Este artículo es para quien usa inteligencia artificial en su empresa con datos personales —de clientes, de candidatos, de empleados— y ha oído que el cumplimiento empieza en 2027. Esa fecha existe, pero es del AI Act, y no de todo él: el Art. 26, que reúne las obligaciones de quien despliega un sistema de alto riesgo, se aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza. El RGPD no espera a ninguna de las dos fechas: se aplica a cualquier tratamiento de datos personales, lo haga una persona, una hoja de cálculo o un sistema de IA.
Aquí están los cinco artículos del RGPD que más pesan cuando la IA trata datos personales, qué pide cada uno y qué post lo desarrolla. No son los únicos que se aplican; son los que una empresa que usa IA se encuentra primero.
La figura pone en paralelo dos evaluaciones que a menudo se confunden. La FRIA, del Art. 27 del AI Act, la debe el responsable del despliegue que es un organismo de Derecho público o una entidad privada que presta servicios públicos, con un sistema de alto riesgo del anexo III salvo su punto 2, o quien despliega los sistemas del anexo III, punto 5, letras b) y c); se hace antes del primer uso. La DPIA —la EIPD—, del Art. 35 del RGPD, la debe el responsable del tratamiento cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas; se hace antes del tratamiento. Entre los dos, una franja: son instrumentos independientes, y el Art. 27(4) permite que la FRIA reutilice la evidencia de la DPIA. De los dos carriles, el de la DPIA es el que ya opera.
Los cinco artículos
| Artículo | Qué pide cuando la IA trata datos personales | Dónde lo desarrollamos |
|---|---|---|
| Art. 5 · principios | Licitud, lealtad y transparencia, limitación de la finalidad, minimización, exactitud, plazo de conservación y seguridad; y un responsable capaz de demostrar que los cumple | Un empleado pega datos de clientes en un chatbot, para la seguridad |
| Art. 6 · base jurídica | Que el tratamiento se apoye en una de las seis condiciones de su apartado 1 | Sin artículo propio |
| Art. 22 · decisiones automatizadas | El derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado con efectos jurídicos o significativos, salvo tres excepciones | Las tres excepciones del Art. 22 |
| Art. 28 · encargado del tratamiento | Elegir un encargado con garantías suficientes y regir el tratamiento por contrato | Qué tiene que decir el contrato del Art. 28 |
| Art. 35 · evaluación de impacto | Evaluar antes del tratamiento cuando sea probable un alto riesgo para los derechos y libertades | La lista de la AEPD del Art. 35(4) |
Art. 5: los principios, y quién tiene que demostrarlos
El Art. 5 enumera los principios con los que se tratan los datos personales, y el primero ya dice mucho de un sistema de IA: los datos serán «tratados de manera lícita, leal y transparente en relación con el interesado». Dos de los siguientes se ponen a prueba de forma particular.
La exactitud. Los datos serán «exactos y, si fuera necesario, actualizados», y se adoptarán «todas las medidas razonables para que se supriman o rectifiquen sin dilación» los que sean inexactos. Si el resumen erróneo que un sistema genera sobre un cliente se guarda en su ficha, lo que hay en la ficha es un dato personal inexacto.
La responsabilidad proactiva. El responsable del tratamiento será responsable del cumplimiento «y capaz de demostrarlo». Es la frase que convierte la diligencia en documentación: no basta con haber actuado bien, hay que poder enseñarlo.
La transparencia se concreta en los arts. 13 y 14, que fijan qué información recibe el interesado: el 13 cuando los datos se obtienen de él, el 14 cuando no. Si hay decisiones automatizadas, esa información incluye «la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada».
Y la seguridad adecuada de los datos es el principio que se rompe cuando un empleado pega datos de clientes en una herramienta que la empresa no controla: es el caso que analizamos aparte.
Art. 6: la base jurídica, antes que la herramienta
«El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones», y el apartado 1 enumera seis: el consentimiento del interesado, la ejecución de un contrato en el que es parte, el cumplimiento de una obligación legal, la protección de intereses vitales, una misión realizada en interés público y el interés legítimo del responsable o de un tercero, siempre que sobre él no prevalezcan los intereses o los derechos y libertades fundamentales del interesado.
Con la IA, la pregunta práctica no es qué herramienta usar, sino si el uso nuevo cabe en la base que ya había: el Art. 5 impide tratar los datos de manera incompatible con los fines para los que se recogieron, así que pasarlos por un sistema para algo ajeno a esos fines obliga a mirar de nuevo la base jurídica.
Art. 22: cuando decide la máquina
«Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.»
Dos condiciones acotan el derecho: que la decisión se base únicamente en el tratamiento automatizado y que produzca esos efectos. No toda automatización es una decisión del Art. 22, y la AEPD insiste en la misma idea en su guía sobre IA agéntica: incorporar agentes a un tratamiento puede automatizarlo sin que haya una decisión en el sentido de ese artículo.
El apartado 2 recoge tres excepciones: que la decisión sea necesaria para celebrar o ejecutar un contrato, que la autorice el Derecho de la Unión o del Estado miembro con medidas adecuadas, o que se base en el consentimiento explícito del interesado. En la primera y en la tercera, el apartado 3 exige medidas que incluyan «como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión».
Art. 28: el proveedor que trata los datos por tu cuenta
Cuando un proveedor de IA trata datos personales por cuenta de tu empresa, el Art. 28 pone la carga en quien lo elige: el responsable «elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas».
Ese tratamiento se rige por un contrato u otro acto jurídico que fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados, y que obliga al encargado, entre otras cosas, a tratar los datos solo siguiendo instrucciones documentadas del responsable. Y el encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable.
Art. 35: la evaluación de impacto no espera al alto riesgo del AI Act
«Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto».
El criterio es el riesgo del tratamiento, no la clasificación del sistema en el AI Act: un sistema que no es de alto riesgo para el AI Act puede exigir una EIPD. La AEPD ha publicado la lista del Art. 35.4, según la cual será necesario realizar una EIPD «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios» de los once que enumera. La explicamos en la lista de la AEPD del Art. 35(4).
Cuando el sistema sí es de alto riesgo, el AI Act enlaza con esta evaluación: su Art. 26(9) pide a quien lo despliega utilizar, cuando proceda, la información que le facilita el proveedor para cumplir la obligación de llevarla a cabo.
Lo que ya se puede examinar
La AEPD ya supervisa la IA que trata datos personales, y las cuatro situaciones que describimos en ese artículo —la evaluación que no se hizo, la decisión automatizada sin salvaguardas, la biometría sin evaluación previa y la brecha a través de un proveedor— pasan por estos cinco artículos.
Del AI Act, los arts. 4 y 5 —alfabetización y prácticas prohibidas— se aplican desde el 2 de febrero de 2025, salvo las prohibiciones que añadió el Reglamento (UE) 2026/1744, que se aplican desde el 2 de diciembre de 2026. El resto de fechas está en el calendario, y la del anexo III, que decide qué sistemas son de alto riesgo, es 2027 y no 2026.
Para ordenar el trabajo de documentación que piden estos cinco artículos, el módulo de gobernanza organiza políticas, responsables y evidencias.
Contenido con arreglo a los artículos 5, 6, 13, 14, 22, 28 y 35 del Reglamento (UE) 2016/679, citado según el texto publicado en el DOUE L 119 de 4.5.2016 y verificado contra la versión consolidada; el art. 13, apartado 2, letra f), se cita según la consolidada, que incorpora la corrección de errores del DO L 74 de 4.3.2021.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.