IA y protección de datos en 2026: qué te exigen el RGPD y el EU AI Act

Incorporar inteligencia artificial no exime a tu empresa de ninguna obligación legal; al contrario, suma una capa nueva. Desde hace años, cualquier tratamiento de datos personales está sujeto al Reglamento General de Protección de Datos (RGPD). Y desde 2025 se añade el Reglamento Europeo de Inteligencia Artificial, el EU AI Act, la primera norma integral del mundo que regula cómo se desarrollan y se usan los sistemas de IA. Son dos marcos distintos que, en la práctica, se solapan en cada proyecto.

La buena noticia es que cumplir no es incompatible con avanzar; es lo que permite avanzar sin riesgo. La mayoría de los usos de IA en una empresa son perfectamente legales si se plantean con orden. Lo que no sale gratis es la improvisación. Las sanciones del EU AI Act llegan hasta los 35 millones de euros o el 7% de la facturación mundial. Conviene entender qué pide cada norma antes de desplegar, no después.

Qué exige el RGPD cuando incorporas IA

Si tu sistema de IA trata datos personales (de clientes, de empleados o de usuarios), el RGPD se aplica íntegro. Los puntos que más se descuidan en los proyectos de IA son estos:

• Base legal. Necesitas una justificación válida para tratar esos datos: consentimiento, ejecución de un contrato, interés legítimo. No basta con que el dato esté disponible.
• Minimización y finalidad. Solo debes usar los datos necesarios para un fin concreto y declarado. Alimentar un modelo "por si acaso" con todo lo que tienes va en contra del reglamento.
• Transparencia. Las personas tienen derecho a saber que sus datos se tratan con IA y con qué lógica, especialmente si hay decisiones automatizadas que les afectan.
• Evaluación de impacto (EIPD). Cuando el tratamiento entraña un riesgo alto para los derechos de las personas, el RGPD obliga a realizar una evaluación de impacto antes de empezar. Muchos proyectos de IA encajan en este supuesto.

La Agencia Española de Protección de Datos (AEPD) ha publicado orientaciones específicas sobre IA, y su mensaje es coherente con el del reglamento: la protección de datos se diseña desde el principio del proyecto, no se parchea al final.

El EU AI Act: niveles de riesgo y calendario

El Reglamento Europeo de IA no clasifica las herramientas por su tecnología, sino por su riesgo. Establece cuatro niveles: riesgo inaceptable (prácticas prohibidas), alto riesgo (sujeto a requisitos estrictos), riesgo limitado (con obligaciones de transparencia) y riesgo mínimo (la mayoría de las aplicaciones, sin obligaciones específicas). Cuanto mayor es el riesgo para las personas, más exigente es la norma.

Su aplicación es gradual. Las fechas que conviene tener en el calendario son:

1. 2 de febrero de 2025. Entran en vigor las prohibiciones de los usos inaceptables y la obligación de alfabetización en IA. Las organizaciones deben garantizar que quienes operan estos sistemas tienen formación suficiente.
2. 2 de agosto de 2025. Se aplican las obligaciones para los modelos de IA de propósito general y se activa el régimen de gobernanza y sanciones.
3. 2 de agosto de 2026. Entra en vigor el grueso de las obligaciones para los sistemas de alto riesgo.

A esto se añade una matización reciente. El llamado paquete Digital Omnibus, acordado a finales de 2025, propone aplazar parte de las obligaciones de alto riesgo más allá de 2026. El calendario fino puede moverse, pero las prohibiciones, la alfabetización y las reglas para los modelos de propósito general siguen plenamente vigentes.

La mayoría de las empresas no opera sistemas de alto riesgo, pero todas tienen ya obligaciones. La alfabetización en IA y la transparencia no esperan a 2026.

En cuanto a las sanciones, el reglamento establece tres tramos: hasta 35 millones de euros o el 7% de la facturación mundial por las prácticas prohibidas; hasta 15 millones o el 3% por incumplir el resto de obligaciones, incluidas las de alto riesgo; y hasta 7,5 millones o el 1% por facilitar información incorrecta a las autoridades.

Qué significa para una empresa mediana o una pyme

Leído de golpe, el EU AI Act intimida. En la práctica, la mayoría de las empresas no desarrolla ni opera sistemas de alto riesgo. Usa asistentes, herramientas de análisis o automatizaciones que caen en el riesgo limitado o mínimo. Para ese grueso de casos, las obligaciones son razonables y se resumen en tres ideas: saber qué herramientas de IA usas, formar a quien las maneja e informar con transparencia cuando una persona interactúa con un sistema de IA o se ve afectada por sus decisiones.

El error no es usar IA, sino usarla sin un inventario, sin formación y sin haber comprobado si algún caso concreto entra en la categoría de alto riesgo. Esa comprobación, hecha a tiempo, es barata; hecha tarde, sale cara.

Pasos para llegar a 2026 en regla

Ordenar el cumplimiento no requiere un departamento jurídico propio, sino método:

1. Inventaría. Haz una lista de qué sistemas de IA usa tu empresa y para qué. No puedes cumplir con lo que no sabes que tienes.
2. Clasifica el riesgo. Determina en qué nivel del EU AI Act encaja cada uso. La mayoría será de riesgo limitado o mínimo; identifica los que no.
3. Revisa la base legal y la EIPD. Para cada tratamiento de datos personales, confirma la base legal y evalúa si necesitas una evaluación de impacto.
4. Forma a tu equipo. La obligación de alfabetización en IA ya está vigente. Documenta la formación que das.
5. Ata los contratos. Asegúrate de que tus proveedores firman un DPA adecuado y no usan tus datos para entrenar.

Por dónde empezar

El cumplimiento no es el obstáculo de la IA. Es su cimiento. Las empresas que ordenan ahora su inventario, su clasificación de riesgo y sus contratos llegarán a las fechas clave sin sobresaltos y, de paso, con proyectos más sólidos. Las que lo dejen para el final se arriesgan a sanciones que superan con creces el coste de hacerlo bien desde el principio.

En VectorLime planteamos la inteligencia artificial para empresas con el cumplimiento integrado en el diseño, no como un trámite posterior. Cuéntanos qué casos de IA tienes en mente y te ayudamos a desplegarlos cumpliendo el RGPD y el EU AI Act desde el primer día. Y si antes quieres entender qué ocurre con tu información, lo explicamos en ¿la IA se entrena con los datos de tu empresa?