El sector de la automoción lleva años transformando su modelo productivo. La inteligencia artificial ha dejado de ser un proyecto piloto para convertirse en el núcleo de decisiones que afectan a millones de interacciones: conducción asistida, mantenimiento predictivo, sistemas de acceso biométrico en planta, telemetría del vehículo conectado. Con esa transformación llega una realidad jurídica que no puede posponerse: cada uno de esos proyectos trata datos personales, y el marco regulatorio europeo exige una respuesta activa antes de que el sistema entre en producción.
La automoción no tiene un régimen sectorial propio de privacidad. Opera bajo el marco general europeo, pero su casuística tecnológica activa con frecuencia las normas más exigentes de ese marco.
La primera capa es el RGPD. Establece las obligaciones nucleares: base jurídica para cada tratamiento, información transparente al interesado, minimización de datos, limitación de la finalidad y garantía de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. El incumplimiento de estas obligaciones no requiere que se produzca un daño: la mera ausencia de documentación ya es sancionable.
La segunda capa es la LOPDGDD. Adapta el RGPD al ordenamiento español y añade obligaciones específicas: el canal de denuncias interno obligatorio para organizaciones con veinticinco o más trabajadores, los requisitos de designación del Delegado de Protección de Datos (DPD) en supuestos específicos, y el marco de derechos digitales en el ámbito laboral que afecta directamente a los sistemas de videovigilancia en planta o de monitorización de dispositivos corporativos.
La tercera capa – y la más reciente – es el Reglamento de IA de la Unión Europea. Clasifica los sistemas de inteligencia artificial según su nivel de riesgo. Los sistemas de IA utilizados en vehículos con funciones de seguridad crítica, los de reconocimiento de emociones en el entorno de trabajo, o los de puntuación de comportamiento de empleados caen dentro de las categorías de alto riesgo o prohibidas. Eso significa que la empresa fabricante o integradora no solo responde ante la Agencia Española de Protección de Datos (AEPD) sino también, en un horizonte próximo, ante las autoridades de supervisión de IA que cada Estado miembro debe designar conforme al propio Reglamento.
En nuestra experiencia asesorando a empresas del sector industrial, la mayor fuente de riesgo no está en el desconocimiento del marco, sino en la convicción de que el cumplimiento es un trámite documental puntual. No lo es. Es un proceso vivo que acompaña al proyecto desde su diseño hasta su retirada.
La respuesta a esta pregunta define la profundidad del análisis jurídico necesario. Y en automoción, la respuesta casi siempre revela una complejidad mayor de la que el equipo técnico anticipa.
Los proyectos de IA en automoción tratan habitualmente cuatro categorías de datos:
La creencia errónea más frecuente que encontramos en la práctica es que una cláusula de privacidad en la web o en el contrato de compraventa cubre todas estas relaciones. No es así. El cumplimiento real exige un registro de actividades de tratamiento actualizado, una evaluación de impacto para los tratamientos de alto riesgo, y una arquitectura de contratos que regule adecuadamente la relación con los encargados del tratamiento – proveedores cloud, plataformas de IA, integradores tecnológicos.
La evaluación de impacto relativa a la protección de datos (EIPD o DPIA, por su denominación en inglés) es el instrumento jurídico central para proyectos de IA en automoción. No es optativa cuando el tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas.
La AEPD ha publicado criterios orientativos que la práctica interpreta de forma consolidada: la DPIA es obligatoria cuando concurren dos o más de estos factores – tratamiento sistemático o a gran escala, uso de nuevas tecnologías, elaboración de perfiles, datos de categorías especiales, decisiones automatizadas con efectos significativos, o vigilancia a gran escala de zonas de acceso público.
En automoción, los proyectos que con mayor frecuencia activan la obligación de DPIA son:
La consecuencia de no realizar la DPIA cuando es obligatoria no es meramente formal. La AEPD la considera una infracción grave. Y la ausencia de DPIA agrava la valoración de cualquier incidente posterior: si se produce una brecha de seguridad, la autoridad de control examinará si la empresa había identificado y mitigado el riesgo previamente. La respuesta negativa tiene un impacto directo en la cuantía de la sanción.
El error que con mayor frecuencia vemos en proyectos de IA en automoción es la incorporación tardía del análisis jurídico. El equipo técnico desarrolla el sistema durante meses; cuando se aproxima el lanzamiento, se solicita una revisión de privacidad. En ese momento, modificar la arquitectura del tratamiento tiene un coste exponencialmente mayor que haberlo diseñado desde el principio con criterios de privacidad desde el diseño y por defecto – principio que el RGPD impone expresamente.
¿Cuáles son las decisiones que no pueden delegarse al equipo técnico?
En primer lugar, la determinación de la base jurídica de cada tratamiento. En automoción, las bases más frecuentes son la ejecución de un contrato (vehículo conectado con usuario registrado), el interés legítimo (telemetría agregada para mejora de producto) y el cumplimiento de una obligación legal (control de accesos en instalaciones). El consentimiento es la base más débil y la más difícil de gestionar en sistemas de IA masivos: si el sistema depende del consentimiento, la retirada de este por parte del usuario puede hacer inoperable el tratamiento.
En segundo lugar, la definición del papel jurídico de cada parte. ¿Es el fabricante responsable del tratamiento o actúa como encargado cuando procesa datos por cuenta del concesionario o del fleet manager? La respuesta determina quién asume las obligaciones frente al interesado y quién responde ante la AEPD en caso de incidente.
En tercer lugar, la decisión sobre transferencias internacionales de datos. Los proyectos de IA en automoción con frecuencia implican proveedores de computación en la nube, desarrolladores de modelos de IA o plataformas de analítica radicados fuera del Espacio Económico Europeo. Cada transferencia debe estar amparada por un mecanismo adecuado: decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo o normas corporativas vinculantes.
Hemos observado que las empresas que abordan estas tres decisiones con antelación suficiente reducen significativamente tanto el tiempo de puesta en cumplimiento como la probabilidad de tener que reformatear el proyecto tras un requerimiento de la autoridad de control.
El Reglamento europeo de inteligencia artificial introduce una capa de obligaciones que se superpone – sin sustituir – al RGPD. Para el sector de la automoción, esta superposición tiene consecuencias prácticas inmediatas.
Los sistemas de IA utilizados en vehículos se clasifican según su función. Un sistema de asistencia a la conducción que interviene sobre los controles del vehículo en situaciones de emergencia es un componente de seguridad de un producto sometido a requisitos de homologación; si además trata datos personales para adoptar esas decisiones, queda bajo el Reglamento de IA como sistema de alto riesgo y bajo el RGPD simultáneamente.
Para los sistemas de alto riesgo, el Reglamento de IA exige, entre otros aspectos: un sistema de gestión de riesgos documentado a lo largo del ciclo de vida del sistema; datos de entrenamiento, validación y prueba que cumplan criterios de calidad y representatividad; documentación técnica completa; trazabilidad mediante registros de funcionamiento; transparencia hacia los operadores humanos; supervisión humana efectiva; y niveles de exactitud, solidez y ciberseguridad apropiados.
Todos estos requisitos tienen una dimensión de protección de datos directa. El sistema de gestión de riesgos del Reglamento de IA y la evaluación de impacto del RGPD deben coordinarse. La documentación técnica debe incluir la descripción del tratamiento de datos. La trazabilidad de los registros de funcionamiento debe diseñarse respetando el principio de minimización de datos del RGPD.
La empresa de automoción que diseña sus proyectos de IA con estas dos dimensiones disociadas – cumplimiento de IA por un lado, cumplimiento de privacidad por otro – incurre en duplicaciones de trabajo, brechas de cobertura y riesgo regulatorio innecesario. La integración de ambos marcos desde la fase de diseño es la decisión más eficiente.
La intersección entre protección de datos, inteligencia artificial y compliance penal es uno de los ámbitos de mayor interés en nuestra práctica reciente. Y en automoción, esa intersección es especialmente relevante.
El compliance penal de la empresa – el conjunto de medidas adoptadas para prevenir y detectar delitos que puedan generar responsabilidad penal de la persona jurídica – incluye entre sus elementos el cumplimiento de la normativa de protección de datos. Una brecha de seguridad que resulte del incumplimiento deliberado o negligente de las obligaciones del RGPD puede tener, en determinados supuestos, relevancia penal. El código penal español tipifica el descubrimiento y revelación de secretos, que incluye la revelación de datos personales protegidos.
Por otro lado, el canal de denuncias – de implantación obligatoria para las organizaciones que superen el umbral legal, reforzado por la Directiva europea de protección de los denunciantes transpuesta en España – genera por sí mismo un flujo de datos personales especialmente sensible. Los sistemas de IA que gestionan o analizan las comunicaciones recibidas por el canal de denuncias deben diseñarse con un nivel de garantía particularmente alto: anonimización técnica verificable, acceso restringido, prohibición de cruce con otros conjuntos de datos de la empresa.
La adaptación al RGPD en este contexto no es un ejercicio aislado. Es parte del programa integral de compliance de la empresa, y su eficacia depende de que los tres elementos – privacidad, IA y compliance penal – estén coordinados bajo una política corporativa coherente.
Según datos de la Agencia Española de Protección de Datos (AEPD), el número de reclamaciones tramitadas y procedimientos sancionadores abiertos ha crecido de forma sostenida en los últimos ejercicios. El sector de la empresa en general – y el sector industrial en particular – representa una proporción creciente de esa actividad supervisora. La tendencia indica que la AEPD está incrementando su enfoque en los tratamientos de alto riesgo, precisamente los más frecuentes en automoción.
Una brecha de seguridad es cualquier incidente que lleve a la destrucción, pérdida, alteración, comunicación no autorizada o acceso indebido a datos personales. En proyectos de IA en automoción, los vectores de riesgo son múltiples: vulnerabilidades en la cadena de suministro de software, ataques a plataformas cloud, accesos no autorizados a datos de telemetría, o errores de configuración en sistemas de aprendizaje automático que exponen conjuntos de datos de entrenamiento.
El protocolo de gestión de brechas no es negociable. La normativa fija un plazo de setenta y dos horas para notificar a la AEPD desde que la empresa tiene conocimiento de la brecha, siempre que esta sea susceptible de entrañar un riesgo para los derechos y libertades de los afectados. Si el riesgo es alto, también debe notificarse a los propios afectados sin dilación indebida.
El incumplimiento de este plazo agrava la calificación de la infracción. Pero la gestión de una brecha comienza mucho antes de que esta se produzca. La empresa que no ha documentado sus tratamientos, que no tiene identificados sus activos de datos, que no ha asignado roles de respuesta ni establecido procedimientos de contención, no estará en condiciones de cumplir el plazo de notificación. El protocolo debe estar diseñado y ensayado con anterioridad.
En nuestra práctica hemos observado que las empresas que disponen de un registro de tratamientos actualizado y un protocolo de brechas operativo reducen el tiempo de respuesta inicial al incidente en una proporción muy relevante, lo que tiene un impacto directo en la valoración que la autoridad de control hace de su diligencia.
El argumento más frecuente para retrasar la inversión en cumplimiento de privacidad es el coste. La paradoja es que el asesoramiento tardío cuesta sistemáticamente más que el temprano.
¿Por qué? Porque el coste de redesignar un sistema de IA que ya está en producción – o de negociar contratos con proveedores que no incluyen las cláusulas de encargado del tratamiento exigidas por el RGPD, o de documentar retroactivamente una evaluación de impacto para un sistema que lleva meses operando – supera con creces el coste de haberlo hecho desde el inicio.
A ese coste directo se añade el coste regulatorio. La AEPD valora positivamente la existencia de un programa de cumplimiento activo, la realización de DPIAs, la designación de DPD y la adhesión a códigos de conducta o esquemas de certificación cuando pondera la gravedad de las infracciones. Una empresa con un programa de cumplimiento documentado tiene una posición jurídica sustancialmente mejor ante un procedimiento sancionador que una empresa que opera sin él.
El argumento de que con una política de privacidad publicada en la web se cumplen las obligaciones del RGPD es, en el contexto de un proyecto de IA en automoción, indefendible. El registro de tratamientos, la evaluación de impacto, el protocolo de brechas, los contratos con encargados del tratamiento, los mecanismos de transferencia internacional y el modelo de compliance integrado son elementos que ninguna política web puede sustituir.
La pregunta relevante para la dirección no es si cumplir, sino cuándo y cómo hacerlo con eficiencia. La respuesta es invariablemente la misma: antes de que el sistema entre en producción.
Presentamos a continuación los elementos que, en nuestra experiencia, deben estar cubiertos antes del lanzamiento de un proyecto de IA que trate datos personales en el sector de la automoción:
Este checklist no sustituye el análisis jurídico individualizado. Cada proyecto tiene especificidades técnicas y de negocio que condicionan el análisis. Pero sirve como punto de partida para que la dirección evalúe su nivel de exposición actual.
Para un análisis sectorial complementario sobre protección de datos en el entorno industrial, puede consultar nuestro análisis sobre industria y manufactura: protección de datos, donde abordamos los retos comunes al entorno de planta y cadena de suministro.
Si su empresa opera también en el sector inmobiliario o de construcción, el análisis disponible en compliance sectorial en inmobiliario y construcción ofrece una perspectiva útil sobre la interacción entre cumplimiento normativo y operaciones de inversión.
El asesoramiento en protección de datos en proyectos de inteligencia artificial conecta de forma natural con otras áreas de nuestra práctica. Los proyectos de IA en automoción con frecuencia implican cuestiones de propiedad intelectual sobre los modelos y los datos de entrenamiento, y cuestiones laborales derivadas de los sistemas de gestión de personal automatizados. Ambas dimensiones pueden requerir un análisis coordinado con el análisis de privacidad.
Si desea conocer el alcance completo de nuestro servicio de protección de datos y compliance, encontrará una descripción detallada de cómo abordamos cada fase del proyecto, desde la auditoría inicial hasta la implantación y el seguimiento continuo.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.