La intel·ligència artificial (IA) ja forma part del nostre dia a dia, i cal tenir en compte les seves implicacions legals.
El Reglament (UE) 2024/1689, conegut com a Reglament d’Intel·ligència Artificial (RIA), deixa de ser una norma “de futur” per convertir-se en una qüestió que les empreses ja no poden posposar més. Va entrar en vigor l’1 de agosto de 2024 amb un calendari escalonat: a partir del 2 de febrero de 2025 ja són aplicables les prohibicions relatives a determinats usos de la IA i l’obligació de promoure una formació adequada del personal que utilitzi aquestes eines (per a més informació, es pot consultar la nota del Parlament Europeu). aquí.
Aquest calendari s'ha ajustat recentment amb el Reglament (UE) 2026/1744, conegut com a Ómnibus Digital sobre IA, en vigor des del 27 de juliol de 2026: una norma de simplificació que dona més marge a les empreses, ja que aplaça bona part de les obligacions dels sistemes d'alt risc i flexibilitza altres, com ara la formació del personal.
El RIA, igual que va passar amb el RGPD i la LOPDGDD, no afecta només a grans empreses o empreses tecnològiques. També afecta a organitzacions que, sense desenvolupar sistemes propis, ja utilitzen eines d'intel·ligència artificial en la seva activitat diària.
I aquí rau actualment un dels principals reptes per a moltes empreses, especialment les pimes: aquestes eines ja s'han incorporat a l'operativa interna, però el seu ús encara no s'ha regulat des d'un punt de vista jurídic.
Què regula el RIA i què continua regulant el RGPD?
El RIA regula els sistemes d'intel·ligència artificial en funció del seu nivell de risc, i estableix diferents obligacions segons el tipus de sistema, la seva finalitat i l'impacte que pugui tenir sobre les persones. Quan aquest ús impliqui un tractament de dades personals —una situació molt més freqüent del que moltes empreses poden pensar—, també serà aplicable el RGPD. Així ho confirma el mateix Òmnibus, que permet als proveïdors de sistemes d'alt risc tractar excepcionalment categories especials de dades per detectar i corregir biaixos, però sempre amb garanties addicionals a les que ja exigeix el RGPD.
En aquest sentit, no n'hi ha prou amb revisar l'eina des de la perspectiva del RIA ni amb limitar-se a actualitzar la política de privacitat. Si l'empresa utilitza sistemes d'IA que tracten dades personals, ambdues revisions s'han de dur a terme de manera conjunta. En determinats supòsits, especialment quan concorrin tractaments de dades d'alt risc, decisions automatitzades o usos intensius de dades, també pot ser necessari valorar si escau dur a terme una avaluació d'impacte relativa a la protecció de dades.
En consonància amb això, la pròpia AEPD ha assenyalat que els sistemes d'intel·ligència artificial no estan automàticament subjectes al RGPD, però sí ho seran en la mesura que impliquin el tractament de dades personals, l'elaboració de perfils o la presa de decisions sobre persones físiques, el que en la pràctica resulta freqüent (vegeu la Guia de l'AEPD Sobre l'adaptació al RGPD de productes basats en IA).
Què hauria de revisar ja una empresa?
Tot i que és recomanable partir d'una anàlisi de riscos, per a moltes empreses el punt de partida més realista consisteix a revisar tres qüestions molt concretes:
- Eines d'IA utilitzades: Quines eines d'IA s'estan utilitzant realment dins de l'organització, en quines àrees i amb quines finalitats.
- Informació tractada: Quin tipus d'informació s'introdueix en aquestes eines, especialment si inclou dades de caràcter personal.
- Proveïdors i condicions contractuals: Quin proveïdor hi ha al darrere, en quines condicions presta el servei i què fa realment amb la informació que rep, incloent-hi el rol que assumeix en matèria de protecció de dades i les condicions en què tracta aquesta informació.
Si l'empresa disposa d'una certa estructura de control intern, aquesta anàlisi es pot fonamentar en marcs ja coneguts de seguretat de la informació i gestió de riscos, com ara ISO 27001 o ISO 31000, sense necessitat de començar de zero.
Conclusió: claus per al compliment normatiu després de l'entrada en vigor del RIA
Moltes empreses ja utilitzen eines d'intel·ligència artificial en la seva activitat diària. Per això, resulta imprescindible revisar com s'estan utilitzant i establir unes normes internes adequades en matèria de control, privacitat i compliment normatiu.
Quan, a més, l'ús d'aquestes eines implica el tractament de dades personals, aquesta revisió s'ha d'abordar no només des d'una perspectiva tecnològica o d'eficiència, sinó també tenint en compte les exigències del RGPD i els mecanismes de control intern de l'organització.
Des del 2 d'agost de 2026 són aplicables les obligacions de transparència del RIA, mentre que les relatives als sistemes d'alt risc s'han ajornat fins al 2 de desembre de 2027 i el 2 d'agost de 2028, segons el tipus de sistema. Aquest calendari ofereix a les empreses un marge raonable per revisar els seus processos, identificar els usos d'IA existents i adaptar progressivament els seus procediments interns.
A Busquets Law & Finance acompanyem les empreses en aquest procés des d'una perspectiva jurídica integral, connectant la protecció de dades, el compliment normatiu, la contractació tecnològica i la gestió del risc.