El Reglamento de Inteligencia Artificial de la Unión Europea ha comenzado a desplegar sus efectos sobre el tejido empresarial español. Para el sector turístico y hostelero, que combina el tratamiento masivo de datos de viajeros, sistemas de recomendación automatizada, herramientas de gestión de revenue y soluciones de atención al cliente basadas en modelos de lenguaje, la cuestión ya no es si el Reglamento de IA afecta o no al negocio. La pregunta es cuánto tiempo queda para actuar.
El Reglamento de Inteligencia Artificial, adoptado a nivel de la Unión Europea, es la primera norma horizontal sobre IA con carácter vinculante en el mundo. Clasifica los sistemas de IA por niveles de riesgo – inaceptable, alto, limitado y mínimo – y establece obligaciones distintas en función de esa clasificación. Para las empresas, la norma no solo regula la creación de algoritmos: alcanza también a quienes los despliegan, aunque no los hayan desarrollado.
En nuestra experiencia asesorando a empresas en España, el sector turístico y hostelero ha tardado en interiorizar que utilizar un motor de recomendaciones adquirido a un tercero no exime de responsabilidad. El operador que despliega un sistema sigue siendo responsable de garantizar que ese sistema cumple con el Reglamento. Esta distinción – proveedor frente a operador – es clave en la planificación de cualquier programa de adaptación.
¿Qué herramientas de IA usa habitualmente una empresa hotelera o un operador turístico? La lista es más amplia de lo que parece:
Cada una de estas herramientas debe ser evaluada. El Reglamento exige conocer qué tipo de sistema es, quién lo desarrolla, qué datos procesa y qué decisiones adopta o apoya. Comenzar ese inventario es el primer paso.
La clasificación de riesgo es el eje central del Reglamento. Los sistemas de riesgo alto son los que suscitan mayor atención regulatoria y los que exigen más recursos de cumplimiento. En el sector turístico y hostelero, conviene prestar especial atención a dos categorías.
La primera es el uso de IA en la gestión de recursos humanos y la selección de personal. Si un hotel o una cadena hotelera utiliza herramientas automatizadas para cribar candidatos, evaluar el rendimiento de empleados o planificar turnos mediante predicciones algorítmicas, esos sistemas pueden quedar clasificados como de riesgo alto bajo el Reglamento. Las implicaciones para el cumplimiento son sustanciales: documentación técnica, evaluación de conformidad y supervisión humana efectiva.
La segunda es el uso de sistemas biométricos. El check-in sin contacto mediante reconocimiento facial, ya presente en algunos establecimientos de gama alta, es precisamente el tipo de tecnología que el Reglamento trata con mayor cautela. En muchos contextos, el uso de identificación biométrica en tiempo real queda directamente prohibido o sujeto a restricciones muy severas.
Fuera de la categoría de riesgo alto, los sistemas de recomendación y los chatbots suelen encuadrarse en riesgo limitado. La norma les exige, al menos, obligaciones de transparencia: el usuario debe saber que interactúa con una IA. Para una empresa hotelera que opera chatbots de reservas, eso implica revisar la interfaz de usuario y los avisos previos al contacto.
Hemos observado que muchas empresas del sector asumen que sus herramientas quedan en la categoría de mínimo riesgo porque las adquirieron a proveedores reconocidos. Esa presunción puede ser errónea. El proveedor puede entregar un sistema técnicamente conforme, pero el operador asume obligaciones propias al desplegarlo.
Esta es una de las preguntas que con más frecuencia plantean los directores de operaciones y los responsables jurídicos del sector. La respuesta es que ambas normas conviven y se refuerzan, pero no se solapan de manera automática.
El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) regulan el tratamiento de datos personales. La Agencia Española de Protección de Datos (AEPD) es la autoridad de control en España. El Reglamento de IA, en cambio, regula los sistemas de IA con independencia de si tratan o no datos personales, aunque en la práctica casi todos los sistemas relevantes para el turismo sí los tratan.
Cuando un hotel usa un motor de recomendaciones que procesa el historial de reservas de un cliente para sugerirle destinos o servicios, están activos simultáneamente el RGPD – porque se tratan datos personales – y el Reglamento de IA – porque se usa un sistema algorítmico de perfilado. Las empresas deben gestionar ambos marcos de forma coordinada.
¿Qué significa eso en la práctica? Significa que el registro de actividades de tratamiento exigido por el RGPD debe incorporar información sobre los sistemas de IA que procesan esos datos. Significa que las evaluaciones de impacto en la protección de datos – ya obligatorias para ciertos tratamientos – deben ampliarse para reflejar los riesgos específicos del sistema de IA utilizado. Y significa que los contratos con los proveedores tecnológicos deben incluir cláusulas que repartan las responsabilidades de cumplimiento de manera expresa.
Una empresa que opera sin un programa de cumplimiento integrado, que trata datos de clientes y usa herramientas de IA sin documentar ni supervisar, está expuesta a sanciones en dos frentes regulatorios de forma simultánea. El mito de que «con una cláusula de privacidad en la web ya se cumple el RGPD» es precisamente eso: un mito. El registro de tratamientos, el protocolo de brechas y un modelo de compliance coordinado son los elementos que reducen la sanción y la responsabilidad, y que cualquier empresa del sector debería tener operativos.
Sobre la brecha de seguridad: el Reglamento de Protección de Datos ya exige notificar a la AEPD en el plazo de 72 horas desde que se tiene conocimiento de una brecha que afecte a datos personales. Un sistema de IA que procesa reservas o pagos y sufre un incidente amplifica la exposición si no existe un protocolo claro de detección, contención y comunicación.
Para una visión de conjunto de nuestro enfoque en protección de datos y compliance, puede consultar el área de práctica correspondiente en Protección de datos y compliance – Velarde & Vidal.
El Reglamento articula un conjunto de exigencias que varían según la categoría de riesgo del sistema. Para los operadores del sector turístico y hostelero, las más frecuentes son las siguientes.
Documentación técnica y registro. Los sistemas de IA de riesgo alto deben acompañarse de documentación técnica que describa su funcionamiento, sus datos de entrenamiento, sus límites de uso y los resultados de las evaluaciones de conformidad. El operador debe conservar esa documentación y tenerla disponible ante las autoridades.
Supervisión humana. La norma exige que los sistemas de riesgo alto estén diseñados para ser supervisados por personas físicas. En el contexto de un hotel que utiliza IA para tomar decisiones sobre contratación o gestión de personal, eso implica diseñar procesos en los que un responsable humano revise y pueda corregir las decisiones del sistema.
Transparencia frente a los usuarios. Los sistemas que interactúan con personas – como los chatbots de reservas o atención al cliente – deben identificarse como IA de forma clara. No es suficiente con una nota en los términos y condiciones. La identificación debe ser perceptible antes o en el momento de la interacción.
Evaluación de conformidad. Para ciertos sistemas de riesgo alto, la empresa debe completar una evaluación de conformidad antes del despliegue. Esa evaluación puede realizarse internamente o a través de un organismo externo, según el tipo de sistema.
Canal de denuncias y mecanismos de reclamación. El Reglamento prevé que los ciudadanos y las empresas puedan presentar reclamaciones sobre el uso de sistemas de IA. Las empresas que operan sistemas relevantes deben tener mecanismos internos para gestionar esas reclamaciones. Esto conecta directamente con la obligación de disponer de un canal de denuncias operativo en el marco del compliance corporativo.
Conviene recordar que las obligaciones del Reglamento se aplican de forma escalonada en el tiempo, con distintas fechas de entrada en vigor para diferentes categorías. La dirección de una empresa turística o hotelera debe conocer cuál es el calendario que le aplica en función de los sistemas que ya tiene desplegados o que prevé incorporar.
La pregunta es pertinente y, en nuestra práctica, aún genera sorpresa. El cumplimiento normativo en materia de IA no es solo una cuestión regulatoria administrativa: puede tener relevancia desde el punto de vista del compliance penal corporativo.
Las empresas que operan en España deben contar con un modelo de organización y control que prevenga la comisión de delitos en el ámbito corporativo. Cuando se utilizan sistemas de IA en la toma de decisiones que afectan a empleados, a clientes o a terceros – desde la selección de personal hasta la gestión de datos biométricos – surgen vectores de riesgo penal que deben ser analizados e incorporados al modelo de cumplimiento.
El uso no consentido o indebido de datos biométricos, la vulneración de la privacidad de los trabajadores a través de sistemas de monitorización y el tratamiento ilícito de datos de clientes son conductas que pueden tener consecuencias penales para las personas físicas responsables y para la persona jurídica. Un programa de compliance penal bien diseñado identifica esos riesgos, establece controles y documenta su supervisión. Esa documentación, ante un eventual procedimiento, es el argumento más sólido para acreditar la diligencia debida de la empresa.
Para las cadenas hoteleras y los grupos turísticos de mayor tamaño, la integración del Reglamento de IA en el mapa de riesgos del modelo de compliance penal no es una opción: es una exigencia de la diligencia debida de la dirección.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. La experiencia acumulada nos permite identificar los patrones de error más repetidos cuando una empresa del sector turístico y hostelero afronta la adaptación.
Primero: delegar toda la responsabilidad en el proveedor tecnológico. Es el error más común. El proveedor entrega el sistema; el operador asume las obligaciones de cumplimiento al desplegarlo. Ambas partes tienen responsabilidades, y estas deben quedar claramente distribuidas en el contrato.
Segundo: no hacer el inventario de sistemas antes de evaluar el riesgo. Muchas empresas desconocen con exactitud qué sistemas de IA están utilizando. Aplicaciones de gestión de reservas, herramientas de marketing automatizado, plataformas de análisis de comportamiento de clientes: todas pueden incorporar componentes de IA. Sin inventario no hay evaluación, y sin evaluación no hay cumplimiento.
Tercero: tratar el Reglamento de IA como una norma independiente del RGPD. La adaptación debe ser coordinada. Un protocolo de brechas de seguridad que no contempla los incidentes generados por sistemas de IA deja un flanco descubierto. La evaluación de impacto en protección de datos debe integrarse con la evaluación de conformidad del sistema de IA.
Cuarto: ignorar los plazos escalonados. La entrada en vigor del Reglamento no es simultánea para todas sus disposiciones. Las empresas que esperan a que todo esté en vigor para empezar a actuar llegan tarde. La planificación debe comenzar ahora, con un mapa de los sistemas actuales y un calendario de adaptación por categorías.
Quinto: no involucrar a la dirección. La adaptación al Reglamento de IA requiere decisiones estratégicas: qué sistemas mantener, cuáles revisar, cuáles retirar. Esas decisiones no pueden quedar delegadas exclusivamente en el departamento de tecnología o en el responsable de cumplimiento. La dirección debe estar informada y asumir la supervisión del proceso.
¿Está su empresa cometiendo alguno de estos errores? Si la respuesta no es un «no» rotundo, el momento de actuar es ahora.
El Reglamento de IA crea un marco de supervisión multinivel. A nivel europeo, se establece la Oficina Europea de Inteligencia Artificial, que coordina la aplicación del Reglamento y supervisa directamente los sistemas de IA de propósito general – los grandes modelos de lenguaje e IA fundacional. A nivel nacional, cada Estado miembro debe designar una o varias autoridades de supervisión del mercado y una autoridad nacional competente.
En España, la autoridad designada para la supervisión del Reglamento de IA es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. Esta agencia asumirá la supervisión de los sistemas de IA desplegados en España, con excepción de aquellos que recaen bajo la competencia de la Oficina Europea. La AEPD mantiene su competencia en materia de protección de datos, y ambas autoridades deberán coordinarse cuando un asunto afecte a ambos marcos.
Para una empresa turística o hotelera, esto significa que puede recibir requerimientos de dos autoridades distintas. La coordinación interna del programa de cumplimiento – un único responsable que conozca ambos marcos y pueda articular la respuesta ante cualquiera de ellas – es un elemento de eficiencia que reduce el riesgo y los costes de gestión.
Las cadenas hoteleras y los operadores turísticos trabajan habitualmente con una constelación de proveedores tecnológicos: sistemas de gestión de propiedades (PMS), plataformas de distribución online (OTA), herramientas de CRM, procesadores de pago y soluciones de análisis de datos. Muchos de estos proveedores incorporan o van a incorporar componentes de IA en sus productos.
El Reglamento exige que las relaciones contractuales con los proveedores de sistemas de IA de riesgo alto contemplen, como mínimo, la transferencia de la documentación técnica necesaria para que el operador pueda cumplir sus propias obligaciones, la descripción del funcionamiento del sistema y sus límites, y las responsabilidades de cada parte en caso de incidente o incumplimiento.
En nuestra experiencia, los contratos tecnológicos del sector turístico raramente contienen estas cláusulas. La renegociación o la adenda al contrato vigente es, en muchos casos, la primera acción práctica que debe emprender una empresa una vez ha completado el inventario de sus sistemas. No se trata de una cuestión de desconfianza hacia el proveedor: es una exigencia regulatoria que protege a ambas partes.
Para empresas con presencia en múltiples países – cadenas internacionales, operadores con contratos de franquicia fuera de España – la cuestión se complica. El Reglamento de IA se aplica cuando el sistema se despliega o sus efectos se producen en la Unión Europea, con independencia de dónde esté establecido el proveedor. Para esas situaciones, coordinamos con abogados locales de confianza en la jurisdicción correspondiente, asegurando coherencia con el marco europeo.
Puede resultar útil revisar el enfoque que aplicamos en sectores con una estructura de proveedores igualmente compleja, como el financiero: Preguntas frecuentes sobre Reglamento de IA en fintech y servicios financieros – Velarde & Vidal.
El Reglamento no regula solo el sistema técnico: regula también la organización que lo despliega. La gobernanza interna de la IA – cómo una empresa toma decisiones sobre qué sistemas utiliza, cómo los supervisa y cómo forma a las personas que los gestionan – es un elemento material del cumplimiento.
Para los hoteles y operadores turísticos, esto se traduce en varias necesidades prácticas. El personal que opera sistemas de IA relevantes debe tener una comprensión suficiente del funcionamiento básico del sistema, sus limitaciones y los casos en que debe escalarse la decisión a un superior. No se exige formación técnica avanzada, pero sí un nivel mínimo de alfabetización en IA que permita ejercer la supervisión humana que el Reglamento demanda.
La empresa debe designar un responsable interno de la gestión del cumplimiento en materia de IA. En muchas organizaciones, esta función puede recaer en el delegado de protección de datos (DPD) o en el responsable de compliance, ampliando su mandato. En organizaciones de mayor tamaño puede justificarse una figura específica. Lo relevante no es el título: es que exista una persona identificada, con recursos y autoridad para actuar.
La documentación de la gobernanza – políticas de uso aceptable de IA, procedimientos de evaluación de nuevos sistemas, actas de las revisiones periódicas – es, ante una inspección o una reclamación, la prueba de que la empresa ha actuado con diligencia. Sin esa documentación, el cumplimiento existe solo en la práctica, pero no puede acreditarse.
Los riesgos derivados de la falta de gobernanza son comparables a los que enfrentan empresas de otros sectores altamente regulados, como el sanitario. Para una perspectiva comparada sobre cómo se articula el compliance en ese ámbito, puede ser útil la siguiente referencia: Preguntas frecuentes sobre cumplimiento en salud y farmacéutico – Velarde & Vidal.
Sintetizamos a continuación las acciones prioritarias que, en nuestra práctica, estructuramos para empresas del sector que inician un proceso de adaptación al Reglamento de IA.
Este checklist es un punto de partida, no un sustituto del asesoramiento jurídico específico. Cada empresa tiene una combinación de sistemas, contratos y estructuras organizativas que requiere un análisis individualizado.
La adaptación al Reglamento de IA en turismo y hostelería se encuadra en nuestro servicio integral de protección de datos y compliance, que abarca desde el diseño del programa de cumplimiento hasta la asistencia ante la Agencia Española de Protección de Datos (AEPD) y la nueva Agencia Española de Supervisión de la Inteligencia Artificial. Este trabajo conecta frecuentemente con nuestra práctica de Derecho laboral y movilidad internacional – cuando la IA se despliega en la gestión de personas – y con la de Derecho societario y operaciones – cuando la adquisición de empresas o activos tecnológicos exige una diligencia debida (due diligence) sobre el nivel de cumplimiento de los sistemas de IA incorporados.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.