RGPD e inteligencia artificial: cómo conviven las dos normas (y qué te exige cada una)

La respuesta corta: se apilan, no se sustituyen

El Reglamento General de Protección de Datos (RGPD) y el Reglamento de Inteligencia Artificial (AI Act) regulan cosas distintas y se aplican en paralelo. El RGPD protege los datos personales: aplica a cualquier tratamiento de información de personas, con IA o sin ella. El AI Act regula los sistemas de IA como producto: aplica a quien los desarrolla y a quien los usa, traten datos personales o no. Cuando ambas cosas coinciden — un sistema de IA que procesa datos de personas, que es el caso de casi toda la IA útil en una empresa — las dos normas exigen a la vez.

El propio AI Act lo dice sin ambigüedad: sus obligaciones se entienden sin perjuicio del RGPD, que sigue plenamente vigente. No hay jerarquía ni derogación — hay solape. Y el solape tiene una consecuencia incómoda: dos regímenes sancionadores independientes. El RGPD llega hasta 20 millones de euros o el 4% del volumen de negocio anual global — la cifra mayor — en su tramo más alto (art. 83.5). El AI Act llega hasta 35 millones o el 7% para las prácticas prohibidas (art. 99.3). Cumplir una norma no descuenta nada de la otra.

La buena noticia para quien ya se tomó en serio la protección de datos: gran parte del trabajo sirve dos veces. Inventarios, evaluaciones de impacto, contratos con proveedores, supervisión humana — el RGPD lleva años pidiendo músculos que el AI Act ahora también ejercita.

Qué regula cada norma: la tabla

Seis diferencias que conviene tener claras antes de repartir responsabilidades internas:

Sobre el calendario del AI Act — qué obligación aplica ya y cuál viene después, incluido el aplazamiento en tramitación para los sistemas de alto riesgo — el desglose actualizado está en el calendario del AI Act por fases. Aquí basta con retener la asimetría: el RGPD aplica entero desde 2018; el AI Act se despliega por capas.

Los cuatro puntos de fricción para una pyme

Donde las dos normas se tocan de verdad en el día a día de una empresa mediana no es en la teoría — es en estos cuatro puntos:

1. La base jurídica para usar datos de clientes con IA

Que los datos «ya los tengas» no significa que puedas dárselos a una IA. El RGPD exige una base jurídica del art. 6 para cada finalidad: si recogiste datos de clientes para facturarles, alimentar con ellos un modelo de scoring o una herramienta de IA generativa es un fin nuevo que necesita su propio amparo — típicamente interés legítimo con juicio de ponderación documentado, o consentimiento. El AI Act no te da ninguna base nueva: la licitud del dato sigue siendo asunto del RGPD. Este es el error más común que vemos en adopciones rápidas de IA: proyectos técnicamente impecables construidos sobre datos que nadie verificó que se pudieran usar para eso.

2. Decisiones automatizadas (art. 22 RGPD) vs alto riesgo (AI Act)

El art. 22 del RGPD da a las personas el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o les afecten significativamente — pensad en denegar un crédito, filtrar un CV, rescindir un servicio. El AI Act mira el mismo escenario desde el otro lado: clasifica muchos de esos sistemas como alto riesgo — empleo, crédito, educación, servicios esenciales — y le impone obligaciones al sistema (gestión de riesgos, calidad de datos, supervisión humana, logs). No son alternativas: el mismo cribado de candidatos puede activar el art. 22 (derechos del candidato) y la clasificación de alto riesgo (obligaciones sobre el sistema). La supervisión humana que exige cada norma, eso sí, se diseña una vez y sirve para las dos — si es real y no un humano decorativo que aprueba todo lo que ve.

3. EIPD vs FRIA: dos evaluaciones de impacto que no son la misma

La evaluación de impacto del RGPD (EIPD, art. 35) es obligatoria cuando el tratamiento entraña probablemente un alto riesgo para los derechos de las personas — y el perfilado sistemático con efectos significativos es su caso de manual. Aplica hoy y la audita la AEPD. El AI Act añade otra distinta: la evaluación de impacto sobre derechos fundamentales (FRIA, art. 27), que — honestidad ante todo — no le toca a la mayoría de pymes privadas: obliga sobre todo a organismos públicos, prestadores de servicios públicos y a ciertos usos en banca y seguros. La trampa práctica es la inversa: creerse exento de todo porque la FRIA no aplica, cuando la EIPD del RGPD sí aplicaba desde el principio. Si vas a desplegar IA que evalúa personas, empieza por la EIPD — es exigible ya, y su análisis reutiliza la mayor parte del trabajo que una FRIA pediría.

4. ¿Quién se ocupa? El DPO frente al «responsable de IA»

El DPO es una figura legal del RGPD; el «responsable de IA» no existe con ese nombre en el AI Act — el reglamento habla de proveedores y responsables del despliegue, que son empresas, no personas. Pero alguien tiene que coordinar el inventario de sistemas, la clasificación de riesgo, la documentación y la formación, y ese alguien no es automáticamente el DPO: parte del trabajo (robustez del modelo, documentación técnica, supervisión del proveedor) queda fuera de la protección de datos. El reparto que funciona en la práctica: un responsable de IA con nombre — en pymes, una persona con suplente; en medianas, un pequeño comité — que lidera el cumplimiento del AI Act y trabaja con el DPO en las zonas de solape: EIPD, art. 22, contratos con proveedores y brechas. Lo que no funciona es el limbo: «eso ya lo llevará el DPO» sin encargo escrito ni horas asignadas.

ChatGPT y herramientas GenAI en la empresa: qué mirar

El caso masivo no es el scoring sofisticado — es la plantilla usando IA generativa con datos reales de la empresa. Tres verificaciones antes de dar nada por bueno:

• El contrato del proveedor (DPA). Si la herramienta procesa datos personales por cuenta de tu empresa, el proveedor es tu encargado del tratamiento y el RGPD (art. 28) exige un contrato con garantías. Las versiones de empresa de las grandes herramientas lo ofrecen, junto con compromisos de no entrenar con tus datos; las cuentas gratuitas y personales, no. Verifica también dónde se procesan los datos y, si salen del Espacio Económico Europeo, bajo qué mecanismo de transferencia — lo dice el propio DPA.
• Lo que entra en los prompts. Cada prompt con datos de clientes, empleados o candidatos es un tratamiento. La regla operativa que de verdad se cumple: datos personales y confidenciales no se introducen en ninguna herramienta que la empresa no haya verificado y registrado — y en caso de duda, no se introduce y se pregunta.
• La política de uso comunicada. Sin reglas escritas, cada empleado improvisa las suyas — incluida la «shadow AI»: cuentas personales gratuitas usadas para tareas de empresa, el origen típico de las fugas. Una política de uso de IA con usos permitidos, usos vetados, reglas de datos y revisión humana cierra ese agujero y de paso acredita la alfabetización del art. 4 del AI Act. Tenemos una plantilla abierta con las ocho secciones estándar, sin registro y lista para adaptar.

¿Y si ya hay sistemas en marcha y nadie hizo estos deberes? El orden sensato es el mismo que aplicamos en proyectos de adecuación: inventario honesto de herramientas y datos, cierre de lo urgente (DPA, política, formación documentada), y después el análisis fino — bases jurídicas, EIPD donde toque, clasificación de riesgo del AI Act. Es exactamente el terreno de nuestra consultoría de IA: sin vender miedo ni certificados — diagnóstico de qué te aplica de verdad y qué no, con la evidencia lista para cuando alguien la pida.