Si tu gestoría o asesoría usa ChatGPT o Copilot para resumir normativa, un programa que clasifica facturas solo o un chatbot en la web, ya tienes obligaciones activas. Las que más pesan hoy vienen del RGPD: contrato de encargado con el proveedor (art. 28), información a los clientes (arts. 13 y 14) y, si tratas datos de los empleados de tus clientes, el régimen de categorías especiales (art. 9). Del Reglamento (UE) 2024/1689 te aplican el artículo 4 de alfabetización (desde el 2 de febrero de 2025) y el artículo 50 de transparencia (desde el 2 de agosto de 2026) si tienes chatbot o publicas contenido generado. El alto riesgo, salvo que uses IA para decidir sobre tu propia plantilla, no te toca. Y hay una parte que es oportunidad: tus clientes te van a preguntar por todo esto, y el Real Decreto 723/2026 les afecta desde el 5 de octubre de 2026.
Cómo se usa la IA en gestorías y asesorías
El uso más extendido es el asistente generativo: ChatGPT, Copilot o Gemini para resumir una orden ministerial, redactar un escrito de alegaciones, preparar una circular para clientes o traducir una consulta tributaria a lenguaje llano. Es el uso que menos se planifica y el que más datos de clientes acaba recibiendo sin que nadie lo decida.
El segundo es la clasificación automática de facturas y apuntes contables. Los programas de contabilidad y los lectores de facturas incorporan modelos que leen el documento, proponen la cuenta contable y el tipo de IVA y detectan duplicados. La IA decide poco por sí sola, pero trata datos de proveedores, clientes y particulares de forma masiva.
El tercero es el chatbot de atención en la web o en WhatsApp, que responde a preguntas frecuentes, recoge documentación y agenda citas. El cuarto, el análisis de nóminas y contratos con IA: revisar convenios, detectar errores en las nóminas de un cliente, comparar cláusulas. El quinto, la generación de contenido para redes y newsletter con herramientas generativas o Canva. Y hay un sexto menos visible: la IA integrada en el software del despacho (gestión de expedientes, CRM, ofimática) que se activa sola con una actualización. Conviene contarla en el inventario aunque nadie la haya pedido.
Qué obligaciones activa cada uso
En todos los usos de arriba tu despacho es responsable del despliegue (deployer) y no proveedor, con una excepción que verás en la tabla. Eso reduce mucho la carga del Reglamento de IA y la concentra en el RGPD.
| Uso | Norma y artículo | Desde | Qué hacer |
|---|---|---|---|
| ChatGPT, Copilot o Gemini con datos de clientes | RGPD art. 28 (encargado), arts. 13-14, art. 35 (EIPD si procede); RIA art. 4 | Ya en vigor; art. 4 desde 2-feb-2025 | Usar solo versiones de empresa con contrato de encargado; prohibir las de consumo con datos de clientes; formación registrada al equipo |
| Clasificación automática de facturas y contabilidad | RGPD art. 28 y art. 22 si hay decisiones sin revisión; RIA art. 4 | Ya en vigor | Contrato con el proveedor del software, revisión humana de lo que propone la IA, anotarlo en el inventario |
| Chatbot de atención en web o WhatsApp | RIA art. 50.1 (aviso de IA); art. 25 si lo rebrandeas o modificas; RGPD arts. 13-14 | 2-ago-2026 | Aviso claro de que se habla con una IA; si va en marca blanca, revisar si pasas a ser proveedor; política de privacidad actualizada |
| Análisis de nóminas y contratos de clientes | RGPD art. 9 (categorías especiales), art. 28, art. 35 (EIPD) | Ya en vigor | No subir nóminas a herramientas sin contrato; EIPD si el tratamiento es sistemático; instrucciones del cliente como responsable |
| Contenido para redes y newsletter | RIA art. 50.4 (deepfakes); art. 50.2 lo cumple el proveedor de la herramienta | 2-ago-2026 | Etiquetar imágenes o vídeos que parezcan reales; los textos revisados por una persona del despacho no necesitan etiqueta |
| IA para turnos, evaluación o selección de tu propia plantilla | ET art. 64.4.d; RD 723/2026 art. 3.2.k; RIA Anexo III y art. 26 solo si selecciona, evalúa, promociona o despide (los turnos no son alto riesgo) | ET desde 2021; RD 723 desde 5-oct-2026; art. 26 desde 2-dic-2027 | Informar por escrito a cada empleado; informar al comité si lo hay; preparar el art. 26 con calma |
Dos detalles sobre la tabla. El aviso del chatbot lo explica en detalle la guía sobre si es obligatorio avisar de que el chatbot es una IA: la obligación del artículo 50.1 es del proveedor, pero si tu despacho pone su marca a un chatbot de terceros o lo modifica de forma sustancial, el artículo 25 puede convertirte en proveedor. Y sobre la formación: el artículo 4, tras el Digital Omnibus de julio de 2026, pide «tomar medidas para apoyar» la alfabetización; no hace falta certificado, basta un registro interno, como cuenta la guía sobre formación en IA para empleados.
El error más común del sector: usar la versión gratuita o personal de ChatGPT con documentos de clientes. Las versiones de consumo no ofrecen contrato de encargado del tratamiento conforme al artículo 28 del RGPD y, según su configuración, pueden usar lo que introduces para entrenar el modelo. Para un despacho sujeto a secreto profesional eso es un problema doble: incumplimiento del RGPD y ruptura de la confidencialidad que te exige el cliente. La solución no es prohibir la IA, sino contratar la versión de empresa y dejar por escrito cuál se usa y cuál no.
Lo que NO te aplica
No eres operador de alto riesgo por asesorar. Los usos del Anexo III que afectan a una gestoría son los de recursos humanos (selección, evaluación, promoción, despido) y solo cuando los aplicas a tu propia plantilla con un sistema de IA. Preparar las nóminas de un cliente con un software que clasifica conceptos no es una decisión de empleo tomada por IA. Y aunque usaras un sistema de alto riesgo, el artículo 26 no se aplica hasta el 2 de diciembre de 2027.
Tampoco te aplica la evaluación de impacto en derechos fundamentales (FRIA) del artículo 27, reservada a organismos públicos, entidades que prestan servicios públicos y banca y seguros. Lo que sí puede tocarte es la EIPD del artículo 35 del RGPD, que es otra cosa y ya está en vigor.
Y no esperes una inspección de AESIA mañana. A 15 de septiembre de 2026 la Ley Orgánica española de gobernanza de la IA sigue en la Comisión de Economía del Congreso y AESIA no tiene régimen sancionador tipificado. Quien sanciona hoy en tu sector es la AEPD (hasta 20 millones de euros o el 4 % de la facturación) y, en lo laboral, la Inspección de Trabajo. El artículo 4 no tiene multa directa en el artículo 99 del Reglamento; en el proyecto español encaja como infracción leve, pero eso dependerá del texto que se apruebe.
Riesgos específicos del sector
El primero es el secreto profesional. Un despacho maneja cuentas, contratos, litigios y situaciones personales de sus clientes. Cada herramienta de IA que recibe esa información es un tercero al que hay que atar con un contrato de encargado (art. 28 RGPD) e instrucciones claras sobre conservación y uso para entrenamiento. La guía sobre Copilot, Gemini y datos de clientes detalla qué mirar en cada proveedor.
El segundo son los datos de los empleados de tus clientes. Por una asesoría laboral pasan bajas médicas, incapacidades, cuotas sindicales descontadas en nómina, discapacidades con bonificación. Todo eso es categoría especial del artículo 9 del RGPD. Subir una nómina a un asistente generativo para «que me la revise» es tratar datos de salud o de afiliación sindical en una herramienta que quizá no tiene ni contrato. Ahí la EIPD del artículo 35 deja de ser opcional en la mayoría de los casos.
El tercero es la posición contractual. Tu despacho es encargado del tratamiento de sus clientes: si subcontratas a un proveedor de IA sin autorización ni reflejarlo en el contrato de encargo, el incumplimiento es tuyo frente a ellos.
Lo que exigirán tus clientes
Las pymes que asesoras tienen las mismas dudas que tú y menos medios para resolverlas. Dos fechas van a generar preguntas. La primera es el 5 de octubre de 2026, cuando entra en vigor el Real Decreto 723/2026: cualquier cliente que use software de cuadrantes, reparto de tareas o evaluación con reglas automáticas debe informar por escrito a cada trabajador (art. 3.2.k). La segunda ya pasó: desde el 2 de febrero de 2025 el artículo 4 les pide medidas de alfabetización en IA, y casi ninguno lo sabe. Un despacho con un modelo de anexo del RD 723/2026, una política de uso de IA y un registro de formación puede ofrecerlos como servicio a su cartera: es la misma documentación que necesitas para ti, multiplicada por el número de clientes.
Checklist para gestorías y asesorías
- Haz el inventario de herramientas con IA del despacho, incluidas las que vienen integradas en el software de gestión y la ofimática.
- Sustituye las cuentas personales o gratuitas de ChatGPT, Copilot o Gemini por versiones de empresa con contrato de encargado (art. 28 RGPD) y desactiva el uso para entrenamiento.
- Redacta una política interna de uso de IA: qué herramientas, con qué datos, qué nunca se sube (nóminas, bajas, datos de afiliación, expedientes con litigio).
- Revisa los contratos de encargo con tus clientes para reflejar a los proveedores de IA como subencargados.
- Haz una EIPD si analizas de forma sistemática nóminas o contratos con datos de categorías especiales.
- Pon el aviso del artículo 50.1 en el chatbot de la web o de WhatsApp y comprueba si va en marca blanca.
- Organiza una sesión de formación al equipo y anótala en un registro (art. 4).
- Prepara un paquete para clientes: anexo del RD 723/2026, política de uso de IA y registro de formación.
Si quieres saber en qué punto está tu despacho antes de ofrecerlo a nadie, el diagnóstico gratuito de Gobernaia te lo dice en tres minutos y sirve igual para tus clientes.
Fuentes
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA (art. 4)
- Comisión Europea: FAQ sobre obligaciones de transparencia (art. 50)
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
- AESIA: guías y recursos
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.