La llegada de la inteligencia artificial generativa y los sistemas automatizados de toma de decisiones ha transformado el panorama de la protección de datos en España. Tradicionalmente, la Agencia Española de Protección de Datos (AEPD) era la autoridad única en esta materia. Sin embargo, desde 2025, España cuenta con un nuevo actor: la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
Esto plantea una pregunta crucial: ¿vamos hacia un choque de competencias entre ambas agencias o hacia una colaboración estratégica que fortalezca la protección de derechos fundamentales?
Dos organismos, una misión compartida
- La AEPD tiene como misión garantizar el cumplimiento del RGPD y la LOPDGDD, centrada en la protección de datos personales en cualquier sector.
- La AESIA, creada en línea con el Reglamento Europeo de Inteligencia Artificial (AI Act), tiene competencias sobre el uso de sistemas de IA, especialmente los de alto riesgo o prohibidos.
Ambas comparten un mismo objetivo: proteger los derechos de las personas frente a riesgos derivados del uso de datos y algoritmos.
Zonas de solapamiento
Los posibles roces son evidentes:
- Un sistema de IA biométrica usado en un espacio público afecta a la privacidad (AEPD) y a la regulación de IA (AESIA).
- La toma de decisiones automatizada en el ámbito laboral puede considerarse tanto un tratamiento de datos personales como un uso de IA de alto riesgo.
- Una reclamación de un ciudadano sobre el mal uso de sus datos en un modelo de IA puede terminar en la bandeja de entrada de las dos agencias.
Riesgos de un “doble regulador”
El riesgo más evidente es la inseguridad jurídica para las empresas. Si ambas agencias reclaman competencias, una compañía podría enfrentarse a sanciones dobles o criterios contradictorios.
Esto generaría:
- Incertidumbre regulatoria.
- Retrasos en la adopción de IA por miedo a sanciones.
- Costes legales adicionales para las organizaciones.
La oportunidad de una alianza estratégica
Más allá del riesgo de colisión, existe una oportunidad histórica: crear un ecosistema regulatorio coordinado.
- La AEPD aporta su experiencia en protección de datos.
- La AESIA aporta su especialización en IA, algoritmos y riesgos emergentes.
Un protocolo de colaboración entre ambas permitiría investigar casos de manera conjunta, establecer criterios claros y ofrecer seguridad tanto a ciudadanos como a empresas.
Ejemplos prácticos
- Reconocimiento facial en estadios de fútbol: la AEPD vigilaría el uso de datos biométricos, mientras que la AESIA evaluaría la proporcionalidad y riesgo del sistema.
- IA en recursos humanos: la AEPD se centraría en la licitud del tratamiento de datos de candidatos, mientras que la AESIA valoraría sesgos algorítmicos y transparencia.
- Publicidad personalizada por IA: la AEPD velaría por la base legal del tratamiento de datos, y la AESIA por la opacidad del modelo que decide qué anuncios mostrar.
Mirada europea
A nivel europeo, el Comité Europeo de Protección de Datos (EDPB) y el nuevo European AI Office también deberán coordinarse. España puede ser un laboratorio de esta convivencia regulatoria, sirviendo de referencia para otros países.
Conclusión
La aparición de la AESIA no debería verse como una amenaza para la AEPD, sino como un refuerzo necesario. La clave estará en diseñar mecanismos de cooperación, protocolos de actuación conjunta y líneas de comunicación claras.
Si se logra, España pasará de tener “dos lupas que se pisan” a contar con una doble lupa estratégica, capaz de vigilar la privacidad y la ética de la IA con mayor solidez que nunca.
