AI Act y RGPD: cómo adaptar la política de privacidad de tu empresa

El Reglamento Europeo de Inteligencia Artificial regula determinados sistemas y usos de IA según sus riesgos. El RGPD establece las condiciones para tratar datos personales. Si la herramienta utiliza información sobre personas identificadas o identificables, ambas normas pueden resultar aplicables. El artículo 2 del AI Act mantiene expresamente la normativa de protección de datos.

Por eso, antes de introducir una base de clientes o utilizar una puntuación para evaluar a un trabajador, revisaría ese tratamiento concreto. La documentación de cumplimiento del proveedor es una parte del análisis; también tienes que justificar lo que hace tu empresa.

Los nombres de los papeles pueden confundir. En el AI Act, una empresa que utiliza profesionalmente un sistema suele ser responsable del despliegue. En el RGPD, es responsable del tratamiento cuando decide sus fines y medios. Un proveedor puede ser encargado para unas operaciones y tener otro papel en otras. Hay que revisar cada relación por separado.

Fuentes: Comisión Europea: AI Act, artículo 2: relación con la protección de datos · Comisión Europea: AI Act, artículo 3: definiciones · AEPD: Cómo distinguir al responsable y al encargado del tratamiento

Es fácil perderse si guardaste un calendario y después encontraste otro distinto. El Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, entró en vigor el 27 de julio de 2026 y modificó varios plazos. Para organizar el trabajo, utiliza las fechas actualizadas.

Fuentes: Comisión Europea: Entrada en vigor del Ómnibus digital sobre IA · Comisión Europea: AI Act, artículo 113: calendario de aplicación · BOE / Diario Oficial de la Unión Europea: Reglamento (UE) 2026/1744: reforma del AI Act

Evitaría empezar añadiendo una frase genérica del tipo «utilizamos inteligencia artificial para mejorar nuestros servicios». Primero comprobaría si una persona puede entender qué ocurre realmente con sus datos. El aviso tiene que seguir siendo útil para un cliente, un empleado o alguien que envía su currículo.

Según el tratamiento, estos son los puntos que debes revisar, junto con el resto de la información obligatoria de los artículos 13 o 14 del RGPD:

• La finalidad concreta: responder consultas, analizar solicitudes, elaborar perfiles o entrenar un modelo, cuando proceda.
• La base jurídica que permite cada tratamiento. Utilizar IA no justifica por sí solo el tratamiento.
• Los destinatarios o sus categorías y las intervenciones de proveedores que deban comunicarse.
• Las transferencias internacionales y sus garantías, si las hay.
• Los plazos de conservación o los criterios para determinarlos.
• Los derechos y la forma de ejercerlos, incluida la información sobre decisiones automatizadas cuando sea exigible.

Fuentes: BOE / Diario Oficial de la Unión Europea: Reglamento General de Protección de Datos · AEPD: Cómo cumplir con el deber de informar

El artículo 50.1 del AI Act exige al proveedor diseñar los sistemas de interacción directa para informar de que se está hablando con una IA, salvo que resulte evidente en el contexto y con las demás excepciones del artículo. La información debe aparecer, como máximo, en la primera interacción.

Al implantarlo, abriría el asistente como lo haría un cliente. ¿Se entiende quién responde? ¿Está a mano la información sobre sus datos? Pide al proveedor que explique cómo ha resuelto este requisito y coordínalo con el aviso de privacidad. Son informaciones relacionadas, pero cumplen funciones distintas.

Hay una transición diferente para el marcado técnico de contenidos sintéticos del artículo 50.2: los sistemas comercializados antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir ese apartado. Ese plazo no aplaza el aviso de interacción con IA del artículo 50.1.

Fuentes: Comisión Europea: AI Act, artículo 50: transparencia · Comisión Europea: AI Act, artículo 111: transiciones para sistemas existentes

Puede que nadie haya comprado una herramienta nueva y, aun así, la IA ya esté entrando en varios procesos. Una función añadida al correo o al programa de gestión también merece revisión. Empieza preguntando a cada equipo qué utiliza y para qué.

Anota la herramienta, el departamento, la finalidad, los datos de entrada, las aplicaciones conectadas y los resultados que genera. Deja también el nombre de quien autoriza ese uso. Un asistente que redacta borradores no plantea las mismas preguntas que otro que puntúa candidaturas.

El anexo III contempla determinados sistemas de selección de personal, evaluación de solvencia y evaluación de riesgos o fijación de precios de seguros de vida y salud. Su clasificación depende del uso previsto y de las condiciones y excepciones del artículo 6. No se decide por la marca de la herramienta.

Cada conexión nueva debería dejar definido qué datos puede consultar la IA y qué operaciones tiene permitidas. Así, cuando alguien quiera ampliar el acceso, tendrás un punto de partida para revisar el cambio.

Fuentes: Comisión Europea: AI Act, anexo III: determinados usos de alto riesgo · Comisión Europea: AI Act, artículo 6: clasificación de los sistemas de alto riesgo

Cómo preparar un inventario de sistemas de IA →

Atender una consulta y reutilizar esa conversación para entrenar un modelo son operaciones diferentes. La finalidad con la que recogiste los datos no permite dar por autorizado cualquier uso posterior. Hay que analizar la compatibilidad, la base jurídica y la información necesaria antes de la nueva finalidad.

Tampoco pediría consentimiento por sistema. El Comité Europeo de Protección de Datos contempla que el interés legítimo puede encajar en determinados casos. Exige identificar el interés, acreditar la necesidad y ponderar los derechos y las expectativas de las personas. Que un dato aparezca en internet no equivale a permiso para cualquier uso.

Te propongo separar en la revisión el uso del servicio, su posible entrenamiento o mejora y las finalidades propias del proveedor. Desactivar el entrenamiento puede reducir riesgos, pero no demuestra que se hayan dejado de guardar conversaciones, archivos o registros. Hay que comprobar también esa conservación.

Fuentes: BOE / Diario Oficial de la Unión Europea: Reglamento General de Protección de Datos · Comité Europeo de Protección de Datos: Modelos de IA, anonimato e interés legítimo

Si una respuesta del proveedor se queda en «cumplimos el RGPD», pediría que la concretara. Necesitas saber quién trata los datos, para qué y siguiendo qué instrucciones. Es razonable pedir esa información antes de conectar datos reales de tu empresa.

Cuando actúa como encargado, el contrato debe regular las instrucciones, la confidencialidad, la seguridad y los subencargados. También la asistencia para atender derechos e incidentes y la devolución o eliminación de datos al terminar. Si utiliza información para fines propios, hay que analizar ese tratamiento y su papel específico.

Llevaría estas preguntas a la revisión: ¿cuánto tiempo guarda los archivos?, ¿puede usarlos para mejorar modelos?, ¿cómo se desactiva ese uso?, ¿cómo acredita el borrado?, ¿qué ocurre si cambia de subcontratista? La respuesta debería servir para configurar el servicio y para informar a las personas.

Revisa también los destinos y los accesos internacionales. Si existe una transferencia fuera del Espacio Económico Europeo, identifica el mecanismo que la permite. Cuando se recurra a cláusulas contractuales tipo, habrá que valorar el nivel de protección efectivo y las medidas adicionales que procedan.

Fuentes: Comité Europeo de Protección de Datos: Responsables y encargados: obligaciones de las empresas · AEPD: Cómo distinguir al responsable y al encargado del tratamiento · AEPD: Garantías para las transferencias internacionales de datos

Las siglas pueden hacer que parezca que necesitas dos expedientes completos para cualquier herramienta. No siempre es así. La evaluación de impacto en protección de datos, o EIPD, es obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades. Debe realizarse antes de empezar.

Utilizar IA no determina automáticamente esa obligación. Tampoco puedes descartarla porque el sistema no sea de alto riesgo en el AI Act: los criterios de ambas normas son distintos.

El artículo 27 del AI Act añade una evaluación de derechos fundamentales para determinados responsables del despliegue. Incluye, con el alcance y las excepciones del artículo, ciertos organismos públicos, entidades privadas que prestan servicios públicos y determinados usos de solvencia y seguros de vida y salud. No se exige a toda empresa por incorporar IA.

Mi propuesta es partir de una descripción común del sistema y de sus datos, y completar los requisitos propios de cada evaluación. La reforma de 2026 permite incorporar partes pertinentes de la EIPD o referencias a ella. Eso evita repetir trabajo sin dejar fuera riesgos como una decisión discriminatoria o una revisión humana insuficiente.

Fuentes: AEPD: Cuándo realizar una evaluación de impacto en protección de datos · Comisión Europea: AI Act, artículo 27: evaluación de derechos fundamentales

Para los sistemas de alto riesgo, el artículo 10 establece requisitos sobre los datos de entrenamiento, validación y prueba. Incluye revisar su procedencia, la finalidad original de recogida, su pertinencia y representatividad y los posibles sesgos. Son obligaciones que deben atribuirse al papel correspondiente, según el calendario aplicable.

Una empresa que utiliza un asistente no asume automáticamente todas las responsabilidades de quien desarrolla el modelo. Aun así, necesita comprobar qué información utiliza en su propio proceso y si sirve para la tarea prevista.

La reforma de 2026 incorpora el artículo 4 bis, que permite excepcionalmente determinados tratamientos de categorías especiales de datos para detectar y corregir sesgos. Exige estricta necesidad y garantías acumulativas: que no basten otros datos, incluidos los sintéticos o anónimos; limitar su reutilización; aplicar seguridad y controles de acceso; impedir el acceso o la transmisión a terceros; eliminarlos cuando corresponda y justificar la necesidad en el registro de actividades.

En el supuesto del apartado 2, que incluye a responsables del despliegue y a otros sistemas y modelos, se exige que esos sesgos puedan afectar a la salud, la seguridad o los derechos fundamentales, o producir discriminación prohibida. Ese apartado tampoco impone una obligación general de realizar esa detección.

Fuentes: Comisión Europea: AI Act, artículo 10: datos y gobernanza · Comisión Europea: AI Act, artículo 4 bis: tratamiento para detectar y corregir sesgos

Si una IA influye en decisiones sobre personas, revisa el artículo 22 del RGPD. Se refiere a decisiones basadas únicamente en tratamientos automatizados que producen efectos jurídicos o afectan de forma significativamente similar. Para utilizarlas hay que encajar en una excepción permitida y aplicar las garantías correspondientes.

Preguntaría a quien revisa el resultado si puede entenderlo, cuestionarlo y cambiarlo. La AEPD señala que esa persona necesita tiempo y autoridad para apartarse de la recomendación. Pulsar «aceptar» sin una revisión real puede mantener una decisión automatizada de hecho. Las puntuaciones y las inferencias sobre una persona también pueden ser datos personales.

Piensa en alguien que pide corregir una información inexacta. ¿Puedes localizar dónde se ha usado y evitar que siga influyendo en decisiones? El procedimiento de derechos debe llegar a los sistemas y proveedores implicados, no quedarse en una respuesta por correo.

Lo mismo ocurre con la supresión. Borrar un chat, una memoria o una conexión con otra aplicación puede tener efectos distintos. Cuando proceda ese derecho, comprueba las copias, los registros y las aplicaciones donde se conserva información. Y si afirmas que los datos o el modelo son anónimos, tendrás que justificarlo caso por caso, considerando la posibilidad razonable de extraer información personal.

Fuentes: BOE / Diario Oficial de la Unión Europea: Reglamento General de Protección de Datos · AEPD: Sistemas algorítmicos laborales y supervisión humana · AEPD: Decálogo para proteger la privacidad al utilizar asistentes y agentes de IA · Comité Europeo de Protección de Datos: Dictamen 28/2024 sobre modelos de IA y datos personales

El principio de minimización exige utilizar los datos personales necesarios para la finalidad prevista. Antes de dar acceso al correo o a una carpeta completa, comprobaría si la tarea se puede resolver con menos información. La AEPD recomienda limitar permisos, separar usos personales y profesionales y revisar los servicios conectados.

Puedes traducirlo en controles concretos: habilitar solo las fuentes necesarias, reservar determinados datos para herramientas autorizadas y exigir revisión antes de acciones sensibles. También propondría probar cómo responde el asistente si encuentra instrucciones maliciosas dentro de un correo o documento.

Conservar registros ayuda a investigar lo ocurrido, pero también necesita límites. El artículo 26 establece para responsables del despliegue de sistemas de alto riesgo un plazo adecuado de conservación de los registros automáticos bajo su control, de al menos seis meses, salvo que otra norma disponga algo distinto. Está sujeto al calendario correspondiente y no obliga a guardar indefinidamente los chats de cualquier IA.

Si se produce una brecha de datos personales, activa el procedimiento: contener, documentar y valorar las notificaciones. El RGPD exige comunicarla a la autoridad sin dilación indebida y, de ser posible, en 72 horas desde que se tiene constancia, salvo que sea improbable que exista riesgo para las personas. Si es probable un alto riesgo, también debe comunicarse a las personas afectadas sin dilación indebida, salvo las excepciones del artículo 34.

Fuentes: BOE / Diario Oficial de la Unión Europea: Reglamento General de Protección de Datos · AEPD: Decálogo para proteger la privacidad al utilizar asistentes y agentes de IA · Comisión Europea: AI Act, artículo 26: obligaciones de los responsables del despliegue · AEPD: Notificación de brechas de datos personales

Una persona puede querer hacer bien su trabajo y no saber si tiene permiso para subir un documento. Yo intentaría resolver esa duda antes de que aparezca: qué herramientas están autorizadas, qué información se puede introducir, cómo revisar las respuestas y a quién preguntar.

El artículo 4 vigente exige a proveedores y responsables del despliegue medidas para apoyar la alfabetización en IA de su personal y de quienes utilizan sistemas en su nombre. Deben atender al contexto, las funciones y los conocimientos. La reforma aclara que no se exige garantizar un nivel específico de alfabetización de cada individuo.

Reparte también las tareas entre negocio, tecnología, seguridad, compras y asesoría jurídica. El delegado de protección de datos, cuando exista, participa conforme a sus funciones de asesoramiento y supervisión. La responsabilidad del cumplimiento sigue siendo de la organización; nombrar un DPD no la traslada a esa persona.

Fuentes: Comisión Europea: AI Act, artículo 4: alfabetización en IA · AEPD: Cuál es la responsabilidad de un delegado de protección de datos

Imagina que quieres que una IA consulte el historial de pedidos y prepare respuestas para atención al cliente. Es un ejemplo hipotético, pero permite ver cómo encajan las revisiones.

Yo empezaría limitando el acceso a los campos necesarios para la consulta. Después definiría si el asistente solo prepara un borrador o puede enviarlo. Con el proveedor, revisaría la conservación y el posible entrenamiento. El aviso de privacidad tendría que describir ese tratamiento y, si el cliente habla directamente con la IA, habría que comprobar el aviso sobre su uso.

Antes de ponerlo en marcha, probaría tres situaciones: que alguien intente consultar el pedido de otra persona, que el historial contenga un dato incorrecto y que un cliente pida suprimir información. Cada prueba debería tener una persona responsable de revisar el resultado y corregir lo que falle.

Si más adelante el asistente empieza a puntuar clientes o a influir en decisiones relevantes, revisa de nuevo el uso. La aprobación inicial corresponde a los datos, permisos y límites que se examinaron en ese momento.

Si al llegar aquí tienes la sensación de que hay mucho por ordenar, empieza por un proceso. Escoge uno que ya utilice datos personales y reúne su documentación. Te propongo usar esta tabla para repartir tareas, con una persona y una fecha para cada una.

Mi recomendación es que termines esta revisión pudiendo explicar algo concreto: qué datos utiliza la IA, para qué, con qué permisos y quién responde cuando una persona ejerce sus derechos. Esa explicación debe coincidir con lo que hace el sistema y con lo que cuentas en la política de privacidad.

En CiberDatia puedes utilizar el diagnóstico inicial de IA y AI Act, pensado para empresas de 1 a 300 empleados. Son nueve preguntas sobre herramientas, personas, datos y seguridad para ordenar las primeras prioridades. Te pedirá datos profesionales antes del cuestionario para asociar el resultado.

El resultado es orientativo: no certifica el cumplimiento, no clasifica jurídicamente un sistema ni sustituye una evaluación de impacto. Puede servirte para preparar una conversación más concreta con quienes deben ayudarte a revisar el uso de la IA.

Hacer el diagnóstico de IA de mi empresa →