El RGPD ya se aplica
La mayoría de las herramientas de IA que usan las empresas tratan datos personales: clientes, candidatos, reuniones, documentos. Se aplican las reglas habituales:
- una base jurídica para cada fin (art. 6) y una excepción del art. 9 para los datos sensibles;
- información a los interesados sobre el uso de IA (arts. 13 y 14);
- contrato de encargo con el proveedor y control de las transferencias fuera del EEE (arts. 28 y 44);
- evaluación de impacto cuando el riesgo sea alto (art. 35);
- ninguna decisión con efectos jurídicos basada únicamente en un tratamiento automatizado sin garantías (art. 22).
El calendario del Reglamento de IA
Las prácticas prohibidas se aplican desde el 2 de febrero de 2025; las obligaciones de transparencia del art. 50, desde el 2 de agosto de 2026, con el marcado del art. 50.2 para los sistemas generativos ya comercializados desde el 2 de diciembre de 2026; los requisitos de los sistemas de alto riesgo del anexo III, como la selección de personal, desde el 2 de diciembre de 2027; y los del anexo I, desde el 2 de agosto de 2028.
La ley española
El Gobierno aprobó en mayo de 2026 el Proyecto de Ley Orgánica de IA, que decayó con la disolución de las Cortes (Real Decreto 806/2026). El Reglamento europeo no necesita transposición. La AESIA es la agencia estatal de supervisión de la IA; el reparto definitivo de competencias entre autoridades quedó pendiente de la ley decaída. La AEPD sigue siendo competente para los tratamientos de datos personales.
Qué hacer ahora
El primer paso es un inventario: qué herramientas con IA se usan, para qué, con qué datos y quién es el proveedor. Después se revisa la base jurídica, la información y el riesgo de cada una, y se fijan reglas sencillas para la plantilla: qué se puede introducir en una herramienta de IA y qué no.
Preguntas frecuentes
¿Puede la plantilla usar IA generativa con datos de clientes?
Solo si la empresa ha evaluado la herramienta: contrato de encargo, dónde se almacenan los datos, si el proveedor los usa para entrenar y con qué base se tratan. Sin esa evaluación, mejor no introducir datos personales.
¿Quién supervisa la IA en España?
La AESIA es la agencia estatal de supervisión de la IA; el reparto definitivo de competencias entre autoridades quedó pendiente de la ley decaída. La AEPD sigue siendo competente para los tratamientos de datos personales.
¿Hay que avisar de que un chatbot es una IA?
Desde el 2 de agosto de 2026, el proveedor debe diseñar el sistema para que las personas sepan que interactúan con una IA, salvo que sea evidente (art. 50.1). Quien lo despliega con su propia marca puede ser considerado proveedor.