Si tu empresa usa herramientas de IA, aunque solo sea para cribar currículums, atender a clientes por chatbot o analizar tendencias de ventas, es probable que ya tengas obligaciones que desconoces.

Qué regula el Reglamento de IA y a quién afecta

La norma clasifica los sistemas de inteligencia artificial en función del riesgo que representan. Esa clasificación es la que determina qué obligaciones aplican en cada caso.

Riesgo inaceptable: sistemas directamente prohibidos en la UE. Reconocimiento facial masivo en espacios públicos por fuerzas de seguridad, manipulación subliminal de personas, puntuación social por parte de administraciones. Punto final.

Riesgo alto: sistemas que inciden en derechos fundamentales. Contratación de personal, concesión de crédito, acceso a la educación, servicios esenciales. Aquí las obligaciones técnicas y documentales son estrictas.

Riesgo limitado: chatbots y generadores de contenido. La exigencia principal es la transparencia: quien interactúa con el sistema tiene que saber que hay una IA al otro lado.

Riesgo mínimo: la mayoría de aplicaciones cotidianas. Filtros de spam, recomendaciones de contenido, herramientas de productividad estándar. Sin cargas adicionales.

Dónde se cruzan el Reglamento de IA y el RGPD

Son dos normativas distintas, pero con mucho terreno compartido. Si tu sistema de IA trata datos personales —que es el caso de casi todos— tienes que cumplir con las dos al mismo tiempo.

El punto de fricción más habitual: los sistemas de IA de alto riesgo requieren registros de actividad y supervisión humana. Esos mismos registros son datos personales que el RGPD exige proteger. La evaluación de impacto que ya contempla el RGPD para tratamientos de alto riesgo se vuelve obligatoria también cuando el sistema de IA entra en esa categoría.

Hay otra coincidencia relevante: el artículo 22 del RGPD prohíbe desde 2018 las decisiones totalmente automatizadas que afecten de forma significativa a una persona. El Reglamento de IA no lo repite, pero sí concreta cómo deben documentarse y controlarse esos sistemas para garantizar que existe supervisión humana real.

Obligaciones concretas según cómo uses la IA en 2026

Si usas IA en selección de personal: el sistema cae en la categoría de alto riesgo. Necesitas documentación técnica del sistema, supervisión humana en las decisiones y un procedimiento que permita al candidato impugnar una decisión automatizada. Esto ya venía del RGPD, pero el Reglamento de IA precisa los requisitos técnicos que antes cada empresa interpretaba a su manera.

Si usas un chatbot de atención al cliente: tienes que informar al usuario desde el inicio de que está hablando con una IA. Sin excepciones.

Si usas herramientas generativas para crear contenido, imágenes o vídeos: el material generado por IA debe etiquetarse cuando pueda inducir a confusión al receptor.

Si eres proveedor de sistemas de IA que vende a otras empresas: las obligaciones son bastante más exigentes. Registro en la base de datos de la UE, certificación para sistemas de alto riesgo y documentación técnica detallada antes de poner el sistema en el mercado.

El papel del Delegado de Protección de Datos ante el IA Act

Las empresas que ya tienen un Delegado de Protección de Datos tienen que ampliar su función para cubrir los riesgos del Reglamento de IA en todo lo que afecte a datos personales. En la práctica, el DPD pasa a ser el interlocutor entre la empresa y las autoridades reguladoras cuando un sistema de IA trata datos de personas.

Si tu empresa usa IA en procesos que afectan a trabajadores o clientes y todavía no tienes DPD, vale la pena valorar si deberías contar con uno. No siempre es obligatorio, pero en empresas con tratamientos de datos a escala puede serlo.

Por dónde empezar si no sabes qué herramientas de IA usa tu empresa

Muchas empresas usan IA sin ser conscientes de ello. El algoritmo de un CRM que predice qué clientes van a irse, el filtro automático del email de soporte, el software de contabilidad que detecta facturas duplicadas. Todo eso es inteligencia artificial.

El primer paso es hacer un inventario: qué herramientas usas y con qué finalidad. El segundo, clasificarlas por nivel de riesgo. La documentación que ya tienes si completaste la adaptación RGPD es un buen punto de partida: el registro de actividades de tratamiento describe qué datos usas y para qué, que es exactamente lo que necesitas para clasificar tus sistemas.

Para saber si tu empresa cumple con el RGPD y está preparada para las obligaciones del Reglamento de IA, una auditoría de protección de datos te da ese diagnóstico completo.

La normativa sobre inteligencia artificial no va a suavizarse. Al contrario: 2026 y 2027 traen las obligaciones más exigentes para empresas que usen IA en procesos que afecten a personas. Cuanto antes lo tengas en orden, menos trabajo acumulado cuando lleguen los plazos.

Adaptar mi empresa al IA Act y al RGPD desde 119€

La entrada Qué obliga el Reglamento de IA a tu empresa y cómo afecta al RGPD se publicó primero en Adaptación RGPD.

El Real Decreto 311/2022 recoge esta realidad en sus artículos 25 y 33 y establece que las entidades sujetas al ENS deben contar con un sistema formal, documentado y coordinado para gestionar los incidentes de seguridad.

1. El ciclo de vida de la respuesta ante incidentes

Gestionar una crisis de ciberseguridad de forma improvisada puede tener consecuencias importantes: pérdida de datos, interrupciones prolongadas de los servicios o incluso sanciones administrativas. Para cumplir con el ENS y responder de manera eficaz, es necesario contar con un proceso estructurado y con unas fases claramente definidas:

• Detección e identificación temprana: consiste en supervisar continuamente los sistemas para detectar comportamientos anómalos lo antes posible. Cuanto menos tiempo permanezca un atacante dentro de la red —lo que se conoce como dwell time—, menor será el impacto que pueda causar.
• Contención y reducción del impacto: una vez identificado el incidente, es fundamental actuar con rapidez. Esto puede implicar aislar equipos, segmentos de red o cuentas comprometidas para impedir que la amenaza se extienda a otras partes de la infraestructura.
• Erradicación y recuperación de los servicios: después de contener el incidente, hay que eliminar su causa y corregir la vulnerabilidad que lo hizo posible. A continuación, los sistemas deben recuperarse utilizando copias de seguridad limpias y previamente verificadas, dando prioridad a los servicios y procesos más críticos para la organización.
• Análisis forense y lecciones aprendidas: una vez controlada la situación, es necesario analizar qué ocurrió, cómo se produjo el ataque y qué recorrido siguió dentro de los sistemas. Documentar todo el proceso permite aprender de lo sucedido, mejorar las medidas de seguridad y disponer de evidencias útiles durante posibles auditorías o revisiones de cumplimiento.

2. El papel del CCN-CERT como aliado estratégico

Dentro del ámbito de la ciberseguridad en España, el CCN-CERT (Capacidad de Respuesta a Incidentes del Centro Criptológico Nacional) desempeña un papel fundamental en la prevención y respuesta frente a las ciberamenazas.

Para que las organizaciones puedan cumplir de forma adecuada con las exigencias del ENS, es importante conocer y aprovechar los recursos que proporciona:

• Guías de la serie CCN-STIC: ofrecen recomendaciones y criterios técnicos para configurar sistemas de forma segura y establecer procedimientos adecuados de respuesta ante incidentes.
• Indicadores de Compromiso (IoC): proporcionan información sobre las señales o evidencias que pueden indicar que un sistema ha sido comprometido. Estos datos permiten a los equipos de TI mejorar sus mecanismos de detección y adaptar sus medidas de protección de forma proactiva.
• Plataformas de coordinación, como Lucía, Reyes e Inés: facilitan la comunicación y notificación de incidentes, así como el intercambio de información y ciberinteligencia entre los distintos equipos implicados.

3. La conexión entre Ciberseguridad (ENS) y Privacidad (RGPD)

Uno de los escenarios más complejos aparece cuando un incidente de seguridad afecta a sistemas que contienen datos personales. En ese momento, la ciberseguridad y la protección de datos dejan de ser cuestiones separadas y deben abordarse conjuntamente.

Si un ciberincidente afecta a la confidencialidad, integridad o disponibilidad de datos personales, pueden entrar en juego los artículos 33 y 34 del RGPD. En estos casos, la organización debe valorar rápidamente el alcance del incidente y sus posibles consecuencias para las personas afectadas.

• Notificación a la Autoridad de Control (AEPD): cuando la brecha pueda suponer un riesgo para los derechos y libertades de las personas, debe notificarse a la autoridad de control correspondiente, en España la Agencia Española de Protección de Datos (AEPD), en un plazo máximo de 72 horas desde que se tiene constancia de ella, salvo que sea improbable que exista ese riesgo.
• Comunicación a las personas afectadas: si la brecha puede suponer un riesgo alto para los derechos y libertades de las personas, también será necesario informar a los afectados sin dilaciones indebidas, de manera que puedan adoptar las medidas necesarias para protegerse.

Todo esto hace que la coordinación entre los diferentes equipos sea especialmente importante. El CSIRT o CERT interno, los administradores de sistemas y el Delegado de Protección de Datos (DPD) deben tener definidos sus roles y canales de comunicación desde el principio.

Contar con estos procedimientos antes de que ocurra un incidente permite reaccionar con mayor rapidez, evitar bloqueos y tomar decisiones de forma coordinada. Además de facilitar el cumplimiento del ENS y del RGPD, una buena gestión de la respuesta ayuda a reducir el impacto del incidente y a mantener la confianza de clientes, usuarios y otras partes afectadas.

La entrada Gestión eficaz de ciberincidentes en el Esquema Nacional de Seguridad (ENS) se publicó primero en Adaptación RGPD.

El error más habitual: creer que el AI Act solo va con los que hacen IA

Cuando alguien oye hablar del Reglamento (UE) 2024/1689, lo primero que imagina son los laboratorios de OpenAI, los centros de datos de Google o los equipos de investigación de Microsoft. Tiene su lógica: son quienes construyen los sistemas.

Pero el texto regula dos figuras distintas. Los proveedores, que desarrollan y comercializan los modelos. Y los desplegadores (deployers), que son quienes los utilizan en su actividad profesional. Tu empresa pertenece a esta segunda categoría.

Si usáis ChatGPT para redactar propuestas, Copilot para resumir reuniones, un chatbot en la web para filtrar consultas o un CRM que puntúa clientes de forma automática, sois desplegadores. Y eso conlleva obligaciones propias, independientemente de las que tenga el proveedor del modelo.

Qué obliga concretamente para una pyme

No todo uso genera las mismas exigencias. La clave está en si la IA llega a interactuar con personas externas a tu organización o si su uso queda dentro del equipo.

Cuando la IA habla con tus clientes

El artículo 50 del AI Act no deja margen: si un sistema automatizado interactúa con personas —un asistente virtual en tu web, un chatbot de soporte, un sistema de respuesta automática por email— hay que informar a esas personas, con claridad y antes de que empiece la conversación, de que están tratando con una IA. No en los términos y condiciones. De forma visible y comprensible.

Esta obligación ya rige. Desde agosto de 2026.

Cuando la IA trabaja solo para vuestro equipo interno

Aquí el nivel de exigencia baja, pero no desaparece:

Necesitáis una política de uso de IA: un documento interno que deje claro qué herramientas están autorizadas, para qué finalidades y con qué restricciones.

El artículo 4 obliga a acreditar que las personas que trabajan con IA en la empresa tienen un nivel razonable de comprensión sobre cómo funcionan estas herramientas, qué limitaciones tienen y qué riesgos implican. No se exige ninguna certificación especial, pero sí dejar constancia de que esa formación existe.

Y cualquier decisión relevante que tome la IA —o que la IA influya— necesita supervisión humana documentada. No basta con que alguien la revise: hay que poder demostrarlo.

¿Y si solo uso Copilot para escribir emails más deprisa?

Ese caso cae en la categoría de riesgo mínimo. Las obligaciones adicionales son las más básicas del desplegador: política de uso y formación elemental documentada, nada más.

El salto de complejidad llega cuando la IA participa en decisiones que afectan a terceros. Algunos ejemplos donde el riesgo sube de categoría:

Filtrar o puntuar candidatos en procesos de selección. Clasificar clientes según su probabilidad de impago. Asignar incentivos o penalizaciones a empleados. Decidir qué contenido recibe cada usuario en una plataforma.

Estos usos caen en el Anexo III (alto riesgo), con obligaciones mucho más exigentes: documentación técnica detallada, registro en la base de datos de la UE, auditorías y evaluación de impacto en derechos fundamentales.

Lo que cambió en julio de 2026: el Digital Omnibus

El Reglamento (UE) 2026/1744 —conocido como Digital Omnibus— modificó en julio de 2026 varios plazos del AI Act. Si has leído guías publicadas antes de ese mes, probablemente manejas fechas ya obsoletas.

Los cambios concretos: las obligaciones del Anexo III (selección de personal, crédito, educación, entre otros) se mueven a diciembre de 2027. Las del Anexo I (IA en productos regulados: dispositivos médicos, maquinaria, etc.) se posponen a agosto de 2028.

Lo que el Digital Omnibus no toca y sigue aplicando desde agosto de 2026: las prohibiciones de IA de riesgo inaceptable, el artículo 50 sobre transparencia frente a usuarios, las obligaciones generales del desplegador y las reglas para modelos de propósito general (GPAI).

Dicho de otro modo: si tenéis un chatbot que atiende clientes, la obligación de informarles es ahora, no en 2027.

AESIA ya puede sancionar

La Agencia Española de Supervisión de la Inteligencia Artificial opera con plenas competencias desde agosto de 2026. Puede inspeccionar, requerir documentación y imponer sanciones. No es una institución en fase de rodaje.

Durante el primer trimestre de 2026 actuó de forma coordinada con la AEPD en varios expedientes sobre scoring crediticio y cribado de candidatos. En agosto de 2026 la AEPD sancionó a una entidad bancaria con 890.000 euros por utilizar un sistema de puntuación con IA que determinaba decisiones sin que los afectados conocieran la existencia del algoritmo.

Las multas máximas del AI Act alcanzan 35 millones de euros o el 7 % de la facturación global anual. Para una pyme, incluso una sanción mucho menor puede ser un problema de envergadura.

Por dónde empezar

El punto de partida es saber qué nivel de riesgo tenéis. Eso depende de tres cosas: qué herramientas de IA utilizáis, para qué las usáis y si sus resultados afectan directamente a personas ajenas a vuestra empresa.

En Adapta RGPD hemos desarrollado un test gratuito que en cinco preguntas os da vuestra clasificación de riesgo, las obligaciones concretas que os aplican y los plazos correspondientes. No hace falta conocer la regulación para completarlo.

→ Hacer el test AI Act gratis

Si el resultado muestra obligaciones pendientes, el módulo AI Act de Adapta RGPD cubre todo lo necesario: política de uso de IA, formación documentada, inventario de sistemas, cumplimiento del artículo 50 y seguimiento continuo desde el panel SIGNA360. El coste para pymes es de 199 €/año.

Preguntas frecuentes

¿Usar ChatGPT de vez en cuando obliga a cumplir el AI Act?
Sí, si el uso es en un contexto profesional. La frecuencia no determina si aplica o no. Aunque sea una vez por semana para redactar una propuesta, sois desplegadores y necesitáis al menos una política de uso y formación básica acreditada.

¿Necesitamos contratar a alguien especializado en AI Act?
En la mayoría de pymes con usos de riesgo bajo o limitado, no. Un servicio externo como el módulo AI Act de Adapta RGPD cubre lo necesario sin necesidad de incorporar perfiles internos.

¿Copilot de Microsoft ya cumple el AI Act y eso nos cubre a nosotros?
No. Microsoft ha publicado documentación sobre el cumplimiento de sus modelos, pero eso regula sus obligaciones como proveedor. Las vuestras como desplegadores son distintas y no se transfieren. Que el modelo esté documentado no significa que vuestro uso del modelo esté regulado.

¿Si ya tenemos el RGPD adaptado estamos cubiertos?
No. El RGPD y el AI Act son normas diferentes que se solapan en algunos puntos pero no se sustituyen. El cumplimiento de protección de datos es necesario, pero no suficiente si usáis IA en vuestra actividad.

La entrada ¿ChatGPT/Copilot obliga a cumplir el AI Act? se publicó primero en Adaptación RGPD.

Se trata de uno de los primeros trabajos a nivel mundial que aborda esta problemática de forma sistemática y pragmática, proporcionando una hoja de ruta esencial para responsables de tratamiento, encargados y Delegados de Protección de Datos (DPD/DPO).

1. El principio de exactitud contextual: una interpretación evolutiva

Uno de los aportes más significativos del documento es el replanteamiento del concepto de exactitud. Tradicionalmente, este principio se interpretaba de manera rígida: un dato personal debía ser estrictamente veraz, perfecto y estar actualizado al milímetro. Sin embargo, la AEPD aclara que el principio de exactitud no puede entenderse en términos absolutos, sino siempre en relación directa con la finalidad del tratamiento.

El RGPD no exige que cada dato individual sea siempre plenamente veraz en cualquier circunstancia, sino que sea adecuado y suficiente para cumplir el objetivo específico para el cual se trata, garantizando que los posibles errores no generen consecuencias perjudiciales o desproporcionadas para las personas afectadas.

Esta lectura flexible y ponderada supone un cambio de paradigma crucial:

• Superación del dogma estricto: Exigir una exactitud absoluta e ininterrumpida en grandes volúmenes de información puede resultar técnicamente imposible o generar cargas desproporcionadas.

• Equilibrio con la minimización: Obligar a una verificación continua de datos accesorios o de bajo impacto podría forzar a las organizaciones a recabar más datos personales de los necesarios, vulnerando directamente el principio de minimización.

2. Calidad del conjunto de datos vs. exactitud individual en Machine Learning

En el desarrollo de modelos de aprendizaje automático (Machine Learning) y algoritmos de IA, la perspectiva cambia de escala. La AEPD subraya que la calidad debe evaluarse a nivel global del dataset (conjunto de datos) y no únicamente registro a registro.

En la fase de entrenamiento y validación de un modelo, factores de conjunto como:

• La representatividad: Que la muestra refleje fielmente la realidad objetiva sin exclusiones arbitrarias.

• La ausencia de sesgos: Prevenir desequilibrios estadísticos que puedan dar lugar a discriminaciones o alucinaciones sistemáticas.

• La relevancia contextual: Asegurar que las variables incluidas aporten valor explicativo al modelo.

Tienen un peso predictivo y ético sustancialmente mayor que la imperfección aislada de un dato concreto. Un modelo alimentado con datos individuales impolutos pero desequilibrados estadísticamente producirá resultados erróneos y discriminatorios.

3. El impacto de los datos no personales en los resultados finales

La nota técnica introduce otra consideración operativa fundamental: los datos no personales o anónimos utilizados para entrenar o ajustar una IA también determinan la idoneidad del tratamiento de datos personales.

Si las variables de entorno, la información meteorológica, los datos macroeconómicos o los conjuntos de datos sintéticos no personales presentan sesgos, falta de integridad o errores estructurales, el resultado final del algoritmo afectará de forma errónea a los titulares de los datos personales procesados. Por ello, la gobernanza de la calidad del dato en proyectos de IA debe abarcar la totalidad del flujo de datos, con independencia de su naturaleza jurídica.

4. Diseño de garantías frente a las limitaciones inherentes de la IA

Por último, la AEPD recuerda que los sistemas de inteligencia artificial poseen limitaciones intrínsecas (probabilidad, alucinaciones en modelos del lenguaje, deriva del modelo o drift). El cumplimiento del RGPD exige reconocer estas limitaciones desde la fase de concepción e implantar medidas técnicas y organizativas de salvaguarda desde el diseño y por defecto (Privacy by Design).

Recomendaciones clave para organizaciones y DPDs:

1. Evaluación del impacto por finalidad: Determinar el umbral de exactitud requerido según el nivel de riesgo del tratamiento (p. ej., un sistema de diagnóstico médico exige un estándar de exactitud inmensamente superior al de un sistema de recomendación de contenidos).

2. Auditorías de calidad y sesgo del dataset: Implementar pruebas periódicas sobre los datos de entrenamiento para identificar y corregir sesgos antes de la puesta en producción.

3. Mecanismos de corrección e impugnación: Garantizar que los interesados puedan ejercer efectivamente sus derechos de rectificación o solicitar intervención humana cuando las decisiones algorítmicas se basen en estimaciones probabilísticas.

4. Documentación de la gobernanza de datos: Registrar y justificar de forma proactiva (accountability) por qué se han seleccionado ciertos conjuntos de datos y qué criterios de minimización se han aplicado para equilibrar el sistema.

La entrada La AEPD analiza la calidad, exactitud y minimización de datos personales en tratamientos realizados con sistemas de IA se publicó primero en Adaptación RGPD.

Uno de los pilares centrales de las últimas orientaciones de la Agencia Española de Protección de Datos (AEPD) es categórico: la supervisión humana efectiva no es un formalismo técnico, sino una exigencia legal y operativa indispensable.

De la revisión puntual a la gobernanza continua

Durante años, la supervisión en sistemas automatizados consistía en un control sencillo al final del proceso. Una persona revisaba el resultado y daba el visto bueno. Sin embargo, en el contexto de la IA agéntica, esa visión ha quedado completamente obsoleta.

Cuando un agente interactúa con bases de datos, ejecuta acciones en tiempo real o adopta decisiones en cadena, la supervisión no puede limitarse a una verificación a posteriori. Pasa a convertirse en un mecanismo vivo y continuo de gobernanza. No basta con nombrar a un “responsable del sistema” sobre el papel; la persona a cargo debe contar con los medios reales para:

• Comprender el razonamiento o la lógica operativa del agente.

• Intervenir en cualquier momento del flujo de trabajo si detecta una desviación.

• Detener de forma inmediata la actuación del sistema antes de que cause un impacto irreversible.

El encaje legal: Reglamento de IA y RGPD

Esta exigencia de control humano no surge de la nada. Responde a un marco normativo europeo cada vez más estricto y coordinado.

Por un lado, el Reglamento Europeo de Inteligencia Artificial (IA Act) fija la supervisión humana como una obligación explícita para los sistemas catalogados como de alto riesgo, buscando prevenir sesgos, errores sistémicos o daños a derechos fundamentales.

Por otro lado, se alinea de forma directa con el principio de responsabilidad proactiva (accountability) del RGPD. Bajo este principio, no es suficiente con cumplir la norma en la teoría: las organizaciones están obligadas a demostrar de forma documental y práctica que los tratamientos de datos personales realizados mediante IA cuentan con las garantías necesarias desde el diseño y por defecto.

Plan de acción: ¿cómo estructurar un control efectivo en la empresa?

Llevar la supervisión humana de la teoría a la práctica diaria requiere un plan estructurado. Para evitar que el control se convierta en un cuello de botella o en un mero trámite, las organizaciones deben implementar cuatro medidas clave:

1. Matriz de autonomía y delegación: Definir con total claridad qué decisiones puede ejecutar el agente de manera autónoma y cuáles exigen una aprobación previa (human-in-the-loop) o posterior (human-on-the-loop).

2. Mecanismos de parada de emergencia (Kill Switch): Diseñar e implementar protocolos técnicos de interrupción inmediata que permitan pausar, corregir o revertir las acciones del agente sin romper la operativa general.

3. Capacitación del personal supervisor: Garantizar que los profesionales designados para supervisar la IA entiendan no solo cómo funciona la herramienta, sino también sus sesgos, limitaciones y posibles modos de fallo.

4. Trazabilidad y auditoría interna: Mantener registros detallados (logs) de la actividad de los agentes y de las intervenciones humanas realizadas, facilitando la rendición de cuentas ante inspecciones de la AEPD.

La IA agéntica ofrece una productividad inédita, pero delegar el criterio sin control implica asumir riesgos incalculables. La supervisión humana no debe entenderse como un freno a la innovación, sino como la única garantía para desplegar la tecnología de manera ética, segura y jurídicamente sólida.

La entrada Supervisión humana efectiva: la exigencia clave de la nueva IA (II) se publicó primero en Adaptación RGPD.

Uno de los problemas más frecuentes es la falta de criterios claros para determinar cuánto tiempo deben conservarse los datos. La ausencia de políticas de conservación bien definidas dificulta justificar por qué determinada información sigue almacenada o cuándo debe eliminarse definitivamente.

A ello se suma la complejidad técnica de las copias de seguridad. Muchas organizaciones encuentran dificultades para garantizar que los datos suprimidos desaparezcan también de los sistemas de respaldo, especialmente cuando estos han sido diseñados con finalidades de recuperación ante desastres y continuidad de negocio.

Las excepciones previstas como la conservación por obligación legal, la defensa de reclamaciones o determinados intereses públicos requieren un análisis jurídico riguroso y adecuadamente documentado.

Una gestión eficaz del derecho de supresión exige combinar criterios jurídicos sólidos con mecanismos técnicos capaces de garantizar una eliminación efectiva y trazable de la información.

IMPORTANTE

El derecho de supresión evidencia que muchas organizaciones tienen dificultades internas para localizar, gestionar y eliminar correctamente los datos personales.

La entrada Plazos de conservación y excepciones: los retos del derecho de supresión (III) se publicó primero en Adaptación RGPD.

Es el caso más reciente de una serie que no va a parar. Y que no afecta solo a bancos.

Qué es una decisión automatizada según el RGPD

El artículo 22 del RGPD regula las decisiones que se toman de forma exclusivamente automatizada y que producen efectos jurídicos o afectan significativamente a las personas. No hace falta que sea una IA sofisticada. Un sistema que decide automáticamente si un cliente recibe o no una oferta, si se le aprueba un servicio, si se le incluye en una lista de riesgo o si se le aplica una condición diferente a otros, está tomando una decisión automatizada en el sentido del RGPD.

Eso tiene tres implicaciones directas. Primera: tienes que informar al afectado de que existe ese sistema y de la lógica que aplica, en términos comprensibles. Segunda: el afectado tiene derecho a solicitar intervención humana, a expresar su punto de vista y a impugnar la decisión. Tercera: si el sistema trata datos de categorías especiales o produce efectos jurídicos importantes, necesitas una evaluación de impacto antes de ponerlo en marcha.

Dónde aparece esto en empresas que no son bancos

En selección de personal. Cualquier herramienta que filtra CVs automáticamente, puntúa candidatos o decide a quién se llama a entrevista está tomando decisiones automatizadas sobre personas. La AEPD ya sancionó a una empresa de selección con 320.000 euros exactamente por eso: por usar un sistema de cribado con sesgo no detectado y sin informar a los candidatos.

En seguros. Una aseguradora fue sancionada con 540.000 euros por discriminación algorítmica: su sistema de scoring aplicaba condiciones diferentes a clientes con perfiles similares de formas que no podía justificar.

En comercio electrónico. Si tienes un sistema que segmenta clientes para mostrarles precios diferentes, que decide qué ofertas ve cada usuario o que aplica condiciones distintas según un perfil calculado automáticamente, estás en el mismo territorio.

Qué diferencia el cumplimiento del incumplimiento en la práctica

La diferencia no suele estar en si el sistema existe o no. Está en si está documentado. Una empresa que puede mostrar la evaluación de impacto que hizo antes de desplegar el sistema, que tiene la cláusula informativa correcta en sus contratos o política de privacidad, y que tiene un procedimiento para que los afectados puedan impugnar una decisión, está en una posición radicalmente diferente ante una inspección o una denuncia.

Si usas algún tipo de sistema de puntuación, clasificación o decisión automatizada sobre clientes, empleados o cualquier otra persona, lo primero es documentarlo. En la auditoría de protección de datos que hacemos en Adapta RGPD revisamos exactamente eso: si los sistemas que tienes están correctamente informados, si la base legal es la adecuada y si tienes la evaluación de impacto donde es necesaria. Es el tipo de revisión que conviene hacer antes de que la haga la AEPD por ti.

La entrada Scoring crediticio con IA: derechos y sanciones en 2026 se publicó primero en Adaptación RGPD.

La cadena de suministro en NIS2 es uno de los puntos más pasados por alto y uno de los que más fricciones está generando en las relaciones comerciales de este año.

Por qué NIS2 alcanza a pymes que no cumplen el umbral

El artículo 21 de NIS2 obliga a todas las entidades reguladas —hospitales, empresas de energía, banca, logística, proveedores digitales— a gestionar los riesgos que llegan a través de sus proveedores y subcontratistas. Eso significa que si eres una empresa de software, una gestoría, una empresa de mantenimiento informático o cualquier proveedor de servicios que trabaja habitualmente con empresas de esos sectores, tu cliente va a pedirte que demuestres que tienes medidas de ciberseguridad en regla.

No es una petición educada. Es una exigencia contractual que cada vez más empresas grandes están incorporando a sus pliegos y contratos. Si no puedes responder a un cuestionario de ciberseguridad, o si no tienes documentadas tus medidas, es posible que dejes de ser proveedor.

Qué cuestionarios están llegando ya a las pymes

Las entidades reguladas están empezando a enviar cuestionarios a sus proveedores para evaluar su nivel de ciberseguridad. Preguntan si tienes análisis de riesgos documentado, si tienes procedimiento de notificación de incidentes, si usas autenticación multifactor, si tienes política de backups y plan de continuidad, y si formas a tu equipo en ciberseguridad. Son las diez medidas mínimas que establece NIS2 y que las grandes empresas están trasladando a toda su cadena de suministro.

No es burocracia abstracta. Es la diferencia entre seguir siendo proveedor de un cliente grande o perderlo.

Qué tienes que tener preparado ahora

Lo primero es un análisis de riesgos de tu empresa aunque seas pequeño. No hace falta que sea un documento de cien páginas, pero sí tiene que existir y tiene que identificar qué sistemas usas, qué datos manejas y qué pasaría si algo fallara. Lo segundo es un procedimiento básico de notificación de incidentes: quién decide que ha habido un incidente, a quién se comunica y en qué plazo. Lo tercero es la autenticación multifactor en los accesos críticos, que es la medida técnica más básica que piden todos los cuestionarios.

Si ya tienes una adaptación RGPD en regla, tienes parte del trabajo hecho porque el análisis de riesgos y la gestión de incidentes se solapan. El módulo NIS2 de SIGNA360 parte exactamente de eso para no empezar desde cero y cubrir lo que falta sin duplicar esfuerzo.

La entrada NIS2 y proveedores: cómo afecta a pymes que no lo saben se publicó primero en Adaptación RGPD.

Si gestionas un colegio, una academia, un club deportivo o cualquier actividad con menores, esto te afecta directamente.

Qué dice el RGPD sobre los datos de menores

En España, la edad de consentimiento digital es 14 años. Por debajo de esa edad, el menor no puede consentir por sí mismo el tratamiento de sus datos personales: debe hacerlo un padre o tutor. A partir de los 14, el menor puede consentir, pero con restricciones que varían según el tipo de servicio.

Las plataformas de redes sociales tienen la obligación de verificar la edad de sus usuarios y de obtener el consentimiento parental para los menores. En la práctica, casi ninguna lo hace de forma efectiva, lo que ha llevado a investigaciones de la AEPD y de otras autoridades europeas contra Instagram, TikTok y YouTube.

La AEPD cuenta con una Guía sobre menores en internet que detalla los requisitos para el tratamiento de sus datos. No es una recomendación orientativa: es el criterio que aplica la agencia cuando investiga un caso relacionado con menores.

El sharenting y sus consecuencias legales

El término sharenting describe el hábito de los padres de compartir fotos y vídeos de sus hijos en redes sociales. Sus implicaciones van más allá de la privacidad familiar.

Publicar una imagen de un menor en una red social implica ceder datos personales —su imagen, en muchos casos su nombre y su ubicación— a una plataforma que los usa con fines comerciales propios. Los menores no pueden consentir esa cesión.

Eso no significa que esté prohibido publicar fotos de los hijos, pero sí existen límites. No se pueden publicar imágenes que identifiquen al menor en contextos sensibles: en el colegio, en actividades médicas, con datos de salud visibles, o en situaciones que puedan afectar su dignidad cuando sea adulto.

La AEPD ha tramitado casos en los que particulares han sido requeridos por publicar imágenes de menores ajenos sin consentimiento de sus padres. El supuesto más frecuente es el de fotos de excursiones escolares o de equipos deportivos infantiles publicadas en redes sin el permiso expreso de todas las familias implicadas.

Obligaciones de colegios, academias y actividades con menores

Los centros educativos y las actividades extraescolares tratan datos de menores de forma sistemática: fichas de matrícula, imágenes de eventos, historial académico, datos de salud relevantes. Todos esos tratamientos requieren base legal específica y documentación RGPD adaptada.

El consentimiento de los padres para el tratamiento de imágenes es el punto donde más fallos se acumulan. Muchos centros utilizan consentimientos genéricos que no cumplen con el RGPD porque no informan sobre qué plataformas se usarán para publicar las fotos, no distinguen entre usos internos y publicación en redes sociales, y no permiten retirar el consentimiento de forma sencilla.

Un consentimiento que solo diga “autorizo el uso de imágenes de mi hijo” no es suficiente. Tiene que especificar la finalidad exacta, los canales de difusión, el plazo de conservación y el procedimiento para revocarlo.

Qué pasa cuando un menor ejerce sus derechos RGPD

A partir de los 14 años, el menor puede ejercer por sí mismo los derechos RGPD: acceso, rectificación, supresión, portabilidad. Eso significa que un alumno de secundaria puede pedir formalmente a un centro que elimine sus datos o que le facilite acceso a su expediente académico.

Los centros tienen que contar con procedimientos claros para atender esas solicitudes en el plazo legal de un mes. Sin ellos, el menor puede presentar una denuncia ante la AEPD directamente, sin necesidad de que intervengan sus padres.

Cómo proteger los datos de menores en tu negocio

Si tu empresa, academia, colegio o actividad trabaja habitualmente con menores, necesitas documentación RGPD específica para ese contexto:

Cláusulas informativas diferenciadas para padres y tutores, adaptadas a cada tipo de tratamiento: matrícula, imágenes, actividades, datos de salud si los hay.

Consentimientos separados por finalidad: uno para el tratamiento de datos del menor dentro de la actividad y otro distinto para publicar imágenes en la web o en redes sociales del centro.

Protocolo para retirar el consentimiento en cualquier momento y eliminar los datos o imágenes correspondientes.

Contratos con proveedores que accedan a datos de menores: plataformas educativas, apps de comunicación con familias, servicios de fotografía escolar.

La auditoría de protección de datos para centros que trabajan con menores es especialmente recomendable porque la AEPD ha endurecido los criterios de inspección en este sector. Una revisión externa identifica los puntos débiles antes de que lo haga una denuncia.

La adaptación RGPD para tu centro o actividad garantiza que tienes todos los documentos en regla antes de que llegue una inspección o una denuncia. Si además gestionas datos de salud de los menores —alergias, necesidades especiales— eso requiere documentación adicional que también incluimos.

Adaptar mi centro desde 119€

La entrada Privacidad de menores en internet: sharenting, redes sociales y obligaciones RGPD se publicó primero en Adaptación RGPD.

Sin embargo, el sector del asesoramiento tradicional sigue haciendo lo mismo de siempre: vender un PDF estático, cuatro plantillas en Word y cobrar como si te hubieran blindado el negocio.

Seamos claros: una guía en PDF o un documento impreso no te va a salvar de una multa cuando la autoridad pida trazabilidad técnica.

En Adapta RGPD rompemos esa dinámica. Gestionamos el cumplimiento de más de 1.200 empresas en España con SIGNA360, la plataforma más completa del mercado que integra en un único entorno multicliente todo lo necesario para cumplir con el RGPD, LOPDGDD, AI Act, NIS2, LSSI-CE, LGDCU y la Ley 2/2023 del Canal de Denuncias.

El gran riesgo de la consultoría basada en “papeleo estático”

La Inteligencia Artificial no es una política de privacidad fija para el pie de página de una web. La IA es software vivo: cambian las llamadas a las API, cambian los proveedores y varían los criterios de los reguladores.

Apoyarse en documentación estática o en meras guías teóricas te expone a riesgos graves:

• Sin trazabilidad de la arquitectura real: Un PDF no evalúa qué ocurre cuando envías datos a través de intermediarios a modelos alojados en EE. UU. Tampoco audita la cadena de subencargados ni las Transferencias Internacionales de Datos (TID).

• Obsolescencia inmediata: Los criterios sancionadores y las resoluciones de la AEPD o del EDPB cambian constantemente. Un documento en Word no se actualiza solo.

• Falta de evidencias ante inspecciones: La autoridad no exige buenas intenciones en papel; exige evaluaciones técnicas de impacto, registros de actividad (RAT) actualizados y trazabilidad real.

SIGNA360: Tecnología en la nube frente al archivo en papel

Frente a las soluciones parciales del mercado que solo cubren protección de datos básica, SIGNA360 actúa como una plataforma integral de gestión y auditoría continua:

• Módulo AI Act y Autodiagnóstico AESIA: Clasificación automática de sistemas de IA según su nivel de riesgo (Anexo III) y evaluación mediante 193 medidas de adaptación AESIA con matriz de madurez L1-L8.

• Evaluaciones de Impacto Automáticas (EIPD / DPIA) y FRIA: Generación automatizada de análisis de riesgos y evaluaciones de impacto para tratamientos de alto riesgo o sistemas algorítmicos.

• Gestión de Cadenas de Datos y Proveedores: Control documental para contratos del Art. 28 RGPD, garantías de subencargados y cumplimiento de Transferencias Internacionales mediante Data Privacy Framework o Cláusulas Contractuales Tipo.

• Portal de Derechos ARSULIPO+ y Consentimientos: Entorno automatizado para gestionar el ejercicio de derechos de los interesados, consentimiento parental para menores y registro de revogaciones.

• Gestión Normativa Integral (NIS2 y Canal de Denuncias): Módulo para la notificación de incidentes a CSIRTs bajo la directiva NIS2 y gestión del canal ético conforme a la Ley 2/2023.

• 🤖 Asistente IA Integrado en el Panel: Consultas en tiempo real sobre RGPD, AI Act y NIS2, revisión de contratos de encargo y redacción de cláusulas personalizadas con actualización automática según las últimas resoluciones de la AEPD.

Sanciones de hasta 20.000.000 € o el 4% de la facturación global

Sanciones de este nivel no se evitan con plantillas genéricas. SIGNA360 convierte la gestión del cumplimiento normativo en un proceso ágil, automatizado y auditable, permitiendo a gestores, DPOs y empresas demostrar un cumplimiento proactivo desde 55 €.

Pasa de la teoría en PDF a la gestión automatizada.

Descubre cómo SIGNA360 protege tu empresa de forma integral y solicita una demostración en nuestro sitio web oficial.

👉 Probar SIGNA360 en Adapta RGPD

La entrada La brecha del cumplimiento en IA: Frente a las guías obsoletas del sector, lanzamos el primer software integral para el AI Act, la AESIA y el marco normativo Español se publicó primero en Adaptación RGPD.