· 6 min de lectura · IA para Empresas
Sí, es legal. Pero hay cuatro cosas que atar, y la que más multas genera no es el AI Act: es el contrato con tu proveedor de IA.
Alguien de tu equipo propone meter un agente de IA que lea las facturas de proveedor y las pase al ERP. Y aparece la pregunta que frena el proyecto tres meses: ¿es legal procesar facturas con IA? La respuesta corta es sí. La larga es que hay cuatro cosas que tienes que tener atadas, y ninguna de las cuatro es la que te está vendiendo el sector.
Porque desde agosto de 2026 medio mundo te llama para contarte que el AI Act te obliga a algo. Casi siempre exagerando. Vamos a separar lo que la ley dice de lo que la ley no dice.
El error de partida es pensar que como esto es B2B, el RGPD no pinta nada. Pinta.
Una factura de una S.L. a otra S.L. lleva pocos datos personales, cierto. Pero lleva el nombre y el correo de la persona que la firma, del comercial que la envía y del administrativo que la recibe. Y si tu proveedor es un autónomo, su NIF, su nombre y su dirección son datos personales suyos, punto. Lo mismo pasa con los pedidos: el nombre del jefe de compras, su móvil, el histórico de qué pide y cuándo.
Así que cuando un agente de IA lee ese documento, hay tratamiento de datos personales. Con eso resuelto, el resto se ordena solo.
Cuatro puntos, en cristiano:
Base legal. No necesitas consentimiento del proveedor para procesar su factura. La estás tratando para ejecutar un contrato y para cumplir obligaciones fiscales. Eso ya te da cobertura. Lo que sí tienes que hacer es actualizar tu registro de actividades de tratamiento y tu política de privacidad para reflejar que ahora interviene un sistema automatizado.
Minimización. El agente debe leer lo que necesita para su tarea. Una factura entera, sí. El histórico completo del proveedor con anotaciones internas del comercial, no, si el trabajo es sacar el número, la fecha, las líneas y el importe. La AEPD insiste en no volcar información innecesaria en sistemas de IA y en que la empresa sigue siendo responsable aunque quien use la herramienta sea un empleado por su cuenta.
El contrato con tu proveedor de IA. Aquí está el punto que casi nadie mira y que es el que más multas genera. Si un tercero trata datos por cuenta tuya, es encargado del tratamiento y necesitas el contrato del artículo 28. Y no vale con tenerlo firmado: la AEPD revisa si hubo verificación previa real y supervisión continua, no solo si existe el papel. Los expedientes recientes van justo por ahí: contratos firmados, cero control, subencargados que el cliente no sabía ni que existían.
Tres cláusulas que tienes que exigir sí o sí: que no entrenen modelos con tus datos, dónde se procesan (y si salen de la UE, análisis de transferencia internacional) y qué subencargados hay detrás.
Decisiones automatizadas. El artículo 22 protege a las personas frente a decisiones tomadas solo por una máquina que les afecten de forma significativa. Extraer datos de una factura y meterlos en el ERP no es eso. Bloquear el crédito de un cliente automáticamente, o denegarle un pedido, empieza a acercarse. La línea la marca quién se come la consecuencia: si es una persona y le duele, mete un humano en medio.
Desde el 2 de agosto de 2026 está en vigor la fase general del reglamento europeo de IA y la AESIA tiene competencias plenas de inspección en España. Lo que aplica hoy a la mayoría de empresas es el artículo 50, el de transparencia: avisar a la persona cuando está interactuando con un sistema de IA, marcar el contenido generado artificialmente y etiquetar los deepfakes. Las sanciones por incumplir obligaciones de transparencia llegan a 15 millones de euros o el 3% de la facturación mundial; las prácticas prohibidas, a 35 millones o el 7%.
Ahora la parte que no te van a contar en la llamada de venta.
Las obligaciones duras del AI Act son para los sistemas de alto riesgo: los del anexo III (empleo, educación, biometría, infraestructuras críticas) y los del anexo I (maquinaria, sanitarios). Un agente que extrae líneas de un albarán y las escribe en tu ERP no está en ninguna de las dos listas. Además, según el calendario vigente tras el Digital Omnibus, esas obligaciones se han desplazado a diciembre de 2027 y agosto de 2028.
Traducido: si alguien te dice que necesitas un sistema de gestión de riesgos certificado para automatizar tus pedidos, te está vendiendo humo. Lo que sí necesitas es el contrato del artículo 28 bien hecho, saber dónde van tus datos y avisar cuando un humano hable con un agente. Eso último importa mucho si el agente contesta a clientes, como cuando automatizas la gestión de incidencias con IA: ahí el aviso de que hay una máquina delante no es opcional.
Y un apunte que se cruza con todo esto: los calendarios de Veri*factu y de la factura electrónica B2B se han movido varias veces, así que confirma las fechas antes de planificar en lugar de fiarte del artículo que leíste el año pasado.
Seis cosas, ninguna cuesta dinero:
Con eso cubres el 90% de lo que te van a preguntar en una auditoría. El otro 10% depende de tu sector.
Ser legal no es ser fiable. Un agente puede cumplir el RGPD entero y aun así confundir el número de albarán, leer mal un decimal o dar por buena una factura duplicada. La ley no te protege de los datos sucios: si tu maestro de artículos está hecho un desastre, el agente lo hará todo correctamente mal. Por eso conectar la IA con tu ERP sin cambiar de ERP empieza siempre por revisar qué hay dentro, no por elegir modelo.
Tampoco te quita responsabilidad. Si el agente se equivoca, la culpa es de tu empresa, no del modelo. Por eso todo lo que montamos lleva umbrales: por encima de cierto importe o por debajo de cierta confianza, para y avisa a una persona.
Si lo que quieres es dejar de teclear facturas y pedidos, la conversación legal es una tarde. La difícil es la otra: qué documentos entran, en qué formato llegan y qué campos hay que sacar. Eso es lo que hace nuestro procesador de documentos con IA, y lo mismo aplica a la captación automática de pedidos hasta el ERP.
Te ofrecemos una auditoría gratuita de 30 minutos: miramos tus documentos reales, te decimos qué se puede automatizar hoy, qué no, y qué papeles necesitas tener firmados antes de empezar. Sin PowerPoint.
Transparencia: este artículo contiene partes generadas con un agente de IA de MALDITAIA y se ha publicado con aprobación humana. Predicamos con el ejemplo.
Volver al blog de MalditaIA · Solicita una consultoría gratuita