al artículo 37.
4. Acceso a determinados datos por parte de la Comisión, de las autoridades competentes y, bajo determinadas condiciones, de investigadores acreditados, en los términos del artículo 40.
5. Establecimiento de una función independiente de compliance, dotada de autoridad, recursos suficientes y acceso directo al órgano de administración, conforme al artículo 41.
6. La evaluación deberá prestar especial atención, entre otros aspectos, a los riesgos vinculados a la difusión de contenidos ilícitos, los derechos fundamentales, la protección de los menores, el bienestar físico y mental de los usuarios, la seguridad pública y los procesos electorales.
7. La Comisión dispondrá, además, de amplias facultades de supervisión e investigación sobre las funcionalidades del servicio y los sistemas algorítmicos que lo sustentan.
   El régimen sancionador es igualmente significativo: determinadas infracciones del DSA pueden ser sancionadas con multas de hasta el 6% del volumen de negocios mundial anual del prestador.

DSA y Reglamento de IA: dos capas regulatorias distintas y acumulativas

Conviene aclarar una cuestión importante: la designación de ChatGPT como VLOSE no significa que haya sido clasificado como sistema de IA de alto riesgo conforme al Reglamento de Inteligencia Artificial. Estamos ante dos marcos regulatorios distintos.

El DSA atiende principalmente a la naturaleza, funcionamiento, dimensión e impacto sistémico del servicio digital. Por su parte, el Reglamento (UE) 2024/1689 de Inteligencia Artificial (posteriormente modificado en 2026) establece un marco basado en el tipo de sistema de IA, su finalidad prevista y los riesgos asociados a su utilización. El propio Reglamento de IA persigue un marco uniforme para el desarrollo, introducción en el mercado, puesta en servicio y utilización de sistemas de IA, combinando innovación con protección de la salud, la seguridad y los derechos fundamentales.

Ambos regímenes, por tanto, pueden concurrir sobre un mismo servicio. Esta interacción resulta especialmente visible desde el 2 de agosto de 2026, fecha desde la que resultan aplicables las obligaciones de transparencia del artículo 50 del Reglamento de IA. La Comisión ha precisado mediante sus Directrices de julio de 2026, entre otras cuestiones, las obligaciones aplicables a sistemas que interactúan directamente con personas físicas y a sistemas que generan o manipulan contenidos sintéticos.

Nos encontramos así ante un auténtico escenario de compliance digital acumulativo, en el que DSA, Reglamento de IA, RGPD, normativa de consumidores, propiedad intelectual, ciberseguridad y normativa sectorial pueden aplicarse simultáneamente a un mismo servicio o caso de uso.

¿Qué implica para las empresas que utilizan ChatGPT?

La designación de ChatGPT como VLOSE no convierte a las empresas usuarias en VLOSE ni les traslada las obligaciones regulatorias que corresponden a OpenAI. Sin embargo, sí refuerza la importancia de realizar una adecuada due diligence jurídica y tecnológica de los proveedores de IA.

Las organizaciones que utilizan o integran ChatGPT en sus procesos internos, productos o servicios deberían revisar, entre otras cuestiones, su inventario de sistemas de IA, el rol que desempeñan dentro de la cadena de valor del Reglamento de IA, los datos y contenidos que se facilitan al sistema, las garantías de confidencialidad y propiedad intelectual y las obligaciones de transparencia, protección de datos y supervisión humana aplicables a cada caso de uso.

Asimismo, el cumplimiento del régimen reforzado del DSA puede traducirse en nuevas funcionalidades y medidas de transparencia, trazabilidad, gobernanza algorítmica y gestión de riesgos dentro de ChatGPT en la Unión Europea. Estos cambios deberán incorporarse progresivamente a los procesos de evaluación y gestión de proveedores tecnológicos de las empresas usuarias.

La creciente interacción entre DSA y Reglamento de IA obliga a abandonar análisis regulatorios aislados. Desde Rebés-Ferrer asesoramos a empresas en la clasificación jurídica de sistemas y servicios de IA, evaluación y documentación de riesgos, diseño de modelos de gobernanza de IA, revisión contractual de proveedores tecnológicos, políticas internas de uso de IA, cumplimiento de obligaciones de transparencia, auditorías de compliance y preparación ante actuaciones de las autoridades competentes.

Enlace al comunicado de prensa de la Comisión Europea:

Comisión Europea- Comunicado de prensa- ChatGPT como VLOSE

La entrada ChatGPT, reconocido por la Comisión Europea como motor de búsqueda en línea de muy gran tamaño (VLOSE): nuevas obligaciones bajo el Digital Services Act (DSA) se publicó primero en Rebes - Ferrer.

• Cumplir la ley ya no basta: las empresas necesitan sistemas de compliance, políticas de igualdad y una gestión rigurosa de datos.
• Implantar protocolos, formar equipos y prevenir riesgos es clave para trabajar con seguridad jurídica y proteger a la organización.

La implantación de políticas de género y de sistemas de cumplimiento normativo se ha convertido en una necesidad para cualquier organización que quiera operar con seguridad jurídica y proyectar una cultura empresarial responsable. La normativa vigente en materia de igualdad, diversidad, prevención del acoso y protección de datos exige a las empresas adoptar medidas concretas, documentadas y verificables. Pero más allá de la obligación legal, estas políticas son una herramienta de gestión del talento, prevención de riesgos y fortalecimiento reputacional.

Los planes de igualdad, las auditorías retributivas y la valoración objetiva de puestos permiten detectar brechas, corregir desigualdades y mejorar la transparencia interna. Los protocolos contra el acoso sexual, por razón de sexo o contra personas LGTBI son esenciales para garantizar entornos seguros y actuar con rapidez ante cualquier incidencia. La perspectiva de género aplicada a la contratación, la conciliación o la desconexión digital contribuye a crear organizaciones más equilibradas y competitivas.

En paralelo, los sistemas de compliance ayudan a prevenir riesgos legales mediante códigos éticos, políticas anticorrupción, mapas de riesgos y modelos de prevención de delitos. La protección de datos exige auditorías, análisis de riesgos, evaluaciones de impacto y protocolos de brechas de seguridad para cumplir con el RGPD y la LOPDGDD.

En Rebés-Ferrer acompañamos a empresas y administraciones en el diseño, implantación y seguimiento de estas políticas, asegurando que cada medida se adapte a la realidad de la organización y cumpla plenamente la normativa. Nuestro enfoque combina rigor jurídico, visión estratégica y acompañamiento continuo, para que la igualdad y el cumplimiento normativo se conviertan en una ventaja competitiva real.

La entrada Políticas de género, compliance e igualdad: una obligación legal y una oportunidad estratégica se publicó primero en Rebes - Ferrer.

Cada vez son más las compañías que emprenden procesos de internacionalización, ya sea mediante la colaboración con socios extranjeros, el desarrollo de proyectos internacionales o la apertura de filiales en otras jurisdicciones.

Esta tendencia creciente permite a las empresas acceder a nuevos mercados, diversificar su actividad y potenciar su crecimiento corporativo. No obstante, la expansión internacional también conlleva nuevos retos y riesgos, tanto desde el punto de vista jurídico como operativo, que deben ser adecuadamente identificados, gestionados y mitigados.

La principal dificultad radica en desenvolverse en entornos con culturas y normativas diferentes, sistemas judiciales con criterios propios y marcos regulatorios que pueden diferir significativamente de los del mercado de origen.

Aspectos tales como, la contratación mercantil, la responsabilidad civil, la fiscalidad, la protección de datos o la resolución de conflictos adquieren una complejidad adicional cuando intervienen varias jurisdicciones. En este contexto, contar con asesoramiento jurídico especializado es esencial para anticipar y gestionar los riesgos, así como para adoptar las decisiones adecuadas que contribuyan al éxito del proyecto.

En Rebés-Ferrer mantenemos alianzas estables con firmas internacionales que comparten nuestros valores, nuestra metodología de trabajo y nuestra visión del ejercicio profesional. Asimismo, disponemos de un equipo interdisciplinar que permite abordar cada asunto transnacional de forma coordinada, integrando las distintas perspectivas jurídicas y asegurando una estrategia común y coherente.

La entrada Internacionalización empresarial: crecer con seguridad jurídica se publicó primero en Rebes - Ferrer.

En las operaciones societarias que implican la transmisión de activos y pasivos o la restitución de valor a los socios, resulta esencial analizar no solo qué bienes, derechos y obligaciones se trasladan, sino también qué responsabilidades legales corresponden a quienes transmiten y reciben el patrimonio. Esta cuestión es especialmente relevante en operaciones tales como las escisiones y las reducciones de capital de sociedades limitadas, entre otras, pues la inscripción de la operación no siempre extingue el riesgo frente a los acreedores.

En una escisión, cada sociedad beneficiaria sucede universalmente a la sociedad escindida respecto de la parte del patrimonio que se le atribuye. Sin embargo, la asignación de una deuda a una determinada beneficiaria no significa que las restantes sociedades participantes queden exentas de responsabilidad en caso de incumplimiento. El artículo 70 del Real Decreto-ley 5/2023 establece que, respecto de las deudas nacidas antes de la publicación del proyecto de escisión y no vencidas en ese momento que hayan sido asumidas por una sociedad beneficiaria y resulten incumplidas, las demás sociedades beneficiarias responderán solidariamente hasta el límite de los activos netos atribuidos a cada una de ellas y, si la propia sociedad escindida subsiste, responderá también hasta el importe de los activos netos que permanezcan en su patrimonio. Asimismo, las sociedades beneficiarias responderán, en esos mismos términos, de las deudas que permanezcan a cargo de la sociedad escindida. Esta responsabilidad solidaria prescribe a los cinco años.

Una regla semejante opera en la reducción de capital de una sociedad limitada con restitución de aportaciones. Los socios a quienes se hubiera restituido la totalidad o parte del valor de sus aportaciones responden solidariamente entre sí y con la sociedad del pago de las deudas sociales contraídas con anterioridad a la fecha en que la reducción sea oponible a terceros. La responsabilidad de cada socio queda limitada al importe percibido y también prescribe a los cinco años. No obstante, esta responsabilidad puede excluirse si, en los términos previstos en el artículo 332 de la Ley de Sociedades de Capital, se dota una reserva indisponible por un importe igual al percibido por los socios.

Esta misma lógica aparece en otras operaciones tales como en las cesiones globales de activo y pasivo (responsabilidad solidaria de los demás cesionarios y la propia sociedad, hasta el límite del activo neto atribuido a cada uno) y en la liquidación de sociedades (responsabilidad de los antiguos socios de las deudas sociales no satisfechas hasta el límite de lo recibido por cada uno como cuota de liquidación).

Por ello, antes de ejecutar cualquiera de estas operaciones conviene revisar cuidadosamente las deudas existentes, las posibles contingencias y el patrimonio que permanecerá o será atribuido a cada sociedad. También resulta recomendable prever garantías y mecanismos contractuales de indemnización. Estos instrumentos permiten delimitar internamente el reparto del riesgo entre las partes, aunque no eliminan la responsabilidad legal que pueda corresponder frente a terceros.

Borja Santamaría |  Socio Departamento Mercantil

La entrada La responsabilidad legal en la transmisión de activos y pasivos en determinadas operaciones societarias se publicó primero en Rebes - Ferrer.

El derecho administrativo es mucho más que un conjunto de normas que regulan la actuación de a las Administraciones Públicas: es un marco que condiciona de manera directa la actividad cotidiana de las empresas. Autorizaciones, licencias, inspecciones, sanciones, urbanismo, contratación pública, responsabilidad patrimonial… todos estos elementos forman parte de un ecosistema jurídico que puede impulsar o frenar proyectos empresariales si no se gestiona con criterio y anticipación.

En sectores como el inmobiliario, la alimentación, la energía o el transporte, la relación con la Administración es constante. Un error en un trámite, una interpretación incorrecta de una norma o un incumplimiento involuntario pueden derivar en sanciones, paralizaciones de actividades o bloqueos que afectan a la continuidad del negocio. Por ello, el derecho administrativo no es solo una cuestión de cumplimiento: es una pieza clave de la estrategia empresarial.

En Rebés – Ferrer ofrecemos un asesoramiento especializado que combina experiencia técnica y un conocimiento profundo del funcionamiento administrativo. Acompañamos a las empresas en la tramitación de expedientes, la formulación de instrumentos urbanísticos, la defensa en procedimientos sancionadores, la preparación de proyectos de implantación de nuevas actividades y la realización de procesos de due diligence desde todas las ópticas del derecho público.

Anticipamos cambios normativos, analizamos el entorno regulador y diseñamos estrategias que permiten a las empresas operar con confianza y estabilidad. En un entorno donde la regulación es cada vez más exigente, contar con un equipo experto en derecho administrativo es esencial para proteger el negocio y contribuir a su crecimiento.

Víctor Carrera |  Socio Departamento Derecho Público-Administrativo

La entrada Derecho administrativo: el impacto de la regulación pública en las empresas se publicó primero en Rebes - Ferrer.

La inteligencia artificial ha dejado de ser una promesa tecnológica para convertirse en un componente operativo de miles de empresas europeas. Sistemas de scoring crediticio, herramientas de selección de personal, asistentes de diagnóstico médico y algoritmos de mantenimiento predictivo ya toman o influyen en decisiones con consecuencias jurídicas directas sobre personas y patrimonio.

Este avance acelerado se encuentra ahora con un marco regulatorio que cambiará radicalmente las reglas del juego en materia de responsabilidad civil: la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos. Esta nueva Directiva, que deroga la anterior Directiva 85/374/CEE tras casi cuatro décadas de vigencia, introduce un cambio de paradigma fundamental: por primera vez, el software (incluidos los sistemas de inteligencia artificial) se considera expresamente un producto a efectos de responsabilidad objetiva.

Esto significa que cuando un sistema de IA cause daños debido a un defecto, el perjudicado podrá reclamar directamente al fabricante sin necesidad de demostrar culpa o negligencia, aplicándose el mismo régimen de responsabilidad que tradicionalmente se reservaba a los productos físicos. La transposición por los Estados miembros deberá completarse antes de diciembre de 2026, lo que otorga a las empresas un margen limitado para adaptar sus procesos de desarrollo y documentación.

En paralelo, el Reglamento (UE) 2024/1689 (AI Act) ya impone obligaciones sustantivas de cumplimiento que configuran lo que, en la práctica, constituirá el estándar probatorio frente a reclamaciones.

Para las empresas que desarrollan, integran o despliegan sistemas de IA, la pregunta ya no es si la regulación les afectará, sino si estarán preparadas cuando un perjudicado reclame.

La documentación técnica como escudo defensivo

En este nuevo escenario, la documentación técnica no es un mero requisito burocrático: es la prueba jurídica central del cumplimiento. El AI Act exige que la documentación técnica se elabore antes de la introducción en el mercado y se mantenga actualizada de forma permanente, de modo que demuestre que el sistema cumple los requisitos establecidos y proporcione a las autoridades la información necesaria para evaluar su conformidad.

El Reglamento es contundente en su filosofía: si no está documentado, jurídicamente casi equivale a no existir. Una empresa que asegure revisar el sesgo algorítmico de su sistema, pero no pueda acreditarlo documentalmente enfrentará un problema grave en cualquier inspección o reclamación.

La documentación técnica cumple tres funciones defensivas simultáneas:

1. En primer lugar, como valor probatorio ante reclamaciones, permite demostrar que se adoptaron las medidas de diseño, prueba y mitigación de riesgos adecuadas antes y durante el despliegue del sistema. En un procedimiento por daños, la existencia de una documentación robusta puede ser la diferencia entre una presunción de defecto y una defensa efectiva.
2. En segundo lugar, como instrumento de trazabilidad, permite reconstruir las decisiones de diseño, las versiones del sistema, los datos de entrenamiento y los resultados de las pruebas a lo largo de todo el ciclo de vida. El considerando 71 del Reglamento subraya que resulta esencial disponer de información comprensible sobre cómo se han desarrollado los sistemas y sobre su funcionamiento durante toda su vida útil.
3. En tercer lugar, como soporte frente a auditorías, facilita la cooperación con autoridades competentes cuando estas requieran demostrar la conformidad del sistema. El artículo 21 del AI Act convierte la documentación técnica en pieza viva de cualquier procedimiento administrativo o judicial.

Medidas preventivas recomendadas

Desde Rebes-Ferrer, recomendamos a las empresas que desarrollan, integran o utilizan sistemas de IA abordar las siguientes líneas de actuación preventiva:

• Auditoría preventiva de sistemas de IA: Identificar y clasificar los sistemas de IA en uso o desarrollo dentro de la organización, determinando su nivel de riesgo y evaluando que obligaciones se activan.
• Documentación defensiva: Documentación y registros suficientes actualizados que permita generar una cadena de responsabilidad y cumplimiento efectivo.
• Matrices de responsabilidad entre actores de la cadena: Clarificar contractualmente quién asume qué.
• Revisión de pólizas de seguro: Muchas coberturas tradicionales excluyen o no contemplan específicamente los daños causados por software autónomo o por decisiones algorítmicas.
• Revisión y adaptación de contratos: Los contratos con proveedores tecnológicos, integradores y clientes deben adaptarse al nuevo marco.

Conclusión: la preparación anticipada como ventaja competitiva

El nuevo régimen europeo de responsabilidad por IA no es una amenaza abstracta: es un marco normativo con plazos concretos que entrará en vigor antes de lo que muchas organizaciones anticipan. Las empresas que inviertan hoy en documentación técnica robusta, sistemas de gestión de riesgos y arquitecturas contractuales adaptadas no solo cumplirán la ley, sino que dispondrán de la mejor defensa posible frente a reclamaciones.

En Rebes-Ferrer combinamos experiencia en gobierno corporativo, privacidad de datos y ciberseguridad para ofrecer un acompañamiento integral en la preparación ante este nuevo escenario regulatorio. Si su organización desarrolla, integra o utiliza sistemas de inteligencia artificial, le invitamos a contactar con nuestro equipo para una consulta preventiva. La mejor defensa se construye antes de que surja el conflicto.

Alba Terés  | Departamento IA-Gobernanza Digital

La entrada Responsabilidad por daños causados por IA: por qué la documentación técnica será la mejor defensa se publicó primero en Rebes - Ferrer.