El nuevo Reglamento Europeo de Inteligencia Artificial
El nuevo Reglamento Europeo de Inteligencia Artificial, aprobado en marzo de 2025, establece un marco legal pionero para regular esta tecnología según su nivel de riesgo. No obstante, su aplicación plena, incluida la imposición de sanciones, no llegará hasta 2026. Algunas disposiciones empezarán a aplicarse a partir del 2 de agosto de 2025, pero esto no exime de responsabilidad a quienes ya utilizan IA en la actualidad.
Tal como señala la AEPD, si una herramienta de inteligencia artificial trata datos personales, debe hacerlo respetando el RGPD, legislación que está en vigor desde 2018 y que prevalece sobre cualquier otra norma posterior mientras esta no sea aplicable. Esto incluye obligaciones fundamentales como garantizar la licitud del tratamiento, informar a los interesados, aplicar medidas de seguridad, respetar el principio de minimización de datos, y permitir el ejercicio de derechos (acceso, rectificación, oposición, etc.). Además, se prohíbe el uso de sistemas que tomen decisiones automatizadas sin intervención humana, salvo en supuestos legalmente justificados.
Uno de los pilares del RGPD, el principio de responsabilidad proactiva, exige que cualquier profesional o empresa que emplee una herramienta de IA lleve a cabo una evaluación previa sobre su impacto en la protección de datos, incluso si esa herramienta aún no está sujeta a una normativa específica.
La AEPD ya actúa ante usos indebidos
Un ejemplo concreto de cómo la AEPD ya actúa frente a usos indebidos de la inteligencia artificial se encuentra en su reciente criterio jurídico sobre comunicaciones comerciales automatizadas. Ante la consulta de si un sistema de IA debía «entender y aplicar» derechos como la oposición al tratamiento o la revocación del consentimiento, la agencia dejó claro que sí: estas herramientas deben estar programadas para reconocer y ejecutar los derechos de los usuarios sin obligarlos a pasar por procedimientos manuales o innecesariamente complejos.
En la práctica, esto significa que cualquier autónomo que use herramientas de IA (ya sea un chatbot, un asistente virtual para redactar correos o un sistema que analice hábitos de consumo) debe aplicar los principios de protección de datos desde el diseño y por defecto, como establece el artículo 25 del RGPD. Si estas herramientas procesan datos personales como nombres, correos electrónicos o historiales de clientes, el tratamiento debe ajustarse a la normativa vigente.
La AEPD ya ha intervenido en varios casos relevantes, como el uso de reconocimiento facial en centros educativos, algoritmos de selección laboral, y modelos generativos que implicaban tratamiento masivo de datos personales.
Conclusión: sin excusas frente a la protección de datos
La falta de sanciones específicas en el nuevo reglamento de IA no implica que los profesionales puedan operar sin control. La AEPD puede (y ya lo hace) actuar frente a cualquier sistema que infrinja el RGPD. Por tanto, los autónomos y pymes que utilicen inteligencia artificial deben cumplir con los principios de transparencia, legalidad, seguridad y garantía de derechos, al igual que con cualquier otro tratamiento de datos personales.
