Hay una idea tranquilizadora que circula en muchas pymes: «el AI Act aún no me aplica del todo, así que tengo tiempo». La primera parte es discutible; la segunda es directamente falsa. Porque la supervisión del uso de la inteligencia artificial en España no empieza con el AI Act. Empezó hace años, con una norma que está plenamente vigente y una autoridad que la supervisa: el RGPD y la Agencia Española de Protección de Datos.
La IA ya está dentro del RGPD
Un sistema de IA que procesa datos personales es, a ojos del RGPD, un tratamiento como cualquier otro — con el agravante de que suele combinar los factores que la norma considera de mayor riesgo: tecnología nueva, evaluación sistemática de personas, decisiones con efectos significativos. No hace falta esperar a ninguna fecha del AI Act para que ese tratamiento sea supervisable. Lo es desde el primer día de uso. Los cinco artículos del RGPD que más pesan en ese tratamiento están en un mapa propio.
La AEPD es la autoridad que supervisa ese tratamiento en España. Estas son cuatro situaciones en las que el RGPD ya exige algo cuando hay IA de por medio, y las cuatro son evitables:
La evaluación de impacto que no se hizo. El tratamiento exigía una evaluación de impacto en protección de datos (Art. 35) —por tratar a gran escala categorías especiales de datos, por evaluar a personas de forma sistemática y exhaustiva para tomar decisiones con efectos significativos, o por reunir los criterios de la lista de la AEPD— y la organización desplegó el sistema sin hacerla. No es un error técnico: es una omisión de diligencia.
Decisiones automatizadas sin salvaguardas. Sistemas que deciden o perfilan personas sin las garantías del Art. 22: sin intervención humana significativa, sin información al afectado, sin vía para impugnar la decisión. Un scoring que descarta candidatos o clientes de forma opaca choca con esas salvaguardas, con AI Act o sin él.
Biometría sin evaluación previa. El tratamiento de datos biométricos —control de presencia, verificación de identidad— sin comprobar antes si exige una evaluación de impacto y sin el juicio de proporcionalidad que requiere tratar una categoría especial de datos. Esta situación tiene un expediente concreto detrás: el PS/00120/2021, sobre un sistema de reconocimiento facial desplegado en establecimientos comerciales. La propuesta de resolución imputó cinco grupos de artículos del RGPD: los arts. 6 y 9 —licitud y categorías especiales de datos— con 2.000.000 €, el 5.1.c) —minimización— con 500.000 €, el 25.1 —protección de datos desde el diseño— con 500.000 €, los 12 y 13 —información— con 100.000 € y el 35 —evaluación de impacto— con 50.000 €. Y su parte dispositiva acuerda, literalmente: «DECLARAR la terminación del procedimiento sancionador […] sancionando a […] por la infracción de los siguientes artículos […] Prohibir todo el tratamiento de datos personales relativo al reconocimiento facial en sus establecimientos, de acuerdo con el artículo 58.2.f)». El nombre de la empresa va elidido aquí a propósito: el literal íntegro está en la fuente citada al pie. El expediente terminó el 19 de julio de 2021 por pago voluntario de 2.520.000 €, importe que ya incluye la reducción del 20 %, con renuncia a recurso.
Y el reparto dice más que el total: la evaluación de impacto fue la multa más pequeña de las cinco. Lo caro no fue el papel que faltaba, sino no tener base jurídica para tratar datos biométricos. Dos precisiones más: no es una sanción firme tras procedimiento contradictorio, sino una terminación anticipada; y no es un precedente sobre decisiones automatizadas, porque el Art. 22 no está entre los imputados. Es un caso, no una regla.
Brechas sobre datos tratados por sistemas de IA. Cuando el dato se mueve hacia proveedores y servicios externos sin las medidas de seguridad y los contratos de encargo en orden, una brecha deja de ser solo un incidente técnico: el responsable tiene que notificarla a la autoridad de control sin dilación indebida y, de ser posible, en 72 horas, salvo que sea improbable que constituya un riesgo para los derechos y libertades (Art. 33).
Lo que el AI Act cambia (y lo que no)
El AI Act no inaugura el enforcement de la IA en España: lo amplía. Desde el 2 de agosto de 2025, al régimen del RGPD se le suman la gobernanza del Reglamento de IA —con sus propias autoridades, designadas conforme al Capítulo VII— y su propio régimen sancionador; y, en la fecha general de aplicación del Reglamento, la vigilancia del mercado del Capítulo IX, que tiene además el Art. 50 que supervisar. Es decir: la empresa que hoy usa IA con datos personales ya responde ante la AEPD, y responde también ante las autoridades del AI Act.
Leído así, el mensaje comercial del miedo («prepárate para las multas del AI Act») se queda corto y llega tarde a la vez. La exposición real de una pyme no es futura: es presente, y tiene nombre de artículos del RGPD que llevan años aplicándose.
El denominador común: la evidencia
Si se miran los patrones anteriores, todos comparten una raíz. Lo que el RGPD pide no es dejar de usar IA: es poder demostrar que se usó con criterio. La evaluación que no existe, la garantía que no se implementó, el contrato de encargo que no se firmó: son, todos, fallos de diligencia documentada.
Por eso la preparación sensata no consiste en esperar al AI Act ni en acumular carpetas para cuando llegue. Consiste en hacer ahora lo que el RGPD ya exige: saber qué sistemas de IA usa la organización, evaluar los que lo requieren, poner salvaguardas donde hay decisiones sobre personas y conservar la evidencia de todo ello. Quien tenga eso en orden llegará al AI Act con la mayor parte del trabajo hecha; quien no, ya está expuesto hoy.
Un punto de partida honesto es medir dónde estás: nuestro diagnóstico gratuito de situación da esa primera foto en unos minutos. La foto no es la evidencia — pero dice qué falta.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.