RGPD y AI Act: qué verificar antes de usar IA generativa
Una responsable de selección de personal pega un currículum en un asistente en línea para obtener un resumen: en pocos segundos, su empresa ha transmitido datos personales a un tercero, quizá fuera de la Unión, y ha utilizado un sistema de IA en un ámbito que el derecho europeo vigila de cerca. Esto es, texto por texto, lo que hay que verificar antes de llegar a ese punto, según el estado del derecho a 1 de octubre de 2026.
Dos textos, dos lógicas
Dos reglamentos europeos se aplican a la vez al uso de la IA generativa en la empresa. El Reglamento General de Protección de Datos, o RGPD, regula todo tratamiento de datos personales, es decir, toda información relativa a una persona identificable. Se aplica en cuanto un nombre, un correo o un expediente de cliente entra en una solicitud. El reglamento sobre inteligencia artificial, llamado AI Act, regula los propios sistemas de IA según el nivel de riesgo de su uso, traten o no datos personales.
El AI Act distingue al proveedor, que desarrolla el sistema o lo comercializa, y al responsable del despliegue, que lo utiliza bajo su autoridad en un contexto profesional. Una empresa cuyos empleados utilizan un asistente conversacional para su trabajo es un responsable del despliegue, sea cual sea su tamaño. No tiene las obligaciones de un editor de modelos, pero tiene obligaciones.
El RGPD razona en tratamientos y finalidades. El AI Act razona en sistemas y usos. Una misma acción, resumir un currículum, depende de ambos: del RGPD porque el currículum contiene datos personales, del AI Act porque la contratación figura entre los ámbitos de alto riesgo enumerados en el anexo III del reglamento.
El calendario del AI Act, modificado en julio de 2026
El reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024, con una aplicación escalonada. Las prácticas prohibidas, como la puntuación social o ciertas formas de manipulación, y la obligación de alfabetización en IA son aplicables desde el 2 de febrero de 2025. Las normas relativas a los modelos de IA de uso general y a la organización de la gobernanza se aplican desde el 2 de agosto de 2025. La Comisión Europea indica que el reglamento pasó a ser aplicable el 2 de agosto de 2026, con algunas excepciones, y que las normas de transparencia entran en vigor en esa fecha.
Estas excepciones proceden del ómnibus digital sobre la IA, un texto de simplificación propuesto por la Comisión el 19 de noviembre de 2025. Tras un acuerdo político el 7 de mayo de 2026, el Parlamento Europeo lo adoptó el 16 de junio de 2026 y el Consejo el 29 de junio. Publicado como reglamento (UE) 2026/1744, entró en vigor el 27 de julio de 2026. Aplaza las obligaciones de los sistemas de alto riesgo del anexo III, entre ellos los utilizados para la contratación, la educación o el acceso a determinados servicios, al 2 de diciembre de 2027. Los sistemas de alto riesgo integrados en productos ya sujetos a una legislación sectorial, como las máquinas o los productos sanitarios, tienen hasta el 2 de agosto de 2028.
El ómnibus añade una prohibición, aplicable a partir del 2 de diciembre de 2026: la de los sistemas que generan imágenes íntimas no consentidas o contenidos de abuso sexual infantil. Concede también a los proveedores de sistemas ya comercializados un plazo hasta el 2 de diciembre de 2026 para marcar de forma detectable los contenidos sintéticos que producen.
Reescribe, por último, el artículo 4 sobre la alfabetización en IA. La antigua redacción pedía a los proveedores y a los responsables del despliegue que garantizaran un nivel suficiente de alfabetización en su personal. La nueva les pide que adopten medidas para fomentarla, teniendo en cuenta los conocimientos de las personas y el contexto de uso, sin exigir un nivel determinado. La obligación no se ha aplazado: se aplica a toda empresa que utilice un sistema de IA en su actividad.
Las sanciones siguen siendo las del artículo 99: hasta 35 millones de euros o el 7 % del volumen de negocios mundial para las prácticas prohibidas, hasta 15 millones o el 3 % para la mayoría de las demás obligaciones, entre ellas las de los responsables del despliegue y las de transparencia. Para las pymes, el límite es el menor de los dos importes.
Lo que el AI Act pide a una empresa usuaria
La mayoría de los usos ofimáticos, redactar un correo, resumir una reunión, traducir un manual, no son de alto riesgo. Para ellos, las obligaciones del responsable del despliegue se reducen a dos puntos: formar e informar al personal conforme al artículo 4, y respetar las normas de transparencia del artículo 50.
El artículo 50 se refiere sobre todo a los contenidos difundidos. Un responsable del despliegue que publica una imagen, un sonido o un vídeo manipulados de forma realista debe señalar que han sido generados o manipulados. Un texto producido por IA y publicado para informar al público sobre cuestiones de interés general debe señalarse también, salvo que haya sido revisado por una persona bajo la responsabilidad editorial de una persona identificada. La información debe darse de forma clara, a más tardar en el primer contacto con el contenido.
Las obligaciones se agravan si el uso entra en el anexo III, por ejemplo la selección de candidaturas o la evaluación de empleados. El artículo 26 impone entonces al responsable del despliegue confiar la supervisión del sistema a personas competentes y con la autoridad necesaria, conservar los registros generados automáticamente durante al menos seis meses, informar a los representantes del personal y a los empleados afectados antes de la puesta en servicio en el lugar de trabajo, y utilizar la documentación del proveedor para realizar la evaluación de impacto prevista por el RGPD. Estas obligaciones se aplicarán a partir del 2 de diciembre de 2027, pero un proyecto lanzado hoy estará en servicio en esa fecha.
En Francia, el gobierno presentó el 9 de septiembre de 2025 un esquema de control que confía la coordinación a la DGCCRF y reparte la supervisión entre varias autoridades, entre ellas la CNIL para los sistemas de alto riesgo vinculados al empleo y a la educación y la Arcom para los contenidos sintéticos. Este esquema debía ser validado por una ley; hay que comprobar su estado de avance en el momento de lanzar un proyecto.
RGPD: las preguntas que hay que plantear antes de la primera solicitud
El RGPD no prohíbe usar la IA generativa. Obliga a responder, para cada uso que afecte a datos personales, a las preguntas habituales: qué finalidad, sobre qué base jurídica de las del artículo 6, con qué datos estrictamente necesarios, durante cuánto tiempo, con qué información a las personas y cómo ejercen sus derechos. El tratamiento debe constar en el registro de actividades de tratamiento.
La IA generativa añade una dificultad: lo que entra en una solicitud puede salir en otro lugar. El Comité Europeo de Protección de Datos, que reúne a las autoridades nacionales, emitió el 17 de diciembre de 2024 un dictamen sobre los modelos de IA. En él estima que un modelo entrenado con datos personales no puede considerarse anónimo en todos los casos: hay que verificar caso por caso que la probabilidad de extraer de él datos sobre las personas es insignificante. Admite que el interés legítimo puede fundamentar ciertos tratamientos, a condición de superar una prueba en tres etapas: interés identificado, necesidad del tratamiento, ponderación con los derechos de las personas.
Para una empresa usuaria, la consecuencia práctica es sencilla. Hay que saber si el proveedor reutiliza las solicitudes para entrenar sus modelos y poder rechazarlo por contrato. La CNIL recuerda, en sus preguntas y respuestas de julio de 2024 sobre la IA generativa, que el hecho de que un dato sea accesible no basta para autorizar su reutilización por el proveedor.
El propio RGPD podría evolucionar. La Comisión propuso el 19 de noviembre de 2025 un segundo bloque del ómnibus digital que afecta en particular a la definición de dato personal. A finales de septiembre de 2026, este bloque seguía en primera lectura, sin mandato de negociación del Consejo. Las normas actuales se aplican, por tanto, sin cambios.
El proveedor: encargado del tratamiento, ¿y bajo qué contrato?
Cuando un proveedor trata datos personales por cuenta de una empresa, es su encargado del tratamiento en el sentido del artículo 28 del RGPD. Un contrato debe entonces fijar el objeto, la duración, la naturaleza y la finalidad del tratamiento y las categorías de datos, y obligar al proveedor a actuar únicamente por instrucción, a garantizar la seguridad, a recurrir a otros encargados solo con autorización y a suprimir o devolver los datos al término del contrato.
Las ofertas para el gran público de los asistentes en línea no suelen estar concebidas para este marco. Las ofertas profesionales lo están con más frecuencia, pero las condiciones varían. La CNIL distingue tres modos de despliegue. En las propias instalaciones, el organismo conserva el control de la infraestructura. En la nube, hace falta un contrato de encargo de tratamiento que delimite las responsabilidades y los accesos autorizados a los datos. Mediante API, la CNIL considera el riesgo como el más elevado y recomienda evitar transmitir datos personales por esa vía, vigilando las cláusulas de transferencia fuera de la Unión.
Un punto merece una lectura atenta: si el proveedor reutiliza los datos recibidos para sus propios fines, por ejemplo para mejorar sus modelos, ya no actúa solo por cuenta de su cliente. La calificación de cada uno cambia entonces, con sus consecuencias en materia de responsabilidad. El contrato debe zanjar esta cuestión con claridad.
Datos sensibles y secretos empresariales
El artículo 9 del RGPD prohíbe por principio el tratamiento de ciertas categorías de datos: origen étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos y biométricos, salud, vida y orientación sexuales. Las excepciones son limitadas y deben identificarse antes de cualquier tratamiento. Una baja laboral, una mención de discapacidad en un expediente de recursos humanos o un informe médico pegados en un asistente en línea forman parte de ellas.
La CNIL recomienda definir, según el modo de despliegue, los usos autorizados y prohibidos, y prohibir la introducción de ciertas informaciones confidenciales, como las cubiertas por el secreto empresarial, cuando la herramienta está alojada en el exterior. Recomienda también formar a los usuarios en el funcionamiento y los límites del sistema, y pedirles que verifiquen los resultados antes de reutilizarlos.
Transferencias fuera de la Unión y Cloud Act
El capítulo V del RGPD regula las transferencias de datos personales fuera de la Unión. Hacia Estados Unidos, la mayoría se apoya hoy en el marco de protección de datos UE-Estados Unidos, adoptado por la Comisión en julio de 2023. El 3 de septiembre de 2025, el Tribunal General de la Unión Europea desestimó el recurso del diputado francés Philippe Latombe contra este marco, en el asunto T-553/23. El demandante interpuso el 31 de octubre de 2025 un recurso de casación ante el Tribunal de Justicia, registrado con el número C-703/25 P. Mientras el Tribunal no se haya pronunciado, la base jurídica de estas transferencias sigue cuestionada, y su estado debe comprobarse en el momento de elegir una herramienta.
La Cloud Act, ley estadounidense de 2018, añade otra exposición. Insertó en el código federal estadounidense una disposición, la sección 2713 del título 18, que obliga a los proveedores de servicios de comunicación y de almacenamiento sometidos al derecho estadounidense a comunicar, bajo requerimiento, los datos en su posesión, bajo su custodia o bajo su control, estén esos datos almacenados en Estados Unidos o en otro lugar. El alojamiento en un centro de datos europeo no elimina, por tanto, esta exposición cuando el proveedor depende del derecho estadounidense.
Para la empresa, estos dos elementos forman parte del análisis de riesgos. Hay que identificar, para cada herramienta, el país del proveedor y de sus propios subcontratistas, el instrumento jurídico que regula la transferencia y qué ocurriría si ese marco cayera.
Registrar sin vigilar
El registro de actividad consiste en anotar quién ha hecho qué, y cuándo, en un sistema. Sirve para detectar abusos, investigar tras un incidente y demostrar el cumplimiento. La CNIL publicó el 18 de noviembre de 2021 una recomendación sobre el tema. En ella preconiza conservar las trazas de los accesos y de las acciones de los usuarios habilitados durante seis meses a un año, debiendo justificarse y documentarse una duración mayor, en la mayoría de los casos sin superar los tres años.
Con la IA generativa, la cuestión se duplica. Los registros de un asistente contienen a menudo el texto de las solicitudes y de las respuestas, es decir, datos personales y a veces secretos empresariales. Constituyen ellos mismos un tratamiento que hay que proteger, limitar en el tiempo y resguardar de una vigilancia excesiva de los empleados. Para los sistemas de alto riesgo, el AI Act fija un mínimo de seis meses de conservación de los registros para el responsable del despliegue. Hay que saber dónde se almacenan estos registros, quién puede leerlos y si son accesibles al proveedor.
La evaluación de impacto, herramienta de decisión
La evaluación de impacto relativa a la protección de datos, o EIPD, es obligatoria en virtud del artículo 35 del RGPD cuando un tratamiento puede entrañar un riesgo elevado para los derechos y libertades de las personas. Las autoridades europeas han fijado nueve criterios, entre ellos los datos sensibles, el tratamiento a gran escala, las personas vulnerables, el cruce de conjuntos de datos y el uso innovador de una tecnología. Se presume que debe someterse a evaluación un tratamiento que reúna al menos dos criterios.
La CNIL precisa que las técnicas recientes, entre ellas la IA generativa, entran en el criterio de uso innovador, a diferencia de los métodos estadísticos probados. Enumera también riesgos propios de la IA que deben integrarse en el análisis: producción de contenidos falsos, sesgos discriminatorios, ataques destinados a extraer datos del modelo. Un asistente utilizado por recursos humanos con expedientes de empleados reúne, por tanto, rápidamente dos criterios.
La EIPD no es un formulario más. Bien realizada, obliga a describir el flujo real de los datos, a comparar las opciones de despliegue y a documentar la elección adoptada. Suele ser en esta etapa cuando una empresa descubre que una parte de sus usos no debería pasar por un servicio externo.
Lo que cambia un tratamiento en las propias instalaciones
Ejecutar el modelo en una máquina instalada en las instalaciones de la empresa modifica varias respuestas. La CNIL recomienda este modo de despliegue para los datos personales o confidenciales, porque limita los riesgos de extracción por un tercero. Si ningún proveedor accede a las solicitudes, no hay transferencia fuera de la Unión, ni exposición a la Cloud Act por esa vía, ni reutilización de los datos para entrenar un modelo de terceros. La cadena de subcontratación se acorta y los registros permanecen bajo el control de la empresa.
No elimina el resto. La base jurídica, la minimización, la información a las personas, la seguridad, los plazos de conservación y la evaluación de impacto siguen siendo exigibles. Las obligaciones del AI Act no dependen del lugar donde se ejecuta el modelo: una selección de candidaturas sigue siendo un uso de alto riesgo, se ejecute en un centro de datos estadounidense o en un armario de servidores. Y si un proveedor realiza el mantenimiento a distancia con acceso a los datos, vuelve a ser encargado del tratamiento.
El tratamiento en las propias instalaciones traslada también una parte de la responsabilidad técnica a la empresa: actualizaciones de seguridad, control de accesos, copias de seguridad. La ventaja jurídica supone una máquina correctamente administrada.
Antes de firmar
La verificación se resume en una breve serie de puntos. Una carta escrita distingue los usos autorizados y prohibidos. Cada uso se clasifica según afecte o no a datos personales y, entre ellos, a datos sensibles. Para cada herramienta, la empresa conoce el lugar de tratamiento de las solicitudes, el proveedor, el derecho al que está sometido y el instrumento jurídico que regula una eventual transferencia. El contrato prohíbe la reutilización de los datos para el entrenamiento, o la regula. Los registros tienen una ubicación, unos accesos y un plazo de conservación definidos. Los usos que dependen del anexo III del AI Act están identificados, la evaluación de impacto se realiza cuando procede y el personal ha recibido una formación adecuada.
Este artículo describe el estado de los textos a 1 de octubre de 2026. No constituye asesoramiento jurídico: cada caso particular, en especial los que afectan a recursos humanos, a la salud o a las transferencias internacionales, requiere el dictamen de un jurista o del delegado de protección de datos. Para responder a la cuestión de la ubicación de los datos, HOMN diseña máquinas que tratan las solicitudes en el sitio; las demás cuestiones de esta lista siguen a cargo de cada empresa.
¿Afecta el AI Act a una empresa que utiliza ChatGPT o Copilot?
Sí. Es responsable del despliegue en el sentido del reglamento. Debe, como mínimo, adoptar medidas de alfabetización en IA para su personal (artículo 4) y respetar las normas de transparencia del artículo 50. Se añaden obligaciones más pesadas si el uso es de alto riesgo, como la contratación.
¿Se aplican desde agosto de 2026 las obligaciones de alto riesgo del AI Act?
No. El reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, las aplazó al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los integrados en productos regulados.
¿Hace falta una evaluación de impacto para usar IA generativa?
No de forma sistemática. Es obligatoria si el tratamiento presenta un riesgo elevado, que se presume en cuanto se reúnen dos de los nueve criterios europeos. La CNIL incluye la IA generativa entre los usos innovadores, lo que ya constituye un criterio. Recomienda realizar una.
¿Basta alojar la IA en Europa para descartar la Cloud Act?
No. La Cloud Act se dirige a los proveedores sometidos al derecho estadounidense, sea cual sea el lugar de almacenamiento de los datos. Solo un tratamiento por un proveedor no sometido a ese derecho, o en una máquina de la empresa sin acceso externo, descarta esta exposición.