Los proyectos de inteligencia artificial en el sector industrial y manufacturero no son ya una tendencia emergente: son una realidad operativa en plantas de producción, cadenas de suministro y sistemas de mantenimiento predictivo de toda España. Sin embargo, en nuestra experiencia asesorando a empresas del sector, la mayoría de ellas afronta el despliegue de estas tecnologías sin haber cerrado antes una cuestión crítica: el tratamiento de los datos personales que alimentan y generan esos sistemas. La exposición regulatoria derivada de ese vacío puede resultar costosa.
La creencia más extendida entre los equipos de operaciones es que sus sistemas de inteligencia artificial trabajan con datos de máquinas, sensores o parámetros productivos. En parte es cierto. El problema surge cuando esos sistemas también capturan comportamientos, patrones de movimiento, tiempos de tarea o imágenes de trabajadores en la planta. Todos esos datos constituyen datos personales en cuanto permiten identificar, directa o indirectamente, a una persona física.
Hemos observado este patrón con regularidad. Un sistema de visión artificial destinado al control de calidad detecta piezas defectuosas, pero también registra la presencia y los movimientos de los operarios. Un modelo de mantenimiento predictivo entrenado sobre logs de producción puede incluir identificadores de turno que remiten a personas concretas. Incluso la biometría de acceso a zonas restringidas, integrada en un flujo de IA más amplio, activa las obligaciones del RGPD de forma inmediata y con especial intensidad.
La cuestión no es si la empresa "quiere" tratar datos personales. La cuestión es si los trata de hecho. Y si los trata, la normativa de protección de datos aplica con independencia de la voluntad del responsable del tratamiento.
El eje normativo es doble. Por un lado, el RGPD, de aplicación directa en toda la Unión Europea, impone las obligaciones estructurales: base jurídica del tratamiento, derechos de los interesados, medidas técnicas y organizativas, y responsabilidad proactiva. Por otro, la LOPDGDD complementa ese marco con disposiciones específicas del ordenamiento español, incluyendo el régimen de los derechos digitales en el ámbito laboral, la figura del delegado de protección de datos (DPD) y las reglas de coordinación con la AEPD.
A ese marco se suma, con efecto inmediato en los próximos ejercicios, el Reglamento europeo de inteligencia artificial. Esta norma establece una clasificación de sistemas de IA por niveles de riesgo y exige requisitos adicionales de transparencia, trazabilidad y supervisión humana para los sistemas catalogados como de alto riesgo. Varios tipos de sistemas habituales en la industria, como los que influyen en decisiones sobre empleo o condiciones de trabajo, quedan bajo ese nivel de exigencia reforzada.
La convergencia de ambos marcos, el de protección de datos y el de IA, obliga a las empresas industriales a gestionar el cumplimiento de forma integrada. Un programa de compliance que aborde solo uno de los dos ejes es un programa incompleto.
La dirección de la empresa tiene que adoptar varias decisiones con contenido jurídico antes de que el proyecto de IA entre en fase de producción. No son decisiones que pueda delegar exclusivamente en el equipo técnico. El responsable del tratamiento, que en la mayoría de los casos es la propia empresa, responde frente a la AEPD y frente a los afectados.
La primera decisión es la identificación de la base jurídica del tratamiento. El interés legítimo, el cumplimiento de una obligación legal o la ejecución de un contrato son las bases más habituales en contextos industriales. El consentimiento, aunque es el mecanismo más conocido, resulta problemático cuando el tratamiento afecta a trabajadores: el desequilibrio de poder propio de la relación laboral compromete la libertad del consentimiento.
La segunda decisión concierne a la evaluación de impacto relativa a la protección de datos (EIPD). La normativa la exige cuando el tratamiento entraña un riesgo elevado para los derechos y libertades de las personas físicas. En proyectos de IA industrial, ese umbral se alcanza con frecuencia: vigilancia sistemática de trabajadores, tratamiento a gran escala, uso de datos biométricos o decisiones automatizadas con efectos significativos sobre las personas. Realizar la EIPD antes del despliegue no es solo una obligación: es la herramienta más eficaz para anticipar riesgos y diseñar medidas correctoras a un coste razonable.
La tercera decisión es la designación o revisión del delegado de protección de datos. En las empresas cuya actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos, o en la observación sistemática de personas a gran escala, la designación del DPD es obligatoria. En el sector industrial, el umbral se supera con mayor facilidad de lo que se suele asumir.
Un programa de cumplimiento en protección de datos no es un documento estático. Es un conjunto de procesos, registros y controles que funcionan de forma continua. En nuestra práctica, la estructura que mejor se adapta a los proyectos de IA industrial comprende cinco componentes principales.
El primero es el registro de actividades de tratamiento. La normativa exige que el responsable y el encargado del tratamiento mantengan un registro actualizado de todas las operaciones de tratamiento bajo su responsabilidad. En un proyecto de IA, ese registro debe reflejar con precisión qué datos se tratan, con qué finalidad, en qué base jurídica, quién tiene acceso, a quién se ceden y durante cuánto tiempo se conservan.
El segundo componente es la cláusula de privacidad y la información a los interesados. La información debe ser concisa, transparente y comprensible. En el ámbito laboral, el Tribunal Supremo ha consolidado el criterio de que los trabajadores deben ser informados de los sistemas de control antes de su implantación, con un nivel de especificidad que permita conocer el alcance real del tratamiento. Un aviso genérico no satisface esta exigencia.
El tercer componente es el contrato con encargados del tratamiento. Si la empresa industrial externaliza el desarrollo, el entrenamiento o el mantenimiento del sistema de IA a un proveedor tecnológico, ese proveedor actúa como encargado del tratamiento. La normativa exige formalizar esa relación en un contrato que incluya las cláusulas de protección de datos exigidas por el RGPD. Sin ese contrato, la empresa asume toda la responsabilidad por los tratamientos que realice el proveedor.
El cuarto componente es el protocolo de gestión de brechas de seguridad. Una brecha de seguridad que afecte a datos personales debe notificarse a la AEPD en el plazo de setenta y dos horas desde que el responsable tenga constancia de ella. Ese plazo es extraordinariamente corto. En nuestra experiencia, las empresas que no tienen un protocolo previo no logran cumplirlo: dedican las primeras horas a entender qué ha pasado, en lugar de ejecutar el procedimiento establecido. El protocolo debe identificar a los responsables de la notificación, los canales internos de escalado y los datos mínimos que debe contener la comunicación a la autoridad.
El quinto componente es el canal de denuncias. La legislación de compliance obliga a determinadas empresas a disponer de un sistema interno de información que permita a los trabajadores y colaboradores comunicar incumplimientos normativos, incluidas las vulneraciones de la normativa de protección de datos. Ese canal debe cumplir, a su vez, con las exigencias del RGPD en cuanto al tratamiento de los datos que se comuniquen a través de él: un requisito que a menudo se olvida.
El error más común es iniciar el proyecto de IA sin haber formalizado la base jurídica del tratamiento. El equipo técnico construye el modelo, el equipo de operaciones lo despliega y el departamento jurídico recibe la consulta cuando el sistema ya está en producción. En ese punto, las opciones de corrección son más limitadas y más costosas.
El segundo error es confundir la anonimización con la seudonimización. Una empresa que "anonimiza" los datos de sus trabajadores antes de entrenar el modelo puede creer que ha eliminado el riesgo. Si el proceso de anonimización no es irreversible, si existe alguna clave o variable que permita reidentificar a las personas, los datos siguen siendo personales. La seudonimización reduce el riesgo, pero no exime del cumplimiento del RGPD.
El tercer error es no actualizar el registro de tratamientos cuando el sistema de IA evoluciona. Un modelo que en su primera versión solo procesa datos de máquinas puede, en versiones sucesivas, incorporar datos de comportamiento de los operarios. Cada cambio relevante en las finalidades o en los tipos de datos tratados exige revisar el registro y, eventualmente, realizar una nueva evaluación de impacto.
El mito más extendido que encontramos en nuestra práctica es el siguiente: con una cláusula de privacidad en la web y un aviso de cookies en regla, la empresa ya cumple el RGPD. Es un error de concepto. La cláusula de privacidad informa a los usuarios del sitio web; no tiene ningún efecto sobre el tratamiento de datos de los trabajadores en la planta ni sobre los datos que alimentan el modelo de IA. El cumplimiento real exige un programa específico para cada ámbito de tratamiento.
El RGPD introdujo el principio de responsabilidad proactiva: no basta con cumplir, es necesario poder demostrar que se cumple. Esa demostración se articula a través de documentación, registros, evaluaciones de impacto y políticas internas. En caso de inspección por parte de la AEPD o de una reclamación de un trabajador, la empresa que dispone de ese acervo documental está en una posición radicalmente mejor que la que carece de él.
La dimensión penal también es relevante. El compliance penal en el ámbito de la protección de datos no se limita a evitar infracciones administrativas. Determinadas conductas vinculadas al tratamiento ilícito de datos pueden tener relevancia penal bajo la legislación vigente, con consecuencias para los administradores y directivos de la empresa. Un programa de compliance bien diseñado, que incluya un canal de denuncias operativo, una formación periódica del personal y una supervisión efectiva por parte del órgano de administración, es el instrumento más eficaz para gestionar esa exposición.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. La conclusión sistemática que extraemos es que el coste de diseñar el programa de cumplimiento antes del despliegue del sistema es muy inferior al coste de remediar una brecha, afrontar un procedimiento sancionador o gestionar una reclamación de los trabajadores sin documentación de respaldo.
Los trabajadores cuyos datos son tratados por el sistema de IA tienen, como cualquier interesado, el derecho de acceso, el derecho de rectificación, el derecho de supresión, el derecho de oposición, el derecho a la limitación del tratamiento y el derecho a la portabilidad de los datos. El plazo ordinario de respuesta a una solicitud de ejercicio de derechos es de un mes desde la recepción, prorrogable en determinadas circunstancias por dos meses adicionales cuando la complejidad o el número de solicitudes lo justifique.
En el ámbito laboral, los derechos de los trabajadores en relación con las decisiones automatizadas cobran especial relevancia. Si el sistema de IA genera evaluaciones de rendimiento, determina la asignación de tareas o influye en decisiones sobre condiciones de trabajo, la empresa debe garantizar la intervención humana significativa en el proceso decisorio. Una decisión adoptada exclusivamente por un algoritmo, sin revisión humana efectiva, vulnera los derechos de los trabajadores bajo el RGPD y, en determinados supuestos, bajo el Estatuto de los Trabajadores.
La Audiencia Provincial viene admitiendo, y el Tribunal Supremo ha afianzado esa tendencia, que las obligaciones de información en el contexto laboral tienen un alcance más exigente que el general: la empresa no puede limitarse a informar de la existencia del tratamiento; debe explicar con suficiente concreción cómo funciona el sistema, qué decisiones puede adoptar o influir y cuál es el impacto potencial sobre el trabajador.
El siguiente esquema sintetiza los hitos de cumplimiento que debe verificar la dirección antes, durante y después del despliegue de un sistema de IA en un entorno industrial. No sustituye al asesoramiento jurídico específico para el proyecto concreto, pero permite una primera evaluación interna del estado de cumplimiento.
La adaptación al RGPD en el contexto de un proyecto de IA no es un trámite puntual. Es un proceso continuo que requiere revisión periódica a medida que el sistema evoluciona y el marco regulatorio se completa con el Reglamento de IA europeo.
Los proyectos de IA en el entorno industrial suelen plantear, en paralelo a las cuestiones de protección de datos, necesidades de asesoramiento en propiedad intelectual y tecnología, especialmente en lo relativo a la titularidad del modelo y a la protección de los datos de entrenamiento. Igualmente, la dimensión laboral del despliegue de sistemas automatizados, incluyendo la negociación con la representación de los trabajadores y la gestión del cambio tecnológico, requiere un tratamiento coordinado con la práctica de protección de datos y compliance de Velarde & Vidal. Para empresas con operaciones en múltiples jurisdicciones, coordinamos con abogados locales de confianza en la jurisdicción correspondiente, garantizando una respuesta coherente a nivel transfronterizo.
Si su empresa afronta un proceso de transformación digital con componentes de IA y desea revisar el estado de cumplimiento del conjunto de sus tratamientos, nuestra guía general sobre cómo proteger datos personales ofrece un marco de referencia complementario al enfoque sectorial de este material.
Para proyectos en etapas tempranas que evalúen también el encaje societario y fiscal de la estructura, puede ser útil considerar la perspectiva de cumplimiento en el contexto de financiación de empresas emergentes, analizada en nuestro material sobre startups y venture capital.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.