El Reglamento de Inteligencia Artificial de la Unión Europea marca un antes y un después en la forma en que las empresas que operan en España deben planificar su estrategia de cumplimiento. Ya no basta con gestionar adecuadamente los datos personales: las organizaciones que desarrollen, importen, distribuyan o utilicen sistemas de inteligencia artificial deben asumir un conjunto adicional de obligaciones que se superponen al marco del Reglamento General de Protección de Datos y que tienen plazos de entrada en vigor escalonados. Quien espere a que la presión regulatoria sea visible desde fuera pagará un coste mucho mayor que quien actúa ahora.
El punto de partida para cualquier empresa que utilice inteligencia artificial en España son dos instrumentos normativos que deben leerse de forma conjunta.
El primero es el RGPD, vigente desde 2018 y complementado en España por la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Su aplicación a los sistemas de inteligencia artificial no es nueva, pero la Agencia Española de Protección de Datos (AEPD) ha intensificado su actividad supervisora en este ámbito. Cualquier sistema de inteligencia artificial que trate datos personales – lo que ocurre en la inmensa mayoría de los casos de uso empresarial – cae bajo el RGPD de forma inmediata y sin excepción.
El segundo es el Reglamento de Inteligencia Artificial de la Unión Europea, publicado en el Diario Oficial de la Unión Europea en 2024 y con una aplicación temporal escalonada. Sus plazos son ya una realidad: la prohibición de las prácticas de inteligencia artificial consideradas inaceptables es de aplicación directa desde los primeros meses de 2025; las obligaciones sobre sistemas de alto riesgo se aplican de forma progresiva a lo largo de 2025 y 2026. Las empresas que aún no han iniciado su proceso de adaptación trabajan con margen muy estrecho.
En nuestra experiencia asesorando a empresas en España, la confusión más frecuente entre directivos es creer que estos dos marcos se excluyen. No es así. Se solapan de forma deliberada. Un sistema de inteligencia artificial que procese datos biométricos, tome decisiones sobre personas o monitorice el comportamiento de empleados activa simultáneamente el RGPD y el Reglamento de Inteligencia Artificial. La estrategia de cumplimiento debe ser única e integrada.
¿Qué significa esto en la práctica? La empresa debe, como mínimo, saber qué sistemas de inteligencia artificial utiliza, en qué categoría de riesgo los clasifica el reglamento y qué obligaciones concretas se derivan de esa clasificación. Sin ese diagnóstico, cualquier esfuerzo de cumplimiento es incompleto.
La estructura central del Reglamento de Inteligencia Artificial es una pirámide de riesgo con cuatro niveles. Entenderla es el primer paso operativo para cualquier empresa.
En la cúspide se encuentran las prácticas prohibidas. Son usos de la inteligencia artificial que la normativa considera inaceptables en cualquier circunstancia: sistemas de puntuación social generalizada, manipulación subliminal, reconocimiento de emociones en ciertos contextos o categorización biométrica con fines de discriminación, entre otros. Su prohibición es de aplicación inmediata. Ninguna empresa puede invocar un interés legítimo de negocio para justificar su uso.
El segundo nivel lo ocupan los sistemas de alto riesgo. Este es el ámbito más relevante para la empresa media española. La norma enumera categorías concretas que incluyen sistemas utilizados en selección de personal, en concesión de crédito, en gestión de infraestructuras críticas, en decisiones sobre prestaciones sociales y en muchos entornos de salud. Un fabricante que usa visión artificial en su línea de producción para detectar defectos puede no estar en este grupo. Pero una aseguradora que utiliza un modelo de machine learning para calcular primas o rechazar solicitudes, probablemente sí.
Las obligaciones de los sistemas de alto riesgo son exigentes: evaluación de conformidad, registro ante las autoridades competentes, documentación técnica exhaustiva, sistemas de gestión de calidad, supervisión humana y auditorías periódicas. No son obligaciones de papel: exigen procesos operativos reales.
El tercer nivel comprende los sistemas de riesgo limitado, que generan principalmente obligaciones de transparencia. Un chatbot de atención al cliente debe identificarse como sistema automatizado. Un sistema que genera contenido sintético debe indicarlo. Estas obligaciones son menos onerosas, pero su incumplimiento también está sancionado.
Finalmente, los sistemas de riesgo mínimo – la mayoría de las aplicaciones de productividad o análisis de negocio sin impacto directo sobre personas – están sujetos al marco general pero no a obligaciones específicas adicionales más allá del RGPD cuando procesan datos personales.
El error que hemos observado con mayor frecuencia en nuestra práctica es que las empresas asumen que sus sistemas pertenecen al nivel inferior sin haber realizado una clasificación rigurosa. Un diagnóstico mal hecho es más peligroso que no haberlo hecho: genera una falsa sensación de seguridad.
La implantación de un programa de cumplimiento en materia de inteligencia artificial no es solo una tarea técnica o jurídica. Es una decisión estratégica que debe surgir del consejo de administración o, como mínimo, del comité de dirección. Las razones son tres.
Primera: los recursos necesarios son significativos. La documentación técnica de un sistema de alto riesgo, la contratación de un auditor externo o la revisión de los contratos con proveedores de tecnología requieren tiempo y presupuesto. Sin respaldo de la alta dirección, estos proyectos no avanzan.
Segunda: la responsabilidad recae en la organización como tal, no solo en el departamento de tecnología. El incumplimiento del Reglamento de Inteligencia Artificial puede generar sanciones a nivel empresarial. Cuando el sistema de inteligencia artificial además trata datos personales, la AEPD puede investigar simultáneamente. Y si el incumplimiento se combina con una deficiencia en el programa de compliance penal de la empresa, la responsabilidad penal de la persona jurídica puede activarse.
Tercera: las decisiones sobre qué sistemas mantener, cuáles adaptar y cuáles retirar son decisiones de negocio. Un sistema de evaluación de rendimiento de empleados que no puede cumplir los requisitos del Reglamento de Inteligencia Artificial puede necesitar ser sustituido por un proceso distinto. Eso afecta a recursos humanos, a tecnología y al modelo operativo. Solo la dirección puede tomar esa decisión.
Las decisiones concretas que deben estar en la agenda en el corto plazo son las siguientes. Primero, completar el inventario de sistemas de inteligencia artificial en uso, incluyendo los que se adquieren como parte de soluciones de terceros (ERP, CRM, plataformas de análisis). Segundo, realizar la clasificación de riesgo de cada sistema. Tercero, identificar los contratos con proveedores que requieren cláusulas específicas exigidas por el reglamento. Cuarto, revisar el registro de actividades de tratamiento bajo el RGPD para incorporar los nuevos sistemas. Y quinto, actualizar el protocolo de brechas de seguridad para incluir los incidentes que puedan derivarse de sistemas automatizados.
El plazo de respuesta a derechos de los interesados bajo el RGPD – un mes, prorrogable a dos meses en casos complejos – es un recordatorio de que el marco de protección de datos ya opera a velocidades que muchas organizaciones no han interiorizado. Añadir las obligaciones del Reglamento de Inteligencia Artificial sobre ese mismo tejido organizativo sin un programa estructurado es, sencillamente, inviable.
La intersección entre inteligencia artificial y protección de datos genera fricciones operativas concretas que conviene identificar por adelantado.
El primero es la base de licitud del tratamiento. Un sistema de inteligencia artificial que toma decisiones automatizadas con efecto significativo sobre personas – como un modelo que decide qué candidatos avanzan en un proceso de selección – requiere una base jurídica sólida. El consentimiento rara vez es la base adecuada en un contexto laboral. El interés legítimo exige una ponderación cuidadosa. Y la ejecución de un contrato solo aplica en supuestos muy delimitados. Elegir mal la base de licitud invalida todo lo demás.
El segundo punto de fricción es la evaluación de impacto relativa a la protección de datos, conocida por sus siglas en inglés como DPIA (Data Protection Impact Assessment). El RGPD la exige cuando el tratamiento es probable que conlleve un alto riesgo para los derechos de las personas físicas. Los sistemas de inteligencia artificial que toman decisiones automatizadas, que perfilas a personas o que tratan categorías especiales de datos casi siempre la activan. En nuestra práctica hemos comprobado que muchas empresas desconocen que deben realizarla o la confunden con un análisis de riesgo de seguridad informática. Son cosas distintas.
El tercero es la transparencia y el derecho a no ser objeto de decisiones automatizadas. El RGPD otorga a las personas el derecho a no verse sometidas exclusivamente a decisiones automatizadas que les produzcan efectos jurídicos o que les afecten de forma significativa. La empresa que usa un sistema de inteligencia artificial para decidir si concede un contrato, si aplica una medida disciplinaria o si ajusta una condición comercial debe ser capaz de explicar la lógica del sistema y permitir la intervención humana. No todos los sistemas de inteligencia artificial actuales permiten esa explicabilidad sin modificaciones técnicas sustanciales.
El cuarto es el protocolo de brechas. La notificación de una brecha de seguridad a la Agencia Española de Protección de Datos (AEPD) debe realizarse en un plazo máximo de 72 horas desde que la empresa tiene conocimiento de ella. Un sistema de inteligencia artificial que falla o que es manipulado puede generar una brecha de datos de gran alcance en cuestión de minutos. Sin un protocolo de respuesta a incidentes que incluya específicamente los sistemas automatizados, ese plazo de 72 horas es imposible de cumplir.
¿Ha revisado su empresa si alguno de sus sistemas de inteligencia artificial activa la obligación de DPIA? Es la pregunta que abre, en nuestra experiencia, la mayor parte de los proyectos de adaptación que gestionamos.
La responsabilidad penal de las personas jurídicas en España está vinculada a la existencia de un modelo de organización y gestión adecuado. La empresa que cuenta con un programa de compliance penal efectivo puede invocar dicho modelo como causa de exoneración o de atenuación de la pena cuando un empleado o directivo comete un delito en su nombre o por su cuenta.
La inteligencia artificial introduce una variable nueva en este análisis. Cuando un sistema automatizado toma una decisión que produce un resultado ilícito – por ejemplo, una discriminación sistemática en la concesión de crédito, una vulneración masiva de datos personales o una conducta anticompetitiva derivada de un algoritmo de precios – la cuestión de quién responde penalmente no tiene una respuesta simple. La normativa no ha resuelto aún de forma definitiva la atribución de responsabilidad en cadenas de decisión automatizada. Pero el canal de denuncias, el mapa de riesgos actualizado y la supervisión humana de las decisiones críticas son los elementos que marcan la diferencia entre una empresa que puede demostrar diligencia y una que no puede.
El compliance penal, en este contexto, deja de ser un documento de bienvenida a nuevos empleados para convertirse en una parte activa de la arquitectura de gobierno de los sistemas de inteligencia artificial. Eso implica actualizar el mapa de riesgos penales para incluir los delitos que pueden derivarse de un uso incorrecto de sistemas automatizados, revisar el canal de denuncias para que sea accesible también para alertas relacionadas con inteligencia artificial y formar al órgano de supervisión del modelo de compliance en las implicaciones específicas de esta tecnología.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la incorporación de la dimensión de inteligencia artificial al modelo de compliance ha revelado brechas de gobernanza que no eran visibles desde los procesos tradicionales de auditoría.
El riesgo regulatorio es el más inmediato. El Reglamento de Inteligencia Artificial prevé sanciones de importe muy elevado, con distintos umbrales según la categoría de infracción. Las sanciones más severas corresponden a las prácticas prohibidas y al incumplimiento de las obligaciones de los sistemas de alto riesgo. Las cuantías son, en los tramos superiores, sustancialmente mayores que las previstas en el RGPD.
El riesgo reputacional es el segundo en relevancia. Un incidente protagonizado por un sistema de inteligencia artificial – una decisión discriminatoria, una brecha masiva de datos o una manipulación de contenidos – puede tener una repercusión pública desproporcionada. Las empresas que han implantado un programa de cumplimiento documentado pueden demostrar diligencia. Las que no lo han hecho no tienen ningún argumento disponible.
El riesgo contractual es, en muchos casos, el que se materializa antes. Los grandes clientes corporativos y los inversores institucionales están empezando a incluir en sus procesos de diligencia debida (due diligence) preguntas específicas sobre el uso de inteligencia artificial y el cumplimiento de la normativa aplicable. Una empresa que no puede responder con documentación sólida pierde oportunidades de negocio antes de que el regulador haya actuado.
Finalmente, el riesgo de litigación privada es creciente. La combinación del RGPD – que reconoce el derecho a indemnización por daños derivados de su incumplimiento – con la eventual responsabilidad civil derivada del Reglamento de Inteligencia Artificial configura un escenario en el que los afectados por sistemas automatizados mal gestionados tienen instrumentos jurídicos cada vez más precisos para reclamar.
Existe una creencia extendida entre directivos de empresa que merece ser corregida de frente: la idea de que con una cláusula de privacidad en la página web ya se cumple el RGPD. Esa creencia, trasladada al nuevo marco de inteligencia artificial, equivale a pensar que con mencionar la inteligencia artificial en la política de privacidad se ha cumplido el reglamento. No es así, y las consecuencias de esa confusión pueden ser muy costosas.
El registro de actividades de tratamiento, el protocolo de brechas de seguridad y el modelo de compliance no son documentos formales de adorno. Son herramientas que, ante una inspección o un incidente, permiten demostrar que la empresa actuó con la diligencia debida. La diferencia entre una sanción máxima y una reducción significativa de la misma pasa, en muchos casos, por la existencia y aplicación efectiva de esos instrumentos.
El coste de un programa de cumplimiento en materia de protección de datos e inteligencia artificial es, en términos comparativos, muy inferior al coste de una sanción, de un litigio o de un proceso de remediación post-incidente. Y el coste de actuar temprano es siempre inferior al de actuar bajo presión regulatoria o después de un incidente.
En la práctica que desarrollamos en Velarde & Vidal, el proceso de adaptación sigue una secuencia que hemos perfeccionado en distintos sectores: diagnóstico inicial del inventario de sistemas y datos, clasificación de riesgo, evaluación de impacto cuando procede, actualización del registro de tratamientos y del modelo de compliance, formación del personal con acceso a sistemas críticos y establecimiento de un calendario de revisión periódica. Ninguno de estos pasos puede omitirse sin generar un vacío que el regulador o un incidente acabará poniendo de manifiesto.
La pregunta que debe hacerse cualquier director de operaciones o consejero delegado no es si su empresa usa inteligencia artificial. La pregunta correcta es: ¿sabe exactamente qué sistemas automatizados operan en su organización y bajo qué condiciones de cumplimiento?
A modo de guía operativa, los pasos que cualquier empresa con presencia en España debe tener en su agenda son los siguientes.
Ninguna empresa que trate datos personales o que utilice sistemas que afecten a personas puede considerar este checklist opcional. Las obligaciones son exigibles con independencia del tamaño de la organización, aunque la proporcionalidad de las medidas sí puede adaptarse a la escala de cada empresa.
Para un análisis más detallado de la adaptación al RGPD en el contexto del sector financiero, puede consultar nuestra experiencia en asesoramiento a entidades fintech y de servicios financieros. Del mismo modo, si su empresa opera en el ámbito de tecnología e innovación, le recomendamos revisar nuestro análisis sobre clasificación de activos en startups y capital riesgo, donde abordamos las implicaciones regulatorias para empresas en fase de crecimiento.
El cumplimiento en materia de inteligencia artificial no puede analizarse de forma aislada. Las empresas que afrontan este proceso con frecuencia necesitan también revisar sus contratos con proveedores tecnológicos (ámbito del Derecho mercantil), sus estructuras de gobierno corporativo (Derecho societario) y sus políticas de seguridad laboral en entornos donde la automatización afecta a las condiciones de trabajo. Nuestra práctica de protección de datos y compliance trabaja de forma coordinada con las áreas de Derecho laboral y Derecho societario para ofrecer un enfoque integrado que ningún equipo sectorial aislado puede proporcionar.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.