El ecosistema de startups español afronta un punto de inflexión regulatorio sin precedentes. El Reglamento de Inteligencia Artificial de la Unión Europea – el llamado Reglamento IA – ha entrado en vigor de forma escalonada y coloca en el centro del tablero a las empresas tecnológicas de rápido crecimiento y a los fondos de capital riesgo (venture capital) que las financian. Ignorar este marco no es una opción: las consecuencias abarcan desde sanciones económicas relevantes hasta el bloqueo de rondas de inversión por parte de inversores institucionales que exigen un programa de cumplimiento como condición previa al desembolso.
El Reglamento IA establece un sistema de clasificación por niveles de riesgo que obliga a cualquier empresa – incluidas las startups en fase semilla o serie A – a evaluar si sus sistemas caen dentro de las categorías de riesgo alto o, en el caso más grave, dentro de las prácticas prohibidas.
¿Qué significa esto en la práctica? Significa que una startup de recursos humanos que usa un algoritmo para filtrar candidaturas, o una plataforma de salud digital que emplea modelos de decisión automatizada, puede quedar clasificada en la categoría de riesgo alto. Eso activa un catálogo de obligaciones específicas: evaluación de conformidad antes de poner el sistema en el mercado, documentación técnica exhaustiva, registro en la base de datos de la UE y supervisión humana efectiva del sistema.
Al mismo tiempo, el RGPD – y su transposición española a través de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) – sigue plenamente vigente y sus exigencias no quedan absorbidas por el Reglamento IA. Ambos marcos coexisten y se superponen. En nuestra experiencia asesorando a empresas tecnológicas en España, la principal fuente de riesgo no es el desconocimiento del RGPD sino la convicción – errónea – de que con una política de privacidad publicada en el sitio web ya se satisface la obligación.
Esa creencia es el primer mito que hay que desmontar: el cumplimiento del RGPD exige un registro de actividades de tratamiento, una evaluación de impacto cuando el tratamiento entraña riesgos elevados, y un protocolo documentado de respuesta a brechas de seguridad que debe notificarse a la AEPD en un plazo máximo de setenta y dos horas desde que la empresa tiene conocimiento de ella.
La pregunta que con mayor frecuencia recibimos de los equipos fundadores y de los responsables jurídicos de fondos de venture capital es sencilla: ¿a quién aplica el Reglamento IA y desde cuándo?
La norma distingue varios operadores: el proveedor (quien desarrolla el sistema de IA y lo comercializa), el responsable del despliegue (quien lo usa en su actividad), el importador y el distribuidor. Una startup puede ser simultáneamente proveedora y responsable del despliegue de sus propios sistemas. Eso la coloca en la posición regulatoria más exigente: acumula las obligaciones de ambos roles.
Las obligaciones más relevantes para los sistemas de riesgo alto incluyen:
Adicionalmente, el Reglamento IA exige que determinados sistemas queden registrados en una base de datos de la UE antes de su comercialización. El incumplimiento de estas obligaciones puede derivar en sanciones que la norma fija en porcentajes del volumen de negocio mundial anual – un mecanismo de escala que puede resultar especialmente gravoso para empresas con ingresos reducidos pero con valoraciones elevadas.
Para una lectura técnica de cómo se clasifican los sistemas de IA por nivel de riesgo, véase el análisis específico publicado en nuestro sitio: clasificación de sistemas de IA por nivel de riesgo según el Reglamento IA.
Los fondos de venture capital con presencia en Europa – y en especial los fondos institucionales con limited partners sujetos a regulación – han incorporado el cumplimiento regulatorio de IA y datos como criterio de inversión. La diligencia debida (due diligence) jurídica que precede a una ronda serie A o serie B ya incluye sistemáticamente un examen del programa de protección de datos, la evaluación de los sistemas de IA desarrollados por la startup y la existencia – o ausencia – de un canal de denuncias y un modelo de compliance penal.
En nuestra práctica hemos observado que las startups que llegan a un proceso de inversión sin un registro de tratamientos actualizado, sin una evaluación de impacto documentada o sin un protocolo de brechas operativo generan contingencias que retrasan el cierre de la operación o fuerzan ajustes en la valoración. El coste de remediar estas carencias bajo la presión de un proceso de inversión abierto es siempre mayor que el coste de haberlas gestionado con anticipación.
¿Por qué los fondos son tan exigentes en este punto? La respuesta es doble. Por un lado, la exposición regulatoria de la participada se convierte en riesgo del fondo ante sus propios inversores. Por otro, los fondos que invierten en empresas de IA asumen exposición reputacional si una participada es sancionada por la AEPD o por la autoridad supervisora del Reglamento IA.
El efecto es claro: el compliance de inteligencia artificial y de protección de datos ha dejado de ser un coste de cumplimiento para convertirse en un activo en el proceso de inversión.
El punto de intersección más relevante entre el RGPD y el Reglamento IA es la toma de decisiones automatizada con efectos jurídicos significativos sobre personas físicas. La normativa de protección de datos ya regulaba este supuesto; el Reglamento IA lo eleva de categoría cuando el sistema involucrado queda clasificado como de riesgo alto.
En la práctica, esto afecta a un amplio abanico de modelos de negocio habituales en el ecosistema startup:
En todos estos supuestos, la empresa debe garantizar simultáneamente el derecho del interesado a no ser objeto de decisiones exclusivamente automatizadas con efectos significativos – reconocido en el RGPD – y las obligaciones de supervisión humana que exige el Reglamento IA. Son dos marcos distintos pero sus requisitos se refuerzan mutuamente.
La adaptación al RGPD en este contexto no puede limitarse a actualizar los textos legales del sitio web. Requiere un ejercicio de mapeo de los flujos de datos que alimentan los modelos, una revisión de las bases jurídicas de tratamiento para cada categoría de dato utilizado en el entrenamiento o la inferencia, y una evaluación de impacto en protección de datos (EIPD) cuando el tratamiento sea de alto riesgo. La notificación de una brecha de seguridad a la AEPD debe realizarse en un plazo máximo de setenta y dos horas desde que la organización tiene conocimiento del incidente – un plazo que solo puede cumplirse si existe un protocolo previo, no cuando se improvisa sobre la marcha.
El compliance penal es, junto con la protección de datos, el ámbito que con mayor frecuencia queda fuera del foco de atención de los equipos fundadores. La creencia habitual es que se trata de una exigencia propia de grandes corporaciones. Es un error con consecuencias relevantes.
La normativa española de responsabilidad penal de las personas jurídicas exige que las empresas – con independencia de su tamaño – dispongan de un modelo de organización y gestión que incluya medidas de vigilancia y control para prevenir delitos o reducir significativamente el riesgo de comisión. La existencia y eficacia de ese modelo es, además, una circunstancia que los tribunales valoran expresamente al determinar la responsabilidad de la empresa.
El canal de denuncias – obligatorio para las empresas de más de cincuenta trabajadores conforme a la normativa de protección de los denunciantes que traspone la Directiva europea – es una pieza central del modelo de compliance. Su implantación debe garantizar la confidencialidad del denunciante, la gestión independiente de las comunicaciones y un protocolo de investigación interna documentado.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, la integración del canal de denuncias con el modelo de compliance penal y con el sistema de protección de datos ha resultado en un esquema más robusto y menos costoso de mantener que los tres sistemas gestionados de forma independiente.
Para las startups en fase de crecimiento, el momento idóneo para implantar el modelo de compliance penal es antes de superar los umbrales de plantilla que activan la obligación del canal de denuncias y antes de una ronda de inversión relevante. Posponerlo hasta la serie B o la serie C incrementa el coste de la implantación y puede generar contingencias en el proceso de diligencia debida.
El consejo de administración o el equipo directivo de una startup tiene ante sí un conjunto de decisiones concretas que no admiten delegación informal. La regulación de IA y de datos asigna responsabilidad específica a la organización – no solo a los equipos técnicos – por las decisiones de diseño, despliegue y gobierno de los sistemas.
Las decisiones críticas que debe gestionar la dirección incluyen:
En nuestra experiencia, las startups que integran estas decisiones en su gobernanza desde la fase de lanzamiento presentan un perfil regulatorio significativamente más favorable en los procesos de due diligence que aquellas que abordan el cumplimiento de forma reactiva ante una inspección o un requerimiento de la AEPD.
La inacción regulatoria en el ecosistema startup tiene tres vectores de riesgo que operan de forma simultánea e independiente.
El primero es el riesgo sancionador. La AEPD dispone de potestad sancionadora plena y ha acreditado en los últimos años su disposición a incoar procedimientos contra empresas de cualquier tamaño cuando detecta tratamientos sin base jurídica suficiente, ausencia de registro de tratamientos o falta de protocolo de brechas. El Reglamento IA añade una capa adicional de supervisión con un régimen sancionador propio.
El segundo es el riesgo de inversión. Como se ha señalado, los fondos institucionales de venture capital exigen cada vez con más frecuencia un informe de compliance como parte del proceso de diligencia debida. Una startup que no puede acreditar su programa de cumplimiento puede ver comprometida la operación o sufrir ajustes en la valoración que resulten más costosos que la implantación del programa.
El tercero es el riesgo reputacional. Una brecha de seguridad mal gestionada – sin protocolo, sin notificación en plazo a la AEPD y sin comunicación adecuada a los afectados – puede generar un impacto en la percepción de la empresa que resulta especialmente grave para startups cuyo crecimiento depende de la confianza de sus usuarios.
El denominador común de los tres vectores es idéntico: el coste de la inacción supera sistemáticamente el coste del cumplimiento anticipado. El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen la sanción y la responsabilidad de la dirección. No los eliminan, pero los acotan de forma significativa.
La empresa de tecnología que se plantea su programa de compliance en el momento en que recibe una inspección de la AEPD o una solicitud de información de un inversor institucional afronta una situación radicalmente distinta a la que inicia ese proceso con anticipación.
La primera diferencia es de coste directo. Un programa implantado desde cero bajo presión – con plazos ajustados y la organización en modo reactivo – requiere más recursos y genera más interrupciones operativas que uno diseñado con tiempo suficiente para integrarse en los procesos de la empresa.
La segunda diferencia es de posición negociadora. Cuando el cumplimiento ya está documentado, la empresa negocia desde una posición de fortaleza: puede acreditar ante el supervisor que adoptó medidas razonables y ante el inversor que el riesgo regulatorio está gestionado. En ausencia de esa documentación, la posición es la contraria.
La tercera diferencia es de cultura organizativa. Las startups que integran el compliance en su proceso de desarrollo de producto – aplicando el principio de privacidad desde el diseño que exige el RGPD y el principio de "AI by design" que promueve el Reglamento IA – generan equipos más conscientes del riesgo y productos con menor probabilidad de incidentes en producción.
Nuestra área de protección de datos y compliance trabaja de forma habitual con startups en distintas fases de desarrollo, desde la configuración inicial del registro de tratamientos hasta la preparación de la documentación técnica exigida por el Reglamento IA para sistemas de riesgo alto.
El análisis del impacto del Reglamento IA en sectores distintos al tecnológico – como el retail y la distribución – ofrece perspectivas comparativas de interés sobre cómo otros sectores están abordando las mismas obligaciones: retail y distribución: el Reglamento de Inteligencia Artificial.
A efectos de orientar la evaluación inicial, las siguientes verificaciones constituyen el punto de partida mínimo para una startup que opera en España y desarrolla o despliega sistemas de inteligencia artificial:
Para los fondos de venture capital, la diligencia debida sobre estas materias debe incorporarse al cuestionario estándar de due diligence jurídica antes de cualquier inversión en compañías que desarrollen o desplieguen sistemas de inteligencia artificial.
El asesoramiento en protección de datos y compliance para startups se articula con frecuencia junto con el trabajo en otras áreas. Las rondas de inversión de venture capital implican operaciones de Derecho societario y M&A en las que la situación regulatoria de la participada es un componente central de la negociación. Del mismo modo, las obligaciones del Reglamento IA relativas a la documentación de sistemas y a la gestión de derechos de propiedad intelectual sobre los modelos conectan directamente con el área de propiedad intelectual y tecnología.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.