AI ACT archivos - Adaptación RGPD

Cómo cumplir la Ley de Inteligencia Artificial en tu empresa: guía práctica 2026

Antonio De Haro - DPD y Gestor RGPD — Mon, 02 Nov 2026 10:39:43 +0000

Desde el 2 de agosto de 2026, el Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act) es plenamente aplicable en España. Si tu empresa usa, desarrolla o distribuye sistemas de IA, ya tienes obligaciones legales. Esta guía recoge los pasos concretos para cumplir, con los plazos actualizados tras el Reglamento (UE) 2026/1744.

Qué ha cambiado con el Reglamento 2026/1744

El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, aplaza las obligaciones de alto riesgo del Anexo III al 2 de diciembre de 2027. Los sistemas integrados en productos con marcado CE tienen plazo hasta el 2 de agosto de 2028. Las obligaciones del artículo 4 (alfabetización) y del artículo 50 (transparencia) no se han aplazado.

Paso 1: Identifica qué IA usa tu empresa

Haz un inventario de todos los sistemas de IA que tu empresa utiliza, desarrolla o distribuye. Incluye herramientas como ChatGPT, Microsoft Copilot, sistemas de selección de personal, chatbots de atención al cliente, herramientas de análisis predictivo y cualquier software que tome decisiones automatizadas.

Para cada sistema, anota el proveedor, la versión, el uso que se le da y quién tiene acceso. Este inventario es el punto de partida de todo el cumplimiento.

Paso 2: Clasifica el riesgo de cada sistema

El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo:

Riesgo inaceptable: sistemas prohibidos. Incluye la manipulación subliminal, la puntuación social ciudadana y determinados usos de reconocimiento biométrico en tiempo real
Alto riesgo: sistemas que afectan a derechos fundamentales o a sectores críticos. El Anexo III lista los usos: selección de personal, crédito, educación, infraestructuras críticas, aplicación de la ley, entre otros
Riesgo limitado: sistemas con obligaciones de transparencia específicas, como chatbots o generadores de contenido sintético
Riesgo mínimo: la mayoría de las herramientas de IA de uso general. No tienen obligaciones específicas del AI Act, aunque el artículo 4 aplica en todos los casos

Clasifica cada sistema de tu inventario en uno de estos niveles. La clasificación determina qué obligaciones tienes.

Paso 3: Forma a tu equipo (artículo 4, ya exigible)

El artículo 4 del AI Act obliga a las empresas a garantizar que las personas que trabajan con sistemas de IA tengan un nivel suficiente de alfabetización en inteligencia artificial. Esta obligación aplica desde febrero de 2025 y no está aplazada.

La formación tiene que ser adecuada al rol de cada persona. No es lo mismo la formación para quien toma decisiones sobre qué sistemas adquirir que para quien los usa en su trabajo diario. Documenta qué formación has proporcionado, a quién y cuándo.

Paso 4: Cumple con la transparencia (artículo 50, ya exigible)

El artículo 50 obliga a informar cuando las personas interactúan con sistemas de IA o cuando el contenido que reciben ha sido generado por IA. Las obligaciones concretas dependen del tipo de sistema:

Los chatbots tienen que identificarse como sistemas automatizados al inicio de la interacción
El contenido generado por IA que pueda confundirse con contenido real (deepfakes, audio sintético, texto) tiene que estar marcado
Los sistemas de reconocimiento de emociones y los sistemas de categorización biométrica tienen que informar a las personas afectadas

Si usas IA generativa para crear contenido que publicas o distribuyes, revisa si necesitas añadir avisos de transparencia.

Paso 5: Cumple con las obligaciones de alto riesgo (plazo: diciembre 2027)

Si alguno de tus sistemas es de alto riesgo según el Anexo III, tienes hasta el 2 de diciembre de 2027 para cumplir con las obligaciones completas. Pero empezar antes es una ventaja: los requisitos son exigentes y la preparación lleva tiempo.

Las obligaciones como desplegador de un sistema de alto riesgo incluyen:

Verificar que el proveedor ha cumplido con sus obligaciones (documentación técnica, declaración de conformidad, registro)
Implementar los mecanismos de supervisión humana que el proveedor ha especificado
Designar a las personas responsables de supervisar el sistema con formación adecuada
Mantener registros de uso durante al menos seis meses
En determinados casos (uso en el sector público o sistemas que afectan a grupos vulnerables), realizar una evaluación de impacto en derechos fundamentales (FRIA)

Paso 6: Documenta todo

El AI Act funciona sobre la base de la documentación: tienes que poder demostrar que cumples, no solo decir que cumples. Esto incluye el inventario de sistemas, la clasificación de riesgo con el razonamiento que la sustenta, los registros de formación, los contratos con proveedores que incluyan las cláusulas necesarias, y los registros de uso para los sistemas de alto riesgo.

La documentación tiene que estar actualizada. Si cambias de sistema, añades nuevas herramientas o cambias el uso de las existentes, actualiza el inventario y la clasificación.

Resumen de plazos

Febrero 2025: Artículo 4 (alfabetización en IA) — ya exigible
2 de agosto de 2026: Artículo 50 (transparencia) — ya exigible
2 de diciembre de 2027: Obligaciones de alto riesgo del Anexo III
2 de agosto de 2028: Obligaciones de alto riesgo para IA integrada en productos con marcado CE

¿Necesitas ayuda para cumplir con el AI Act? En Adapta RGPD gestionamos el cumplimiento desde la clasificación hasta la documentación técnica, con las 193 medidas AESIA y seguimiento continuo. Consulta nuestra consultoría de AI Act o empieza con el test gratuito.

La entrada Cómo cumplir la Ley de Inteligencia Artificial en tu empresa: guía práctica 2026 se publicó primero en Adaptación RGPD.

Sandbox regulatorio del AI Act en España: qué es, quién puede acceder y cómo participar en la AESIA

Antonio De Haro - DPD y Gestor RGPD — Fri, 30 Oct 2026 10:00:00 +0000

El AI Act incluye una figura que apenas aparece en los debates sobre cumplimiento pero que tiene un impacto directo sobre cómo las empresas innovadoras pueden desarrollar IA en Europa: el sandbox regulatorio. Para startups y pymes que trabajan con tecnología de IA, es probablemente la oportunidad más concreta que el Reglamento ofrece.

Qué es un sandbox regulatorio

Un sandbox regulatorio es un entorno controlado en el que las empresas pueden desarrollar, probar y validar sistemas de IA durante un periodo limitado de tiempo, con acceso a orientación directa de la autoridad competente y con ciertas flexibilidades en la aplicación de la normativa.

No es una zona libre de regulación. Es un espacio de aprendizaje supervisado donde las empresas trabajan de la mano de la autoridad para entender cómo cumplir, mientras la autoridad aprende sobre la tecnología para regular mejor. Ambas partes salen del proceso con más información.

Qué dice el AI Act sobre los sandboxes

El artículo 57 del AI Act obliga a los Estados miembros a establecer al menos un sandbox regulatorio de IA antes del 2 de agosto de 2026. España lo desarrolla a través de la AESIA.

El Reglamento establece que los sandboxes deben dar acceso prioritario a startups y pymes; incluir la posibilidad de tratar datos personales con garantías específicas para el entorno de prueba; proporcionar orientación sobre cumplimiento y sobre la aplicación del Reglamento al sistema en desarrollo; y no requerir el cumplimiento pleno de todas las obligaciones del AI Act durante el periodo de prueba.

El sandbox español y la AESIA

La AESIA gestiona el sandbox regulatorio de IA en España. El organismo está en proceso de consolidación y desarrollo de los instrumentos operativos del sandbox. Las empresas interesadas en participar deben consultar directamente el portal de la AESIA para conocer los requisitos actualizados, los plazos de convocatoria y el proceso de solicitud.

España tiene precedente en este tipo de instrumentos: el sandbox financiero de la CNMV, regulado por la Ley 7/2020, lleva años funcionando y ha servido de modelo para el diseño del sandbox de IA.

Quién puede participar

El AI Act no restringe el sandbox a un sector o tecnología concretos. Cualquier empresa que esté desarrollando un sistema de IA puede solicitar participar, aunque la prioridad es para startups y pymes.

Los criterios de selección habituales en sandboxes de IA en otros países incluyen: innovación genuina del sistema, potencial de impacto significativo sobre personas, necesidad de orientación regulatoria para el desarrollo, y capacidad de la empresa de documentar y registrar el proceso.

Qué se puede hacer dentro del sandbox

Dentro del sandbox, las empresas pueden tratar datos personales reales de acuerdo con un protocolo aprobado por la autoridad; recibir orientación directa sobre si su sistema entra en categoría de alto riesgo; probar mecanismos de supervisión humana y documentación técnica con retroalimentación directa de la AESIA; y operar con flexibilidad regulatoria durante el periodo de prueba, sin el peso de cumplimiento pleno que aplica fuera del sandbox.

El periodo de participación es limitado en el tiempo, habitualmente entre seis meses y un año, con posibilidad de prórroga en casos justificados.

Por qué importa más de lo que parece

El sandbox no es solo una ayuda para la empresa participante: es también un mecanismo de aprendizaje para el regulador. La AESIA todavía está construyendo su conocimiento práctico sobre estos sistemas. Cada sandbox activo es una fuente de información real sobre cómo funciona la IA en contextos de negocio concretos.

Las empresas que participan en sandboxes tienen además un canal directo con la AESIA que puede ser valioso más allá del periodo de prueba, cuando llegue el momento de notificar el sistema o de someterse a vigilancia de mercado.

¿Estás desarrollando un sistema de IA y te interesa el sandbox regulatorio? En Adapta RGPD te orientamos sobre los requisitos y el proceso, y gestionamos tu cumplimiento del AI Act desde el inicio del desarrollo, desde 199€/año.

La entrada Sandbox regulatorio del AI Act en España: qué es, quién puede acceder y cómo participar en la AESIA se publicó primero en Adaptación RGPD.

IA en selección de personal: por qué el AI Act obliga a empresas y proveedores de ATS a cumplir como sistemas de alto riesgo

Antonio De Haro - DPD y Gestor RGPD — Thu, 29 Oct 2026 10:00:00 +0000

Los sistemas de IA que se usan para contratar, evaluar o gestionar personas en el ámbito laboral ocupan un lugar central en el AI Act. El Reglamento los clasifica como de alto riesgo en el punto 4 del Anexo III, una decisión deliberada que responde a los riesgos documentados de discriminación, sesgo y falta de transparencia que estos sistemas generan.

Qué sistemas de RRHH considera de alto riesgo el AI Act

El Anexo III, punto 4, incluye cuatro categorías concretas:

Sistemas de selección y filtrado de candidatos: cualquier herramienta que utilice IA para procesar currículos, hacer ranking de candidatos, preseleccionar o puntuar en un proceso de selección
Toma de decisiones sobre contratación, ascenso o rescisión: sistemas que asistan o automaticen decisiones sobre inicio, continuación o fin de una relación laboral
Asignación de tareas y monitorización del rendimiento: herramientas que usen IA para distribuir trabajo o evaluar el desempeño de forma automatizada
Acceso a recursos de formación y desarrollo profesional: sistemas que decidan o condicionen el acceso de empleados a oportunidades de aprendizaje

La definición es amplia. Cubre prácticamente todos los ATS (Applicant Tracking Systems) que usan componentes de IA para algo más que gestionar el flujo documental.

Obligaciones para proveedores de ATS

Las empresas que desarrollan y comercializan sistemas de selección de personal con IA son proveedoras de alto riesgo. Sus obligaciones son completas: documentación técnica conforme al Anexo IV, evaluación de conformidad, registro en la base de datos europea, y sistema de gestión de calidad.

Deben además facilitar a sus clientes (los desplegadores) toda la información necesaria para que estos puedan cumplir con sus propias obligaciones. Eso incluye la documentación sobre el funcionamiento del sistema, sus limitaciones conocidas, los mecanismos de supervisión humana previstos, y los registros de rendimiento y pruebas.

Obligaciones para las empresas que usan el sistema

Los desplegadores —las empresas que usan el sistema para sus propios procesos— tienen obligaciones más limitadas pero no triviales:

Verificar que el proveedor ha cumplido con sus obligaciones antes de poner en servicio el sistema
Designar personas supervisoras con comprensión suficiente del sistema y autoridad para anular sus decisiones
Implementar los mecanismos de supervisión humana que el proveedor ha especificado
Mantener registros de uso del sistema durante un mínimo de seis meses
Informar a los candidatos o empleados afectados de que están siendo evaluados por un sistema de IA

El RGPD también aplica

La mayoría de los sistemas de selección de personal tratan datos personales, lo que activa también las obligaciones del RGPD. Cuando el tratamiento incluye decisiones automatizadas que producen efectos significativos sobre las personas, el artículo 22 del RGPD exige que el interesado pueda solicitar intervención humana, expresar su punto de vista e impugnar la decisión.

Un sistema de preselección de currículos totalmente automatizado necesita un mecanismo para que el candidato rechazado pueda solicitar revisión humana de su solicitud. No basta con señalar que existe una etapa humana posterior en el proceso si esa etapa no tiene acceso real a la decisión del sistema.

Los riesgos de sesgo y la exigencia de mitigación

Uno de los motivos por los que los sistemas de RRHH recibieron la clasificación de alto riesgo es la evidencia acumulada sobre sesgos. Sistemas entrenados sobre datos históricos de contratación reproducen con frecuencia los patrones de la plantilla existente. Si la empresa ha contratado históricamente más hombres para puestos directivos, el sistema tiende a puntuar mejor los perfiles masculinos para esos puestos.

El AI Act no resuelve el problema, pero exige que los proveedores lo documenten, lo evalúen y lo mitiguen activamente. Los desplegadores, por su parte, deben solicitar esa información al proveedor antes de desplegar el sistema y verificar que las medidas de mitigación son adecuadas para su contexto específico.

¿Tu empresa usa herramientas de IA en selección de personal? En Adapta RGPD revisamos tu cumplimiento con el AI Act y el RGPD dentro de nuestra consultoría de adaptación al AI Act, con clasificación de riesgo y las 193 medidas AESIA desde 199€/año.

La entrada IA en selección de personal: por qué el AI Act obliga a empresas y proveedores de ATS a cumplir como sistemas de alto riesgo se publicó primero en Adaptación RGPD.

Normas técnicas del AI Act: CEN-CENELEC, ISO 42001 y cómo funcionan para el cumplimiento real

Antonio De Haro - DPD y Gestor RGPD — Wed, 28 Oct 2026 10:00:00 +0000

El AI Act es tecnológicamente neutro: no prescribe cómo debe funcionar un sistema de IA, solo qué requisitos debe cumplir. Para trasladar esos requisitos a especificaciones técnicas concretas, el Reglamento se apoya en las normas técnicas armonizadas. Son el puente entre la ley y la ingeniería.

Qué son las normas técnicas armonizadas

Las normas técnicas armonizadas son documentos elaborados por organismos europeos de normalización —principalmente CEN y CENELEC— a petición de la Comisión Europea. Cuando se publica en el Diario Oficial de la UE la referencia de una norma armonizada, los proveedores que la apliquen se benefician de una presunción de conformidad con los requisitos del Reglamento que esa norma cubre.

No es obligatorio usarlas. Pero si no se usan, el proveedor tiene que demostrar por sus propios medios que cumple con cada requisito del AI Act. Las normas simplifican esa demostración de forma considerable.

El estado actual: JTC 21 y los mandatos de normalización

La Comisión Europea encargó al Comité Técnico Conjunto JTC 21 —formado por CEN y CENELEC— el desarrollo de las normas armonizadas para el AI Act. Ese trabajo comenzó en 2024 y continúa actualmente.

A fecha de octubre de 2026, la mayoría de las normas armonizadas específicas para el AI Act todavía están en desarrollo. La ausencia de normas publicadas no exime a los proveedores de cumplir: las obligaciones son exigibles desde agosto de 2026 con independencia de que las normas armonizadas estén o no disponibles.

El papel de ISO 42001

La norma ISO/IEC 42001:2023 es un estándar internacional para sistemas de gestión de la inteligencia artificial. No es una norma armonizada del AI Act —es voluntaria—, pero tiene un contenido sustancialmente compatible con los requisitos de gestión de calidad del artículo 17 del Reglamento.

Empresas que ya tienen implementado ISO 42001 pueden aprovechar esa base para cumplir con las obligaciones de documentación y gestión del AI Act. No hay equivalencia automática, pero sí una superposición significativa que reduce el esfuerzo adicional necesario.

Qué hacer cuando no hay norma armonizada

Cuando no existe norma armonizada para un requisito específico, el proveedor puede recurrir a:

Estándares internacionales ISO relevantes: ISO 42001 para gestión de IA, ISO 31000 para gestión de riesgos, ISO 27001 para seguridad de la información
Especificaciones técnicas CEN/CENELEC que no han alcanzado el rango de norma armonizada
Documentación propia que demuestre cumplimiento de los requisitos del Anexo IV
Estándares de organismos sectoriales reconocidos en el sector de actividad

En todos esos casos, la carga de la prueba recae sobre el proveedor. No significa que sea imposible: muchas empresas demuestran cumplimiento a través de su propio proceso de desarrollo y sus registros de pruebas.

Cuándo llegarán las normas armonizadas

El JTC 21 trabaja con un mandato que incluye más de treinta áreas temáticas distintas. No se espera que todas las normas estén disponibles antes de finales de 2027 o 2028. En el ínterin, los proveedores tienen que operar con cierta incertidumbre técnica, documentando con el máximo rigor posible cómo cumplen con cada requisito del Reglamento.

¿Necesitas apoyo para acreditar el cumplimiento del AI Act sin normas armonizadas disponibles? En Adapta RGPD construimos el expediente técnico dentro de nuestra consultoría de cumplimiento del AI Act, con las 193 medidas AESIA y seguimiento continuo desde 199€/año.

La entrada Normas técnicas del AI Act: CEN-CENELEC, ISO 42001 y cómo funcionan para el cumplimiento real se publicó primero en Adaptación RGPD.

AI Act y pymes: qué obliga de verdad la ley a las pequeñas empresas y startups que usan IA

Antonio De Haro - DPD y Gestor RGPD — Tue, 27 Oct 2026 10:00:00 +0000

La palabra “pyme” aparece varias veces en el AI Act, pero no como sinónimo de “exenta”. El Reglamento reconoce las limitaciones de las pequeñas empresas y prevé ciertas adaptaciones, pero no crea una categoría especial libre de obligaciones. Lo que hace es ajustar algunas cargas específicas: reducir tasas, permitir formatos simplificados, y dar acceso prioritario al sandbox regulatorio.

El punto de partida: qué hace la empresa con la IA

Las obligaciones del AI Act no dependen del tamaño de la empresa: dependen de qué hace y qué papel ocupa en la cadena de valor de la IA.

Una pyme que compra y usa un chatbot de atención al cliente que ya está en el mercado es un desplegador. Sus obligaciones son menores: aplicar el sistema según las instrucciones del proveedor, implementar supervisión humana donde corresponda, y no usarlo en contextos distintos al previsto.

Una startup que desarrolla un sistema de IA para evaluar solicitudes de crédito o para filtrar candidatos es un proveedor de alto riesgo. Sus obligaciones son las mismas que las de una gran empresa: documentación técnica, evaluación de conformidad, registro en la base de datos europea, seguimiento postmercado.

Las medidas específicas para pymes en el AI Act

El artículo 62 del AI Act establece medidas de apoyo para pequeñas y medianas empresas:

Acceso prioritario al sandbox regulatorio. Los sandboxes nacionales de IA deben dar prioridad de acceso a startups y pymes. El objetivo es que puedan probar sus sistemas en un entorno controlado con orientación regulatoria directa antes del lanzamiento al mercado.

Tasas reducidas ante organismos notificados. Las tasas aplicadas por los organismos notificados para realizar evaluaciones de conformidad deben ser proporcionales al tamaño y volumen de negocio de la empresa. El Reglamento no fija una reducción concreta, pero obliga a los organismos a tener en cuenta estas circunstancias.

Materiales de información adaptados. La Comisión Europea y las autoridades nacionales deben publicar guías, plantillas y formatos adaptados para facilitar el cumplimiento de las obligaciones documentales a empresas sin equipos legales dedicados.

El error más común entre las pymes

El riesgo más frecuente no es ignorar el AI Act: es asumir que no aplica por ser pequeñas. El tamaño de la empresa no determina si el sistema es de alto riesgo. Lo que determina la clasificación es el uso del sistema y el ámbito en que opera.

Una startup de tres personas que vende una herramienta de scoring crediticio, aunque use un modelo base de un tercero y tenga pocos clientes, está desarrollando un sistema de IA de alto riesgo bajo el Anexo III. Sus obligaciones son completas. El número de empleados o la facturación no cambian esa realidad.

Cómo empezar si eres una pyme

El primer paso es siempre el mismo: clasificar los sistemas de IA que la empresa desarrolla o usa según la taxonomía del AI Act. Esa clasificación determina qué obligaciones aplican.

Para los sistemas que resulten de bajo riesgo o uso general, el análisis puede ser breve. Para los de alto riesgo, conviene empezar con la documentación técnica y la evaluación de conformidad cuanto antes. El tiempo que lleva no es proporcional al tamaño de la empresa: es proporcional a la complejidad del sistema.

Existen ya consultoras y despachos especializados en adaptar el proceso de cumplimiento a los recursos de una pyme. La solución no es esperar a tener más recursos: es escalar el enfoque al tamaño actual.

¿Eres una pyme o startup y no sabes por dónde empezar con el AI Act? En Adapta RGPD hacemos la clasificación de tus sistemas y gestionamos todo el proceso desde nuestra consultoría de adaptación al AI Act, desde 199€/año.

La entrada AI Act y pymes: qué obliga de verdad la ley a las pequeñas empresas y startups que usan IA se publicó primero en Adaptación RGPD.

Gobierno interno de la IA: sistemas de gestión de calidad y supervisión humana que exige el AI Act

Antonio De Haro - DPD y Gestor RGPD — Mon, 26 Oct 2026 10:00:00 +0000

Una de las exigencias transversales del AI Act que más impacto tiene en la organización interna de las empresas es la obligación de implementar un sistema de gestión de calidad. El artículo 17 del Reglamento lo establece como requisito para todos los proveedores de sistemas de IA de alto riesgo. No es un principio de buenas prácticas: es una obligación legal con contenido concreto.

Qué es el sistema de gestión de calidad del AI Act

El sistema de gestión de calidad (QMS, por sus siglas en inglés) es el conjunto de políticas, procesos y procedimientos que un proveedor debe mantener para garantizar que sus sistemas de IA cumplen con los requisitos del Reglamento durante todo su ciclo de vida: diseño, desarrollo, validación, comercialización y seguimiento posterior.

El artículo 17 describe los elementos que debe incluir:

Estrategia de cumplimiento normativo, incluyendo conformidad con el AI Act y la legislación aplicable
Procedimientos de diseño y control del sistema, con especificaciones sobre cómo se desarrollan, prueban y validan
Gestión de datos de entrenamiento, con controles sobre calidad, origen y gobernanza de los conjuntos de datos
Gestión de cambios y actualizaciones del sistema
Procedimientos de seguimiento postmercado, con indicadores y mecanismos de recogida de incidencias
Gestión de reclamaciones e incidentes graves, incluyendo el proceso para notificar a las autoridades
Procedimientos de comunicación con organismos notificados, cuando proceda

La supervisión humana como obligación operativa

El artículo 14 del AI Act regula la supervisión humana de los sistemas de IA de alto riesgo. No basta con que exista un humano en algún punto del proceso: el sistema debe diseñarse de forma que esa supervisión sea efectiva.

El Reglamento establece que los proveedores deben incorporar medidas que permitan a los desplegadores supervisar el sistema de forma continua, detectar anomalías o comportamientos inesperados, e intervenir o detener el sistema si es necesario. Para el desplegador, la obligación es designar personas que comprendan la tarea del sistema, estén en condiciones de interpretar sus salidas y tengan autoridad para anular las decisiones automatizadas cuando proceda.

El papel del responsable de IA en la empresa

El AI Act no crea formalmente una figura equivalente al DPO del RGPD para la inteligencia artificial. Pero la práctica regulatoria y las directrices de los organismos de supervisión apuntan a la necesidad de designar un responsable interno de cumplimiento de IA que centralice las funciones de gestión, auditoría y comunicación con la autoridad competente.

En empresas que ya tienen un DPO, tiene sentido que esta persona o su equipo asuma también la coordinación de las obligaciones del AI Act, dado el elevado grado de superposición entre ambos marcos. Las funciones no son idénticas —la DPIA y la FRIA son evaluaciones distintas, como explicamos en otra entrega—, pero la estructura de gobernanza puede ser compartida.

El registro de sistemas de IA de alto riesgo

El AI Act establece una base de datos europea (EU AI Act Database) en la que los proveedores y desplegadores deben registrar sus sistemas de alto riesgo. El registro incluye información básica sobre el sistema, su finalidad, su estado de conformidad y los datos de contacto del proveedor.

España, a través de la AESIA, gestionará el componente nacional de ese registro y actuará como punto de entrada para los sistemas que operen en el mercado español. La obligación de registro aplica antes del despliegue.

ISO 42001 como base de partida

La norma ISO/IEC 42001:2023 establece requisitos para sistemas de gestión de inteligencia artificial. No es una norma armonizada del AI Act —es un estándar voluntario de ISO—, pero tiene una superposición sustancial con los requisitos del artículo 17. Empresas que ya están certificadas o que han implementado ISO 42001 pueden partir de esa base para cumplir con los requisitos del Reglamento, aunque el alineamiento no es automático ni completo.

¿Tu empresa necesita implementar un sistema de gestión de calidad para IA conforme al AI Act? En Adapta RGPD diseñamos la estructura de gobernanza dentro de nuestra consultoría de cumplimiento del AI Act, con las 193 medidas AESIA y seguimiento continuo desde 199€/año.

La entrada Gobierno interno de la IA: sistemas de gestión de calidad y supervisión humana que exige el AI Act se publicó primero en Adaptación RGPD.

Documentación técnica en el AI Act: qué debe preparar un proveedor de sistemas de IA de alto riesgo

Antonio De Haro - DPD y Gestor RGPD — Sun, 25 Oct 2026 10:00:00 +0000

El Anexo IV del AI Act es uno de los textos más detallados de todo el Reglamento. Contiene la lista de lo que debe figurar en la documentación técnica de cualquier sistema de IA de alto riesgo. Para los proveedores, este documento no es optativo ni genérico: es la base sobre la que se apoya la evaluación de conformidad y la vigilancia posterior al despliegue.

Por qué existe la documentación técnica

La lógica es simple: para que una autoridad pueda supervisar un sistema de IA, necesita entender cómo funciona. La documentación técnica es el instrumento que hace posible esa supervisión. Sin ella, ni los organismos notificados, ni las autoridades de control, ni los propios desplegadores pueden evaluar de forma informada si el sistema hace lo que dice hacer y si lo hace de forma segura.

También sirve como evidencia de cumplimiento. En caso de investigación o sanción, la documentación bien preparada demuestra que el proveedor actuó con diligencia antes del despliegue.

Qué exige el Anexo IV

El Anexo IV establece que la documentación técnica debe incluir, como mínimo:

Descripción del sistema. Una explicación general de su propósito, del contexto de uso previsto, y de las tareas que realiza. Esto incluye la descripción de los usuarios a los que va dirigido y las condiciones en las que debe operar.

Proceso de diseño y desarrollo. Información sobre los datos de entrenamiento utilizados —su origen, características, medidas de filtrado aplicadas—, sobre la arquitectura del sistema y sobre los métodos de desarrollo empleados.

Rendimiento y precisión. Los resultados de las pruebas y evaluaciones realizadas, incluyendo los indicadores de rendimiento y los umbrales establecidos. Si existen limitaciones conocidas del sistema, deben documentarse explícitamente. Ocultar limitaciones conocidas es uno de los errores más graves que puede cometer un proveedor.

Gestión de riesgos. El proceso seguido para identificar, evaluar y mitigar los riesgos del sistema, con referencia al estándar de gestión de riesgos aplicado. El Reglamento no prescribe un estándar concreto, pero ISO 31000 es la referencia más habitual.

Instrucciones de uso. La información que se proporciona al desplegador para que pueda usar el sistema correctamente, incluyendo las medidas de supervisión humana que deben implementarse.

Modificaciones. El registro de los cambios significativos realizados al sistema tras su despliegue inicial.

Cuándo preparar la documentación

La documentación técnica debe estar lista antes de comercializar o poner en servicio el sistema. No es un documento que se elabore a posteriori. Muchas empresas integran la gestión documental dentro de su ciclo de desarrollo desde el inicio del proyecto, lo que evita el problema de intentar reconstruir información que ya no está disponible.

Quién la revisa

Para los sistemas de IA de alto riesgo que no están cubiertos por legislación sectorial previa, la evaluación de conformidad puede realizarla el propio proveedor mediante autoevaluación. Para otros —como los que afectan a infraestructuras críticas o a la biometría—, se requiere la intervención de un organismo notificado: una entidad acreditada para ello por la autoridad nacional correspondiente.

La documentación técnica es el insumo principal que usa el organismo notificado para emitir o denegar el certificado de conformidad.

Acceso por parte de las autoridades

Las autoridades de vigilancia del mercado pueden solicitar acceso a la documentación técnica en cualquier momento durante la vida del sistema. El proveedor está obligado a facilitarla. Por este motivo, la documentación no puede ser un documento estático elaborado una sola vez: debe mantenerse actualizada a lo largo de todo el ciclo de vida del sistema, incorporando los cambios y los resultados del seguimiento postmercado.

¿Necesitas preparar la documentación técnica de tu sistema de IA? En Adapta RGPD te guiamos en la elaboración del expediente técnico Anexo IV dentro de nuestra consultoría de adaptación al AI Act, con seguimiento continuo desde 199€/año.

La entrada Documentación técnica en el AI Act: qué debe preparar un proveedor de sistemas de IA de alto riesgo se publicó primero en Adaptación RGPD.

FRIA del AI Act: qué es la evaluación de impacto sobre derechos fundamentales y cuándo es obligatoria

Antonio De Haro - DPD y Gestor RGPD — Sat, 24 Oct 2026 10:00:00 +0000

Quienes conocen el RGPD están familiarizados con la Evaluación de Impacto relativa a la Protección de Datos (EIPD o DPIA). El AI Act introduce una figura distinta pero relacionada: la evaluación de impacto sobre los derechos fundamentales, conocida como FRIA por sus siglas en inglés (Fundamental Rights Impact Assessment). No son lo mismo. Tienen distinto alcance, distinto momento de realización y recaen sobre sujetos distintos.

Qué es la FRIA y qué la diferencia de la DPIA

La DPIA evalúa los riesgos del tratamiento de datos personales sobre los derechos de privacidad e intimidad. La FRIA evalúa el impacto potencial de un sistema de IA de alto riesgo sobre un conjunto más amplio de derechos: igualdad, no discriminación, dignidad, libertad de expresión, acceso a la justicia, y protección social, entre otros.

Dicho con más precisión: la DPIA protege datos. La FRIA protege a las personas en su relación con sistemas automatizados que toman o influyen en decisiones que les afectan.

Quién tiene que hacer la FRIA

La FRIA no es obligatoria para todos los que usan sistemas de alto riesgo. El artículo 27 del AI Act la exige específicamente a los desplegadores que sean organismos públicos, o entidades privadas que operen en nombre de autoridades públicas, o que utilicen sistemas de alto riesgo en áreas que el propio Reglamento identifica como de especial impacto sobre derechos fundamentales.

En la práctica, esto incluye: administraciones públicas que usan IA para gestionar prestaciones sociales, sistemas de puntuación crediticia, herramientas de vigilancia o reconocimiento biométrico, sistemas de selección de personal en el sector público, y aplicaciones de IA en el ámbito de la educación o la salud.

Las empresas privadas que usan sistemas de alto riesgo en contextos puramente comerciales sin mandato público pueden no estar obligadas a la FRIA. La recomendación es hacerla igualmente como parte de una gestión de riesgos responsable, ya que su ausencia puede comprometer la evaluación global del sistema.

Cuándo realizarla

La FRIA debe completarse antes del despliegue del sistema, no después. Si el sistema ya está operativo, debe realizarse lo antes posible. El resultado tiene que registrarse y estar disponible para entregarlo a la autoridad de control cuando esta lo solicite.

Al contrario que la DPIA del RGPD, la FRIA del AI Act no tiene un plazo de revisión periódica fijado en el texto. Pero el principio de supervisión continua implica actualizarla cuando el sistema cambia o cuando cambia el contexto de uso de forma significativa.

Qué debe contener

El artículo 27 establece los elementos mínimos de la evaluación:

Descripción del proceso o decisión en el que se usa el sistema de IA
Período de uso previsto y las personas o grupos afectados
Fuentes de riesgo para los derechos fundamentales identificadas
Medidas aplicadas o previstas para mitigar esos riesgos
Justificación de la necesidad y proporcionalidad del sistema respecto a sus alternativas

No existe todavía una plantilla oficial obligatoria para la FRIA. Los organismos de supervisión europeos han publicado orientaciones preliminares, y algunos Estados miembros están desarrollando modelos propios. La AESIA previsiblemente publicará una guía para el mercado español.

FRIA y DPIA: coordinación en la práctica

Cuando el sistema de IA de alto riesgo trata datos personales —que es la mayoría de los casos prácticos—, tanto la FRIA como la DPIA son obligatorias. El AI Act indica que ambas evaluaciones deben coordinarse y que pueden llevarse a cabo conjuntamente si eso resulta más eficiente.

En la práctica, muchas organizaciones están integrando la FRIA dentro del proceso de DPIA o en paralelo a él. El resultado es un documento más completo que responde a ambos marcos regulatorios con una sola auditoría del sistema.

¿Tu organización necesita realizar una FRIA? En Adapta RGPD integramos la FRIA dentro de la consultoría de cumplimiento AI Act, coordinada con tu DPIA existente, desde 199€/año.

La entrada FRIA del AI Act: qué es la evaluación de impacto sobre derechos fundamentales y cuándo es obligatoria se publicó primero en Adaptación RGPD.

ChatGPT y RGPD en España: ¿es legal usar ChatGPT en tu empresa?

Antonio De Haro - DPD y Gestor RGPD — Fri, 23 Oct 2026 16:43:10 +0000

La pregunta que muchas empresas no se hacen

ChatGPT lleva dos años instalado en el día a día de miles de empresas españolas. Se usa para redactar correos, resumir documentos, generar propuestas comerciales y responder a clientes. El problema es que muy pocas se han preguntado qué pasa con los datos que introducen en el chat.

La respuesta corta: esos datos van a servidores de OpenAI en Estados Unidos. Y eso, bajo el RGPD, no es un detalle menor.

Qué datos se transfieren realmente

Cuando un empleado escribe en ChatGPT, el texto del prompt se envía a los servidores de OpenAI para procesarse. Si ese prompt contiene nombres de clientes, datos de contratos, correos electrónicos, números de expediente o cualquier información que identifique a una persona física, estamos ante una transferencia internacional de datos personales.

Esto ocurre incluso con la versión gratuita y con ChatGPT Enterprise. La diferencia entre planes no es si los datos se transfieren, sino cómo los gestiona OpenAI después.

OpenAI tiene su sede en San Francisco. Estados Unidos no es un país con decisión de adecuación vigente desde que el Tribunal de Justicia de la UE anuló el Privacy Shield en 2020. El nuevo marco EU-US Data Privacy Framework, adoptado en 2023, recupera el flujo de datos certificados, pero tiene condiciones: el proveedor debe estar certificado y el contrato debe cumplir los requisitos del artículo 46 del RGPD.

OpenAI y el RGPD: ¿cumple o no cumple?

OpenAI está certificada bajo el EU-US Data Privacy Framework. Esto significa que la transferencia de datos a través de sus productos tiene cobertura legal, siempre que la empresa que usa ChatGPT haya firmado el Addendum de Procesamiento de Datos (DPA) con OpenAI.

Ahí está el punto débil real. La mayoría de las empresas usan ChatGPT sin haber firmado ningún acuerdo con OpenAI, sin haber identificado qué empleados lo usan ni con qué datos, y sin haberlo registrado en el Registro de Actividades de Tratamiento (RAT) como actividad de tratamiento subcontratada.

Eso no es un problema teórico. La AEPD puede pedir el RAT en cualquier inspección, y la ausencia de un encargado del tratamiento identificado para ChatGPT es una infracción del artículo 30 del RGPD.

Las tres situaciones que generan más riesgo

No todos los usos de ChatGPT en una empresa tienen el mismo nivel de exposición. Estos son los que más problemas generan:

Pegar contratos o propuestas con datos de clientes. Es el más frecuente y el más peligroso. El empleado que pega un contrato en ChatGPT para “que me lo resuma” está transfiriendo datos de la otra parte contratante sin base legal para ello y sin informar al afectado.

Usar ChatGPT para responder reclamaciones o consultas de clientes. Si la respuesta incluye datos del reclamante, el tratamiento requiere base legal, información al interesado y un encargado del tratamiento identificado. Con ChatGPT sin DPA, no hay nada de eso.

Integrar ChatGPT en procesos automáticos. Algunas empresas conectan ChatGPT a sus CRM, a su correo o a su ERP mediante APIs. Aquí el volumen de datos transferidos puede ser muy grande, y la ausencia de medidas técnicas y organizativas es especialmente grave.

Qué debe hacer tu empresa antes de usar ChatGPT

El objetivo no es prohibir el uso de IA generativa, sino regularizarlo. Estos son los pasos mínimos:

Primero, mapea el uso actual. Averigua qué empleados usan ChatGPT, con qué frecuencia y para qué tareas. Sin ese inventario no puedes evaluar el riesgo.

Segundo, firma el DPA con OpenAI. Está disponible en el panel de OpenAI y es el contrato que convierte a OpenAI en encargado del tratamiento. Sin él, la transferencia no tiene la cobertura exigida por el artículo 28 del RGPD.

Tercero, actualiza el Registro de Actividades de Tratamiento. Añade ChatGPT como herramienta de tratamiento en las actividades donde se use, con OpenAI como encargado y la transferencia internacional documentada.

Cuarto, establece una política interna de uso. Qué datos pueden introducirse en herramientas de IA generativa y cuáles no. Datos especialmente protegidos (salud, ideología, datos financieros de clientes) nunca deberían ir a ningún modelo externo sin una evaluación de impacto previa.

Quinto, informa a los empleados. El uso de IA sin formación es el vector de riesgo más frecuente. El artículo 4 del AI Act obliga además a garantizar la formación mínima en IA para todo el personal que use estos sistemas.

ChatGPT Enterprise y ChatGPT Team: ¿son suficientes para cumplir?

ChatGPT Team y Enterprise ofrecen condiciones más favorables: por defecto no usan los prompts para entrenar modelos, incluyen el DPA y permiten una gestión centralizada de usuarios. Son opciones más adecuadas para uso empresarial, pero no eliminan por sí solas la obligación de documentar el tratamiento, actualizar el RAT y establecer políticas internas.

La herramienta puede ser legal. El uso sin gobierno interno no lo es.

El AI Act añade una nueva capa de obligaciones

Desde agosto de 2025, los proveedores de modelos de IA de uso general como GPT-4 tienen obligaciones específicas bajo el AI Act. Pero las empresas que los despliegan también tienen responsabilidades como desplegadores de IA: deben verificar que el uso es conforme al propósito para el que fue diseñado el modelo y que no se utilizan funcionalidades vetadas por el artículo 5.

La intersección entre RGPD y AI Act en el uso de ChatGPT es el punto de mayor complejidad para las empresas españolas ahora mismo. Si quieres saber exactamente en qué situación está tu empresa, el test gratuito del AI Act te da una primera orientación en menos de diez minutos.

IA prohibida en España: qué usos de inteligencia artificial prohíbe el AI Act y desde cuándo

Antonio De Haro - DPD y Gestor RGPD — Fri, 23 Oct 2026 16:40:26 +0000

Qué entiende el AI Act por IA prohibida

Cuando el AI Act habla de IA prohibida, se refiere a los sistemas de inteligencia artificial cuyo riesgo para los derechos fundamentales se considera inaceptable. No se trata de una prohibición genérica de la IA, sino de un listado cerrado de usos concretos que el legislador europeo ha decidido vetar de forma absoluta.

Estos sistemas no pueden comercializarse, ponerse en servicio ni utilizarse en la Unión Europea. No existe excepción comercial ni sector que quede al margen: la prohibición afecta tanto a empresas privadas como a organismos públicos.

El artículo 5 del AI Act enumera estas prácticas y entró en vigor el 2 de febrero de 2025, siendo el primer bloque del reglamento en aplicarse. Desde esa fecha, emplear cualquiera de estos sistemas expone a la empresa a las sanciones más elevadas del reglamento.

Usos de IA que están prohibidos desde febrero de 2025

El artículo 5 establece ocho categorías de prácticas prohibidas. Estas son las más relevantes para empresas españolas:

1. Manipulación subliminal o engañosa

Sistemas que influyen en el comportamiento de una persona mediante técnicas que operan por debajo de su umbral de conciencia o que explotan deliberadamente sus vulnerabilidades (edad, discapacidad, situación socioeconómica). Incluye la publicidad hiperpersonalizada diseñada para eludir la capacidad de decisión racional del usuario.

2. Puntuación social generalizada

La calificación de personas físicas basada en su comportamiento social o en características personales inferidas, cuando da lugar a un trato perjudicial en contextos no relacionados con el contexto en que se generaron los datos. Un sistema que puntúa a un ciudadano para decidir si puede acceder a servicios públicos o privados en función de su historial de conducta social es IA prohibida.

3. Reconocimiento biométrico en tiempo real en espacios públicos

El uso de sistemas de identificación biométrica en tiempo real en espacios de acceso público con fines policiales está prohibido con carácter general. Las excepciones son muy limitadas (búsqueda de víctimas de trata, prevención de atentados inminentes, identificación de sospechosos de delitos graves) y solo pueden aplicarlas las autoridades competentes, nunca una empresa privada.

4. Predicción de delitos basada en perfiles

Sistemas que evalúan el riesgo de que una persona cometa un delito basándose exclusivamente en su perfil o rasgos de personalidad, sin que exista una actividad criminal objetiva y verificable que lo justifique.

5. Raspado masivo de imágenes faciales de Internet o CCTV

La creación o ampliación de bases de datos de reconocimiento facial mediante la recopilación masiva y no selectiva de imágenes de caras en Internet o a través de circuitos cerrados de televisión.

6. Inferencia de emociones en el trabajo y en centros educativos

Sistemas que infieren las emociones de trabajadores o estudiantes en el entorno laboral y académico, salvo que esté justificado por razones médicas o de seguridad. Esto incluye herramientas de supervisión remota que analizan expresiones faciales o tono de voz para evaluar el estado emocional de los empleados.

7. Categorización biométrica por datos sensibles

Sistemas que clasifican a personas físicas basándose en datos biométricos para inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas u orientación sexual.

8. Manipulación de menores y personas vulnerables

Sistemas que explotan las vulnerabilidades específicas de grupos especialmente susceptibles, en particular menores, para distorsionar su comportamiento de forma que pueda causarles daño.

¿Desde cuándo está prohibida la IA de riesgo inaceptable?

El AI Act se publicó en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024. Sin embargo, sus distintas obligaciones se aplican de forma escalonada.

Las prácticas de IA prohibidas (artículo 5) fueron el primer bloque en ser exigible: desde el 2 de febrero de 2025 ningún operador puede desarrollar, comercializar ni utilizar sistemas incluidos en esta categoría.

Las obligaciones para sistemas de alto riesgo, los requisitos de transparencia para IA de uso general y las sanciones plenas del reglamento se aplican en fases posteriores, con fechas que llegan hasta agosto de 2027. Pero la prohibición de los usos inaceptables ya es derecho vigente.

Sanciones por usar IA prohibida en España

El AI Act establece el régimen sancionador más severo para las prácticas prohibidas: multas de hasta 35 millones de euros o el 7 % de la facturación global anual de la empresa, la cifra que resulte mayor.

En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad nacional competente para supervisar el cumplimiento y tramitar los expedientes sancionadores. La AESIA puede actuar de oficio o a partir de denuncias de terceros, incluidos competidores o empleados.

A diferencia de las infracciones del RGPD, que se gradúan en función del daño concreto, una infracción de IA prohibida tiene el límite máximo fijo independientemente de que se haya producido un perjuicio demostrable.

Cómo saber si tu empresa usa IA prohibida

El problema más frecuente no es que las empresas utilicen IA prohibida a sabiendas, sino que incorporan herramientas de terceros (proveedores SaaS, plataformas de RRHH, software de atención al cliente) que pueden incluir funcionalidades vetadas sin que el responsable lo sepa.

Algunos ejemplos reales que deben revisarse:

Plataformas de videoentrevistas que analizan expresiones faciales para valorar candidatos.
Herramientas de monitorización de empleados que detectan el estado emocional a partir de la webcam o el teclado.
Sistemas de scoring crediticio o de acceso a servicios que agregan variables de comportamiento social.
Plugins de e-commerce que personalizan precios o mensajes basándose en perfiles psicológicos inferidos.

El primer paso es hacer un inventario de todos los sistemas de IA que la empresa utiliza o contrata, identificar su categoría de riesgo según el AI Act y verificar si alguno de los proveedores ofrece funcionalidades incluidas en el artículo 5. Para eso existe el test gratuito del AI Act que permite clasificar el uso de IA de tu empresa en menos de 10 minutos.

IA prohibida y RGPD: la doble infracción

Muchos de los sistemas de IA prohibidos implican también un tratamiento de datos personales. El reconocimiento facial en tiempo real, la inferencia de emociones o el raspado masivo de imágenes son, al mismo tiempo, infracciones del artículo 5 del AI Act e infracciones graves del RGPD.

Esto significa que una empresa que utilice cualquiera de estos sistemas puede enfrentarse a sanciones simultáneas de ambas normativas, tramitadas por la AESIA y la AEPD respectivamente. No se trata de una elección entre una u otra: las dos autoridades pueden actuar de forma paralela.

Si tu empresa tiene dudas sobre si algún sistema que utiliza puede estar en zona prohibida, lo más prudente es hacer una consultoría AI Act antes de que llegue una inspección o una denuncia.

Qué no es IA prohibida: errores frecuentes

No toda IA que usa datos biométricos o que analiza comportamientos está prohibida. El AI Act distingue con precisión entre categorías, y confundir “IA de alto riesgo” con “IA prohibida” lleva a decisiones erróneas en los dos sentidos: descartar herramientas legítimas o, peor, no revisar las que sí son problemáticas.

Por ejemplo, un sistema de control de acceso por huella dactilar en una instalación privada es IA de alto riesgo (con obligaciones de cumplimiento), pero no IA prohibida. La diferencia está en el contexto de uso, el tipo de dato biométrico y si opera en tiempo real en espacios públicos.

Del mismo modo, la personalización de contenidos en plataformas digitales no es per se manipulación subliminal: para estarlo tiene que operar por debajo del umbral de conciencia del usuario o explotar una vulnerabilidad específica. La frontera es técnica y legal, y conviene analizarla caso a caso.