El 1 de agosto de 2024, el Reglamento (UE) 2024/1689 — el Reglamento de IA de la UE — entró en vigor, convirtiéndose en el primer marco regulatorio horizontal del mundo para la inteligencia artificial. Su intersección con el Reglamento General de Protección de Datos (RGPD) crea una doble capa de cumplimiento que afecta a cualquier organización que desarrolle, despliegue o utilice sistemas de IA que traten datos personales. El cumplimiento simultáneo de ambos marcos no es discrecional: las sanciones del Reglamento de IA alcanzan los 35 millones de euros o el 7% de la facturación global anual para las infracciones más graves, igualando el nivel más alto del RGPD.
El Calendario Escalonado del Reglamento de IA: Qué Aplica Cuándo
El Reglamento de IA no se aplica de una sola vez. Su entrada en vigor escalonada es la clave para priorizar los esfuerzos de cumplimiento:
- Febrero de 2025: Prohibición de sistemas de IA de riesgo inaceptable (Artículo 5), incluida la manipulación subliminal, la puntuación social y el reconocimiento de emociones en entornos laborales y educativos salvo en casos estrictamente definidos.
- Agosto de 2025: Aplicación plena de las obligaciones para los modelos de IA de Propósito General (GPAI), incluida la documentación técnica y el cumplimiento en materia de derechos de autor en relación con los datos de entrenamiento.
- Agosto de 2026: Entrada en vigor de las obligaciones para los sistemas de IA de alto riesgo enumerados en el Anexo III (RRHH, crédito, educación, infraestructuras críticas, biometría).
- Agosto de 2027: Aplicación a los sistemas de IA de alto riesgo ya en el mercado antes de agosto de 2026.
Puntos Críticos de Intersección entre el RGPD y el Reglamento de IA
El RGPD y el Reglamento de IA no son normas paralelas que se aplican de forma independiente; en numerosos escenarios sus obligaciones se solapan, se refuerzan mutuamente o crean tensiones que requieren una resolución coordinada.
Evaluaciones de impacto. El RGPD exige una Evaluación de Impacto sobre la Protección de Datos (EIPD) para el tratamiento a gran escala o las actividades de elaboración de perfiles (Artículo 35 del RGPD). El Reglamento de IA exige una evaluación de conformidad para los sistemas de alto riesgo. En muchos casos, ambas evaluaciones se dirigen al mismo sistema de IA. La Agencia Española de Protección de Datos (AEPD) ha publicado orientación para integrar ambas evaluaciones en un único procedimiento, reduciendo la carga de cumplimiento sin sacrificar el rigor.
Decisiones automatizadas y derecho a la explicación. El Artículo 22 del RGPD concede a los interesados el derecho a no ser objeto de decisiones basadas exclusivamente en el tratamiento automatizado cuando esas decisiones producen efectos significativos. El Reglamento de IA añade obligaciones de transparencia para los sistemas de alto riesgo y un derecho a la supervisión humana. Cuando un sistema de IA toma decisiones automáticas en RRHH (selección de candidatos, evaluación del rendimiento) o en la concesión de créditos, el responsable del tratamiento debe documentar la lógica del sistema, informar a los interesados y garantizar que las decisiones pueden ser revisadas por una persona.
Base jurídica para el entrenamiento de IA. El uso de datos personales para entrenar o ajustar un modelo de IA requiere una base jurídica válida conforme al Artículo 6 del RGPD. El consentimiento parece ser la opción más intuitiva pero conlleva el problema de la revocabilidad: si un interesado retira el consentimiento, el responsable debe ser capaz de eliminar o anonimizar su contribución al modelo — lo que es técnicamente complejo o imposible en muchos casos. El interés legítimo es una alternativa operativamente más sólida, pero requiere superar el test de proporcionalidad, y para los datos de categorías especiales (salud, origen étnico, orientación sexual) prácticamente no está disponible sin consentimiento explícito.
Obligaciones Específicas para los Operadores de Sistemas de IA
Las organizaciones que despliegan sistemas de IA de alto riesgo deben:
Registrar el sistema. La base de datos de la UE (gestionada por la Oficina Europea de IA) exige el registro de los sistemas de alto riesgo antes de su comercialización o puesta en servicio. Los detalles del registro incluyen el propósito previsto del sistema, el proveedor o desplegador responsable y las características de rendimiento clave.
Mantener documentación técnica. El Reglamento de IA exige documentación técnica completa que cubra la descripción del sistema, los datos de entrenamiento utilizados (incluidas las fuentes de datos y las medidas de garantía de calidad), las métricas de rendimiento y los resultados de las pruebas de solidez y exactitud. Esta documentación debe mantenerse actualizada y ponerse a disposición de las autoridades de vigilancia del mercado cuando se solicite.
Garantizar la supervisión humana. Los sistemas de alto riesgo deben diseñarse para permitir que personas físicas supervisen su funcionamiento e intervengan o los detengan cuando sea necesario. Este principio entra en conflicto con la lógica de automatización total de muchos sistemas de IA y requiere repensar las arquitecturas de flujo de trabajo donde la IA toma o recomienda decisiones de consecuencias significativas.
Informar sobre la interacción con IA. Cuando los usuarios interactúan con un sistema de IA (chatbot, asistente virtual, reconocimiento de emociones), el Reglamento de IA exige que se informe a los usuarios de que están tratando con IA. Las políticas de privacidad y los avisos legales deben actualizarse en consecuencia.
El Rol Evolutivo del DPO en la Era del Reglamento de IA
El Delegado de Protección de Datos (DPO), una designación obligatoria conforme al Artículo 37 del RGPD para determinados responsables y encargados del tratamiento, adquiere una nueva dimensión en el contexto del Reglamento de IA. Su función natural de supervisión del cumplimiento del RGPD se extiende ahora a la coordinación de las evaluaciones de conformidad con el Reglamento de IA, la gestión del registro de sistemas de IA y la formación interna sobre el uso responsable de la IA.
Las organizaciones que no estaban obligadas previamente a designar un DPO pero que ahora despliegan sistemas de IA de alto riesgo deben evaluar si la escala de sus obligaciones de cumplimiento justifica la designación voluntaria de esta función o la contratación de un servicio externo de DPO.
Hoja de Ruta de Cumplimiento para 2025-2026
El punto de partida es un inventario de todos los sistemas de IA utilizados en la organización, clasificados por nivel de riesgo conforme al Reglamento de IA. Para los sistemas de alto riesgo, el paso siguiente es realizar una evaluación de conformidad integrada (combinando la EIPD y la evaluación del Reglamento de IA), revisar los contratos con los proveedores de IA para incorporar las cláusulas exigidas por ambos marcos (incluidas las garantías sobre los datos de entrenamiento y los mecanismos de supervisión humana), y actualizar los registros de actividades de tratamiento del RGPD para reflejar los nuevos casos de uso de IA.
En BMC, nuestro equipo especializado en protección de datos y cumplimiento de IA guía a las organizaciones a través de cada etapa de este doble marco regulatorio. Explora nuestros servicios de protección de datos.
