Retail y distribución: el Reglamento de IA y su impacto en la empresa: análisis para empresas

El sector de retail y distribución se encuentra en un momento de transformación sin precedentes. La inteligencia artificial ya no es una promesa de futuro: gestiona el surtido, personaliza la experiencia de compra, optimiza la cadena de suministro y anticipa la demanda en tiempo real. Sin embargo, el nuevo marco regulatorio europeo en materia de inteligencia artificial impone obligaciones concretas que los operadores del sector no pueden ignorar. Quien no adapte sus sistemas con la antelación necesaria asumirá un riesgo de incumplimiento que va mucho más allá de una multa administrativa.

¿Qué dice el Reglamento de IA y qué exige exactamente a las empresas de retail?

El Reglamento (UE) de Inteligencia Artificial, conocido como AI Act, clasifica los sistemas de inteligencia artificial en cuatro categorías según el nivel de riesgo que representan para los derechos fundamentales y la seguridad. Las empresas de retail y distribución operan, sin saberlo en muchos casos, con sistemas que caen en la categoría de riesgo alto o que, al menos, requieren una evaluación de conformidad antes de su puesta en producción.

La clasificación importa porque determina el régimen de obligaciones. Los sistemas de alto riesgo deben superar un proceso de evaluación de conformidad, contar con documentación técnica detallada, garantizar la supervisión humana y, en algunos supuestos, registrarse en la base de datos europea de la Unión Europea (UE) habilitada al efecto.

En el contexto del retail, los sistemas más relevantes son los siguientes:

• Sistemas de gestión y evaluación del rendimiento de trabajadores en almacenes y centros logísticos, incluyendo los que determinan asignaciones de tareas, métricas de productividad o decisiones de contratación.
• Sistemas de análisis del comportamiento del consumidor con fines de personalización y segmentación que puedan generar perfiles de riesgo o condicionar el acceso a determinadas condiciones comerciales.
• Sistemas de videovigilancia con capacidades analíticas avanzadas orientados a la detección de comportamientos en tienda.
• Sistemas de predicción de demanda que sirvan como base para decisiones de aprovisionamiento con impacto económico significativo.

La norma distingue también entre el proveedor del sistema (quien desarrolla o comercializa la solución de IA) y el desplegador (quien la integra y opera en su entorno de negocio). La mayoría de las empresas de retail ocupan el rol de desplegador. Eso no las exime de obligaciones: deben verificar que el sistema que contratan cumple con la norma, usar el sistema conforme a sus instrucciones, mantener registros de uso y garantizar la supervisión humana.

¿Qué ocurre cuando la empresa adquiere un sistema de optimización de precios dinámicos? La respuesta jurídica depende de la función concreta del algoritmo. Si el sistema evalúa perfiles individuales de consumidores para aplicarles condiciones diferenciadas, puede entrar en categorías sensibles que activan obligaciones adicionales tanto bajo el AI Act como bajo el Reglamento General de Protección de Datos (RGPD).

¿Cómo se articulan el AI Act, el RGPD y el compliance penal en el sector distribución?

Un error frecuente que observamos en nuestra práctica es tratar el AI Act como una norma aislada. No lo es. Su aplicación práctica en el sector de retail se entrelaza de forma directa con el RGPD, con la Ley Orgánica de Protección de Datos (LOPDGDD) y con el modelo de compliance penal de las personas jurídicas.

La Agencia Española de Protección de Datos (AEPD) ha sido designada como una de las autoridades de supervisión del AI Act en España para los sistemas que tratan datos personales. Esto significa que la AEPD puede actuar simultáneamente como autoridad de control en materia de protección de datos y como autoridad de vigilancia del mercado de IA cuando el sistema en cuestión procesa datos de personas identificadas o identificables.

La intersección es especialmente relevante en tres escenarios del retail:

1. Perfilado de clientes con fines de personalización comercial: el RGPD exige una base jurídica válida para el tratamiento, una evaluación de impacto relativa a la protección de datos (EIPD) cuando el perfilado sea sistemático a gran escala, e información clara al interesado. El AI Act añade la obligación de evaluar el nivel de riesgo del sistema y, en su caso, implementar medidas de gestión de riesgos documentadas.
2. Gestión algorítmica del trabajo en almacenes: los sistemas que deciden sobre el rendimiento, la asignación de turnos o la identificación de incidencias laborales están en el punto de mira de la norma. La normativa laboral española, el RGPD y el AI Act forman un triángulo regulatorio que obliga a la empresa a informar a los representantes de los trabajadores, a auditar el sistema y a garantizar que ninguna decisión con efecto jurídico se adopta de forma exclusivamente automatizada sin posibilidad de revisión humana.
3. Canal de denuncias y detección de fraude interno: los sistemas de IA aplicados a la detección de conductas irregulares o fraude en la cadena de distribución pueden activar el régimen del compliance penal. La empresa que despliega estas herramientas debe contar con un programa de cumplimiento penal documentado, un canal de denuncias conforme a la legislación vigente y un protocolo de actuación ante alertas generadas algorítmicamente.

La adaptación al RGPD que la empresa hizo en 2018 ya no es suficiente. Hemos observado que muchas empresas del sector distribución mantienen un registro de tratamientos desactualizado, sin incluir los nuevos sistemas de IA incorporados desde entonces. Esa laguna es, por sí sola, un motivo de sanción.

Decisiones críticas que debe gestionar la dirección antes de que venzan los plazos

El AI Act no entró en vigor de forma instantánea. Establece un calendario de aplicación progresivo que determina cuándo cada tipo de obligación resulta exigible. La dirección de una empresa de retail debe interiorizar que algunos plazos ya han transcurrido, otros están en curso y los más exigentes se aproximan.

Los sistemas de IA prohibidos quedaron sujetos a la norma desde el primer tramo de aplicación. Las obligaciones para sistemas de propósito general (GPAI) y para sistemas de alto riesgo tienen calendarios diferenciados. La empresa que adquiere hoy una solución de optimización de precios o un sistema de gestión de almacén basado en IA no puede esperar al vencimiento del siguiente plazo: debe exigir al proveedor la documentación de conformidad antes de la firma del contrato.

Las decisiones que en nuestra experiencia resultan más críticas para la dirección son las siguientes:

• Inventario y clasificación de sistemas de IA en uso: muchas empresas de distribución han integrado soluciones de IA de forma incremental, a través de módulos de ERP, plataformas de comercio electrónico o herramientas de analítica. El primer paso es saber qué se tiene y en qué categoría de riesgo cae cada sistema.
• Revisión contractual con proveedores tecnológicos: el contrato con el proveedor de la solución de IA debe recoger quién es el proveedor y quién el desplegador a efectos del AI Act, qué documentación técnica debe suministrarse y cómo se gestionará la responsabilidad en caso de incumplimiento.
• Actualización del registro de actividades de tratamiento conforme al RGPD, incorporando los sistemas de IA como nuevas actividades que tratan datos personales.
• Evaluación de impacto relativa a la protección de datos para los sistemas de perfilado a gran escala, decisiones automatizadas y videovigilancia analítica.
• Implantación o revisión del canal de denuncias conforme a la normativa de protección de los informantes.
• Formación del personal que interactúa con sistemas de IA, incluyendo a los responsables de las decisiones que el sistema informa o adopta.

¿Puede la empresa esperar a que la autoridad de supervisión emita guías sectoriales antes de actuar? Técnicamente, la norma ya es vinculante. Esperar no paraliza el plazo; lo consume.

¿Qué riesgos concretos asume la empresa de retail que no adapta sus sistemas?

El régimen sancionador del AI Act es, en términos relativos, más severo que el del RGPD en algunos supuestos. Las infracciones más graves, vinculadas a la utilización de sistemas de IA prohibidos o al incumplimiento de obligaciones esenciales para sistemas de alto riesgo, pueden generar sanciones de una magnitud que ninguna empresa de distribución puede ignorar en su análisis de riesgo.

Pero la sanción económica directa no es el único riesgo. En nuestra práctica de compliance penal, observamos con regularidad que la empresa que carece de un programa de cumplimiento documentado asume también un riesgo de responsabilidad penal de la persona jurídica cuando los sistemas de IA se utilizan en entornos donde la normativa penal puede resultar aplicable: gestión de datos de empleados, decisiones automatizadas con efecto sobre derechos laborales, o uso de sistemas de detección de fraude sin garantías de legalidad en el tratamiento de la información.

Los riesgos que identificamos con mayor frecuencia en el sector de retail y distribución son:

• Exposición a sanciones de la AEPD por tratamiento de datos personales mediante sistemas de IA sin base jurídica adecuada o sin evaluación de impacto previa.
• Responsabilidad contractual frente a proveedores o clientes de la cadena de distribución que exigen garantías de cumplimiento del AI Act como condición de la relación comercial.
• Riesgo reputacional ante consumidores, inversores y socios comerciales en caso de incidente público relacionado con el uso de IA discriminatoria o invasiva.
• Conflictos laborales derivados de la gestión algorítmica del trabajo sin información ni consulta previa a los representantes de los trabajadores.
• Responsabilidad penal de la persona jurídica en supuestos donde la ausencia de un programa de compliance penal y de un canal de denuncias operativo no permite acreditar la diligencia debida.
• Brecha de seguridad no notificada: la AEPD exige la notificación de brechas que afecten a datos personales en el plazo de 72 horas. Si el sistema de IA genera o facilita una brecha y la empresa carece de protocolo, el incumplimiento se añade a la exposición principal.

La ausencia de medidas no solo no protege a la empresa: la coloca en la peor posición posible cuando la autoridad investiga. El registro de tratamientos, el protocolo de brechas y el modelo de compliance son los instrumentos que, en la práctica, reducen tanto la probabilidad de sanción como su cuantía cuando esta llega.

Cómo el asesoramiento temprano reduce el coste y la exposición regulatoria

Una creencia extendida en el sector es que con una cláusula de privacidad en la web ya se cumple con el RGPD. Es un mito. La cláusula informa, pero no cumple. El cumplimiento real exige un registro de tratamientos vivo, evaluaciones de impacto donde proceda, contratos con encargados de tratamiento, protocolos ante brechas de seguridad y, ahora, un análisis de los sistemas de IA bajo el AI Act. Ninguno de esos elementos es reemplazable por un aviso legal en el pie de página.

Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. La conclusión constante es que el coste de la adaptación temprana es significativamente inferior al coste de la reacción tardía.

El asesoramiento temprano permite tres cosas que la reacción ante una inspección o una denuncia no permite:

1. Elegir el diseño: cuando la empresa adapta sus sistemas antes de que la autoridad actúe, puede diseñar el modelo de cumplimiento con criterios de eficiencia y proporcionalidad. La empresa que actúa bajo presión regulatoria adopta medidas más costosas, más intrusivas y menos integradas en el negocio.
2. Documentar la diligencia: en el régimen del AI Act, como en el del RGPD, la carga de demostrar el cumplimiento recae sobre la empresa. Quien actúa pronto acumula documentación que acredita su buena fe y su esfuerzo de adaptación. Quien actúa tarde llega a la inspección sin ese respaldo.
3. Negociar mejor con los proveedores: la revisión contractual en materia de IA es mucho más efectiva antes de firmar el contrato con el proveedor tecnológico que una vez que el sistema ya está operativo. La empresa que exige desde el inicio la documentación de conformidad del proveedor obtiene mejores condiciones y menores riesgos residuales.

En nuestra experiencia asesorando a empresas en España, el análisis inicial de cumplimiento del AI Act combinado con la revisión del programa de protección de datos existente permite identificar, en un plazo razonable, los sistemas que requieren atención inmediata y los que pueden gestionarse de forma diferida. Esa priorización es, por sí sola, un ejercicio de gestión de riesgo con valor real para la dirección.

¿Cuál es el programa mínimo de cumplimiento para una empresa de distribución de tamaño medio?

No existe un modelo único. El programa de cumplimiento debe adaptarse al perfil de la empresa, al tipo de sistemas de IA que opera, al volumen y naturaleza de los datos personales que trata y a los sectores regulados en los que interviene su cadena de distribución. Dicho esto, en nuestra práctica hemos identificado un núcleo de elementos que ninguna empresa de retail y distribución puede prescindir de tener en orden.

El programa mínimo viable incluye los siguientes componentes:

• Registro de actividades de tratamiento actualizado, que incorpore los sistemas de IA como nuevas actividades y refleje la base jurídica de cada tratamiento.
• Inventario y clasificación de sistemas de IA según el AI Act, con identificación del rol de la empresa (proveedor o desplegador) y de las obligaciones aplicables a cada sistema.
• Contratos de encargo de tratamiento y cláusulas de conformidad con el AI Act en los contratos con proveedores tecnológicos.
• Evaluaciones de impacto relativas a la protección de datos para los tratamientos de alto riesgo (perfilado a gran escala, videovigilancia analítica, gestión algorítmica del trabajo).
• Protocolo de gestión de brechas de seguridad con procedimiento de notificación a la AEPD en el plazo de 72 horas desde que se tiene constancia de la brecha.
• Canal de denuncias operativo y conforme a la legislación de protección de los informantes.
• Modelo de compliance penal documentado, con sistema de supervisión y control del riesgo de comisión de delitos en el seno de la organización.
• Formación periódica del personal en materia de protección de datos y uso de sistemas de IA.

Este conjunto no se construye en una semana, pero tampoco requiere años. Con un enfoque metódico y bien priorizado, el despliegue de un programa de este tipo en una empresa de distribución de tamaño medio es viable en un plazo que conviene verificar con la normativa vigente y con el estado real de la empresa al inicio del proceso.

¿Qué papel desempeñan el canal de denuncias y el compliance penal en la gestión del riesgo de IA?

La conexión entre el compliance penal y el AI Act no es obvia a primera vista. Sin embargo, en la práctica del sector de distribución, resulta inevitable abordarlos de forma conjunta.

La gestión algorítmica del trabajo, la detección automatizada de fraude en la cadena de suministro y el control del rendimiento en almacenes mediante sistemas de IA son ámbitos donde la conducta de las personas de la organización puede generar responsabilidad penal de la persona jurídica si no existe un sistema de control adecuado. La empresa que despliega un sistema de IA para detectar fraude interno sin un canal de denuncias operativo y sin un protocolo de actuación ante las alertas del sistema se expone a que esa herramienta se convierta, paradójicamente, en un elemento agravante en lugar de en un factor de diligencia.

El canal de denuncias no es solo una obligación legal para las empresas que alcanzan determinados umbrales de plantilla. Es también un mecanismo de información que alimenta el sistema de control interno y que, en el contexto del AI Act, puede ser el canal por el que los trabajadores o terceros alerten sobre el uso inadecuado de un sistema de IA. Integrar el canal de denuncias en el programa de cumplimiento del AI Act no duplica estructuras: las racionaliza.

¿Puede la empresa alegar desconocimiento de las capacidades reales del sistema de IA que adquirió al proveedor? La respuesta jurídica es, en la mayoría de los casos, negativa. El desplegador tiene la obligación de verificar las especificaciones del sistema antes de su despliegue y de mantener registros de uso. El desconocimiento no exime; en algunos supuestos, puede agravar la responsabilidad.

Checklist de cumplimiento del AI Act para empresas de retail y distribución

A modo de síntesis operativa, incluimos a continuación los controles que la dirección de una empresa de retail y distribución debe verificar para evaluar su posición regulatoria frente al AI Act y al marco de compliance integrado.

• ¿Tiene la empresa un inventario actualizado de todos los sistemas de IA en producción, incluyendo los módulos integrados en plataformas de terceros?
• ¿Ha clasificado cada sistema según el nivel de riesgo del AI Act (prohibido, alto riesgo, riesgo limitado, riesgo mínimo)?
• ¿Dispone de documentación técnica del proveedor que acredite la conformidad de los sistemas de alto riesgo?
• ¿Recogen los contratos con proveedores tecnológicos las obligaciones del AI Act y la distribución de responsabilidades?
• ¿Está el registro de actividades de tratamiento actualizado con los sistemas de IA que procesan datos personales?
• ¿Se han realizado evaluaciones de impacto relativas a la protección de datos para los sistemas de perfilado y gestión algorítmica del trabajo?
• ¿Existe un protocolo de notificación de brechas de seguridad a la AEPD en 72 horas?
• ¿Opera la empresa un canal de denuncias conforme a la normativa vigente?
• ¿Cuenta la empresa con un modelo de compliance penal documentado y actualizado?
• ¿Ha recibido el personal que interactúa con sistemas de IA formación específica sobre sus obligaciones y límites?

Si la respuesta a varios de estos puntos es negativa o incierta, la empresa se encuentra en una posición de riesgo regulatorio que conviene abordar sin demora.

Servicios relacionados y áreas de práctica vinculadas

La gestión del AI Act en el sector de retail se conecta de forma natural con el área de propiedad intelectual y tecnología cuando los sistemas de IA generan activos de software o modelos de datos. Asimismo, las implicaciones laborales de la gestión algorítmica del trabajo ligan directamente con el asesoramiento en derecho laboral y movilidad. En Velarde & Vidal coordinamos estas dimensiones desde una perspectiva integrada, evitando los silos funcionales que en la práctica generan solapamientos y vacíos de cobertura.

Para profundizar en el marco de compliance y protección de datos aplicable a su empresa, puede consultar nuestra área de práctica de protección de datos y compliance, donde desarrollamos en detalle los instrumentos y procedimientos disponibles para las empresas que operan en España.

Si su empresa opera también en el sector financiero o gestiona productos regulados con componentes de IA, el análisis sectorial que hemos elaborado sobre el Reglamento de IA en el sector fintech y servicios financieros ofrece un enfoque complementario sobre los sistemas de alto riesgo en entornos regulados.

Para las empresas que gestionan datos sensibles en sectores con regulación adicional, el análisis sobre el canal de denuncias en el sector salud y farmacéutico ilustra cómo se articulan el compliance penal, la protección de datos y el AI Act en entornos de alta exigencia regulatoria, con lecciones extrapolables al retail de gran consumo.