El despliegue de sistemas de inteligencia artificial en el entorno empresarial español ha dejado de ser una opción estratégica diferencial para convertirse en una decisión operativa con consecuencias jurídicas inmediatas. Cuando esos sistemas procesan datos personales de empleados, clientes o proveedores, la exposición regulatoria es doble: el Reglamento General de Protección de Datos (RGPD) y la normativa emergente sobre inteligencia artificial operan de forma simultánea. Gestionar esa confluencia sin un programa de cumplimiento estructurado no es una opción sostenible.
Los sistemas de inteligencia artificial son, en su núcleo, motores de tratamiento de datos. Aprenden de conjuntos de información, generan inferencias sobre personas y toman o apoyan decisiones que afectan a derechos e intereses individuales. Ninguna de esas operaciones es neutral desde la perspectiva del RGPD.
La empresa que desarrolla o despliega un sistema de este tipo asume la condición de responsable del tratamiento. Eso significa que cada decisión de diseño del sistema – qué datos alimentan el modelo, con qué finalidad, durante cuánto tiempo, con qué salvaguardas técnicas – es una decisión jurídica tanto como una decisión técnica. En nuestra experiencia asesorando a empresas en España, el error más frecuente consiste en tratar ambas dimensiones en momentos distintos: primero se construye el sistema, después se llama al departamento jurídico. Ese orden es costoso.
¿Por qué intensifica la inteligencia artificial la exposición respecto a un tratamiento convencional? Por tres razones que se refuerzan mutuamente. Primera: la escala. Un modelo entrenado sobre millones de registros convierte cualquier vulnerabilidad de seguridad en una brecha de seguridad de dimensiones críticas. Segunda: la opacidad. Los sistemas de aprendizaje automático producen resultados difícilmente explicables, lo que colisiona frontalmente con el derecho a obtener explicación de las decisiones automatizadas que reconoce la normativa de protección de datos. Tercera: la reutilización. Los datos recopilados para una finalidad determinada tienden a reutilizarse para entrenar nuevas versiones del modelo, generando un riesgo de incompatibilidad de finalidades que la normativa prohíbe salvo excepciones tasadas.
Hemos observado que las empresas que abordan estas tres tensiones desde el inicio del proyecto reducen de forma significativa los costes de remediación posteriores.
El marco jurídico que rodea la protección de datos en proyectos de inteligencia artificial en España tiene dos pilares normativos inmediatos y un tercer pilar en consolidación.
El primer pilar es el Reglamento General de Protección de Datos junto con la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Este binomio establece las obligaciones de base: licitud del tratamiento, limitación de finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva. La empresa que procesa datos personales en un sistema de inteligencia artificial debe poder acreditar el cumplimiento de cada uno de estos principios en cualquier momento. No basta con declararlo en una política de privacidad publicada en el sitio web; esa es, precisamente, la creencia errónea que con más frecuencia genera problemas en nuestras auditorías.
El segundo pilar es el Reglamento de Inteligencia Artificial de la Unión Europea, cuya aplicación se despliega de forma progresiva. Este reglamento clasifica los sistemas de inteligencia artificial según su nivel de riesgo y establece obligaciones diferenciadas para cada categoría. Los sistemas de alto riesgo – entre los que se incluyen los que inciden en la contratación laboral, la evaluación crediticia o la prestación de servicios esenciales – soportan los requisitos más exigentes: evaluaciones de conformidad, documentación técnica, supervisión humana y medidas de transparencia reforzadas. La interacción con el RGPD es directa: un sistema de alto riesgo que procese datos personales acumula obligaciones de ambos reglamentos.
El tercer pilar, en vías de consolidación, lo constituyen las directrices, guías prácticas y resoluciones de la AEPD sobre inteligencia artificial. La autoridad española ha publicado materiales de referencia que, sin tener fuerza normativa directa, anticipan los criterios que aplicará en sus actuaciones inspectoras. Ignorar esa doctrina administrativa es un riesgo innecesario.
La dirección de la empresa – no solo el equipo técnico ni el responsable de protección de datos – tiene que aprobar y supervisar un conjunto de decisiones antes de que el sistema entre en producción. Enumeramos las más críticas.
Evaluación de impacto relativa a la protección de datos. Cuando el sistema de inteligencia artificial realiza tratamientos que probablemente entrañen un alto riesgo para los derechos y libertades de las personas, el RGPD exige completar esta evaluación antes del inicio del tratamiento. No es un trámite burocrático: es el documento que refleja el análisis de riesgos, las medidas de mitigación adoptadas y la decisión de proceder o no. Si la evaluación concluye que el riesgo residual sigue siendo alto, la empresa debe consultar previamente a la AEPD. En nuestra práctica, pocas empresas conocen la existencia de esa obligación de consulta previa hasta que la incumplen.
Registro de actividades de tratamiento. Todo tratamiento de datos vinculado al proyecto de inteligencia artificial debe quedar documentado en el registro de actividades de tratamiento, con indicación de las finalidades, las categorías de datos, los plazos de conservación, las medidas de seguridad y los posibles destinatarios. Este registro es el primer documento que solicita la AEPD en una inspección. Su ausencia o su desactualización es señal inmediata de que el programa de cumplimiento es deficiente.
Base jurídica del tratamiento. La empresa debe identificar, para cada operación de tratamiento que realice el sistema, la base jurídica que lo legitima. En el contexto de la inteligencia artificial empresarial, las bases habituales son la ejecución de un contrato, el interés legítimo del responsable y, en menor medida, el consentimiento. El interés legítimo exige una ponderación documentada que demuestre que no prevalecen los intereses o derechos fundamentales de los interesados. Esa ponderación debe quedar por escrito.
Transparencia e información a los interesados. Las personas cuyos datos alimentan el sistema o que son objeto de decisiones adoptadas o apoyadas por él deben ser informadas de forma clara, concisa y accesible. La información debe incluir la lógica aplicada por el sistema, la importancia del tratamiento y las consecuencias previstas. Este requisito de transparencia es especialmente exigente en los sistemas que producen decisiones con efectos significativos sobre las personas.
Derechos de los interesados. El sistema de inteligencia artificial no puede diseñarse como una caja negra que imposibilite el ejercicio de derechos. La empresa debe articular mecanismos que permitan responder a solicitudes de acceso, rectificación, supresión, oposición y portabilidad en los plazos que fija el RGPD: un mes desde la recepción, prorrogable dos meses adicionales en casos de complejidad. Cuando el tratamiento consista en decisiones automatizadas con efectos jurídicos o significativos, el interesado tiene derecho a obtener intervención humana, expresar su punto de vista e impugnar la decisión.
Protocolo de brechas de seguridad. La empresa debe disponer de un procedimiento interno que permita detectar, contener, evaluar y notificar cualquier brecha de seguridad en el plazo de setenta y dos horas desde que tenga conocimiento de ella, cuando la brecha pueda suponer un riesgo para los derechos y libertades de los interesados. En sistemas de inteligencia artificial que procesan grandes volúmenes de datos, una brecha puede tener un alcance multiplicado respecto a los tratamientos convencionales. El protocolo no es opcional.
Esta pregunta recibe menos atención de la que merece. La responsabilidad penal de la persona jurídica en España exige que la empresa disponga de un modelo de organización y gestión que incluya medidas de vigilancia y control para prevenir delitos de la misma naturaleza o reducir de forma significativa el riesgo de su comisión. El tratamiento ilícito de datos personales puede constituir un delito tipificado en el Código Penal.
Un programa de compliance empresarial que integre las obligaciones de protección de datos no solo mitiga el riesgo de sanción administrativa ante la AEPD. También actúa como elemento de exoneración o atenuación de la responsabilidad penal corporativa. Los juzgados y tribunales españoles han consolidado el criterio de que la existencia de un modelo de compliance genuino – no meramente formal – es un factor determinante en la valoración de la diligencia de la empresa.
¿Qué significa "genuino" en la práctica? Que el modelo fue adoptado antes del hecho, que sus controles son razonablemente eficaces, que existe un canal de denuncias operativo y accesible, y que el órgano de supervisión tiene autonomía real. Un documento descargado de internet y firmado por el administrador sin ningún despliegue operativo no cumple ese estándar. En nuestra experiencia, ese es el escenario que encontramos con mayor frecuencia en empresas que nunca han sufrido un incidente grave: un compliance de papel que no resistiría el menor escrutinio judicial.
La integración del programa de adaptación al RGPD y del modelo de compliance penal en un único sistema de gestión es la solución más eficiente. Evita duplicidades, consolida el canal de denuncias, unifica la formación del personal y permite al órgano de administración demostrar, con un solo conjunto de documentos, que la empresa ha adoptado las medidas exigibles.
Para una visión integrada de los servicios de protección de datos y compliance que ofrecemos, le invitamos a consultar nuestra área de práctica de protección de datos y compliance.
El calendario de un proyecto de inteligencia artificial que procesa datos personales tiene hitos jurídicos que no admiten posposición. La dirección debe conocerlos para incorporarlos a la planificación del proyecto desde el primer día.
La evaluación de impacto relativa a la protección de datos debe completarse antes de que comience el tratamiento. No antes del lanzamiento comercial: antes del primer tratamiento de datos reales, incluyendo las fases de entrenamiento y prueba. Cuando se utilizan datos de personas reales en la fase de entrenamiento – lo que ocurre con frecuencia – el proyecto ya ha iniciado el tratamiento.
La información a los interesados debe estar disponible en el momento en que se recopilan sus datos. Si el sistema se alimenta de datos obtenidos de terceras fuentes, la empresa debe verificar que esas fuentes han cumplido sus propias obligaciones de información y que la cesión es lícita.
La designación del delegado de protección de datos (DPO) es obligatoria para las empresas que realizan tratamientos a gran escala de datos personales o que tratan categorías especiales de datos de forma sistemática. Los sistemas de inteligencia artificial en entornos empresariales frecuentemente alcanzan esa escala. La designación debe notificarse a la AEPD y el DPO debe ser accesible para los interesados.
Si el sistema implica transferencias internacionales de datos – por ejemplo, porque el proveedor de infraestructura o el servicio de computación en la nube se encuentra fuera del Espacio Económico Europeo – la empresa debe asegurarse de que esas transferencias cuentan con las garantías adecuadas. Las decisiones de adecuación de la Comisión Europea, las cláusulas contractuales tipo y las normas corporativas vinculantes son los instrumentos habituales.
El contrato con el proveedor del sistema o con el encargado del tratamiento debe recoger las cláusulas exigidas por el RGPD: instrucciones precisas, medidas de seguridad, obligaciones de confidencialidad, condiciones para la subcontratación y procedimientos para atender solicitudes de los interesados. Un contrato de servicios tecnológicos que no contenga ese clausulado no cumple las exigencias del marco de protección de datos.
La pregunta sobre cuándo involucrar al asesor jurídico en un proyecto de inteligencia artificial tiene una respuesta clara desde la perspectiva del coste: en la fase de diseño, no en la de remediación. El principio de privacidad desde el diseño que establece el RGPD no es solo una exigencia jurídica; es también una prescripción de gestión de proyectos con consecuencias económicas demostrables.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos esos proyectos, la variable que mejor predice el coste total del cumplimiento es el momento en que se incorpora el análisis jurídico al proyecto. Cuando ese análisis llega antes de que se tomen las decisiones de arquitectura del sistema – qué datos se almacenan, dónde, durante cuánto tiempo, con qué accesos – las medidas técnicas necesarias son habitualmente menores y menos costosas que cuando se incorporan a un sistema ya construido.
La remediación a posteriori tiene costes directos e indirectos. Los directos incluyen la reformulación de la arquitectura del sistema, la renegociación de contratos con proveedores, la implantación urgente de medidas de seguridad y la eventual paralización del tratamiento hasta que se subsanen las deficiencias. Los indirectos incluyen el impacto reputacional, la distracción de la dirección y el coste de los procedimientos administrativos si la AEPD ha iniciado actuaciones de investigación.
La detección temprana de riesgos también reduce la exposición a sanciones. La normativa de protección de datos prevé que la cooperación con la autoridad de control, la adopción de medidas para atenuar los perjuicios y la existencia de un programa de cumplimiento son circunstancias que los supervisores tienen en cuenta al graduar las sanciones. Una empresa que puede demostrar que adoptó todas las medidas razonables antes del incidente está en una posición sustancialmente diferente a la que no puede hacerlo.
¿Cuál es el punto de entrada más eficiente? En nuestra práctica, una auditoría de protección de datos centrada específicamente en el proyecto de inteligencia artificial, antes de su puesta en producción, es el instrumento más coste-eficiente. Esa auditoría identifica las brechas de cumplimiento, prioriza las acciones necesarias y produce un plan de acción con responsables y plazos que la dirección puede aprobar e implementar.
La comparación entre el coste de esa auditoría preventiva y el coste medio de un procedimiento sancionador ante la AEPD – sin mencionar el impacto reputacional o la eventual responsabilidad penal – hace que la decisión sea relativamente sencilla desde la perspectiva del análisis coste-beneficio.
Para entender cómo este análisis se aplica en entornos industriales, puede consultar nuestro análisis sobre protección de datos en la industria y la manufactura.
La experiencia práctica permite identificar un patrón recurrente de errores que elevan innecesariamente la exposición de la empresa. Los describimos no como un catálogo académico sino como una herramienta de diagnóstico para la dirección.
Confundir la política de privacidad con el programa de cumplimiento. Una cláusula de privacidad publicada en el sitio web es un elemento necesario pero absolutamente insuficiente. El cumplimiento del RGPD exige un sistema de gestión: registro de tratamientos, contratos con encargados, evaluaciones de impacto, protocolo de brechas, formación del personal y mecanismos de ejercicio de derechos. La política de privacidad es solo la parte visible de ese sistema.
No documentar la base jurídica del tratamiento. Muchas empresas que operan sistemas de inteligencia artificial no han formalizado qué base jurídica legitima cada operación de tratamiento. Cuando la AEPD investiga, la ausencia de esa documentación convierte una potencial infracción leve en una demostración de falta de diligencia sistemática.
Ignorar la cadena de subencargados. Los proyectos de inteligencia artificial implican habitualmente múltiples proveedores: plataformas de computación en la nube, herramientas de anotación de datos, proveedores de modelos preentrenados, servicios de monitorización. Cada uno de ellos puede ser un encargado del tratamiento. La empresa responsable debe tener contratos adecuados con todos ellos y supervisar que cumplen sus obligaciones.
No actualizar la documentación tras cambios en el sistema. Los sistemas de inteligencia artificial evolucionan. Una nueva versión del modelo puede implicar tratamiento de nuevas categorías de datos, nuevas finalidades o nuevas transferencias internacionales. La documentación de protección de datos debe actualizarse en paralelo con esos cambios.
Subestimar las categorías especiales de datos. Los sistemas de inteligencia artificial pueden inferir información sensible – estado de salud, orientación política, características biométricas – a partir de datos que aparentemente no son especialmente sensibles. La normativa de protección de datos establece exigencias reforzadas para estas categorías. La empresa que no ha analizado si su sistema produce o puede producir esas inferencias tiene un riesgo latente que desconoce.
El delegado de protección de datos no es una figura decorativa ni un responsable técnico de ciberseguridad. Es el interlocutor con la AEPD, el asesor interno del órgano de administración en materia de protección de datos y el responsable de supervisar el cumplimiento del RGPD dentro de la organización.
En el contexto de un proyecto de inteligencia artificial, el DPO debe ser involucrado desde las fases tempranas. Su función incluye participar en la evaluación de impacto, verificar la adecuación de los contratos con proveedores, asesorar sobre la base jurídica del tratamiento y supervisar que el protocolo de brechas es operativo y conocido por el personal relevante.
La designación de un DPO externo – mediante un acuerdo de encargo de servicios – es una opción legalmente válida y frecuente entre las empresas medianas que no tienen volumen suficiente para sostener un DPO interno a tiempo completo. En ese caso, el contrato de encargo debe garantizar la independencia funcional del DPO, su acceso a los recursos necesarios y la posibilidad de que los interesados se dirijan a él directamente.
El canal de denuncias, que la normativa de compliance penal y la normativa sectorial hacen obligatorio para un número creciente de empresas, debe estar coordinado con el DPO cuando las denuncias puedan implicar tratamiento de datos personales de los denunciantes o de los denunciados. Esa coordinación no siempre existe en los modelos de compliance que hemos revisado, y su ausencia genera incoherencias que son detectables en cualquier auditoría.
Si su empresa está valorando la implantación de un proyecto de inteligencia artificial y quiere conocer cómo estructurar el cumplimiento desde el inicio, también puede consultar nuestra guía sobre formación en compliance para empresas.
La siguiente lista de verificación resume las acciones mínimas que la dirección debe poder confirmar antes de que un sistema de inteligencia artificial que procese datos personales entre en producción.
Esta lista no es exhaustiva. Cada proyecto presenta especificidades que pueden requerir medidas adicionales. Pero una empresa que puede responder afirmativamente a cada uno de estos puntos ha reducido de forma significativa su exposición regulatoria y ha demostrado la diligencia que la normativa y los tribunales exigen.
Los proyectos de inteligencia artificial que procesan datos personales confluyen habitualmente con cuestiones de Derecho societario – cuando el sistema afecta a decisiones de gobierno corporativo o a la responsabilidad del órgano de administración – y con aspectos de propiedad intelectual y tecnología, en particular en lo que se refiere a la titularidad de los modelos entrenados y al uso de datos protegidos. En Velarde & Vidal asesoramos de forma integrada en estas áreas para evitar que las soluciones adoptadas en un plano generen nuevos problemas en otro.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.