Cumplimiento normativo bajo el AI Act, el RGPD y los estándares internacionales de gobernanza algorítmica.
El Reglamento de Inteligencia Artificial de la Unión Europea —en vigor desde agosto de 2024 y con aplicación progresiva hasta 2027— ha creado la primera arquitectura de compliance específica para sistemas de IA de alcance global. Su enfoque basado en riesgos clasifica los sistemas en cuatro categorías —riesgo inaceptable, alto riesgo, riesgo limitado y mínimo riesgo— e impone obligaciones sustanciales a proveedores y responsables del despliegue en áreas tan diversas como la evaluación de conformidad, el registro en bases de datos europeas y la supervisión humana efectiva durante la operación.
La superposición del AI Act con el RGPD genera una capa adicional de complejidad para los equipos de compliance. Cuando un sistema de IA de alto riesgo trata datos personales —como ocurre en la práctica totalidad de los casos de uso en RRHH, crédito o sanidad—, el responsable del tratamiento debe cumplir simultáneamente con las obligaciones de evaluación de impacto (DPIA) del RGPD y con los requisitos de gestión de riesgos del AI Act, que no están alineados metodológicamente. El Comité Europeo de Protección de Datos (EDPB) ha emitido directrices provisionales sobre esta articulación, pero persisten zonas grises de considerable importancia práctica.
Más allá del marco europeo, la proliferación de regulaciones sectoriales —las directrices de la EBA para entidades de crédito, las guías de la ESMA para sistemas de IA en mercados financieros, o las recomendaciones de la OMS para IA en diagnóstico clínico— exige que los profesionales del derecho adopten un enfoque de compliance transversal capaz de gestionar la fragmentación normativa sin comprometer la agilidad de implantación tecnológica de sus clientes.
Un análisis metodológico de las diferencias entre la gestión de riesgos exigida por el AI Act y la evaluación de impacto relativa a la protección de datos del RGPD, con propuesta de proceso unificado.
Desde herramientas de scoring de crédito hasta sistemas de detección de fraude en seguros, la frontera entre riesgo alto y limitado no siempre es evidente en la casuística empresarial real.
El AI Act extiende la responsabilidad al importador cuando el proveedor extranjero no tiene representante designado en la Unión, creando un nuevo perfil de riesgo legal para la cadena de suministro tecnológica.
Actualizaciones normativas, guías prácticas y análisis de jurisprudencia sobre el AI Act y el RGPD.
Suscribirse al boletín