El área de privacidad e inteligencia artificial de BMC asesora a empresas en el cumplimiento del RGPD, la gestión de riesgos derivados de sistemas de IA y la adaptación al nuevo marco regulatorio europeo sobre inteligencia artificial. Cubrimos desde el servicio de DPO externo hasta el cumplimiento del AI Act, la evaluación de impacto y la respuesta a brechas de datos.
Protección de datos y privacidad: el marco RGPD en España
El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679), complementado en España por la LOPDGDD (LO 3/2018), establece un marco integral de derechos y obligaciones que afecta a cualquier organización que trate datos de personas físicas. La AEPD es la autoridad de control nacional y mantiene un régimen sancionador activo que impone multas de hasta 20 M€ o el 4% de la facturación global anual para las infracciones más graves.
Las obligaciones fundamentales para las empresas incluyen: designar base jurídica para cada tratamiento de datos, mantener un Registro de Actividades de Tratamiento actualizado, implantar medidas de seguridad técnicas y organizativas adecuadas al riesgo, gestionar los derechos de los interesados (acceso, rectificación, supresión, portabilidad), y notificar las brechas de datos en los plazos establecidos.
Para tratamientos complejos, de alto riesgo o que implican categorías especiales de datos, la ley obliga además a designar un DPO registrado en la AEPD, realizar evaluaciones de impacto previas al tratamiento y aplicar los principios de privacidad por diseño y por defecto.
Inteligencia artificial: el AI Act y su impacto en las empresas
El Reglamento de Inteligencia Artificial (UE 2024/1689) es el primer marco regulatorio integral de IA del mundo. Clasifica los sistemas de IA en cuatro categorías de riesgo (inaceptable, alto, limitado y mínimo) e impone obligaciones diferenciadas a proveedores, desplegadores e importadores de sistemas de IA.
Las empresas que utilizan IA en procesos de selección de personal, evaluación crediticia, educación o atención sanitaria están obligadas desde agosto de 2026 a cumplir con los requisitos de IA de alto riesgo: evaluación de conformidad, documentación técnica, supervisión humana, gestión de riesgos y registro. Las empresas que desarrollan sistemas de IA de propósito general (GPAI) deben cumplir además las obligaciones del artículo 53 del AI Act.
La intersección entre el RGPD y el AI Act es especialmente relevante: los sistemas de IA que toman decisiones sobre personas físicas están sujetos simultáneamente a la regulación de IA (clasificación de riesgo, documentación técnica) y al RGPD (bases jurídicas, limitación de finalidad, derecho a no ser objeto de decisiones automatizadas con efectos jurídicos del art. 22).
Servicios de privacidad, protección de datos e IA
Protección de datos y RGPD
- DPO externo: Delegado de Protección de Datos externalizado, registrado ante la AEPD, con disponibilidad para auditorías periódicas, gestión de derechos de interesados, asesoramiento en consultas y supervisión de incidentes.
- Evaluación de Impacto en Protección de Datos (EIPD): Análisis sistemático del riesgo para los derechos de los interesados conforme al art. 35 RGPD, con propuestas de medidas de mitigación y documentación para el Registro de Actividades.
- Respuesta a brechas de datos: Gestión de incidentes de seguridad con impacto en datos personales: análisis de la brecha, evaluación de la probabilidad de riesgo, notificación a la AEPD en 72 horas y comunicación a los interesados afectados.
- Transferencias internacionales de datos: Asesoramiento en cláusulas contractuales tipo (SCCs), binding corporate rules, evaluación de impacto de la transferencia (TIA) y alternativas para proveedores no-EEE.
- Cumplimiento de cookies: Auditoría y diseño de la política de cookies conforme al RGPD y la Guía de la AEPD: clasificación de cookies, configuración de la plataforma de gestión de consentimiento (CMP) y revisión del aviso legal de cookies.
- Privacidad por diseño y por defecto: Integración de los principios de protección de datos en el ciclo de desarrollo de productos y servicios, arquitecturas de datos que minimizan la recogida y configuraciones de privacidad por defecto conforme al art. 25 RGPD.
Inteligencia artificial y AI Act
- Cumplimiento del AI Act: Diagnóstico del inventario de sistemas de IA, clasificación de riesgo, plan de cumplimiento, documentación técnica y preparación para el Registro UE de sistemas de IA de alto riesgo.
- Sistemas de IA de alto riesgo: Asesoramiento en las obligaciones del Anexo III del AI Act para sistemas de IA en RRHH, crédito, educación, servicios esenciales e infraestructura crítica.
- Gobernanza de IA: Diseño de políticas de uso ético de IA, marcos de supervisión humana, procedimientos de auditoría de algoritmos y estructuras de accountability para organizaciones que desarrollan o despliegan sistemas de IA.
- Mapa de riesgos de cumplimiento: Diagnóstico transversal de riesgos de cumplimiento normativo (RGPD, AI Act, NIS2, DORA) con priorización por nivel de exposición y plan de cierre de brechas.
Cuándo contactar al equipo de privacidad e IA
Recomendamos consultar con nuestro equipo cuando:
- Su empresa ha sufrido una brecha de datos y necesita gestionar la notificación a la AEPD en las 72 horas establecidas.
- Está desarrollando o desplegando sistemas de IA y necesita evaluar si están sujetos al AI Act y qué obligaciones aplican.
- Necesita designar o renovar el servicio de DPO externo ante la AEPD.
- Va a lanzar un nuevo producto o servicio que implica tratamiento de datos personales a gran escala o de categorías especiales.
- Utiliza proveedores de nube, herramientas de análisis o plataformas SaaS fuera del EEE y necesita formalizar las transferencias internacionales.
- Ha recibido un requerimiento de la AEPD o una solicitud de ejercicio de derechos de los interesados.
Una consulta inicial permite evaluar el estado de cumplimiento actual, identificar los riesgos prioritarios y establecer un plan de acción realista.
La intersección RGPD–AI Act: el mayor reto de compliance de 2026
La entrada en vigor progresiva del AI Act supone el mayor cambio en el panorama de compliance digital desde el RGPD en 2018. Para las empresas que ya tienen un programa de protección de datos maduro, la transición es más sencilla: muchas de las obligaciones del AI Act — documentación, gestión de riesgos, supervisión humana — son extensiones naturales de lo que el RGPD ya exige para el tratamiento de datos personales.
Para las empresas que no tienen aún un programa de protección de datos maduro, el AI Act añade una segunda capa de complejidad que no puede gestionarse de forma aislada. Los sistemas de IA que toman decisiones sobre personas están sujetos al mismo tiempo a la regulación de IA (clasificación de riesgo, documentación técnica) y al RGPD (base jurídica, limitación de finalidad, minimización de datos, derecho a no ser objeto de decisiones automatizadas). El coste de no abordar ambas regulaciones de forma coordinada se multiplicará cuando los supervisores comiencen a cruzar la información de los incidentes reportados bajo el AI Act con los registros de brechas de la AEPD.
Nuestro equipo gestiona la intersección RGPD–AI Act de forma integrada, coordinando con el área de ciberseguridad cuando los sistemas de IA están dentro del ámbito de NIS2 o DORA.
