Cumplimiento normativo bajo el AI Act, el RGPD y los estándares internacionales de gobernanza algorítmica.
El Reglamento de Inteligencia Artificial de la Unión Europea —en vigor desde agosto de 2024 y con aplicación progresiva hasta 2027— ha creado la primera arquitectura de compliance específica para sistemas de IA de alcance global. Su enfoque basado en riesgos clasifica los sistemas en cuatro categorías —riesgo inaceptable, alto riesgo, riesgo limitado y mínimo riesgo— e impone obligaciones sustanciales a proveedores y responsables del despliegue en áreas tan diversas como la evaluación de conformidad, el registro en bases de datos europeas y la supervisión humana efectiva durante la operación.
La superposición del AI Act con el RGPD genera una capa adicional de complejidad para los equipos de compliance. Cuando un sistema de IA de alto riesgo trata datos personales —como ocurre en la práctica totalidad de los casos de uso en RRHH, crédito o sanidad—, el responsable del tratamiento debe cumplir simultáneamente con las obligaciones de evaluación de impacto (DPIA) del RGPD y con los requisitos de gestión de riesgos del AI Act, que no están alineados metodológicamente. El Comité Europeo de Protección de Datos (EDPB) ha emitido directrices provisionales sobre esta articulación, pero persisten zonas grises de considerable importancia práctica.
Más allá del marco europeo, la proliferación de regulaciones sectoriales —las directrices de la EBA para entidades de crédito, las guías de la ESMA para sistemas de IA en mercados financieros, o las recomendaciones de la OMS para IA en diagnóstico clínico— exige que los profesionales del derecho adopten un enfoque de compliance transversal capaz de gestionar la fragmentación normativa sin comprometer la agilidad de implantación tecnológica de sus clientes.
El Reglamento de Inteligencia Artificial no entró en vigor de golpe, sino mediante un calendario escalonado que resulta determinante para priorizar los proyectos de adecuación. Desde el 2 de febrero de 2025 son aplicables las prohibiciones absolutas del artículo 5 —sistemas de puntuación social, manipulación subliminal, categorización biométrica de características sensibles— junto con las obligaciones de alfabetización en IA del artículo 4, que afectan a cualquier organización que despliegue sistemas de IA con independencia de su nivel de riesgo.
A partir del 2 de agosto de 2025 entraron en vigor las obligaciones específicas para proveedores de modelos de IA de propósito general (GPAI), incluyendo los requisitos reforzados de transparencia y evaluación de riesgo sistémico para los modelos que superan el umbral de cómputo de entrenamiento de 10^25 FLOPs. Esta fecha marcó también el inicio de la designación de autoridades nacionales competentes, un proceso que en España aún genera incertidumbre sobre el reparto de competencias entre AESIA, la AEPD y los reguladores sectoriales.
El hito más relevante para la mayoría de las organizaciones llegará el 2 de agosto de 2026, cuando resulten plenamente exigibles las obligaciones para sistemas de alto riesgo del Anexo III —recursos humanos, acceso a servicios esenciales, aplicación de la ley, educación—. Los sistemas de alto riesgo del Anexo I, vinculados a productos ya regulados por normativa de seguridad de producto (maquinaria, dispositivos médicos, juguetes), disponen de un plazo adicional hasta el 2 de agosto de 2027. Planificar la adecuación con doce a dieciocho meses de antelación sobre cada hito no es prudencia, sino la única forma realista de evitar una implementación apresurada bajo presión sancionadora.
La experiencia acumulada por los despachos que ya han acompañado procesos de adecuación al AI Act permite identificar patrones de error que se repiten con notable consistencia. El primero es tratar el compliance de IA como un proyecto exclusivamente técnico, delegado por completo en los equipos de datos e ingeniería, sin involucrar a los departamentos jurídico y de cumplimiento normativo desde la fase de diseño. Esta aproximación genera sistemas técnicamente funcionales pero jurídicamente vulnerables, especialmente en lo relativo a la documentación de las decisiones de clasificación de riesgo.
El segundo error frecuente es la duplicidad de procesos: organizaciones que ya cuentan con procedimientos maduros de evaluación de impacto relativa a la protección de datos (DPIA) bajo el RGPD desarrollan, en paralelo y sin coordinación, un proceso independiente de evaluación de riesgos del AI Act, multiplicando la carga administrativa y generando inconsistencias entre ambos análisis cuando se refieren al mismo sistema.
El tercer error, quizás el más costoso a medio plazo, es subestimar las obligaciones de supervisión humana efectiva del artículo 14. No basta con que una persona pueda revisar las decisiones del sistema: la norma exige que dicha persona disponga de la formación, autoridad y tiempo material necesarios para ejercer una supervisión real, y que el diseño de la interfaz no induzca a una aceptación automática de las recomendaciones del sistema —el conocido sesgo de automatización—. Los equipos de compliance que no documentan cómo se garantiza esta capacidad efectiva de intervención humana se exponen a que la autoridad de supervisión cuestione la validez de toda la evaluación de conformidad.
El AI Act se aplica a proveedores y responsables del despliegue de sistemas de IA que operen en el mercado de la Unión Europea, con independencia de dónde esté establecida la empresa. Esto incluye tanto a desarrolladores de sistemas de IA como a empresas que simplemente utilizan herramientas de IA de terceros en sus procesos, si dichos sistemas se califican como de alto riesgo o están sujetos a obligaciones de transparencia.
No. La evaluación de conformidad solo es obligatoria para los sistemas clasificados como de alto riesgo conforme a los Anexos I y III del AI Act. Los sistemas de riesgo limitado están sujetos únicamente a obligaciones de transparencia, como informar de que se interactúa con una IA, y los de riesgo mínimo no tienen obligaciones específicas más allá de los códigos de conducta voluntarios.
Las sanciones más graves, reservadas a las prácticas prohibidas del artículo 5, pueden alcanzar hasta 35 millones de euros o el 7% de la facturación anual global, lo que sea superior. El incumplimiento de las obligaciones aplicables a los sistemas de alto riesgo puede sancionarse con hasta 15 millones de euros o el 3% de la facturación, mientras que el suministro de información incorrecta a las autoridades puede sancionarse con hasta 7,5 millones de euros o el 1% de la facturación.
Ambas normas son complementarias y deben aplicarse de forma acumulativa cuando un sistema de IA trata datos personales. El AI Act no sustituye ni modifica las obligaciones del RGPD: una organización debe realizar tanto la evaluación de impacto relativa a la protección de datos (DPIA) cuando proceda, como la evaluación de conformidad del AI Act si el sistema es de alto riesgo, idealmente mediante un proceso de gobernanza integrado que evite duplicidades documentales.
Una hoja de ruta para clasificar sistemas de IA, identificar obligaciones aplicables y planificar la adecuación conforme al calendario escalonado del Reglamento europeo.
Un mapa de las zonas de fricción entre ambos reglamentos y de cómo articular evaluaciones de impacto que cumplan simultáneamente con la protección de datos y la gestión de riesgos algorítmicos.
Cómo se distribuye la responsabilidad entre proveedor, integrador y usuario final cuando un sistema de IA de alto riesgo causa un daño, y su relación con el régimen sancionador del AI Act.
Actualizaciones normativas, guías prácticas y análisis de jurisprudencia sobre el AI Act y el RGPD.
Suscribirse al boletín