Para una empresa que automatiza procesos internos, cumplir pasa por cuatro cosas: tener un inventario de los sistemas de IA que usa y para qué, una base legal y una información clara cuando se tratan datos personales, supervisión humana en las decisiones que afectan a personas, y trazabilidad de lo que hace cada agente. El Reglamento Europeo de IA (AI Act) clasifica los usos por riesgo; el RGPD sigue aplicando en todo lo que toque datos personales.
Cómo clasifica el AI Act
El Reglamento (UE) 2024/1689 organiza los sistemas de IA por nivel de riesgo, con obligaciones proporcionales y un calendario de aplicación escalonado desde su entrada en vigor en 2024:
- Riesgo inaceptable: prácticas prohibidas (por ejemplo, puntuación social o determinadas técnicas manipulativas).
- Alto riesgo: usos con impacto significativo sobre las personas —selección de personal, evaluación crediticia, acceso a servicios esenciales— con exigencias de gestión de riesgos, calidad de datos, documentación, registro, supervisión humana y robustez.
- Riesgo limitado: obligaciones de transparencia, como informar de que se está interactuando con una IA o etiquetar contenido generado.
- Riesgo mínimo: la mayoría de automatizaciones internas de back-office, sin obligaciones específicas más allá de las generales.
La buena noticia para la mayoría de proyectos empresariales: clasificar correos, extraer datos de facturas o preparar borradores de respuesta suelen caer en la franja de riesgo mínimo o limitado. El salto de exigencia llega cuando la IA decide sobre personas.
Este artículo es informativo y no constituye asesoramiento jurídico. El calendario y los criterios de aplicación han sido objeto de revisiones; conviene verificar el estado vigente con tu asesoría legal.
Qué sigue exigiendo el RGPD
- Base legal y minimización: tratar solo los datos necesarios para el proceso automatizado.
- Información y transparencia: decir qué se hace con los datos y quién los trata.
- Encargados de tratamiento: si el modelo es de un tercero en la nube, es un actor más en la cadena; hay que contratarlo y documentarlo.
- Transferencias internacionales: saber dónde se procesan los datos. Aquí es donde la soberanía del dato deja de ser un discurso y se vuelve una decisión de arquitectura.
- Decisiones automatizadas: el artículo 22 limita las decisiones exclusivamente automatizadas con efectos jurídicos o similares; de ahí la importancia de mantener a una persona en el circuito.
Cómo lo abordamos en los proyectos
En el assessment inicial documentamos, para cada automatización, qué datos toca, dónde se procesan, qué modelo se usa y qué decisiones quedan en manos de personas. Ese documento es, en la práctica, el punto de partida del inventario que el regulador espera. Cuando el proceso es sensible, la respuesta técnica suele ser un modelo local o un entorno dedicado y un registro completo de la actividad del agente.