En 2026 la AEPD sancionó a un banco con 890.000 euros por su sistema de scoring crediticio con inteligencia artificial. No porque el sistema tomara decisiones equivocadas. Sino porque las tomaba sin que los afectados supieran que había un algoritmo de por medio, sin que pudieran impugnar el resultado, y sin que el banco hubiera hecho la evaluación de impacto que exige el RGPD antes de desplegarlo.
Es el caso más reciente de una serie que no va a parar. Y que no afecta solo a bancos.
Qué es una decisión automatizada según el RGPD
El artículo 22 del RGPD regula las decisiones que se toman de forma exclusivamente automatizada y que producen efectos jurídicos o afectan significativamente a las personas. No hace falta que sea una IA sofisticada. Un sistema que decide automáticamente si un cliente recibe o no una oferta, si se le aprueba un servicio, si se le incluye en una lista de riesgo o si se le aplica una condición diferente a otros, está tomando una decisión automatizada en el sentido del RGPD.
Eso tiene tres implicaciones directas. Primera: tienes que informar al afectado de que existe ese sistema y de la lógica que aplica, en términos comprensibles. Segunda: el afectado tiene derecho a solicitar intervención humana, a expresar su punto de vista y a impugnar la decisión. Tercera: si el sistema trata datos de categorías especiales o produce efectos jurídicos importantes, necesitas una evaluación de impacto antes de ponerlo en marcha.
Dónde aparece esto en empresas que no son bancos
En selección de personal. Cualquier herramienta que filtra CVs automáticamente, puntúa candidatos o decide a quién se llama a entrevista está tomando decisiones automatizadas sobre personas. La AEPD ya sancionó a una empresa de selección con 320.000 euros exactamente por eso: por usar un sistema de cribado con sesgo no detectado y sin informar a los candidatos.
En seguros. Una aseguradora fue sancionada con 540.000 euros por discriminación algorítmica: su sistema de scoring aplicaba condiciones diferentes a clientes con perfiles similares de formas que no podía justificar.
En comercio electrónico. Si tienes un sistema que segmenta clientes para mostrarles precios diferentes, que decide qué ofertas ve cada usuario o que aplica condiciones distintas según un perfil calculado automáticamente, estás en el mismo territorio.
Qué diferencia el cumplimiento del incumplimiento en la práctica
La diferencia no suele estar en si el sistema existe o no. Está en si está documentado. Una empresa que puede mostrar la evaluación de impacto que hizo antes de desplegar el sistema, que tiene la cláusula informativa correcta en sus contratos o política de privacidad, y que tiene un procedimiento para que los afectados puedan impugnar una decisión, está en una posición radicalmente diferente ante una inspección o una denuncia.
Si usas algún tipo de sistema de puntuación, clasificación o decisión automatizada sobre clientes, empleados o cualquier otra persona, lo primero es documentarlo. En la auditoría de protección de datos que hacemos en Adapta RGPD revisamos exactamente eso: si los sistemas que tienes están correctamente informados, si la base legal es la adecuada y si tienes la evaluación de impacto donde es necesaria. Es el tipo de revisión que conviene hacer antes de que la haga la AEPD por ti.
