La inteligencia artificial (IA) ya está instalada en nuestro día a día, y es necesario tener en cuenta sus implicaciones legales.
El Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial (RIA), ha dejado de ser una norma “de futuro” para convertirse en una cuestión que las empresas ya no pueden seguir posponiendo. Entró en vigor el 1 de agosto de 2024 con un calendario escalonado: desde el 2 de febrero de 2025 ya resultan aplicables las prohibiciones relativas a determinados usos de IA y la obligación de promover una formación adecuada del personal que utilice estas herramientas (para más información, puede consultarse la nota del Parlamento Europeo aquí.
Ese calendario se ha ajustado recientemente con el Reglamento (UE) 2026/1744, conocido como Ómnibus Digital sobre IA, en vigor desde el 27 de julio de 2026: una norma de simplificación que da más margen a las empresas, ya que aplaza buena parte de las obligaciones de los sistemas de alto riesgo y flexibiliza otras, como la formación del personal.
El RIA, al igual que ocurrió en su momento con el RGPD y la LOPDGDD, no afecta solo a grandes compañías o a empresas tecnológicas. También alcanza a organizaciones que, sin desarrollar sistemas propios, ya utilizan herramientas de inteligencia artificial en su actividad diaria.
Y ahí reside hoy uno de los principales retos para muchas empresas, especialmente pymes: la herramienta ya ha entrado en la operativa interna, pero su uso todavía no se ha regulado desde un punto de vista jurídico.
¿Qué regula el RIA y qué sigue regulando el RGPD?
El RIA regula los sistemas de inteligencia artificial en función de su nivel de riesgo, imponiendo distintas obligaciones según el tipo de sistema, su finalidad y el impacto que pueda tener sobre las personas. Y, cuando ese uso implique un tratamiento de datos personales (algo mucho más frecuente de lo que muchas empresas creen), resultará también de aplicación el RGPD. Así lo confirma el propio Ómnibus, que permite a los proveedores de sistemas de alto riesgo tratar excepcionalmente categorías especiales de datos para detectar y corregir sesgos, pero siempre con garantías adicionales a las que ya exige el RGPD.
En este sentido, no basta con revisar la herramienta desde la óptica del RIA ni con limitarse a actualizar la política de privacidad. Si la empresa utiliza sistemas de IA que tratan datos personales, ambas revisiones deben hacerse de forma conjunta. En determinados supuestos, especialmente cuando concurran tratamientos de datos de alto riesgo, decisiones automatizadas o usos intensivos de datos, también puede ser necesario valorar si procede una evaluación de impacto en protección de datos.
En línea con lo anterior, la propia AEPD ha señalado que los sistemas de inteligencia artificial no están automáticamente sujetos al RGPD, pero sí lo estarán en la medida en que impliquen tratamiento de datos personales, elaboración de perfiles o toma de decisiones sobre personas físicas, lo que en la práctica resulta frecuente (véase la guía de la AEPD sobre adaptación al RGPD de productos basados en IA).
¿Qué debería revisar ya una empresa?
Aunque lo recomendable es partir de un análisis de riesgos, para muchas empresas el punto de partida realista pasa por revisar tres cuestiones muy concretas:
- Qué herramientas de IA se están utilizando realmente dentro de la organización, en qué áreas y para qué fines.
- Qué tipo de información se está introduciendo en esas herramientas, especialmente si incluye datos de carácter personal.
- Qué proveedor hay detrás, en qué condiciones presta el servicio y qué hace realmente con la información que recibe, incluyendo el rol que asume en materia de protección de datos y las condiciones en las que trata dicha información.
Si la empresa cuenta con cierta estructura de control interno, este análisis puede apoyarse en marcos ya conocidos de seguridad de la información y gestión de riesgos, como ISO 27001 o ISO 31000, sin necesidad de construir todo desde cero.
Conclusión: claves de cumplimiento tras la entrada en vigor del RIA
Muchas empresas ya utilizan herramientas de inteligencia artificial en su actividad diaria. Por ello, resulta imprescindible revisar cómo se están utilizando y establecer unas reglas internas adecuadas en materia de control, privacidad y cumplimiento.
Cuando, además, el uso de estas herramientas implica el tratamiento de datos personales, esta revisión debe abordarse no sólo desde una perspectiva tecnológica o de eficiencia, sino también teniendo en cuenta las exigencias del RGPD y los mecanismos de control interno de la organización.
Desde el 2 de agosto de 2026 resultan aplicables las obligaciones de transparencia del RIA, mientras que las relativas a los sistemas de alto riesgo se han aplazado hasta el 2 de diciembre de 2027 y el 2 de agosto de 2028, según el tipo de sistema. Este calendario ofrece a las empresas un margen razonable para revisar sus procesos, identificar los usos de IA existentes y adaptar progresivamente sus procedimientos internos.
En Busquets Law & Finance acompañamos a las empresas en este proceso desde una perspectiva jurídica integral, conectando protección de datos, cumplimiento normativo, contratación tecnológica y gestión del riesgo.