IA y protección de datos

El RGPD se aplica plenamente

Cuando un sistema de IA trata datos personales —en los datos de entrenamiento, las instrucciones, los resultados o los registros— se aplican todos los principios del RGPD. El Dictamen 28/2024 del Comité Europeo de Protección de Datos confirmó que el interés legítimo solo puede amparar el desarrollo y despliegue de modelos de IA tras una prueba documentada en tres pasos, y que un modelo entrenado con datos personales no es automáticamente anónimo. La limitación de la finalidad, la minimización, la exactitud y la transparencia requieren especial atención, porque los modelos pueden memorizar y reproducir datos y generar información inexacta sobre personas.

Qué comprueba el DPD

• La base jurídica y la finalidad de cada uso de la IA, incluida cualquier reutilización de datos para entrenamiento.
• Una EIPD cuando el uso de la IA probablemente entrañe un alto riesgo; la tecnología nueva, la elaboración de perfiles y la supervisión de empleados son desencadenantes habituales.
• Las condiciones del proveedor: si conserva las instrucciones y los resultados, si los usa para entrenar modelos o si los transfiere fuera del EEE.
• Transparencia y derechos: informar del uso de IA y atender solicitudes de acceso, rectificación y oposición relacionadas con resultados de la IA.
• Las garantías del artículo 22 cuando las decisiones son únicamente automatizadas y significativas.

El encaje del AI Act

El AI Act regula los sistemas de IA según el riesgo y el papel. Los proveedores introducen sistemas en el mercado; los responsables del despliegue los utilizan bajo su autoridad. Algunas prácticas están prohibidas desde el 2 de febrero de 2025, entre ellas el reconocimiento de emociones en el lugar de trabajo y en centros educativos (con excepciones limitadas) y la puntuación social. Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026, y las de los sistemas de alto riesgo llegan según el calendario modificado por el Ómnibus de 2026. Algunos responsables del despliegue de IA de alto riesgo deben realizar una evaluación de impacto en los derechos fundamentales, que puede apoyarse en la EIPD. El AI Act no sustituye al RGPD: se aplican ambos.