Checklist de Cumplimiento RGPD + AI Act 2026: Obligaciones Acumuladas para Empresas
Cuando una empresa despliega un sistema de IA que procesa datos personales, dos reglamentos europeos exigen cumplimiento simultáneo. Este checklist de 20 ítems organiza las obligaciones acumuladas del RGPD y del AI Act en cinco bloques operativos, con los plazos vigentes en 2026 y la asignación de responsabilidades entre el DPO y el responsable de IA.
Teo Drabenche ChemiFundador y editor · Especialista en IA aplicada al Derecho · Formación en Derecho y Administración y Dirección de Empresas
7 nov 202612 min lectura
Puntos clave
El RGPD y el AI Act se aplican de forma simultánea cuando un sistema de IA procesa datos personales: no existe una norma que desplace a la otra, y el incumplimiento de cualquiera puede derivar en sanciones independientes ante autoridades distintas.
El primer paso operativo es el inventario integrado: cada sistema de IA debe identificarse, clasificarse por riesgo (AI Act) y anotarse en el registro de actividades de tratamiento (RGPD), cruzando ambas categorías.
La DPIA del RGPD (art. 35) y la evaluación de conformidad del AI Act (art. 43) son procedimientos distintos con objetos diferentes, aunque comparten información relevante y conviene coordinarlos para evitar duplicar esfuerzo.
Los plazos del AI Act para sistemas de alto riesgo establecidos antes del 2 de agosto de 2026 vencen el 2 de agosto de 2027; los nuevos sistemas deben cumplir desde el momento del despliegue.
El DPO es el coordinador natural del compliance integrado, pero las responsabilidades técnicas del AI Act requieren competencias complementarias que el despacho debe garantizar mediante formación o externalización.
1. Por qué el cumplimiento acumulado no es opcional
Desde agosto de 2026, las empresas europeas que despliegan sistemas de inteligencia artificial se enfrentan a un escenario regulatorio de doble capa. El RGPD —en vigor desde mayo de 2018— establece las obligaciones sobre el tratamiento de datos personales. El AI Act —Reglamento (UE) 2024/1689, en vigor desde agosto de 2024 con sus primeras obligaciones aplicables desde 2025 y el grueso desde agosto de 2026— añade un segundo nivel de exigencias que se superpone al RGPD allí donde los sistemas de IA procesan datos personales.
La coexistencia no es accidental ni temporal. El considerando 9 del AI Act confirma expresamente que el reglamento no deroga ni modifica el RGPD: ambos deben cumplirse de forma simultánea y coherente. Para el jurista que asesora a empresas, esto significa que un mismo sistema de IA puede generar dos expedientes sancionadores paralelos ante dos autoridades distintas —la AEPD por infracción del RGPD, la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) por infracción del AI Act— con cuantías que en teoría se acumulan.
El riesgo no es simétrico para todos los sistemas. Un chatbot de atención al cliente que procesa datos de usuarios tiene un perfil de riesgo diferente a un sistema de puntuación crediticia automatizada o a un sistema biométrico de control de acceso. El primer paso del compliance integrado es siempre la clasificación correcta de cada sistema para determinar qué obligaciones del AI Act aplican y en qué medida se superponen con las del RGPD.
Zonas de aplicación del RGPD y el AI Act: la mayoría de los sistemas IA empresariales caen en la intersección y generan obligaciones acumuladas.
2. Inventario integrado: el punto de partida
El compliance integrado empieza por saber qué tienes. Muchas organizaciones tienen el registro de actividades de tratamiento (RAT) del RGPD actualizado pero carecen de un inventario de sistemas de IA. El primer bloque del checklist cierra esa brecha.
01
Bloque 1 · Inventario de sistemasResponsable: DPO + Dirección TI
Inventario de sistemas de IA activosLista todos los sistemas de IA desplegados (propios o de terceros como proveedor). Incluye herramientas SaaS que incorporen IA: chatbots, herramientas de scoring, sistemas de recomendación, análisis predictivo, reconocimiento biométrico.
AI Act
Cruce con el RAT del RGPDPara cada sistema de IA del inventario, verifica si procesa datos personales. Si es así, anota la actividad de tratamiento correspondiente en el RAT con referencia al sistema de IA que la ejecuta.
Ambos
Identificación del rol en el AI ActPara cada sistema, determina el rol de tu organización: proveedor (desarrolla o modifica el sistema), deployer (despliega un sistema de terceros), importador o distribuidor. Los requisitos del AI Act son diferentes para cada rol.
AI Act
Identificación del rol en el RGPDPara los sistemas que procesan datos personales, determina si actúas como responsable del tratamiento, encargado o corresponsable. El contrato con el proveedor de IA debe reflejar correctamente este rol (cláusula de encargado del tratamiento si aplica).
RGPD
3. Clasificación de riesgo AI Act y base jurídica RGPD
Una vez inventariados los sistemas, el segundo bloque aborda la clasificación. La clasificación de riesgo del AI Act determina qué obligaciones aplican: los sistemas de riesgo inaceptable están prohibidos (art. 5); los de alto riesgo (Anexo III) requieren la mayor carga de compliance; los de riesgo limitado solo deben cumplir obligaciones de transparencia; los de riesgo mínimo no tienen obligaciones específicas bajo el AI Act.
Paralelamente, el RGPD exige que todo tratamiento de datos personales tenga una base jurídica válida (art. 6) y, si implica categorías especiales de datos, una base adicional del art. 9. La combinación de clasificación AI Act y base jurídica RGPD define el perfil completo de compliance de cada sistema.
02
Bloque 2 · Clasificación de riesgoResponsable: DPO + Asesoría legal
Clasificación por nivel de riesgo AI ActPara cada sistema, determina si es de riesgo inaceptable, alto riesgo (Anexo III), riesgo limitado o mínimo. Presta especial atención al Anexo III: sistemas de puntuación crediticia, selección de personal, educación, administración de justicia, infraestructuras críticas, biometría.
AI Act
Base jurídica del tratamiento (RGPD)Para cada sistema que procese datos personales, identifica y documenta la base jurídica aplicable: consentimiento, contrato, obligación legal, intereses vitales, misión de interés público o interés legítimo. El interés legítimo requiere la prueba de ponderación (balancing test).
RGPD
Verificación de categorías especialesDetecta si el sistema procesa datos de categorías especiales (salud, origen étnico, opiniones políticas, biometría, datos genéticos, orientación sexual). Si es así, es necesaria una base adicional del art. 9 RGPD y el umbral para realizar una DPIA se rebaja automáticamente.
RGPD
⚠ Atención: sistemas de alto riesgo + datos biométricos
Un sistema de reconocimiento facial es simultáneamente un sistema de alto riesgo del AI Act y procesa datos biométricos del art. 9 RGPD. Requiere: evaluación de conformidad del AI Act, DPIA obligatoria del RGPD, base jurídica del art. 9.2 RGPD, y registro en la base de datos de la UE de sistemas de alto riesgo (art. 71 AI Act). Es el caso de acumulación máxima.
4. Las cinco zonas de solapamiento y sus obligaciones acumuladas
No todas las obligaciones del AI Act y el RGPD se superponen de la misma manera. Hay cinco zonas donde la acumulación es especialmente relevante y donde el despacho o el equipo de compliance debe coordinar los esfuerzos para evitar duplicidades o, peor, lagunas.
4.1 Evaluación de impacto: DPIA vs. evaluación de conformidad
La DPIA del RGPD (art. 35) analiza los riesgos que el tratamiento genera sobre los derechos y libertades de los interesados. Es obligatoria cuando el tratamiento es de alto riesgo (ej., decisiones automatizadas con efectos significativos, vigilancia sistemática, datos de categorías especiales a gran escala).
La evaluación de conformidad del AI Act (art. 43) verifica que el sistema cumple los requisitos técnicos del reglamento (gestión de riesgos, calidad de datos, robustez, transparencia, supervisión humana). Es obligatoria para todos los sistemas de alto riesgo del Anexo III.
Aunque distintas en objeto y metodología, ambas evaluaciones comparten información relevante: descripción del sistema, flujos de datos, decisiones automatizadas, medidas de mitigación de riesgos. Lo más eficiente es realizarlas de forma coordinada, compartiendo la fase de descripción del sistema y divergiendo en el análisis específico de cada reglamento.
4.2 Transparencia y derecho a la información
El RGPD exige informar a los interesados sobre el tratamiento de sus datos (arts. 13 y 14) y, cuando existen decisiones automatizadas con efectos significativos, informar sobre la lógica aplicada y el derecho a oponerse (art. 22). El AI Act exige que los sistemas de IA que interactúan con personas naturales informen de que están interactuando con un sistema de IA (art. 50), y los sistemas de alto riesgo deben proporcionar información suficiente para que los operadores puedan supervisar el sistema (art. 13).
La práctica recomendada es integrar ambas capas de información en un único documento —política de privacidad o aviso informativo— que cumpla simultáneamente con los requisitos de ambos reglamentos, evitando la proliferación de documentos que confunden al usuario.
03
Bloque 3 · Obligaciones RGPD para sistemas de IAResponsable: DPO
DPIA cuando sea obligatoria o recomendableRealiza la DPIA si el sistema entra en alguno de los supuestos del art. 35.3 RGPD o de las listas de la AEPD. Para sistemas de alto riesgo del AI Act que procesan datos personales, la DPIA es prácticamente siempre obligatoria. Documenta y, si el riesgo residual es alto, consulta a la AEPD.
RGPD
Cláusula de encargado del tratamiento con proveedor de IASi contratas un sistema de IA de un tercero que procesará datos personales de tus clientes o empleados, formaliza el contrato de encargado del tratamiento (art. 28 RGPD). Verifica que el proveedor ofrece las garantías suficientes, especialmente en materia de seguridad y transferencias internacionales.
RGPD
Aviso informativo para decisiones automatizadasSi el sistema toma decisiones con efectos significativos (puntuación crediticia, selección de personal, etc.), actualiza el aviso de privacidad para informar sobre la lógica del sistema, la importancia prevista y las consecuencias para el interesado (art. 13.2.f / 14.2.g RGPD).
RGPD
Minimización de datos y limitación de la finalidadVerifica que el sistema solo utiliza los datos estrictamente necesarios para su finalidad (art. 5.1.c RGPD) y que no reutiliza datos para entrenar nuevos modelos sin una base jurídica adicional. En sistemas de IA, el riesgo de función creep —uso de datos para finalidades distintas— es especialmente elevado.
RGPD
Procedimiento para el ejercicio de derechosImplementa un procedimiento claro para que los interesados puedan ejercer sus derechos RGPD frente al sistema de IA: acceso a los datos utilizados, rectificación, supresión, portabilidad, oposición a decisiones automatizadas (art. 22). Establece el canal de comunicación y los plazos de respuesta (un mes prorrogable).
RGPD
04
Bloque 4 · Obligaciones AI Act para sistemas de alto riesgoResponsable: Responsable IA + Asesoría legal
Sistema de gestión de riesgos (art. 9 AI Act)Implementa y documenta un sistema de gestión de riesgos continuo que identifique, analice y mitigue los riesgos del sistema de IA. No es un documento estático: debe revisarse y actualizarse en el ciclo de vida del sistema.
AI Act
Gobernanza y calidad de los datos de entrenamiento (art. 10 AI Act)Para los proveedores: documenta los datos de entrenamiento, validación y prueba. Verifica que son representativos, libres de sesgos relevantes y conformes con el RGPD. Para los deployers: obtén del proveedor la documentación técnica y verifica que los datos utilizados en el contexto de despliegue son conformes.
AI Act
Supervisión humana efectiva (art. 14 AI Act)Diseña e implementa medidas de supervisión humana que permitan a las personas comprender las capacidades y limitaciones del sistema, detectar anomalías y poder desactivarlo si es necesario. Documenta quién tiene la responsabilidad de supervisión y qué procedimientos siguen.
AI Act
Documentación técnica y trazabilidad (arts. 11-12 AI Act)Mantén la documentación técnica completa del sistema (Anexo IV AI Act) y los registros de log que permitan la trazabilidad de las decisiones. Para los deployers: conserva los logs durante al menos 6 meses (art. 26.5 AI Act).
AI Act
Declaración de conformidad UE y marcado CE (art. 48 AI Act)Solo para proveedores: redacta la declaración de conformidad UE, aplica el marcado CE al sistema y regístralo en la base de datos de la UE (art. 71 AI Act) antes del despliegue en el mercado europeo.
AI Act
5. Plazos obligatorios en 2026-2027
El AI Act establece una entrada en vigor escalonada. Conocer los plazos exactos es esencial para priorizar el plan de acción.
Fecha
Obligación
A quién aplica
Feb 2025
Prohibición de sistemas de riesgo inaceptable (art. 5 AI Act)
Todos los operadores con sistemas prohibidos
Ago 2025
Obligaciones de transparencia para sistemas de IA de propósito general (GPAI)
Proveedores de modelos de IA de propósito general
Ago 2026
Entrada en vigor completa del AI Act para sistemas de alto riesgo (Anexo III)
Proveedores y deployers de sistemas de alto riesgo nuevos
Ago 2027
Plazo para adaptar sistemas de alto riesgo ya desplegados antes de ago 2026
Deployers con sistemas de alto riesgo preexistentes
Ago 2027
Obligaciones de alto riesgo para sistemas del sector público (Anexo I)
Organismos públicos y sus proveedores
Continuo
RGPD: registro RAT, DPIA, contratos encargado, gestión de derechos
Todos los responsables del tratamiento
ℹ Régimen transitorio para sistemas preexistentes
Un sistema de alto riesgo del Anexo III que ya estaba en servicio el 2 de agosto de 2026 tiene hasta el 2 de agosto de 2027 para cumplir con todos los requisitos del AI Act. Sin embargo, debe haber iniciado el plan de adaptación durante 2026 para poder demostrar diligencia ante la AESIA si se produjera una inspección anticipada.
6. El DPO y el responsable de IA: coordinación de responsabilidades
El AI Act no crea una figura equivalente al DPO (Delegado de Protección de Datos) del RGPD. No obstante, el art. 26 AI Act obliga al deployer a asignar responsabilidades internas para el cumplimiento del reglamento. En la práctica, esto significa que alguien en la organización debe asumir el papel de responsable de IA, que puede o no coincidir con el DPO.
05
Bloque 5 · Gobernanza y plazosResponsable: Dirección + DPO
Asignación del responsable de IADesigna formalmente a la persona responsable del cumplimiento del AI Act en la organización (si eres proveedor: art. 25 AI Act; si eres deployer: art. 26 AI Act). Puede ser el DPO u otra persona, pero las responsabilidades deben estar claramente delimitadas.
AI Act
Plan de formación del personalEl art. 26.6 AI Act obliga al deployer a garantizar que el personal que opera el sistema tiene competencia, formación e instrucciones adecuadas. Documenta el plan de formación y las certificaciones del personal. El DPO también debe formarse en los aspectos de IA que afectan al RGPD.
Ambos
Protocolo de incidentes integradoDiseña un protocolo que cubra tanto las brechas de seguridad del RGPD (notificación a la AEPD en 72 horas, art. 33) como los incidentes graves del AI Act (notificación a la autoridad de vigilancia del mercado, art. 73). Un solo incidente puede activar ambas obligaciones de notificación.
Ambos
Revisión periódica del compliance integradoEstablece una revisión anual del estado de cumplimiento RGPD + AI Act para todos los sistemas del inventario. El cronograma debe incluir: actualización del RAT, revisión de las DPIA, actualización de la documentación técnica del AI Act y verificación del plan de formación.
Ambos
Cálculo de exposición sancionadoraEvalúa la cuantía máxima de las sanciones acumuladas para cada sistema de alto riesgo: hasta 35 M€ o 7% de la facturación global por infracción grave del AI Act (art. 99), más hasta 20 M€ o 4% por infracción grave del RGPD (art. 83.5). Usa nuestra calculadora de multas RGPD para estimar el perfil de riesgo del RGPD.
Ambos
7. Próximos pasos
Este checklist proporciona el marco operativo para organizar el compliance integrado RGPD + AI Act, pero cada organización tiene un punto de partida diferente. Los despachos y departamentos jurídicos que acompañan a empresas en este proceso suelen encontrar tres perfiles bien diferenciados:
Perfil A — sin inventario de sistemas de IA: el primer paso urgente es el inventario. Sin saber qué sistemas de IA existen en la organización, cualquier análisis posterior es incompleto. Comienza por los departamentos de TI, marketing, RRHH y operaciones.
Perfil B — inventario hecho, sin clasificación de riesgo: el siguiente paso es la clasificación por nivel de riesgo AI Act y la verificación del RAT del RGPD. En organizaciones medianas, este proceso suele revelar entre dos y cinco sistemas que requieren atención inmediata.
Perfil C — clasificación hecha, sin documentación técnica: el paso más laborioso es la elaboración de la documentación técnica del AI Act para los sistemas de alto riesgo. Para empresas que son deployers (no proveedores), la clave está en obtener del proveedor la documentación técnica del Anexo IV y complementarla con la documentación propia del despliegue.
¿Necesitas auditar el compliance IA de tu organización?
Desde IA y Derecho ayudamos a despachos y departamentos jurídicos a estructurar el proceso de cumplimiento RGPD + AI Act. Contacta con nosotros para una evaluación inicial sin compromiso.