La incorporación de la inteligencia artificial a la actividad empresarial —chatbots de atención al cliente, herramientas de selección de personal, sistemas de scoring o asistentes de marketing— avanza más rápido que la capacidad de muchas organizaciones para entender sus implicaciones en materia de protección de datos. La IA no sustituye al RGPD ni a la LOPDGDD: se suma a ellos, y desde 2024 lo hace además bajo un marco específico, el Reglamento (UE) 2024/1689, conocido como Reglamento de IA.
Beneficios de la IA en la empresa, sin perder de vista el riesgo
La IA permite automatizar tareas repetitivas, detectar fraude con mayor precisión, personalizar la experiencia de clientes y agilizar procesos de selección o atención. Estos beneficios son reales, pero dependen de una condición previa: que los datos personales utilizados para entrenar, ajustar o alimentar estos sistemas se traten conforme a la normativa de protección de datos. Un sistema de IA eficaz construido sobre una base jurídica débil no es un activo, es un pasivo legal.
Principales riesgos de privacidad asociados a la IA
- Entrenamiento o uso de modelos con datos personales sin una base de legitimación clara, incluyendo el uso de datos de clientes o empleados en herramientas de IA generativa no corporativas (shadow AI).
- Falta de transparencia sobre la lógica del sistema («caja negra»), que dificulta explicar a las personas afectadas cómo se ha llegado a una decisión que les afecta.
- Decisiones automatizadas con efectos jurídicos o significativos sobre las personas, como la selección de candidatos o la concesión de crédito, sin las garantías del art. 22 RGPD.
- Sesgos y discriminación indirecta derivados de datos de entrenamiento no representativos, con impacto en colectivos protegidos.
- Tratamiento de datos biométricos o de categorías especiales (voz, imagen, salud) sin evaluar previamente su naturaleza y sin la base jurídica reforzada que exige el art. 9 RGPD.
- Transferencias de datos a proveedores de IA ubicados fuera del Espacio Económico Europeo sin las garantías adecuadas.
Marco normativo aplicable
- RGPD: principios de licitud y transparencia (art. 5), bases de legitimación (art. 6), categorías especiales de datos (art. 9), información a los interesados (arts. 13-14), decisiones individuales automatizadas (art. 22), protección de datos desde el diseño (art. 25) y evaluación de impacto (art. 35).
- LOPDGDD: deber de confidencialidad (art. 5) y garantías reforzadas en el tratamiento de datos de menores y colectivos vulnerables cuando la IA se aplique sobre estos perfiles.
- Reglamento (UE) 2024/1689 (Reglamento de IA): clasifica los sistemas de IA por nivel de riesgo (inaceptable, alto, limitado, mínimo) y establece obligaciones específicas para los sistemas de alto riesgo del Anexo III (selección de personal, scoring crediticio, educación, biometría, entre otros), así como obligaciones de transparencia del art. 50 para chatbots y contenido generado por IA.
- Estado del calendario del Reglamento de IA: las prohibiciones (art. 5) y la obligación de fomentar la alfabetización en IA de la plantilla (art. 4) están en vigor desde febrero de 2025; las obligaciones de los modelos de propósito general, desde agosto de 2025. El paquete de simplificación conocido como Digital Omnibus on AI, aprobado por el Consejo el 29 de junio de 2026 y pendiente de publicación oficial en el Diario Oficial de la UE, prevé aplazar las obligaciones de los sistemas de alto riesgo del Anexo III hasta el 2 de diciembre de 2027, sin alterar las prohibiciones ni las obligaciones de transparencia. Conviene seguir esta tramitación, ya que hasta su publicación formal sigue rigiendo el calendario original del Reglamento.
Base de legitimación del tratamiento en proyectos de IA
No existe una base de legitimación única aplicable a todo proyecto de IA: depende del caso de uso. Un chatbot de atención al cliente puede ampararse en la ejecución del contrato (art. 6.1.b RGPD); un sistema de detección de fraude, en el interés legítimo (art. 6.1.f RGPD), siempre que se supere el juicio de ponderación frente a los derechos de las personas afectadas; y un sistema que trate datos biométricos o de categorías especiales requerirá, además, encajar en alguna de las excepciones del art. 9.2 RGPD. Cuando el sistema produce decisiones automatizadas con efectos jurídicos o significativos, el art. 22 RGPD exige que el tratamiento se base en el consentimiento explícito, en un contrato, o en una norma que lo autorice, junto con garantías como el derecho a la intervención humana.
¿Es obligatoria la evaluación de impacto (EIPD)?
La mayoría de los proyectos de IA que tratan datos personales requerirán una EIPD conforme al art. 35 RGPD. La Agencia Española de Protección de Datos incluye expresamente en su listado de tratamientos de alto riesgo el uso de nuevas tecnologías o soluciones tecnológicas novedosas y la evaluación de aspectos personales mediante decisiones automatizadas, dos supuestos que encajan directamente con buena parte de los proyectos de IA empresarial. Cuando, además, el sistema de IA se clasifique como de alto riesgo conforme al Anexo III del Reglamento de IA, será exigible también una evaluación de impacto en los derechos fundamentales (FRIA, art. 27 del Reglamento de IA), que debe leerse de forma coordinada, y no como sustituto, de la EIPD del RGPD.
Medidas de proporcionalidad y buenas prácticas
- Elaborar un inventario de todas las herramientas de IA utilizadas en la organización, incluidas las no contratadas formalmente por el departamento de tecnología (shadow AI).
- Determinar, para cada sistema, si trata datos personales, con qué base jurídica y si su caso de uso encaja en el Anexo III del Reglamento de IA.
- Aplicar el principio de minimización: limitar los datos personales utilizados para entrenar o ajustar modelos a lo estrictamente necesario.
- Garantizar supervisión humana efectiva en cualquier proceso que derive en una decisión automatizada con efectos sobre las personas.
- Informar con claridad a las personas afectadas cuando interactúan con un sistema de IA, conforme a las obligaciones de transparencia del art. 50 del Reglamento de IA.
- Evaluar y documentar posibles sesgos en los datos de entrenamiento antes de poner en producción el sistema.
- Formar a la plantilla en el uso responsable de la IA, cumpliendo la obligación de alfabetización del art. 4 del Reglamento de IA.
Conclusión
La inteligencia artificial no es incompatible con la protección de datos, pero tampoco queda al margen de ella. Cada proyecto de IA que trate datos personales debe superar el mismo examen que cualquier otro tratamiento: base jurídica clara, transparencia, proporcionalidad y, en la mayoría de los casos, una evaluación de impacto previa. Las empresas que incorporen este análisis desde el diseño de sus proyectos de IA reducirán de forma significativa su exposición legal y reputacional.
Este contenido tiene carácter informativo y divulgativo. El calendario del Reglamento de IA está sujeto a cambios normativos en curso; la clasificación de un sistema concreto y sus obligaciones asociadas requieren un análisis jurídico específico caso por caso.
#InteligenciaArtificial #ProtecciónDeDatos #RGPD #LOPDGDD #ReglamentoIA #sipylopd #SIPY
