Puntos clave: solapamiento entre el Reglamento de IA de la UE y el RGPD
El Reglamento de IA de la UE y el RGPD convergen en siete áreas críticas que los equipos de cumplimiento deben gestionar como un programa unificado: evaluaciones de impacto, transparencia, documentación, gobernanza de datos, aplicación normativa, complejidad multientidad y obligaciones en la fase de diseño. Las organizaciones que tratan estos marcos como flujos de trabajo separados se enfrentan a esfuerzos duplicados, registros incoherentes y un riesgo de aplicación normativa creciente por parte de reguladores que ahora supervisan ambas leyes. Una arquitectura de cumplimiento unificada (no más hojas de cálculo) es la solución estructural.
Definiciones
¿Qué es el Reglamento de IA de la UE?
El Reglamento de IA de la UE (Reglamento (UE) 2024/1689) es el primer marco jurídico integral del mundo para la inteligencia artificial. Clasifica los sistemas de IA por nivel de riesgo (inaceptable, alto, limitado y mínimo) e impone obligaciones a los proveedores e implementadores en consecuencia. Los sistemas de IA de alto riesgo se enfrentan a los requisitos más estrictos, incluidas las evaluaciones de conformidad, la documentación técnica y la supervisión humana. Fuente: EUR-Lex, Reglamento (UE) 2024/1689
¿Qué es una evaluación de impacto relativa a la protección de datos (EIPD)?
Una EIPD es un proceso exigido por el artículo 35 del RGPD para identificar y minimizar los riesgos para la protección de datos de las actividades de tratamiento de alto riesgo. Debe describir el tratamiento, evaluar su necesidad y proporcionalidad y valorar los riesgos para los derechos y libertades de las personas.
¿Qué es una evaluación de impacto sobre los derechos fundamentales?
Una evaluación de impacto sobre los derechos fundamentales es exigida por el artículo 27 del Reglamento de IA de la UE a los implementadores de sistemas de IA de alto riesgo. Evalúa el impacto del sistema de IA sobre los derechos fundamentales, incluidos el derecho a la privacidad, la no discriminación y la dignidad humana. Cuando el sistema de IA también trata datos personales, la evaluación de impacto sobre los derechos fundamentales y la EIPD comparten datos de entrada solapados.
¿Qué es un registro de actividades de tratamiento (ROPA)?
Los registros de actividades de tratamiento son registros obligatorios de las actividades de tratamiento de datos personales exigidos por el artículo 30 del RGPD. Los responsables y encargados del tratamiento deben documentar las finalidades, las categorías de datos, los destinatarios, las transferencias y los plazos de conservación de cada actividad de tratamiento.
¿Qué es un sistema de IA de alto riesgo según el Reglamento de IA de la UE?
Un sistema de IA de alto riesgo es un sistema de IA enumerado en el anexo III del Reglamento de IA de la UE o utilizado como componente de seguridad de un producto cubierto por la legislación de armonización de la UE enumerada en el anexo I. Las categorías incluyen la IA utilizada en la identificación biométrica, las infraestructuras críticas, el empleo, la educación, la aplicación de la ley y la migración. Fuente: Reglamento de IA de la UE, anexo III
Estadísticas y evidencias
Según el Informe IAPP-EY de gobernanza de la privacidad 2024, el 68% de los profesionales de la privacidad esperan asumir responsabilidades de gobernanza de la IA, pero solo el 23% afirma contar con un marco unificado para gestionar tanto las obligaciones del Reglamento de IA como las del RGPD. La evaluación de impacto del Reglamento de IA de la Comisión Europea estimó que entre 6.000 y 10.000 sistemas de IA de alto riesgo ya están implementados en toda la UE y ahora deben documentarse con arreglo a ambos marcos. Las multas del RGPD superaron acumuladamente los 4.500 millones de euros a finales de 2024, y el Reglamento de IA añade una segunda capa de sanciones (hasta 35 millones de euros o el 7% de la facturación global según el artículo 99), aplicada por las mismas autoridades nacionales.
Preguntas frecuentes
¿Dónde se solapan el Reglamento de IA de la UE y el RGPD?
Los dos marcos convergen en siete áreas críticas: (1) evaluaciones de impacto (EIPD según el artículo 35 del RGPD y evaluaciones de impacto sobre los derechos fundamentales según el artículo 27 del Reglamento de IA); (2) obligaciones de transparencia (artículos 13 y 14 del RGPD y artículos 50 a 52 del Reglamento de IA); (3) documentación (registro de tratamientos según el artículo 30 del RGPD y documentación técnica según el anexo IV del Reglamento de IA); (4) gobernanza de datos para los conjuntos de datos de entrenamiento según el artículo 10 del Reglamento de IA, que se cruza con la minimización de datos y la limitación de la finalidad del RGPD; (5) convergencia en la aplicación normativa, a medida que las autoridades de protección de datos nacionales se convierten en autoridades de vigilancia del mercado del Reglamento de IA según el artículo 70; (6) complejidad multientidad entre filiales de distintos Estados miembros; y (7) gobernanza en la fase de diseño, en la que ambos marcos imponen requisitos antes de la implementación.
¿Necesito tanto una EIPD como una evaluación de impacto sobre los derechos fundamentales para la IA de alto riesgo?
Sí. Cuando un sistema de IA de alto riesgo trata datos personales, se requieren tanto una EIPD (artículo 35 del RGPD) como una evaluación de impacto sobre los derechos fundamentales (artículo 27 del Reglamento de IA). Estas evaluaciones comparten datos de entrada solapados (categorías de datos, dimensiones de riesgo y poblaciones afectadas), pero cumplen finalidades normativas distintas. Realizarlas como flujos de trabajo separados genera riesgo de duplicación e incoherencia. El CEPD ha señalado la necesidad de metodologías de evaluación coherentes en ambos marcos. Fuente: CEPD
¿Cuáles son las sanciones máximas del Reglamento de IA de la UE?
El Reglamento de IA de la UE establece una estructura de sanciones por niveles en el artículo 99. El nivel más alto (para las prácticas de IA prohibidas) alcanza los 35 millones de euros o el 7% de la facturación anual global, según cuál sea mayor. Para otras infracciones, las sanciones pueden llegar a los 15 millones de euros o el 3% de la facturación. Estas se aplican además de las multas del RGPD (hasta 20 millones de euros o el 4% de la facturación según el artículo 83), lo que crea una doble exposición a la aplicación normativa. Fuente: Reglamento de IA de la UE, artículo 99
¿Quién aplica el Reglamento de IA de la UE junto con el RGPD?
Con arreglo al artículo 70 del Reglamento de IA de la UE, cada Estado miembro debe designar autoridades nacionales competentes como autoridades de vigilancia del mercado. Varios Estados miembros han designado para este papel a sus actuales autoridades de protección de datos nacionales. Esto significa que el mismo regulador que audita su cumplimiento del RGPD (revisando el registro de tratamientos, las EIPD y las notificaciones de violaciones de datos) también inspeccionará su documentación del Reglamento de IA, sus sistemas de gestión de riesgos y sus evaluaciones de conformidad.
¿Cómo afecta el Reglamento de IA de la UE a la gobernanza de los datos de entrenamiento según el RGPD?
El artículo 10 del Reglamento de IA de la UE exige que los conjuntos de datos de entrenamiento, validación y prueba de los sistemas de IA de alto riesgo cumplan criterios de calidad específicos, incluidas la pertinencia, la representatividad y la ausencia de errores. Cuando estos conjuntos de datos contienen datos personales (algo que casi siempre ocurre), los principios del RGPD se aplican simultáneamente: minimización de datos (artículo 5, apartado 1, letra c)), limitación de la finalidad (artículo 5, apartado 1, letra b)) y exactitud (artículo 5, apartado 1, letra d)). Estas obligaciones pueden generar tensiones (por ejemplo, los requisitos del Reglamento de IA sobre conjuntos de datos representativos pueden entrar en conflicto con el principio de minimización de datos del RGPD), lo que exige un análisis transversal de los marcos en la fase de diseño.
¿Puedo gestionar el cumplimiento del Reglamento de IA de la UE y del RGPD en una única plataforma?
Sí. Las plataformas de GRC unificadas como Priverion están diseñadas para gestionar ambos marcos en un único entorno. Los flujos de trabajo compartidos de EIPD y de evaluación de impacto sobre los derechos fundamentales eliminan las evaluaciones duplicadas, la remisión cruzada entre el registro de tratamientos y la documentación técnica de IA garantiza la coherencia ante las auditorías y los paneles a nivel de grupo proporcionan visibilidad sobre todas las filiales. Priverion está alojada íntegramente en Suiza, lo que garantiza la soberanía de los datos en un panorama posterior a Schrems II.
¿Cuál es el calendario de aplicación del Reglamento de IA de la UE?
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024. Las prácticas de IA prohibidas son aplicables desde el 2 de febrero de 2025. Las obligaciones para los modelos de IA de uso general se aplican desde el 2 de agosto de 2025. El conjunto completo de obligaciones para los sistemas de IA de alto riesgo se aplica desde el 2 de agosto de 2026. Las organizaciones que implementen sistemas de IA de alto riesgo que traten datos personales deben garantizar el cumplimiento tanto del Reglamento de IA como del RGPD en esas fechas. Fuente: Reglamento de IA de la UE, artículo 113
¿En qué se diferencian los requisitos de transparencia del RGPD de las obligaciones de transparencia del Reglamento de IA?
Los artículos 13 y 14 del RGPD exigen a los responsables del tratamiento que proporcionen a los interesados información significativa sobre la lógica aplicada en la toma de decisiones automatizada, incluida la elaboración de perfiles. El Reglamento de IA añade capas de transparencia adicionales: el artículo 50 exige que las personas que interactúan con sistemas de IA sean informadas de que lo están haciendo; los sistemas de reconocimiento de emociones y de categorización biométrica deben revelar su funcionamiento; y los contenidos generados por IA (incluidas las ultrafalsificaciones) deben etiquetarse. Estos requisitos se solapan, pero no son idénticos: el RGPD se centra en los derechos de los interesados, mientras que el Reglamento de IA aborda una transparencia social más amplia. Los equipos de cumplimiento necesitan una única fuente de verdad sobre qué debe divulgarse, a quién y con arreglo a qué normativa.
Comparativa: obligaciones del RGPD frente al Reglamento de IA de la UE
| Área de obligación | Requisito del RGPD | Requisito del Reglamento de IA de la UE | Impacto del solapamiento |
|---|
| Evaluaciones de impacto | EIPD según el artículo 35 | Evaluación de impacto sobre los derechos fundamentales según el artículo 27 | Ambas se activan para la IA de alto riesgo que trata datos personales; datos de entrada compartidos |
| Transparencia | Artículos 13 y 14: lógica de las decisiones automatizadas | Artículo 50: divulgación de la interacción con IA, etiquetado de ultrafalsificaciones | Solapados pero no idénticos; se necesita un único marco de divulgación |
| Documentación | Registro de tratamientos según el artículo 30 | Documentación técnica según el anexo IV; registros de actividad | Deben remitirse unos a otros; los registros aislados crean lagunas de auditoría |
| Gobernanza de datos | Minimización, limitación de la finalidad, exactitud (art. 5) | Requisitos de calidad de los datos de entrenamiento (art. 10) | Posibles conflictos; se requiere un análisis transversal de los marcos en la fase de diseño |
| Aplicación normativa | Autoridades de protección de datos nacionales | Autoridades de protección de datos nacionales como autoridades de vigilancia del mercado (art. 70) | El mismo regulador audita ambos; espera registros coherentes |
| Sanciones | Hasta 20 M€ o el 4% de la facturación global (art. 83) | Hasta 35 M€ o el 7% de la facturación global (art. 99) | Doble exposición a sanciones de una sola autoridad |
| Ámbito de aplicación | Tratamiento de datos personales | Ciclo de vida del sistema de IA (proveedor + implementador) | Casi toda la IA de alto riesgo implica datos personales |
